脆弱性開示ポリシー

はじめに

MyClusters B.V.（以下「MyClusters」）は、自社の製品およびサービスのセキュリティを重視しています。当社のプラットフォームでは、群発頭痛を患う方々の健康データを処理しており、脆弱性の特定と修正に協力してくださるセキュリティ研究者の皆様の取り組みに深く感謝しております。皆様が安全かつ容易に報告を行えるよう、本ポリシーでは、発見された脆弱性を報告する際のルールについて説明します。

適用範囲

以下の項目が対象となります：

https://myclusters.nl およびそのサブドメイン
MyClustersのiOSおよびAndroidアプリ
MyClustersの研究用ダッシュボード、調査ツール、およびePROツール
上記のサービスをサポートするAPI

以下の項目は対象外です：

MyClustersが利用しているものの、運営は行っていないサードパーティのサービスおよびプラットフォーム（例：クラウドホスティングプロバイダー、アプリストア、ニュースレターやポッドキャストのプラットフォームなど）。これらのサービスにおける脆弱性については、各プロバイダーに直接報告してください。
MyClustersの従業員や契約業者に対するソーシャルエンジニアリング（フィッシングなど）。
物理的な攻撃。
サービス拒否（DoS）攻撃。
過剰なトラフィックを発生させる自動スキャン。

法的立場とセーフハーバー

MyClustersは、善意に基づき脆弱性を報告し、本ポリシーの範囲内にとどまり、問題の検証に必要な範囲を超えてデータにアクセスまたは変更を行わず、かつ開示の期限を遵守するユーザーに対しては、法的措置を講じません。

条件

01MyClusters が調査および是正措置を講じるための妥当な期間（通常、報告日から 90 日間）が経過するまでは、当該脆弱性を公表しないでください。
02MyClusters またはそのユーザーのデータにアクセスしたり、変更したり、外部へ持ち出したり、破壊したりしないでください。ご自身が所有しているアカウント、またはテスト用に作成したアカウントのみを使用してください。
03うっかり個人情報や健康データにアクセスしてしまった場合は、直ちにテストを中止し、そのデータを保存したり共有したりせず、レポートにて当社までご連絡ください。
04他のユーザーのサービスに支障をきたすようなテストは行わないでください（DoS攻撃や、パフォーマンスに影響を与える頻度での自動スキャンは禁止です）。
05患者や研究パートナーのアカウントや環境については、事前の明示的な同意がない限り、テストを行わないでください。
06報告書は英語で提出し、問題を再現するのに十分な詳細を記載する必要があります。

脆弱性の報告方法

レポートは security@myclusters.nl までお送りください。

レポートを送信する

以下を含める：

脆弱性とその影響に関する明確な説明。
再現手順を段階的に説明したもの（概念実証用のコード、スクリーンショット、動画などを含む）。
影響を受けるURL、エンドポイント、製品、および該当する場合はバージョン。
ご連絡先（最新情報の受け取りやクレジット表記をご希望の場合）。

当社の対応について

ご報告を受け取ってから5営業日以内に、受領確認のご連絡を差し上げます。
10営業日以内に評価結果および是正措置の目標スケジュールを提示します。
問題の調査および修正の進捗状況について、随時お知らせいたします。

MyClustersでは、有料のバグ報奨金プログラムを実施しておらず、報告された脆弱性に対して金銭的な報酬を提供することはありません。

受け入れ基準と優先順位付け

報告は、当社のサービスおよび当社が処理する個人データの機密性、完全性、可用性への影響を考慮し、共通脆弱性評価システム（CVSS）を用いて評価されます。検証済みの各報告は、「重大（Critical）」「高（High）」「中（Medium）」「低（Low）」の優先度に分類され、それに応じて是正措置が計画されます。

通常、以下の報告については受け付けておりません：

実用上の影響が実証されていない理論上の問題。
ベストプラクティスに準拠したヘッダーや設定が欠落しているが、悪用可能性が実証されていないもの。
検証を行っていない自動スキャナーによる調査結果。
対象範囲外のシステムに存在する脆弱性、または対象範囲外の手法（ソーシャルエンジニアリング、物理的アクセス、DoSなど）を必要とする脆弱性。