Responsible disclosure

Zo meld je iets

Mail je bevinding naar security@aistudio.nl. Beschrijf wat je hebt gevonden, waar je het vond en welke stappen nodig zijn om het te reproduceren. Screenshots of een korte opname helpen. Vermeld hoe we je kunnen bereiken als we vragen hebben.

Wat je van ons mag verwachten

• Binnen drie werkdagen een reactie van een mens, geen automatische ontvangstbevestiging.
• Binnen tien werkdagen een inhoudelijke beoordeling: wat we zien, hoe ernstig we het inschatten en wanneer we het oplossen.
• We houden je op de hoogte tot het opgelost is en laten weten wanneer dat gebeurd is.
• Je melding blijft vertrouwelijk. We delen je gegevens niet met derden zonder jouw toestemming.
• Meld je te goeder trouw en houd je aan de spelregels hieronder, dan doen wij geen aangifte.

Spelregels

• Doe geen dingen die verder gaan dan nodig is om de kwetsbaarheid aan te tonen.
• Verander of verwijder geen gegevens en gebruik geen gegevens van anderen.
• Geen brute force, geen denial of service, geen spam of phishing richting onze medewerkers of klanten.
• Geen social engineering en geen fysieke toegang tot onze gebouwen of die van klanten.
• Deel je bevinding niet met anderen zolang wij er nog aan werken.
• Systemen van onze klanten vallen hier niet onder. Twijfel je waar iets bij hoort, vraag het ons eerst.

Waar we vooral op letten

Meldingen over toegang tot gegevens, authenticatie en autorisatie, of over het AIStudio Assist platform pakken we met voorrang op. Zaken die vooral theoretisch zijn, zoals een ontbrekende header zonder aantoonbaar risico, pakken we later op.

Iets teruggeven

Bij een ernstige kwetsbaarheid keren we een financiële beloning uit. We werken niet met vaste bedragen: we bepalen de hoogte per melding, op basis van de impact en het risico van de bevinding en de kwaliteit van je rapport. Je hoort van ons wat we hebben besloten en waarom.

Geen beloning volgt als de kwetsbaarheid al bij ons bekend was of al door iemand anders is gemeld, of als je je niet aan de spelregels hierboven hebt gehouden.

Wil je in plaats daarvan of daarnaast met naam genoemd worden, geef dat dan aan bij je melding. Dan nemen we je op in onze bedankpagina zodra die er is.