Comunicar vulnerabilidades de segurança

Âmbito

Esta política aplica-se a todos os produtos, serviços, sítios Web e aplicações geridos pela fino data services GmbH — independentemente da marca ou do domínio sob o qual são oferecidos.

Fora do âmbito

O seguinte não está abrangido por esta política:

Serviços e infraestruturas de terceiros que utilizamos, mas que não operamos nós próprios
Produtos e sítios Web pertencentes a parceiros ou empresas afiliadas que não são propriedade da fino data services GmbH
Ataques que visam a disponibilidade dos nossos sistemas (por exemplo, negação de serviço)
Engenharia social dirigida aos nossos colaboradores ou clientes e ataques físicos às nossas instalações

Se não tiver a certeza se um sistema se enquadra no âmbito de aplicação, contacte-nos previamente.

Como comunicar uma vulnerabilidade

Envie o seu relatório para [email protected]. Para nos ajudar a avaliar e a reproduzir rapidamente a sua descoberta, os seguintes detalhes são úteis:

Uma descrição da vulnerabilidade e do serviço, URL ou ponto de extremidade afetado.
Passos reproduzíveis ou uma demonstração de conceito que permitam reproduzir o problema.
O impacto potencial, na medida em que o consiga avaliar.
Os seus dados de contacto para eventuais perguntas de acompanhamento.

[email protected]

O que pedimos a vocês

Para que possamos considerar o seu trabalho como investigação de segurança realizada de boa-fé, aplicam-se as seguintes regras vinculativas:

Aceda apenas aos dados estritamente necessários para demonstrar a vulnerabilidade. Não apague nem altere dados que pertençam a terceiros.
Respeite a privacidade de terceiros. Não partilhe quaisquer dados pessoais de que tenha conhecimento, nem os conserve por mais tempo do que o necessário para efeitos de prova.
Ataques de negação de serviço, spam e engenharia social contra os nossos colaboradores, clientes ou parceiros são estritamente proibidos.
Não explore uma vulnerabilidade para além do necessário para a demonstrar. Em particular, não extraia nem modifique dados, nem estabeleça acesso persistente.
Dê-nos um prazo razoável para corrigirmos o problema. Só publique os detalhes após coordenação prévia connosco. (Divulgação responsável)

Como tratamos a sua denúncia

Confirmamos a receção da sua denúncia, normalmente no prazo de um dia útil.
Analisamos os resultados e entramos em contacto caso tenhamos perguntas adicionais.
Mantemo-lo(a) informado(a) sobre o estado do processamento e as medidas corretivas.

Não existe um programa de recompensas por falhas de segurança

De momento, não temos um programa de recompensas por erros de segurança e não pagamos recompensas monetárias pelas denúncias. No entanto, agradecemos todas as denúncias legítimas e tratamo-las com o mesmo cuidado.

Cláusula de isenção de responsabilidade

Se agir de boa-fé e cumprir esta política, consideramos que a sua investigação em matéria de segurança está autorizada. Nesse caso, não intentaremos qualquer ação judicial contra si nem apresentaremos queixa criminal relativamente à sua investigação.

Caso um terceiro inicie uma ação judicial contra si por ter cumprido esta política, esclareceremos, mediante pedido, que as suas ações foram coordenadas connosco. Se não tiver a certeza se uma determinada ação está abrangida por esta política, por favor, consulte-nos antecipadamente.