Esta política define como a Syott Limited ("Syott") trata e divulga problemas de segurança que afetem o nosso website, os nossos produtos ou os serviços de que dependemos, quer alguém nos comunique um problema, quer sejamos nós a encontrá-lo. Para comunicar uma vulnerabilidade, siga a nossa Política de Divulgação de Vulnerabilidades.
Os nossos princípios
- Proteger as pessoas primeiro. A nossa prioridade é corrigir ou conter um problema antes de os seus detalhes se tornarem públicos.
- Informar quem é afetado. Se um problema puser em risco clientes ou os seus dados, informamos diretamente os clientes afetados, sem demora injustificada.
- Trabalhar com quem comunica. Mantemos informada a pessoa que comunicou o problema e acordamos com ela o momento de qualquer divulgação pública.
- Ser rigorosos. Quando publicamos informações sobre um problema, descrevemo-lo com clareza, sem esconder nem exagerar o seu impacto.
- Dar o devido crédito. Reconhecemos publicamente quem comunica problemas, se o desejar.
Prazos
Acusamos a receção das comunicações no prazo de 3 dias úteis e mantemos informadas as pessoas que as fizeram até o problema estar resolvido.
Por predefinição, pedimos a quem comunica que aguarde 90 dias a contar da comunicação, ou até existir uma correção, se esta surgir antes, para publicar detalhes. Podemos acordar uma publicação mais cedo se um problema estiver a ser ativamente explorado, ou acordar uma data posterior com quem o comunicou se uma correção precisar de mais tempo e estivermos a fazer progressos claros.
Violações de dados pessoais
Se um problema de segurança der origem a uma violação de dados pessoais, cumprimos as nossas obrigações legais. No caso dos dados pessoais pelos quais somos responsáveis pelo tratamento, notificamos a Data Protection Commission no prazo de 72 horas após termos conhecimento da violação, salvo se for improvável que dela resulte um risco para as pessoas, e informamos as pessoas afetadas quando o risco para elas for elevado. No caso dos dados que tratamos em nome de clientes, notificamos os clientes em causa sem demora injustificada, para que possam cumprir as suas próprias obrigações.
Problemas que encontramos noutros produtos
Se encontrarmos uma vulnerabilidade em software ou num serviço de outra entidade, comunicamo-la em privado ao fornecedor e damos-lhe um prazo razoável para a corrigir, normalmente 90 dias, antes de quaisquer detalhes serem publicados. Se não for possível contactar o fornecedor ou se este não responder, podemos pedir a uma autoridade nacional, como o National Cyber Security Centre da Irlanda, que ajude a coordenar a divulgação.
Porto seguro
Se investigar e comunicar uma vulnerabilidade de boa-fé e em conformidade com a nossa Política de Divulgação de Vulnerabilidades, consideramos que a sua investigação foi autorizada. Não intentaremos ações judiciais contra si nem pediremos às autoridades policiais que o investiguem por esse motivo. Se outra pessoa agir contra si por causa de uma investigação que seguiu a nossa política, tornaremos público que a sua investigação foi autorizada por nós.
Este porto seguro não abrange aceder a mais dados, ou conservar mais dados, do que os necessários para demonstrar um problema, causar danos aos nossos utilizadores ou serviços, nem utilizar um problema para exigir pagamento. Não podemos autorizar investigações em sistemas que não nos pertencem, como as plataformas dos nossos prestadores de serviços.
Contacto
Perguntas sobre esta política: disclosure@syott.co. Comunicações de segurança: security@syott.co. Os nossos contactos de segurança estão também publicados em /.well-known/security.txt.