Безопасность и сообщения об уязвимостях

Безопасность и сообщения об уязвимостях

Это машинный перевод, предоставленный для удобства. При расхождениях преимущественную силу имеет английская или итальянская версия.

1. Как мы защищаем сервис

Данные хранятся в Европейском союзе и шифруются при передаче и при хранении. Загруженные документы лежат в закрытом хранилище, зашифрованном ключом, которым управляем мы. Пароли хешируются, доступна двухфакторная аутентификация, доступ наших сотрудников ограничивается по ролям и журналируется, а сеансы входа можно отозвать. Мы ведём журналы аудита, обновляем зависимости и планируем регулярно пересматривать нашу конфигурацию. Ни одна система не является абсолютно безопасной, поэтому мы приветствуем сообщения от исследователей. Как мы обрабатываем персональные данные, объясняет политика конфиденциальности.

2. Что входит в область действия

Входят: сайт movitaly.ai, веб-приложение, приложения для iOS и Android и наш публичный API. Примеры проблем, о которых мы хотим знать: доступ к чужой учётной записи или данным, обход входа или оплаты, ошибки инъекций или скриптов, открытые секреты или хранилище, слабые места в хранении документов и способы заставить ИИ-компаньона раскрыть данные других пользователей.

Не входят: атаки типа отказа в обслуживании и нагрузочное тестирование, спам или социальная инженерия в отношении наших сотрудников или пользователей, физические атаки, находки в сторонних сервисах, которыми мы пользуемся (сообщайте о них провайдеру, например Stripe, Apple или Google), отсутствие рекомендуемых заголовков без реального влияния и результаты автоматических сканеров без рабочего примера.

3. Как сообщить

Напишите на Уточняется. Пожалуйста, укажите, что вы нашли, шаги для воспроизведения, адрес или экран, где это происходит, и какое, по вашему мнению, влияние. Используйте тестовую учётную запись, созданную вами самим, и никогда не тестируйте на данных реальных пользователей. Если нужно отправить чувствительные подробности, сначала попросите у нас зашифрованный канал. Можно писать на английском или итальянском.

4. Что сделаем мы

Мы стремимся подтвердить получение вашего сообщения в течение 5 рабочих дней, информировать вас в ходе расследования и устранять обоснованные проблемы в зависимости от их серьёзности. [OWNER: confirm these targets.] Если проблема затрагивает персональные данные, мы действуем по процедуре при утечках и уведомляем орган и затронутых лиц, когда этого требует закон. С вашего разрешения мы укажем вас как автора находки, когда исправление вступит в силу. Пожалуйста, дайте нам разумное время на исправление, прежде чем рассказывать кому-либо ещё.

5. Безопасная гавань

Если вы действуете добросовестно и соблюдаете эту страницу, мы не начнём против вас судебных действий за ваше исследование и не будем сообщать о вас органам власти из-за него. Добросовестность означает, что вы остаётесь в рамках указанной выше области, избегаете вреда для приватности, не читаете, не копируете, не изменяете и не удаляете чужие данные сверх необходимого для демонстрации проблемы, не нарушаете работу сервиса и даёте нам возможность исправить проблему до раскрытия. Это обещание касается только нас. Мы не можем говорить от имени третьих лиц или органов власти, и оно не разрешает ничего, что незаконно по иным причинам, чем ваше исследование. [OWNER and counsel: confirm this wording.]

6. Контакты

Сообщения о безопасности отправляйте на Уточняется. Запросы по конфиденциальности отправляйте на Уточняется. Компания: Lodato Solutions LLC, Уточняется. Когда почтовый ящик безопасности заработает, мы также опубликуем его в стандартном файле security.txt на нашем сайте, чтобы исследователи и автоматические инструменты могли найти нужный адрес без поиска.