Introdução
A MyClusters B.V. («MyClusters») leva a sério a segurança dos seus produtos e serviços. A nossa plataforma processa dados de saúde de pessoas que sofrem de cefaleia em salvas, e valorizamos o trabalho dos investigadores de segurança que nos ajudam a identificar e corrigir vulnerabilidades. Queremos que seja fácil e seguro para si fazê-lo. Esta política descreve as regras para comunicar uma vulnerabilidade que tenha descoberto.
Âmbito
Estão abrangidos os seguintes elementos:
- https://myclusters.nl e os seus subdomínios
- As aplicações MyClusters para iOS e Android
- O painel de controlo de investigação MyClusters, as ferramentas de inquérito e a ferramenta ePRO
- APIs que suportam os serviços acima referidos
Os seguintes elementos não estão abrangidos:
- Serviços e plataformas de terceiros que a MyClusters utiliza, mas não opera (por exemplo, fornecedores de alojamento na nuvem, lojas de aplicações, plataformas de newsletters e podcasts). Por favor, comunique quaisquer vulnerabilidades nestes serviços diretamente ao respetivo fornecedor.
- Engenharia social (por exemplo, phishing) dirigida ao pessoal ou aos prestadores de serviços da MyClusters.
- Ataques físicos.
- Ataques de negação de serviço (DoS).
- Análise automatizada que gera tráfego excessivo.
Posição jurídica e porto seguro (safe harbour)
A MyClusters não intentará qualquer ação judicial contra os utilizadores que comuniquem vulnerabilidades de boa-fé, se mantenham dentro do âmbito desta política, não acedam nem alterem dados para além do necessário para demonstrar o problema e respeitem o prazo de divulgação.
Termos e condições
- 01Não divulgue publicamente a vulnerabilidade até que a MyClusters tenha tido uma oportunidade razoável para investigar e corrigir o problema (normalmente 90 dias a contar da data da notificação).
- 02Não aceda, modifique, extraia nem destrua dados da MyClusters ou dos seus utilizadores. Utilize apenas contas que sejam suas ou que tenha criado para fins de teste.
- 03Se, inadvertidamente, aceder a dados pessoais ou de saúde, interrompa imediatamente o teste, não guarde nem partilhe os dados e informe-nos no seu relatório.
- 04Não realize testes que perturbem o serviço para outros utilizadores (não são permitidos ataques DoS nem análises automatizadas a taxas que afetem o desempenho).
- 05Não teste contas ou ambientes de doentes ou parceiros de investigação sem o seu consentimento prévio e explícito.
- 06Os relatórios devem ser apresentados em inglês e conter detalhes suficientes para permitir a reprodução do problema.
Como comunicar uma vulnerabilidade
Envie o seu relatório para security@myclusters.nl.
Incluir:
- Uma descrição clara da vulnerabilidade e do seu impacto.
- Instruções passo a passo para reproduzir o problema, incluindo qualquer código de prova de conceito, capturas de ecrã ou vídeos.
- O URL / endpoint / produto afetado e a versão, quando aplicável.
- Os seus dados de contacto, caso pretenda receber atualizações e ser mencionado.
O que pode esperar de nós
Receberá uma confirmação de receção do seu relatório no prazo de 5 dias úteis.
Uma avaliação e um prazo previsto para a correção, no prazo de 10 dias úteis.
Atualizações sobre o estado à medida que investigamos e resolvemos o problema.
A MyClusters não tem um programa de recompensa por bugs e não oferece recompensas monetárias pelas vulnerabilidades comunicadas.
Critérios de aceitação e definição de prioridades
Os relatórios são avaliados através do Sistema Comum de Pontuação de Vulnerabilidades (CVSS), tendo em conta o impacto na confidencialidade, integridade e disponibilidade dos nossos serviços e dos dados pessoais que tratamos. Cada relatório validado é classificado como Crítico, Elevado, Médio ou Baixo, e as medidas de correção são planeadas em conformidade.
Normalmente, não aceitamos os seguintes relatórios:
- Questões teóricas sem impacto prático comprovável.
- Ausência de cabeçalhos ou configurações de boas práticas, sem que tenha sido demonstrada a possibilidade de exploração.
- Resultados obtidos com scanners automatizados sem validação.
- Vulnerabilidades em sistemas fora do âmbito desta política ou que exijam técnicas fora desse âmbito (por exemplo, engenharia social, acesso físico, DoS).