Divulgação responsável de vulnerabilidades

1. O que está no escopo

• este site (bareminimum.com.br) e sua infraestrutura de publicação;
• os aplicativos, painéis, APIs e conectores operados pela Syntax Studio em nome próprio ou de clientes;
• falhas de configuração, exposição de credenciais, controle de acesso, validação de entrada, tratamento de dados e lógica de autorização nos nossos sistemas.

Fora do escopo: plataformas de terceiros que apenas integramos (Meta/WhatsApp, Google, Zoho), engenharia social e phishing, negação de serviço e testes de carga, varredura automatizada agressiva, tentativa de acesso a contas ou dados de terceiros, e vulnerabilidades que dependam de software desatualizado no dispositivo do próprio pesquisador. Relatos sobre serviços de terceiros devem ser enviados ao próprio fornecedor.

2. O que pedimos de quem pesquisa

• atue de boa-fé: pesquise apenas em contas e dados que sejam seus ou cujo teste você esteja autorizado a fazer;
• não acesse, copie, altere nem divulgue dados de terceiros; para demonstrar o impacto, use o mínimo necessário (por exemplo, seu próprio registro ou um identificador fictício);
• não degrade o serviço, não apague dados e não use técnicas que afetem outros usuários;
• dê um prazo razoável para correção antes de qualquer divulgação pública, conforme o item 5;
• se, no curso do teste, você acessar dado pessoal por acidente, interrompa, não copie e nos informe imediatamente.

3. O que fazemos com o relato

• confirmamos o recebimento em até 2 dias úteis;
• fazemos uma avaliação inicial em até 7 dias, com classificação de severidade e expectativa de correção;
• corrigimos conforme a severidade e mantemos você informado do andamento;
• quando o relato envolver dados tratados para uma empresa cliente, comunicamos a empresa controladora sem demora injustificada, para que ela cumpra os prazos legais de comunicação que lhe cabem;
• registramos o caso internamente, inclusive quando não houver comunicação legal obrigatória;
• damos crédito ao pesquisador, se ele quiser, e não adotamos medidas legais contra pesquisa conduzida de boa-fé dentro deste escopo e destas regras.

4. O que não é canal de segurança

5. Divulgação coordenada

Pedimos que a divulgação pública ocorra apenas depois da correção, ou após 90 dias do relato, o que ocorrer primeiro, salvo acordo diferente entre as partes. Se a falha estiver sendo explorada ativamente, comunicaremos antes e pediremos um prazo maior apenas para proteger titulares — nesse caso, informaremos o novo prazo e o motivo.

6. Contato

Se você não receber a confirmação em 2 dias úteis, reenvie o e-mail indicando no assunto [SECURITY][REENVIO]: pode ter havido falha de entrega.