Introdução
A MyClusters B.V. (“MyClusters”) leva a sério a segurança de seus produtos e serviços. Nossa plataforma processa dados de saúde de pessoas que vivem com cefaleia em salvas, e valorizamos o trabalho dos pesquisadores de segurança que nos ajudam a identificar e corrigir vulnerabilidades. Queremos que seja fácil e seguro para você fazer isso. Esta política descreve as regras para relatar uma vulnerabilidade que você tenha descoberto.
Escopo
Estão incluídos no escopo:
- https://myclusters.nl e seus subdomínios
- Os aplicativos MyClusters para iOS e Android
- O painel de pesquisa do MyClusters, as ferramentas de questionários e a ferramenta ePRO
- APIs que oferecem suporte aos serviços listados acima
Os itens a seguir estão fora do escopo:
- Serviços e plataformas de terceiros que a MyClusters utiliza, mas não opera (por exemplo, provedores de hospedagem em nuvem, lojas de aplicativos, plataformas de boletins informativos e podcasts). Por favor, comunique vulnerabilidades nesses serviços diretamente ao respectivo provedor.
- Engenharia social (por exemplo, phishing) dirigida aos funcionários ou prestadores de serviços da MyClusters.
- Ataques físicos.
- Ataques de negação de serviço (DoS).
- Varredura automatizada que gera tráfego excessivo.
Posição jurídica e porto seguro (safe harbour)
A MyClusters não tomará medidas legais contra usuários que relatarem vulnerabilidades de boa-fé, que se mantiverem dentro do escopo desta política, que não acessarem nem modificarem dados além do necessário para demonstrar o problema e que respeitarem o prazo de divulgação.
Termos e condições
- 01Não divulgue publicamente a vulnerabilidade até que a MyClusters tenha tido uma oportunidade razoável para investigar e corrigir o problema (normalmente 90 dias a partir da data do relato).
- 02Não acesse, modifique, extraia nem destrua dados da MyClusters ou de seus usuários. Utilize apenas contas que sejam de sua propriedade ou que você tenha criado para fins de teste.
- 03Caso você acesse inadvertidamente dados pessoais ou de saúde, interrompa o teste imediatamente, não armazene nem compartilhe os dados e nos informe em seu relatório.
- 04Não realize testes que prejudiquem o serviço para outros usuários (sem ataques DoS, sem varreduras automatizadas em frequências que afetem o desempenho).
- 05Não realize testes em contas ou ambientes de pacientes ou parceiros de pesquisa sem o consentimento prévio e explícito deles.
- 06Os relatórios devem ser enviados em inglês e conter detalhes suficientes para reproduzir o problema.
Como relatar uma vulnerabilidade
Envie seu relatório para security@myclusters.nl.
Incluir:
- Uma descrição clara da vulnerabilidade e de seu impacto.
- Instruções passo a passo para reproduzir o problema, incluindo qualquer código de prova de conceito, capturas de tela ou vídeos.
- A URL, o endpoint ou o produto afetado e a versão, quando aplicável.
- Seus dados de contato, caso deseje receber atualizações e ter seu nome creditado.
O que você pode esperar de nós
Uma confirmação de recebimento do seu relatório no prazo de 5 dias úteis.
Uma avaliação e um cronograma de correção previsto no prazo de 10 dias úteis.
Atualizações sobre o andamento da investigação e da correção do problema.
A MyClusters não mantém um programa pago de recompensa por bugs e não oferece recompensas financeiras pelas vulnerabilidades relatadas.
Critérios de aceitação e priorização
Os relatórios são avaliados por meio do Sistema Comum de Pontuação de Vulnerabilidades (CVSS), levando em consideração o impacto sobre a confidencialidade, a integridade e a disponibilidade de nossos serviços e dos dados pessoais que processamos. Cada relatório validado recebe uma classificação de prioridade como Crítica, Alta, Média ou Baixa, e as medidas corretivas são planejadas de acordo com essa classificação.
Normalmente, não aceitamos os seguintes relatórios:
- Questões teóricas sem impacto prático comprovável.
- Falta de cabeçalhos de melhores práticas ou configurações sem que tenha sido comprovada a possibilidade de exploração.
- Resultados obtidos por meio de scanners automatizados sem validação.
- Vulnerabilidades em sistemas fora do escopo ou que exijam técnicas fora do escopo (por exemplo, engenharia social, acesso físico, DoS).