Política de divulgação de vulnerabilidades

Texto provisório, a aguardar validação jurídica. Não é a versão definitiva.

Última atualização 4 de Novembro de 2026

Tradução da versão francesa, a única que faz fé.

A segurança dos nossos serviços é importante para nós e para os nossos clientes. Se pensa ter encontrado uma vulnerabilidade, obrigado por no-la comunicar. Esta política explica como fazer, o que pode testar e o que nos comprometemos a fazer.

Como nos contactar

Escreva para security@scaliamo.com. Este endereço consta também do ficheiro /.well-known/security.txt de cada um dos nossos sites e da nossa aplicação, segundo a norma RFC 9116.

Na sua mensagem, indique se possível:

• o endereço ou a função em causa;
• a natureza da vulnerabilidade e o seu impacto possível;
• os passos para a reproduzir;
• os seus dados de contacto, se desejar um acompanhamento.

Pode escrever em francês ou em inglês.

Âmbito

Estão abrangidos:

• os sites dos nossos produtos;
• a nossa aplicação, a sua API e o seu widget.

Só estão abrangidos os domínios que exploramos. Os serviços dos nossos fornecedores (alojamento, pagamento, envio de e-mails) regem-se pelas suas próprias políticas.

Fora do âmbito

• os ataques de negação de serviço, seja qual for a sua forma;
• a engenharia social dirigida às nossas equipas, aos nossos clientes ou aos nossos fornecedores (phishing, chamadas, mensagens);
• os testes físicos nas nossas instalações ou nos nossos equipamentos;
• o envio em massa de mensagens através dos nossos formulários (inscrição, lista de espera, contacto);
• as análises automáticas em massa, por scanner ou robô;
• os relatórios gerados por uma ferramenta automática sem demonstração de um impacto real.

Regras de boa-fé

Pedimos-lhe que:

1. teste apenas com as suas próprias contas, ou com contas cujo titular lhe tenha dado o seu acordo;
2. nunca consulte, altere, copie ou elimine dados que não lhe pertençam; se lhes aceder por acidente, pare, não guarde nada e comunique-no-lo;
3. se limite ao estritamente necessário para demonstrar a vulnerabilidade;
4. não degrade o serviço para os outros utilizadores;
5. não divulgue a vulnerabilidade antes da sua correção, nem antes da data acordada connosco;
6. não nos peça contrapartidas em troca da sua comunicação.

Os nossos compromissos

Os nossos prazos:

• aviso de receção no prazo de 3 dias úteis;
• primeira avaliação (vulnerabilidade confirmada ou não, gravidade) no prazo de 10 dias úteis;
• correção consoante a gravidade, com um ponto de situação pelo menos de duas em duas semanas;
• divulgação coordenada: acordamos consigo uma data de publicação, em princípio 90 dias, no máximo, após a comunicação.

Mantemo-lo informado da correção. Com o seu acordo, podemos citar o seu nome nos nossos agradecimentos.

Sem programa de recompensas

Não temos programa de recompensas (bug bounty). Não é paga qualquer recompensa financeira por uma comunicação.

Enquadramento jurídico

Não intentaremos ações judiciais contra uma pessoa que comunique uma vulnerabilidade de boa-fé e que respeite esta política. Se um terceiro intentar uma ação contra si por investigações conformes a esta política, daremos a conhecer que agiu com a nossa autorização.

Esta política não o autoriza a infringir a lei, nem a aceder aos dados dos nossos clientes.

Evolução desta política

Podemos alterar esta política. Faz fé a versão publicada nesta página.