Responsible disclosure

Onze systemen worden beveiligd en continue gecontroleerd op mogelijke zwakheden. Toch kan het voorkomen dat er een probleem is met de beveiliging van één van onze systemen. Als je een zwakke plek in één van onze systemen hebt gevonden, horen we dat graag. Dan kunnen we zo snel mogelijk maatregelen treffen.​

Wat vragen we van jou:

• Mail je bevindingen naar [email protected].
• Misbruik het probleem niet. Bijvoorbeeld door meer data te downloaden dan nodig is om het probleem aan te tonen of gegevens van derden te bekijken, aan te passen of verwijderen of systemen aan te passen.
• Deel het probleem niet met anderen totdat het is opgelost.
• Wis de vertrouwelijke gegevens die je hebt verkregen via het lek na het dichten van het lek.
• Maak geen gebruik van aanvallen op onze fysieke beveiliging, social engineering, denial of service aanvallen, spam of applicaties van derden.
• Geef ons voldoende informatie om het probleem te reproduceren zodat wij het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer informatie nodig zijn.

Wat beloven we jou:

• Als jij je aan bovenstaande voorwaarden houdt, nemen wij geen juridische stappen tegen je naar aanleiding van de melding.
• Wij reageren binnen 3 werkdagen op je melding met onze beoordeling van de melding en een verwachte datum voor een oplossing.
• Wij behandelen je melding vertrouwelijk en zullen je persoonlijke gegevens niet zonder je toestemming met derden delen tenzij dat moet om een wettelijke verplichting na te komen. Je mag ook anoniem melden, of onder een pseudoniem: we vinden het belangrijker dat je het meldt als je een kwetsbaarheid hebt gevonden dan dat je je bekend maakt.
• Wij houden je op de hoogte van de voortgang
• In eventuele berichtgeving over het gemelde probleem kunnen we je naam (of pseudoniem) vermelden als de ontdekker. Geef dit dan bij je melding aan.
• Als dank voor je hulp bieden wij een beloning aan voor elke melding van een ons nog onbekend beveiligingsprobleem. De hoogte van de beloning is afhankelijk van de ernst van het gevonden beveiligingsprobleem en/of de kwaliteit van de melding.

Versie

Dit is het Checkout Responsible Disclosure beleid van 1 februari 2019. We mogen dit beleid aanpassen als we dat nodig vinden. Als je een melding doet, doe je die onder de voorwaarden zoals ze op dat moment gepubliceerd waren. Zo weten we allebei waar we aan toe zijn.