Segnalare una vulnerabilità

Se hai trovato un problema di sicurezza su VoiceForge, scrivi a [da completare]. Se vuoi cifrare la segnalazione, la chiave pubblica è [da completare].

Non aprire una segnalazione pubblica e non scriverla sui canali commerciali: un difetto di sicurezza raccontato in pubblico prima che sia chiuso mette a rischio persone che non hanno scelto di correre quel rischio.

Ci basta poco, purché sia preciso: come si riproduce, su quale indirizzo, con quale account, e che cosa hai potuto vedere o fare che non avresti dovuto. Se hai uno script o una richiesta che lo dimostra, allegalo.

Dicci anche quando l'hai provato: ci serve per capire se nei log c'è traccia solo tua o anche di qualcun altro.

• Entro 3 giorni lavorativi confermiamo di aver ricevuto la segnalazione e ti diciamo chi la sta guardando.
• Entro 10 giorni lavorativi ti diciamo se l'abbiamo riprodotta, quanto la consideriamo grave e che cosa intendiamo fare.
• Ti aggiorniamo quando la correzione è rilasciata, e ti diciamo quando riteniamo che tu possa parlarne pubblicamente.
• Se la segnalazione riguarda dati personali di terzi, facciamo partire la procedura di notifica descritta sotto. Quella ha tempi di legge, non nostri.

Quando un incidente comporta la violazione di dati personali, notifichiamo l'autorità di controllo entro 72 ore da quando ne veniamo a conoscenza, come prevede il Regolamento europeo. Se il rischio per le persone coinvolte è elevato, lo comunichiamo anche a loro senza ingiustificato ritardo.

Quando i dati coinvolti appartengono a un'azienda cliente — cioè sono dati dei suoi interlocutori, di cui lei è titolare e noi responsabili — avvisiamo quel cliente senza ingiustificato ritardo, perché la notifica all'autorità spetta a lui e i 72 ore decorrono da quando lo informiamo noi.

• non accedere a dati di altri più di quanto serva a dimostrare il problema, e non conservarli;
• non degradare il servizio: niente prove di carico, niente cancellazioni, niente modifiche ai dati di altri;
• non usare ingegneria sociale sulle persone che ci lavorano;
• non diffondere il problema finché non è chiuso, salvo che siano passati 90 giorni senza che ti abbiamo dato una risposta seria.

Se stai a queste regole, non intraprenderemo azioni legali per la ricerca che hai fatto.

Perché tu sappia da dove parti, e perché queste sono affermazioni verificabili e non promesse: la revoca di una sessione è immediata e non aspetta la scadenza del token; esiste un backup notturno del database, verificato a ogni esecuzione; non ci sono tracciatori di terze parti nel prodotto, come spiegato nella cookie policy.