Legal
Política de divulgação responsável de vulnerabilidades
Se você encontrar uma falha de segurança em CLAQON ou neste site, conte para nós antes de torná-la pública. Explicamos como fazer isso, o que faremos e como protegemos você se você pesquisar de boa-fé.
Tradução de cortesia: em caso de divergência, prevalece a versão em espanhol. Español
Esta política de divulgação responsável de vulnerabilidades explica como nos informar sobre uma falha de segurança em CLAQON ou neste site, o que faremos ao receber o aviso e que regras pedimos que você siga. As medidas de segurança do produto estão descritas em segurança.
Escopo
Estão incluídos nesta política:
- O software CLAQON: o painel, o motor de produção, os instaladores e os sistemas de backups, atualizações e licenças, nas versões que mantemos.
- Este site e os arquivos que ele publica, como
security.txt.
Ficam de fora:
- Os serviços de terceiros que CLAQON usa ou conecta, como YouTube, Meta, X, os fornecedores de IA, Docker ou FFmpeg. Informe-os diretamente. Se a falha estiver na forma como CLAQON usa um desses serviços, ela está incluída.
- As instalações de outras pessoas. Teste apenas em uma instalação sua ou de testes, nunca na de um cliente sem a permissão dele.
- Os testes de negação de serviço ou de carga, a engenharia social, o phishing contra a nossa equipe ou os nossos clientes e os ataques físicos.
- Os relatórios automáticos sem impacto demonstrado, como listas de um scanner sem uma prova de que a falha pode ser explorada.
Como relatar
- Escreva para soporte@claqon.com com o assunto “Segurança”. Se o endereço que consta no nosso arquivo /.well-known/security.txt for diferente, use esse.
- Quem atende você é uma pessoa, não um sistema automático. Você pode nos escrever em espanhol ou em inglês.
- Sem chave de criptografia por enquanto. Ainda não publicamos uma chave OpenPGP. Não inclua na primeira mensagem dados pessoais nem segredos: se necessário, combinaremos com você um canal seguro.
- Se preferir, você pode relatar por meio de uma equipe de resposta a incidentes (CSIRT) que coordene a divulgação, ou sem se identificar.
O que incluir no seu aviso
- O componente afetado e a sua versão. A versão de CLAQON aparece no painel.
- Uma descrição da falha e do seu impacto.
- Os passos para reproduzi-la e, se tiver, uma prova de conceito.
- Se você sabe que ela já está sendo explorada.
- Como entrar em contato com você e se você quer ser mencionado quando a falha for publicada.
O que faremos
- Confirmar o recebimento do seu aviso e manter você informado sobre o andamento.
- Analisar e reproduzir a falha, e avaliar a sua gravidade com você, se necessário.
- Corrigi-la com uma atualização de segurança assinada, separada das melhorias funcionais quando for viável.
- Coordenar com você a publicação e reconhecer o seu trabalho, se você desejar.
- Avisar quem for afetado, pelos canais de aviso do produto e em novidades.
- Notificar às autoridades as vulnerabilidades exploradas e os incidentes graves quando o Regulamento de Ciber-Resiliência o exigir.
Prazos indicativos. Confirmamos o recebimento em, no máximo, 5 dias úteis. Procuramos corrigir as falhas críticas e graves em, no máximo, 90 dias; se precisarmos de mais tempo, conversaremos com você antes de o prazo vencer.
Hoje não oferecemos recompensas financeiras pelos avisos.
Pesquisa de boa-fé
Se você pesquisar de boa-fé e respeitar estas regras, não tomaremos medidas legais contra você por essa pesquisa e a consideraremos autorizada:
- teste apenas em instalações suas ou de testes e, neste site, sem alterar o seu funcionamento;
- não acesse, modifique, copie nem apague dados de outras pessoas além do mínimo necessário para demonstrar a falha;
- pare e nos avise assim que a demonstrar;
- não degrade o serviço nem coloque em risco os nossos clientes;
- mantenha a informação em sigilo até publicarmos a correção ou combinarmos uma data com você;
- cumpra a lei.
Este compromisso não pode cobrir reclamações de terceiros, como as de um cliente cuja instalação você tenha testado sem a permissão dele, nem impedir que tomemos medidas se estas regras forem descumpridas.
Publicação coordenada
Combinaremos com você uma data para publicar a falha, normalmente quando a correção estiver disponível. Publicaremos um aviso com a descrição, as versões afetadas, a correção e, se você desejar, o seu nome. Se a falha estiver sendo explorada, poderemos antecipar o aviso para proteger quem usa CLAQON.
Regulamento de Ciber-Resiliência
O Regulamento (UE) 2024/2847, de Ciber-Resiliência, exige dos fabricantes de produtos com elementos digitais:
- uma política de divulgação coordenada de vulnerabilidades e um ponto de contato para receber avisos, como esta página;
- a partir de 11 de setembro de 2026, notificar as vulnerabilidades ativamente exploradas e os incidentes graves por meio da plataforma única de notificação da ENISA: um alerta precoce em 24 horas, uma notificação em 72 horas e um relatório final;
- corrigir as vulnerabilidades sem demora, com atualizações de segurança.
As suas obrigações gerais se aplicam a partir de 11 de dezembro de 2027.
Como se aplica a CLAQON. CLAQON é um software instalado no computador do cliente: quando for comercializado na União Europeia, será um produto com elementos digitais, e o titular dele será o fabricante. A partir desse momento, cumpriremos as obrigações de notificação e, quando as obrigações gerais passarem a ser aplicáveis, publicaremos para cada versão um período de suporte de segurança de pelo menos cinco anos, salvo se a vida útil prevista do produto for menor, como explica a licença.
O arquivo security.txt
Seguindo a norma RFC 9116, publicamos em /.well-known/security.txt o contato para avisos de segurança, a sua data de expiração, os idiomas preferidos e o link para esta política.