Sicurezza e segnalazione di vulnerabilità

Sicurezza e segnalazione di vulnerabilità

1. Come proteggiamo il servizio

I dati sono ospitati nell'Unione europea e cifrati in transito e a riposo. I documenti caricati sono in uno spazio privato cifrato con una chiave gestita da noi. Le password sono protette da hash, l'accesso a due fattori è disponibile, l'accesso del nostro personale è limitato per ruolo e registrato e le sessioni di accesso possono essere revocate. Conserviamo registri di audit, aggiorniamo le dipendenze e prevediamo di rivedere periodicamente la nostra configurazione. Nessun sistema è perfettamente sicuro, ed è per questo che accogliamo le segnalazioni dei ricercatori. Come trattiamo i dati personali è spiegato nell'informativa sulla privacy.

2. Che cosa rientra nell'ambito

Rientrano: il sito su movitaly.ai, l'app web, le app iOS e Android e la nostra API pubblica. Esempi di problemi che vogliamo conoscere: accesso all'account o ai dati di un'altra persona, elusione dell'accesso o del pagamento, falle di injection o di script, segreti o archivi esposti, debolezze nella conservazione dei documenti e modi per far rivelare al compagno AI dati di altri utenti.

Non rientrano: attacchi di negazione del servizio o test di carico, spam o ingegneria sociale verso il nostro personale o i nostri utenti, attacchi fisici, problemi nei servizi di terzi che usiamo (segnalali al fornitore, come Stripe, Apple o Google), intestazioni di buona pratica mancanti senza impatto reale e output di scanner automatici senza un esempio funzionante.

3. Come segnalare

Scrivi a Da confermare. Indica che cosa hai trovato, i passaggi per riprodurlo, l'indirizzo o la schermata in cui accade e quale impatto ritieni abbia. Usa un account di prova creato da te e non fare mai prove con i dati di un utente reale. Se devi inviare dettagli sensibili, chiedici prima un canale cifrato. Puoi scrivere in italiano o in inglese.

4. Che cosa faremo

Ci proponiamo di confermare la ricezione della segnalazione entro 5 giorni lavorativi, di tenerti informato durante le verifiche e di correggere i problemi fondati in base alla loro gravità. [OWNER: confermare questi tempi.] Se un problema riguarda dati personali, seguiamo la nostra procedura per le violazioni e informiamo l'autorità e le persone interessate quando la legge lo richiede. Con il tuo permesso ti citiamo quando la correzione è in produzione. Ti chiediamo di concederci un tempo ragionevole per correggere il problema prima di renderlo noto ad altri.

5. Impegno a non agire in giudizio

Se agisci in buona fede e rispetti questa pagina, non avvieremo azioni legali contro di te per la tua ricerca e non ti denunceremo alle autorità per questo motivo. Buona fede significa che resti nell'ambito indicato sopra, eviti danni alla privacy, non leggi, copi, modifichi né elimini dati che non sono tuoi oltre quanto serve a dimostrare il problema, non interrompi il servizio e ci dai modo di correggere prima della divulgazione. Questo impegno vale solo per noi. Non possiamo parlare a nome di terzi o delle autorità e non rende lecito ciò che è illecito per ragioni diverse dalla tua ricerca. [OWNER e consulente: confermare questa formula.]

6. Contatti

Le segnalazioni di sicurezza vanno a Da confermare. Le richieste sulla privacy vanno a Da confermare. La società è Lodato Solutions LLC, Da confermare. Quando la casella di sicurezza sarà attiva, la pubblicheremo anche in un file security.txt standard sul nostro sito, così che ricercatori e strumenti automatici possano trovare l'indirizzo giusto senza doverlo cercare.