Divulgação de vulnerabilidades
A SharkNinja e as suas subsidiárias («SharkNinja») comprometem-se a proteger a confidencialidade das informações pessoais dos consumidores e colaboradores, a disponibilidade dos seus sítios Web e sistemas de informação e a segurança dos nossos dispositivos ligados à Internet. Incorporamos medidas de segurança nas nossas plataformas e produtos conectados e cumprimos os requisitos de segurança aplicáveis à Internet das Coisas (IoT). O objetivo desta política é fornecer aos investigadores de segurança orientações claras para a realização de atividades de deteção de vulnerabilidades e comunicar as nossas preferências sobre como nos enviar as vulnerabilidades detetadas para análise. Encorajamo-lo a contactar-nos para comunicar vulnerabilidades nos nossos sítios Web, sistemas e produtos
Se envidar esforços de boa-fé para cumprir esta política durante a sua investigação de segurança, consideraremos que a sua investigação está autorizada apenas na medida em que cumpra todas as condições desta política e se enquadre no Âmbito definido a seguir, e colaboraremos consigo para compreender e resolver rapidamente os problemas notificados. A SharkNinja não recomendará nem empreenderá ações legais relacionadas com a sua investigação, desde que não tenha excedido o âmbito desta política, agido de má-fé ou infringido qualquer lei aplicável
Tenha em atenção que a SharkNinja não dispõe de um programa de recompensas por erros e não oferece qualquer recompensa nem compensação em troca da notificação de possíveis problemas de segurança ou vulnerabilidades.
Orientações
A SharkNinja sugere as seguintes orientações para os investigadores que pretendam comunicar uma vulnerabilidade ou realizar uma investigação legítima. No âmbito desta política, «investigação» refere-se a atividades nas quais o(a) utilizador(a):
- Nos notifique o mais rapidamente possível após descobrir um problema de segurança real ou potencial
- Faça tudo o que estiver ao seu alcance para evitar violações de privacidade, a deterioração da experiência do utilizador, a interrupção dos sistemas de produção e a destruição ou manipulação de dados
- Utilize exploits apenas na medida do necessário para confirmar a existência de uma vulnerabilidade
- Não utilize um exploit para comprometer ou subtrair dados, estabelecer um acesso não autorizado persistente nem utilizar o exploit para aceder a outros sistemas
- Conceda-nos um prazo razoável para resolver o problema antes de o tornar público
Assim que determinar que existe uma vulnerabilidade ou tiver encontrado dados confidenciais (incluindo informações de identificação pessoal, informações financeiras ou informações privadas ou segredos comerciais de qualquer parte), deverá interromper o seu teste, notificar-nos imediatamente e não revelar esses dados a mais ninguém. Deve eliminar ou destruir de forma permanente quaisquer dados confidenciais deste tipo que se encontrem na sua posse, assim que possível após notificar a SharkNinja, e comprovar essa destruição, caso tal lhe seja solicitado. Compromete-se a manter a confidencialidade de todos os detalhes de qualquer vulnerabilidade descoberta até que a SharkNinja tenha confirmado que a vulnerabilidade foi corrigida ou tenha autorizado a sua divulgação pública por escrito
Notificação de uma vulnerabilidade
Envie um e-mail para [email protected] para notificar uma vulnerabilidade. Para nos ajudar a classificar e priorizar as notificações, recomendamos que o seu relatório inclua:
- Quando a vulnerabilidade ou o problema foi identificado
- Descreva o sistema ou produto em que a vulnerabilidade foi descoberta
- Descreva os passos necessários para reproduzir a vulnerabilidade
- Quaisquer sugestões ou ideias de correção para resolver a vulnerabilidade
A SharkNinja compromete-se a acusar a receção de todas as notificações no prazo de 3 dias úteis e agradece a participação neste programa.
No caso de notificações de vulnerabilidades relacionadas com produtos conectados (ou «IoT»), a SharkNinja fornecerá atualizações periódicas até que a vulnerabilidade notificada seja resolvida.
Âmbito de aplicação
O âmbito de aplicação deste programa inclui todos os sites da SharkNinja que sejam propriedade da empresa ou para os quais esta detenha licença; todos os sistemas empresariais ligados à Internet; e os produtos ligados à Internet e as aplicações móveis associadas. O programa não inclui:
- Campanhas de engenharia social ou phishing dirigidas a colaboradores da SharkNinja
- Ataques de negação de serviço (DoS) contra sites ou aplicações empresariais da SharkNinja
- Qualquer outra atividade não autorizada com fins maliciosos
Contacte a SharkNinja em [email protected] se tiver alguma dúvida sobre este programa ou para comunicar uma vulnerabilidade.