Política de Divulgação de Vulnerabilidades
Os Candidatos confiam à PolyGrants identidades, documentos e pagamentos, por isso quem nos ajudar a encontrar uma falha antes de um atacante está a prestar um serviço aos nossos estudantes. Esta política diz como comunicar uma vulnerabilidade, o que prometemos em troca e o que lhe pedimos.
O que esta política abrange
Os sítios e a plataforma da PolyGrants: polygrants.com e os seus subdomínios, o serviço de candidatura por trás da sua Conta e os e-mails que a PolyGrants envia. Se tiver dúvidas sobre se algo está abrangido, pergunte primeiro pelo contacto abaixo.
Fora do âmbito:
- os serviços que a PolyGrants não opera: os prestadores terceiros nomeados no Aviso de Privacidade mantêm os seus próprios programas de divulgação;
- os testes de negação de serviço, sob qualquer forma;
- o spam, o phishing e qualquer outra engenharia social dirigida ao pessoal, aos parceiros ou aos Candidatos;
- a intrusão física em escritórios ou escritórios parceiros;
- os achados sem impacto de segurança por si sós, como banners de versão ou cabeçalhos de reforço em falta apresentados sem exploração.
Como comunicar
Escreva para com a palavra Security no assunto, ou use a página de contacto. Descreva o que encontrou, onde, e os passos para o reproduzir; inclua o que foi necessário para provar o problema e nada mais. A versão legível por máquina deste contacto está publicada em /.well-known/security.txt.
Pode comunicar anonimamente. Se deixar contactos, podemos mantê-lo informado e agradecer-lhe como deve ser.
As regras da investigação de boa-fé
Acolhemos a investigação de segurança de boa-fé dentro destas regras:
- faça tudo para evitar prejudicar Candidatos, pessoal e o Serviço: não destrua dados, não interrompa o Serviço, não degrade a experiência de ninguém;
- aceda, copie ou guarde apenas o mínimo necessário para demonstrar o problema, e nunca dados pessoais de outra pessoa quando uma conta sua serviria;
- pare e comunique de imediato se dados pessoais, credenciais ou informação de pagamento ficarem visíveis;
- não use um achado para mais nada além de no-lo comunicar: sem extorsão, sem venda, sem publicação antes de termos tido uma oportunidade justa de o corrigir;
- acorde connosco o calendário de divulgação; noventa dias a contar da sua comunicação é o nosso critério por omissão.
O que prometemos em troca
Uma pessoa lê todas as comunicações. Procuramos acusar a receção em dois dias úteis, dizer-lhe a que conclusão chegámos e corrigir os problemas confirmados com uma urgência proporcional à sua gravidade.
Não iremos intentar nem apoiar ações judiciais contra investigação feita de boa-fé dentro das regras acima. Com a sua autorização, agradecemos aos investigadores pelo nome. A PolyGrants não mantém hoje qualquer programa de recompensas pagas; se isso mudar, esta página dirá.
O que acontece à sua comunicação
As comunicações chegam às pessoas responsáveis pela segurança da plataforma, são verificadas, corrigidas e registadas. Quando um problema tiver afetado dados pessoais, aplicam-se os compromissos do Aviso de Privacidade: se uma violação alguma vez colocar pessoas em risco, informamos essas pessoas e as autoridades competentes, como a lei exige.
Responsabilidade e revisão
Esta política é da responsabilidade dos administradores da PolyGrants Ltd e é revista pelo menos uma vez por ano. O ficheiro security.txt tem uma data de validade e é atualizado em conjunto com esta política. A data no início desta página indica a sua última atualização.
Contacto
Comunicações de segurança: , com Security no assunto. Todo o resto: a página de contacto. PolyGrants Ltd, 128 City Road, London, EC1V 2NX, Reino Unido.