Política de divulgação de vulnerabilidades (VDP)

1 Introdução

Na Scatter Instruments, a segurança dos nossos sistemas e a proteção dos dados dos clientes são uma prioridade máxima. Valorizamos o papel dos investigadores de segurança independentes que nos ajudam a manter um elevado nível de segurança.

Comprometemo-nos a colaborar com a comunidade de segurança para resolver as vulnerabilidades verificadas de forma rápida e responsável.

2 Porto seguro

A Scatter Instruments não intentará ações judiciais contra quem descubra e comunique vulnerabilidades de segurança de acordo com esta política. Consideramos autorizada a investigação de segurança realizada ao abrigo desta política.

Para beneficiar desta proteção, deve:

• Cumprir todas as regras e diretrizes desta política
• Não comprometer a privacidade ou a segurança dos nossos clientes e dos seus dados
• Não perturbar nem degradar os nossos serviços de forma alguma
• Agir de boa-fé para evitar violações de privacidade, destruição de dados e interrupção dos nossos serviços

3 Âmbito

Esta política aplica-se aos seguintes sites e serviços públicos pertencentes à Scatter Instruments:

Sistemas incluídos

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Qualquer outro subdomínio de scatterinstrumentsonline.com

Sistemas e ações excluídos

Qualquer serviço não incluído expressamente está fora do âmbito. São estritamente proibidas as seguintes ações:

• Testes em serviços de terceiros (processadores de pagamento, fornecedores de análise, widgets de redes sociais)
• Ataques físicos às nossas instalações ou equipamentos
• Engenharia social (phishing, vishing) dirigida a funcionários, prestadores ou clientes
• Ataques de negação de serviço (DoS ou DDoS)
• Publicar spam ou usar ferramentas automáticas para rastrear agressivamente o nosso site
• Aceder, modificar ou exfiltrar dados que não lhe pertencem

4 Como comunicar uma vulnerabilidade

Se acredita ter encontrado uma vulnerabilidade de segurança, envie a sua comunicação por e-mail para contact@scatterinstruments.com.

Para informações sensíveis, recomendamos que encripte a comunicação com a nossa chave PGP, disponível no nosso ficheiro security.txt.

Uma boa comunicação deve incluir:

• Um título claro e descritivo
• O tipo de vulnerabilidade e o seu potencial impacto
• O URL completo ou o recurso onde a vulnerabilidade foi descoberta
• Instruções detalhadas, passo a passo, para reproduzir o problema
• Qualquer código de prova de conceito, capturas ou gravações de ecrã

5 O nosso compromisso

Quando comunicar uma vulnerabilidade de acordo com esta política, comprometemo-nos a:

• Confirmar a receção da comunicação em 2–3 dias úteis
• Indicar-lhe um ponto de contacto e mantê-lo informado sobre o progresso
• Investigar e validar a sua comunicação
• Corrigir as vulnerabilidades verificadas logo que razoavelmente possível
• Não divulgar publicamente os detalhes da vulnerabilidade até existir uma correção

6 Recompensas e reconhecimento

Embora a Scatter Instruments não ofereça atualmente recompensas monetárias (bug bounty), estamos profundamente gratos pelos contributos da comunidade.

Para comunicações verificadas e elegíveis, oferecemos, com a sua autorização, reconhecimento público no nosso Quadro de honra dos investigadores de segurança.