1. O que está no escopo
- atenahub.app.br e seus aplicativos: AtenaVault, AtenaLibrary, AtenaPlayer, AtenaProof, MyVault e a API pública (
/api/v1).
- Falhas como acesso a dados de outra organização ou de outro usuário, execução de script (XSS), falsificação de requisição (CSRF), injeção,
vazamento de segredos, contorno de autenticação ou de permissões.
2. O que está fora do escopo
- Negação de serviço, testes de carga, spam e engenharia social (inclusive contra pessoas que usam a plataforma).
- Serviços de terceiros (hospedagem, Google/Firebase, Microsoft, Mercado Pago, Gemini): relate-os ao respectivo fornecedor.
- Relatos sem impacto demonstrável (ex.: ausência de um cabeçalho de segurança opcional, versão de software exibida).
3. Como relatar
Descreva o que encontrou, o endereço afetado, os passos para reproduzir e o impacto que você enxerga. Capturas de tela e uma prova de
conceito mínima ajudam. Não inclua dados pessoais reais de terceiros no relato: se o teste expôs dados, descreva o tipo e a
quantidade, sem copiá-los. Informe um e-mail para podermos responder.
4. O que você pode esperar de nós
- Confirmação de recebimento em até 5 dias úteis.
- Avaliação e classificação da gravidade em até 15 dias, com retorno sobre o que será feito.
- Correção dos problemas confirmados com prioridade pela gravidade. Somos uma equipe pequena: damos melhor esforço, sem prazo fixo de correção.
- Pedimos 90 dias (ou a correção, o que vier primeiro) antes de qualquer divulgação pública, e combinamos a data com você.
- Reconhecimento público do seu nome, se você quiser. Não há recompensa financeira.
5. Regras de boa-fé
- Use apenas contas e organizações criadas por você; não acesse, altere ou apague dados de outras pessoas além do estritamente necessário para demonstrar a falha.
- Pare assim que confirmar o problema e não o explore além disso (nada de exfiltrar dados nem manter acesso).
- Quem agir de boa-fé e dentro destas regras não sofrerá ação da nossa parte por causa do teste.
6. Dados pessoais e incidentes
Se o problema envolver dados pessoais, seguimos o nosso plano de resposta a incidentes e a LGPD, inclusive comunicando as organizações e os
titulares afetados quando necessário. Para pedidos sobre seus próprios dados, veja a
Política de Privacidade.
