Divulgação Responsável

Nosso compromisso

Valorizamos o trabalho da comunidade de segurança. Se você identificou uma falha que afete dados, integridade ou disponibilidade de nossos sistemas, queremos saber rapidamente e tratar com prioridade.

Escopo

• Sites institucionais sob gotb.com.br e subdomínios operados pelo Grupo OTB.
• Aplicativos próprios publicados em nossas lojas oficiais.
• APIs públicas documentadas.

Fora de escopo

• Vulnerabilidades em provedores de terceiros não operados por nós (devem ser reportadas diretamente ao provedor).
• Ataques de engenharia social contra colaboradores.
• Negação de serviço (DoS/DDoS) e testes de carga.
• Spam, brute force ou enumeração massiva.
• Achados de scanners automatizados sem prova de exploração real.

Conduta esperada

• Não acessar, modificar ou exfiltrar dados de outros usuários além do mínimo necessário para demonstrar a vulnerabilidade.
• Não degradar a disponibilidade dos serviços.
• Conceder prazo razoável para correção antes de qualquer divulgação pública.
• Cumprir a legislação aplicável.

Como reportar

• E-mail: security@gotb.com.br
• Formulário: use o botão abaixo, com assunto "SECURITY".

Inclua, se possível:

• Descrição do problema e impacto estimado.
• Passos para reproduzir.
• Prova de conceito (capturas, requests).
• Sua forma de contato preferida.

Nosso retorno

• Confirmação de recebimento em até 5 dias úteis.
• Avaliação inicial e priorização em até 10 dias úteis.
• Atualizações periódicas até a remediação.

Reconhecimento

Atualmente não operamos programa formal de recompensa (bug bounty), mas podemos reconhecer publicamente pesquisadores que contribuírem de forma relevante, mediante autorização do reportador.

Não-retaliação

Pesquisadores que agirem de boa-fé e seguirem esta política não serão alvo de ações legais por parte do Grupo OTB pelos atos diretamente relacionados à pesquisa.

Relacionados

• Segurança Digital
• Uso Aceitável