Безпека та повідомлення про вразливості

Безпека та повідомлення про вразливості

Це машинний переклад, наданий для зручності. У разі розбіжностей переважає англійська або італійська версія.

1. Як ми захищаємо сервіс

Дані зберігаються в Європейському Союзі та шифруються під час передавання й зберігання. Завантажені документи лежать у приватному сховищі, зашифрованому ключем, яким ми керуємо. Паролі хешуються, доступна двофакторна автентифікація, доступ наших працівників обмежується за ролями та журналюється, а сеанси входу можна відкликати. Ми ведемо журнали аудиту, оновлюємо залежності й плануємо регулярно переглядати нашу конфігурацію. Жодна система не є абсолютно безпечною, тому ми вітаємо повідомлення від дослідників. Як ми обробляємо персональні дані, пояснено в політиці конфіденційності.

2. Що входить до сфери дії

Входять: вебсайт movitaly.ai, вебзастосунок, застосунки для iOS та Android і наш публічний API. Приклади проблем, про які ми хочемо знати: доступ до чужого облікового запису чи даних, обхід входу або оплати, помилки ін'єкцій чи скриптів, відкриті секрети або сховище, слабкі місця у зберіганні документів і способи змусити ШІ-компаньйона розкрити дані інших користувачів.

Не входять: атаки типу відмови в обслуговуванні та навантажувальне тестування, спам або соціальна інженерія щодо наших працівників чи користувачів, фізичні атаки, знахідки в сторонніх сервісах, якими ми користуємося (повідомляйте про них провайдеру, наприклад Stripe, Apple чи Google), відсутність рекомендованих заголовків без реального впливу та результати автоматичних сканерів без робочого прикладу.

3. Як повідомити

Напишіть на Уточнюється. Будь ласка, вкажіть, що ви знайшли, кроки для відтворення, адресу чи екран, де це відбувається, і який, на вашу думку, вплив. Використовуйте тестовий обліковий запис, який ви створили самі, і ніколи не тестуйте на даних реальних користувачів. Якщо потрібно надіслати чутливі подробиці, спершу попросіть у нас зашифрований канал. Можна писати англійською або італійською.

4. Що зробимо ми

Ми прагнемо підтвердити отримання вашого повідомлення протягом 5 робочих днів, інформувати вас під час розслідування та виправляти обґрунтовані проблеми залежно від їх серйозності. [OWNER: confirm these targets.] Якщо проблема стосується персональних даних, ми діємо за процедурою щодо витоків і повідомляємо орган і відповідних осіб, коли цього вимагає закон. За вашої згоди ми вкажемо вас як автора знахідки, коли виправлення почне діяти. Будь ласка, дайте нам розумний час на виправлення, перш ніж розповідати комусь іншому.

5. Безпечна гавань

Якщо ви дієте добросовісно й дотримуєтеся цієї сторінки, ми не розпочнемо проти вас судових дій за ваше дослідження і не повідомлятимемо про вас органам влади через нього. Добросовісність означає, що ви залишаєтеся в межах зазначеної вище сфери, уникаєте шкоди приватності, не читаєте, не копіюєте, не змінюєте й не видаляєте чужі дані понад те, що потрібно для демонстрації проблеми, не порушуєте роботу сервісу й даєте нам змогу виправити проблему до розголошення. Ця обіцянка стосується лише нас. Ми не можемо говорити від імені третіх сторін чи органів влади, і вона не дозволяє нічого, що є незаконним з інших причин, ніж ваше дослідження. [OWNER and counsel: confirm this wording.]

6. Контакти

Повідомлення про безпеку надсилайте на Уточнюється. Запити щодо конфіденційності надсилайте на Уточнюється. Компанія: Lodato Solutions LLC, Уточнюється. Коли скринька безпеки запрацює, ми також опублікуємо її у стандартному файлі security.txt на нашому вебсайті, щоб дослідники й автоматичні інструменти могли знайти потрібну адресу без пошуку.