Sicherheit und Meldung von Schwachstellen

Maschinelle Übersetzung. Bei Abweichungen gelten die englische und die italienische Fassung.

Kurz gesagt

Wenn du ein Sicherheitsproblem in MovItaly findest, sag es uns bitte unter Wird noch bestätigt. Wir wollen davon hören, und wir behandeln Forschung in gutem Glauben nicht als Angriff.
Lies, ändere oder behalte keine Daten anderer Personen und störe den Dienst nicht. Hör auf, sobald du siehst, dass du an personenbezogene Daten gelangen könntest, und sag es uns.
Wir betreiben kein bezahltes Bug-Bounty-Programm. Wir danken dir und nennen dich mit deiner Erlaubnis.
Wenn du als Nutzer eine Datenschutzfrage statt einer Schwachstelle hast, schreib stattdessen an Wird noch bestätigt.

1. Wie wir den Dienst schützen

Die Daten werden in der Europäischen Union gehostet und bei der Übertragung und im Ruhezustand verschlüsselt. Hochgeladene Dokumente liegen in einem privaten Speicher, der mit einem von uns verwalteten Schlüssel verschlüsselt ist. Passwörter werden gehasht, die Anmeldung mit zwei Faktoren ist verfügbar, der Zugang unserer Mitarbeiter ist nach Rollen beschränkt und wird protokolliert, und Anmeldesitzungen können widerrufen werden. Wir führen Prüfprotokolle, aktualisieren Abhängigkeiten und planen, unsere Einrichtung regelmäßig zu überprüfen. Kein System ist vollkommen sicher, deshalb begrüßen wir Meldungen von Forschern. Wie wir mit personenbezogenen Daten umgehen, erklärt die Datenschutzerklärung.

2. Was im Geltungsbereich liegt

Im Geltungsbereich: die Website unter movitaly.ai, die Web-App, die iOS- und Android-Apps und unsere öffentliche API. Beispiele für Probleme, von denen wir hören wollen: Zugriff auf das Konto oder die Daten einer anderen Person, Umgehung von Anmeldung oder Zahlung, Injektions- oder Skriptfehler, offengelegte Geheimnisse oder Speicher, Schwächen bei der Speicherung von Dokumenten und Wege, den KI-Begleiter dazu zu bringen, Daten anderer Nutzer preiszugeben.

Außerhalb des Geltungsbereichs: Denial-of-Service- oder Lasttests, Spam oder Social Engineering gegen unsere Mitarbeiter oder Nutzer, physische Angriffe, Befunde in Diensten Dritter, die wir nutzen (melde diese dem Anbieter, etwa Stripe, Apple oder Google), fehlende Best-Practice-Header ohne reale Auswirkung und automatisierte Scanner-Ausgaben ohne funktionierendes Beispiel.

3. So meldest du

Schreib an Wird noch bestätigt. Bitte gib an, was du gefunden hast, die Schritte zur Reproduktion, die Adresse oder den Bildschirm, wo es auftritt, und welche Auswirkung du vermutest. Nutze ein Testkonto, das du selbst angelegt hast, und teste nie mit den Daten eines echten Nutzers. Wenn du sensible Angaben senden musst, bitte uns zuerst um einen verschlüsselten Kanal. Du kannst auf Englisch oder Italienisch schreiben.

4. Was wir tun werden

Wir wollen den Eingang deiner Meldung innerhalb von 5 Werktagen bestätigen, dich während der Untersuchung auf dem Laufenden halten und berechtigte Probleme entsprechend ihrer Schwere beheben. [OWNER: confirm these targets.] Betrifft ein Problem personenbezogene Daten, folgen wir unserem Verfahren bei Datenschutzverletzungen und benachrichtigen die Behörde und die Betroffenen, wenn das Gesetz es verlangt. Mit deiner Erlaubnis nennen wir dich, sobald die Behebung live ist. Bitte gib uns angemessene Zeit, ein Problem zu beheben, bevor du es jemand anderem mitteilst.

5. Sicherer Hafen

Wenn du in gutem Glauben handelst und dich an diese Seite hältst, leiten wir wegen deiner Forschung keine rechtlichen Schritte gegen dich ein und melden dich deswegen nicht den Behörden. Guter Glaube heißt: Du bleibst im oben genannten Geltungsbereich, vermeidest Schäden für die Privatsphäre, liest, kopierst, änderst oder löschst keine Daten, die nicht dir gehören, über das hinaus, was nötig ist, um das Problem zu zeigen, störst den Dienst nicht und gibst uns vor der Offenlegung eine Chance, es zu beheben. Dieses Versprechen bindet nur uns. Wir können nicht für Dritte oder Behörden sprechen, und es erlaubt nichts, was aus anderen Gründen als wegen deiner Forschung rechtswidrig ist. [OWNER and counsel: confirm this wording.]

6. Kontakt

Sicherheitsmeldungen gehen an Wird noch bestätigt. Datenschutzanfragen gehen an Wird noch bestätigt. Das Unternehmen ist Lodato Solutions LLC, Wird noch bestätigt. Sobald das Sicherheitspostfach live ist, veröffentlichen wir es auch in einer Standarddatei security.txt auf unserer Website, damit Forscher und automatisierte Werkzeuge die richtige Adresse finden, ohne danach suchen zu müssen.