Beveiliging en melden van kwetsbaarheden

Automatische vertaling. Bij verschillen gaan de Engelse en de Italiaanse versie voor.

In het kort

Vind je een beveiligingsprobleem in MovItaly, meld het ons dan via Nog te bevestigen. Wij willen het horen en behandelen onderzoek te goeder trouw niet als een aanval.
Lees, wijzig of bewaar geen gegevens van anderen en verstoor de dienst niet. Stop zodra je ziet dat je bij persoonsgegevens zou kunnen komen, en laat het ons weten.
We hebben geen betaald bugbountyprogramma. We bedanken je en noemen je, met jouw toestemming.
Heb je als gebruiker een privacyvraag in plaats van een kwetsbaarheid, schrijf dan naar Nog te bevestigen.

1. Hoe we de dienst beschermen

Gegevens worden in de Europese Unie gehost en tijdens het transport en in rust versleuteld. Geüploade documenten staan in een privéopslag die is versleuteld met een sleutel die wij beheren. Wachtwoorden worden gehasht, inloggen met twee stappen is beschikbaar, de toegang van onze medewerkers is beperkt per rol en wordt gelogd, en inlogsessies kunnen worden ingetrokken. We houden auditlogs bij, werken afhankelijkheden bij en plannen onze inrichting regelmatig te beoordelen. Geen enkel systeem is volkomen veilig, daarom verwelkomen we meldingen van onderzoekers. Hoe we met persoonsgegevens omgaan, legt het privacybeleid uit.

2. Wat binnen de reikwijdte valt

Binnen de reikwijdte: de website op movitaly.ai, de webapp, de iOS- en Android-apps en onze openbare API. Voorbeelden van problemen waarover we willen horen: toegang tot het account of de gegevens van een ander, omzeilen van inloggen of betalen, injectie- of scriptfouten, blootgestelde geheimen of opslag, zwakke plekken in hoe documenten worden opgeslagen en manieren om de AI-metgezel gegevens van andere gebruikers te laten onthullen.

Buiten de reikwijdte: denial-of-service- of belastingtests, spam of social engineering van onze medewerkers of gebruikers, fysieke aanvallen, bevindingen in diensten van derden die wij gebruiken (meld die bij de aanbieder, zoals Stripe, Apple of Google), ontbrekende best-practice-headers zonder echte impact en uitvoer van geautomatiseerde scanners zonder werkend voorbeeld.

3. Zo meld je

Schrijf naar Nog te bevestigen. Vermeld wat je hebt gevonden, de stappen om het te reproduceren, het adres of scherm waar het gebeurt en wat volgens jou de impact is. Gebruik een testaccount dat je zelf hebt gemaakt en test nooit met de gegevens van een echte gebruiker. Moet je gevoelige gegevens sturen, vraag ons dan eerst om een versleuteld kanaal. Je mag in het Engels of Italiaans schrijven.

4. Wat wij zullen doen

We streven ernaar de ontvangst van je melding binnen 5 werkdagen te bevestigen, je op de hoogte te houden terwijl we het onderzoeken en geldige problemen op te lossen naar gelang van hun ernst. [OWNER: confirm these targets.] Raakt een probleem persoonsgegevens, dan volgen we onze procedure voor datalekken en informeren we de autoriteit en de betrokkenen wanneer de wet dat vereist. Met jouw toestemming noemen we je zodra de oplossing live is. Geef ons redelijke tijd om een probleem op te lossen voordat je het aan anderen vertelt.

5. Veilige haven

Als je te goeder trouw handelt en je aan deze pagina houdt, starten we geen juridische stappen tegen je vanwege je onderzoek en melden we je daarvoor niet bij de autoriteiten. Te goeder trouw betekent dat je binnen de bovenstaande reikwijdte blijft, schade aan de privacy vermijdt, geen gegevens leest, kopieert, wijzigt of verwijdert die niet van jou zijn, behalve wat nodig is om het probleem aan te tonen, de dienst niet verstoort en ons een kans geeft het op te lossen vóór openbaarmaking. Deze belofte geldt alleen voor ons. We kunnen niet namens derden of autoriteiten spreken, en ze staat niets toe wat om andere redenen dan je onderzoek onwettig is. [OWNER and counsel: confirm this wording.]

6. Contact

Beveiligingsmeldingen gaan naar Nog te bevestigen. Privacyverzoeken gaan naar Nog te bevestigen. Het bedrijf is Lodato Solutions LLC, Nog te bevestigen. Zodra de beveiligingsmailbox live is, publiceren we haar ook in een standaard security.txt-bestand op onze website, zodat onderzoekers en geautomatiseerde hulpmiddelen het juiste adres kunnen vinden zonder ernaar te zoeken.