Política de divulgação de vulnerabilidades

Texto provisório, aguardando revisão jurídica. Não é a versão definitiva.

Última atualização 4 de Novembro de 2026

Tradução da versão francesa, a única que tem validade jurídica.

A segurança dos nossos serviços é importante para nós e para nossos clientes. Se você acha que encontrou uma vulnerabilidade, agradecemos se a relatar para nós. Esta política explica como fazer isso, o que você pode testar e o que nos comprometemos a fazer.

Como entrar em contato

Escreva para security@scaliamo.com. Esse endereço também consta do arquivo /.well-known/security.txt de cada um dos nossos sites e do nosso aplicativo, conforme o padrão RFC 9116.

Na sua mensagem, informe se possível:

• o endereço ou a função afetada;
• a natureza da vulnerabilidade e seu possível impacto;
• as etapas para reproduzi-la;
• seus dados de contato, se quiser um acompanhamento.

Você pode escrever em francês ou em inglês.

Escopo

Estão cobertos:

• os sites dos nossos produtos;
• nosso aplicativo, sua API e seu widget.

Somente os domínios que operamos estão cobertos. Os serviços dos nossos fornecedores (hospedagem, pagamento, envio de e-mails) seguem suas próprias políticas.

Fora do escopo

• os ataques de negação de serviço, qualquer que seja sua forma;
• a engenharia social direcionada às nossas equipes, aos nossos clientes ou aos nossos fornecedores (phishing, ligações, mensagens);
• os testes físicos em nossas instalações ou em nossos equipamentos;
• o envio em massa de mensagens pelos nossos formulários (cadastro, lista de espera, contato);
• as varreduras automatizadas em massa, por scanner ou robô;
• os relatórios gerados por uma ferramenta automatizada sem demonstração de um impacto real.

Regras de boa-fé

Pedimos que você:

1. teste somente com suas próprias contas, ou com contas cujo titular tenha dado sua concordância;
2. nunca acesse, modifique, copie ou exclua dados que não pertençam a você; se tiver acesso a eles por acidente, pare, não guarde nada e nos informe;
3. se limite ao estritamente necessário para demonstrar a vulnerabilidade;
4. não prejudique o serviço para os demais usuários;
5. não divulgue a vulnerabilidade antes da sua correção, nem antes da data combinada conosco;
6. não nos peça nenhuma contrapartida em troca do seu relato.

Nossos compromissos

Nossos prazos:

• confirmação de recebimento em até 3 dias úteis;
• primeira avaliação (vulnerabilidade confirmada ou não, gravidade) em até 10 dias úteis;
• correção conforme a gravidade, com uma atualização do andamento pelo menos a cada duas semanas;
• divulgação coordenada: combinamos com você uma data de publicação, em princípio no máximo 90 dias após o relato.

Mantemos você informado sobre a correção. Com a sua concordância, podemos citar seu nome em nossos agradecimentos.

Sem programa de recompensas

Não temos programa de recompensas (bug bounty). Nenhuma recompensa financeira é paga por um relato.

Enquadramento jurídico

Não moveremos ações judiciais contra uma pessoa que relate uma vulnerabilidade de boa-fé e que respeite esta política. Se um terceiro mover uma ação contra você por pesquisas conformes a esta política, informaremos que você agiu com a nossa autorização.

Esta política não autoriza você a infringir a lei, nem a acessar os dados dos nossos clientes.

Evolução desta política

Podemos alterar esta política. Vale a versão publicada nesta página.