Política de Divulgação
Responsável de Vulnerabilidades

Nosso compromisso

A Alys IT existe para tornar a segurança clara, simples e sem drama pros nossos clientes — e isso vale pra nossa própria superfície também. Se você encontrou uma falha aqui, queremos corrigir rápido e sem burocracia.

Escopo

Está dentro do escopo desta política:

• alysit.com
• soc.alysit.com (plataforma Green Rabbit)

Está fora de escopo:

• Dados de tenants/clientes hospedados na plataforma Green Rabbit — qualquer teste que toque dados de terceiros precisa de autorização prévia por escrito
• Infraestrutura de parceiros ou fornecedores integrados
• Ataques de negação de serviço contra o SOC (isso derruba monitoramento de clientes reais)

Regras de engajamento

• Não acesse, modifique ou exfiltre dados que não sejam seus. Prova de conceito mínima já basta.
• Não execute testes de negação de serviço (DoS/DDoS) ou qualquer ação destrutiva.
• Não use engenharia social, phishing ou ataques físicos contra colaboradores ou clientes.
• Respeite a privacidade de terceiros — interrompa o teste assim que confirmar a vulnerabilidade.

Como reportar

Envie um e-mail com o máximo de detalhe possível: tipo de vulnerabilidade, URL/endpoint afetado, passos para reproduzir, impacto potencial e, se possível, evidência (print ou request/response). Não inclua dados pessoais de terceiros no report.

O que você pode esperar

• Confirmação de recebimento em até 3 dias úteis.
• Avaliação inicial (procedência + severidade) em até 10 dias úteis.
• Atualizações periódicas enquanto o problema estiver sendo corrigido.
• Crédito público pelo achado, se você quiser — basta pedir no report.

Divulgação coordenada

Pedimos um prazo mínimo de 90 dias a partir do report antes de qualquer divulgação pública, ou até a correção ser publicada — o que vier primeiro. Se precisar de mais tempo, avisamos e justificamos.

Porto seguro