Diese Richtlinie legt fest, wie die Syott Limited („Syott“) Sicherheitsprobleme bearbeitet und offenlegt, die unsere Website, unsere Produkte oder die Dienste betreffen, auf die wir angewiesen sind – unabhängig davon, ob uns jemand ein Problem meldet oder wir es selbst finden. Um eine Schwachstelle zu melden, folgen Sie unserer Richtlinie zur Meldung von Schwachstellen.
Unsere Grundsätze
- Menschen zuerst schützen. Unsere Priorität ist es, ein Problem zu beheben oder einzudämmen, bevor Einzelheiten öffentlich werden.
- Betroffene informieren. Wenn ein Problem Kunden oder ihre Daten gefährdet, informieren wir die betroffenen Kunden direkt und unverzüglich.
- Mit Meldenden zusammenarbeiten. Wir halten die Person, die ein Problem gemeldet hat, auf dem Laufenden und stimmen den Zeitpunkt einer Veröffentlichung mit ihr ab.
- Genau sein. Wenn wir Informationen zu einem Problem veröffentlichen, beschreiben wir es klar, ohne seine Auswirkungen zu verschweigen oder zu übertreiben.
- Anerkennung geben. Wir nennen Meldende öffentlich, wenn sie dies wünschen.
Fristen
Wir bestätigen den Eingang von Meldungen innerhalb von 3 Werktagen und halten Meldende auf dem Laufenden, bis das Problem gelöst ist.
Standardmäßig bitten wir Meldende, Einzelheiten erst 90 Tage nach ihrer Meldung zu veröffentlichen – oder sobald eine Behebung verfügbar ist, falls dies früher der Fall ist. Wird ein Problem aktiv ausgenutzt, können wir einer früheren Veröffentlichung zustimmen; benötigt eine Behebung mehr Zeit und machen wir erkennbare Fortschritte, können wir mit der meldenden Person einen späteren Termin vereinbaren.
Verletzungen des Schutzes personenbezogener Daten
Führt ein Sicherheitsproblem zu einer Verletzung des Schutzes personenbezogener Daten, kommen wir unseren gesetzlichen Pflichten nach. Bei personenbezogenen Daten, für die wir verantwortlich sind, melden wir die Verletzung innerhalb von 72 Stunden, nachdem sie uns bekannt geworden ist, der Data Protection Commission, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen; ist das Risiko für die Betroffenen hoch, benachrichtigen wir auch sie. Bei Daten, die wir im Auftrag von Kunden verarbeiten, informieren wir die betroffenen Kunden unverzüglich, damit sie ihren eigenen Pflichten nachkommen können.
Probleme, die wir in anderen Produkten finden
Finden wir eine Schwachstelle in Software oder in einem Dienst eines anderen Anbieters, melden wir sie diesem vertraulich und geben ihm eine angemessene Frist zur Behebung – in der Regel 90 Tage –, bevor Einzelheiten veröffentlicht werden. Ist ein Anbieter nicht erreichbar oder reagiert er nicht, können wir eine nationale Stelle wie das irische National Cyber Security Centre bitten, bei der Koordinierung der Offenlegung zu helfen.
Safe Harbor
Wenn Sie eine Schwachstelle in gutem Glauben und im Einklang mit unserer Richtlinie zur Meldung von Schwachstellen untersuchen und melden, betrachten wir Ihre Untersuchung als autorisiert. Wir werden deswegen keine rechtlichen Schritte gegen Sie einleiten und keine Strafverfolgungsbehörden um Ermittlungen gegen Sie bitten. Geht ein Dritter wegen einer Untersuchung, die unserer Richtlinie entsprach, gegen Sie vor, machen wir deutlich, dass Ihre Untersuchung von uns autorisiert war.
Dieser Safe Harbor gilt nicht, wenn Sie auf mehr Daten zugreifen oder mehr Daten behalten, als zum Nachweis eines Problems nötig ist, wenn Sie unseren Nutzern oder Diensten schaden oder wenn Sie ein Problem nutzen, um Zahlungen zu fordern. Untersuchungen an Systemen, die uns nicht gehören, etwa an den Plattformen unserer Dienstleister, können wir nicht autorisieren.
Kontakt
Fragen zu dieser Richtlinie: disclosure@syott.co. Sicherheitsmeldungen: security@syott.co. Unsere Sicherheitskontaktdaten sind auch unter /.well-known/security.txt veröffentlicht.