引言
MyClusters B.V.（以下简称“MyClusters”）高度重视其产品和服务的安全性。 我们的平台处理丛集性头痛患者的健康数据，我们非常感谢安全研究人员协助我们发现并修复漏洞。我们希望让您能够轻松、安全地进行漏洞报告。本政策阐述了您发现漏洞时应遵循的报告规则。
范围
以下内容属于适用范围：
- https://myclusters.nl 及其子域名
- MyClusters iOS 和 Android 应用程序
- MyClusters 研究仪表盘、调查工具和 ePRO 工具
- 支持上述服务的 API
以下内容不在范围之内：
- MyClusters 使用的但并非由其运营的第三方服务和平台（例如云托管服务商、应用商店、电子报和播客平台）。如发现这些服务中的漏洞，请直接向相应服务商报告。
- 针对 MyClusters 员工或承包商实施的社会工程学攻击（例如网络钓鱼）。
- 物理攻击。
- 拒绝服务（DoS）攻击。
- 会产生过多流量的自动化扫描。
法律立场与安全港原则
对于那些本着善意报告漏洞、遵守本政策规定、仅在证明问题所需范围内访问或修改数据，并遵守披露时限的用户，MyClusters 不会对其采取法律行动。
条款与条件
- 01在 MyClusters 有合理的时间进行调查和修复之前（通常为自报告之日起 90 天），请勿公开披露该漏洞。
- 02请勿访问、修改、窃取或破坏 MyClusters 或其用户的数据。请仅使用您本人拥有或为测试目的创建的账户。
- 03如果您无意中访问了个人或健康数据，请立即停止测试，切勿存储或分享该数据，并在报告中告知我们。
- 04请勿进行会干扰其他用户服务的测试（禁止进行拒绝服务攻击，禁止以影响系统性能的频率进行自动化扫描）。
- 05未经患者或研究合作伙伴事先明确同意，不得对其账户或环境进行测试。
- 06报告必须以英语提交，并包含足以复现该问题的详细信息。
如何提交漏洞
请将您的报告发送至 security@myclusters.nl。
包括：
- 对该漏洞及其影响的清晰描述。
- 用于复现问题的分步说明，包括任何概念验证代码、屏幕截图或视频。
- 受影响的 URL、端点、产品及（如适用）版本。
- 如果您希望接收最新动态并获得署名，请提供您的联系方式。
您可以期待我们提供什么
将在5个工作日内对您的报告予以确认。
在10个工作日内完成评估并制定目标整改时间表。
在调查和修复该问题期间的进展更新。
MyClusters 未设立付费漏洞赏金计划，也不会对报告的漏洞提供现金奖励。
受理标准与优先级排序
我们采用通用漏洞评分系统（CVSS）对报告进行评估，同时综合考虑其对我们服务以及我们所处理的个人数据的机密性、完整性和可用性造成的影响。每份经过验证的报告都会被划分为“严重”、“高”、“中”或“低”四个优先级，并据此制定相应的整改计划。
我们通常不接受以下类型的报告：
- 没有明显实际影响的理论问题。
- 缺少最佳实践中的标头或配置，且未证明存在可利用性。
- 未经验证的自动扫描仪检测结果。
- 超出范围的系统中的漏洞，或需要使用超出范围的技术（例如社会工程学、物理访问、拒绝服务攻击）才能利用的漏洞。