引言
MyClusters B.V.（以下簡稱「MyClusters」）非常重視其產品與服務的安全性。 我們的平台處理叢發性頭痛患者的健康資料，我們非常感謝安全研究人員協助我們識別並修復漏洞。我們希望讓您能夠輕鬆且安全地進行漏洞通報。本政策闡述了您在發現漏洞時應遵循的通報規則。
範圍
以下內容屬於本規範的適用範圍：
- https://myclusters.nl 及其子網域
- MyClusters 的 iOS 和 Android 應用程式
- MyClusters 研究儀表板、問卷調查工具及 ePRO 工具
- 支援上述服務的 API
以下內容不在範圍內：
- MyClusters 所使用但並非由其營運的第三方服務與平台（例如：雲端託管服務供應商、應用程式商店、電子報及播客平台）。若發現這些服務中的漏洞，請直接向相關供應商通報。
- 針對 MyClusters 員工或承包商進行的社會工程攻擊（例如：網路釣魚）。
- 實體攻擊。
- 拒絕服務（DoS）攻擊。
- 會產生過多流量的自動化掃描。
法律立場與安全港原則
MyClusters 不會對符合以下條件的使用者採取法律行動：該使用者是基於善意通報漏洞、遵守本政策範圍、僅在證明問題所需的範圍內存取或修改資料，並遵守揭露時程。
條款與細則
- 01在 MyClusters 有合理機會進行調查並採取補救措施之前（通常為自通報之日起 90 天內），請勿公開揭露該漏洞。
- 02請勿存取、修改、外洩或破壞 MyClusters 或其使用者的資料。僅可使用您自己擁有或為測試目的所建立的帳戶。
- 03若您不慎存取了個人或健康資料，請立即停止測試，切勿儲存或分享該資料，並在報告中告知我們。
- 04請勿進行會干擾其他使用者服務的測試（禁止進行 DoS 攻擊，亦禁止以影響系統效能的頻率進行自動化掃描）。
- 05未經患者或研究合作夥伴事先明確同意，請勿測試其帳戶或環境。
- 06報告必須以英文提交，並包含足以重現該問題的詳細資訊。
如何提交漏洞
請將您的報告寄至 security@myclusters.nl。
包含：
- 對該漏洞及其影響的清晰說明。
- 重現問題的逐步說明，包括任何概念驗證程式碼、螢幕截圖或影片。
- 受影響的 URL／端點／產品，以及（如適用）其版本。
- 若您希望收到最新消息並獲列名，請提供您的聯絡資料。
您可以期待我們提供什麼
我們將於 5 個工作天內確認收到您的報告。
將於 10 個工作天內完成評估，並擬定目標修復時程表。
我們在調查並解決此問題的過程中，將持續更新進度。
MyClusters 並未營運付費的漏洞懸賞計畫，也不會針對通報的漏洞提供金錢獎勵。
驗收標準與優先順序設定
我們會根據「通用漏洞評分系統」（CVSS）來評估各項通報，並綜合考量其對本公司服務及所處理個人資料之機密性、完整性與可用性的影響。每份經核實的通報均會依嚴重性分為「嚴重」、「高」、「中」或「低」四個等級，並據此規劃相應的補救措施。
我們通常不接受以下類型的報告：
- 沒有明顯實際影響的理論性問題。
- 缺少最佳實務的標頭或設定，且未經證實可被利用。
- 未經驗證的自動掃描器所獲得的結果。
- 存在於範圍外系統中的漏洞，或需採用範圍外技術（例如：社會工程、實體存取、拒絕服務攻擊）才能利用的漏洞。