Politica di divulgazione delle vulnerabilità

Testo provvisorio, in attesa di verifica legale. Non è la versione definitiva.

Ultimo aggiornamento 04 Novembre 2026

Traduzione della versione francese, che sola fa fede.

La sicurezza dei nostri servizi è importante per noi e per i nostri clienti. Se pensate di aver trovato una vulnerabilità, grazie di segnalarcela. Questa politica spiega come fare, che cosa potete testare e che cosa ci impegniamo a fare.

Come contattarci

Scrivete a security@scaliamo.com. Questo indirizzo figura anche nel file /.well-known/security.txt di ciascuno dei nostri siti e della nostra applicazione, secondo lo standard RFC 9116.

Nel vostro messaggio, indicate se possibile:

• l'indirizzo o la funzione interessata;
• la natura della vulnerabilità e il suo possibile impatto;
• i passaggi per riprodurla;
• i vostri recapiti, se desiderate un seguito.

Potete scrivere in francese o in inglese.

Ambito

Sono coperti:

• i siti dei nostri prodotti;
• la nostra applicazione, la sua API e il suo widget.

Sono coperti solo i domini che gestiamo. I servizi dei nostri fornitori (hosting, pagamento, invio di e-mail) sono soggetti alle loro politiche.

Fuori ambito

• gli attacchi di tipo denial of service, in qualsiasi forma;
• l'ingegneria sociale rivolta ai nostri team, ai nostri clienti o ai nostri fornitori (phishing, chiamate, messaggi);
• i test fisici sui nostri locali o sulle nostre apparecchiature;
• l'invio massivo di messaggi tramite i nostri moduli (iscrizione, lista d'attesa, contatto);
• le scansioni automatiche massive, tramite scanner o robot;
• i report generati da uno strumento automatico senza dimostrazione di un impatto reale.

Regole di buona fede

Vi chiediamo di:

1. testare solo con i vostri account, o con account il cui titolare vi ha dato il suo consenso;
2. non consultare, modificare, copiare o cancellare mai dati che non vi appartengono; se vi accedete per errore, fermatevi, non conservate nulla e segnalatecelo;
3. limitarvi allo stretto necessario per dimostrare la vulnerabilità;
4. non degradare il servizio per gli altri utenti;
5. non divulgare la vulnerabilità prima della sua correzione, né prima della data concordata con noi;
6. non chiederci alcun compenso in cambio della vostra segnalazione.

I nostri impegni

I nostri tempi:

• avviso di ricevimento entro 3 giorni lavorativi;
• prima valutazione (vulnerabilità confermata o meno, gravità) entro 10 giorni lavorativi;
• correzione in base alla gravità, con un aggiornamento sull'avanzamento almeno ogni due settimane;
• divulgazione coordinata: concordiamo con voi una data di pubblicazione, in linea di principio al massimo 90 giorni dopo la segnalazione.

Vi teniamo informati della correzione. Con il vostro consenso, possiamo citare il vostro nome nei nostri ringraziamenti.

Nessun programma di ricompense

Non abbiamo un programma di ricompense (bug bounty). Non viene versata alcuna ricompensa economica per una segnalazione.

Quadro giuridico

Non avvieremo azioni legali contro una persona che segnala una vulnerabilità in buona fede e che rispetta questa politica. Se un terzo avvia un'azione contro di voi per ricerche conformi a questa politica, faremo sapere che avete agito con la nostra autorizzazione.

Questa politica non vi autorizza a violare la legge, né ad accedere ai dati dei nostri clienti.

Evoluzione di questa politica

Possiamo modificare questa politica. Fa fede la versione pubblicata su questa pagina.