Як повідомити
Напишіть офіцеру із захисту даних, українською чи англійською. Додайте:
- адресу сторінки чи компонент, де вразливість;
- кроки, щоб її відтворити;
- що може зробити зловмисник і чиї дані під загрозою;
- докази: знімки екрана, запити й відповіді;
- як з вами зв'язатися.
Що перевіряти
- сайт ugla.ua;
- UGLA ERP і інші сервіси UGLA на піддоменах ugla.ua.
Сторонні сервіси, які використовує сайт (наприклад, Calendly, Google, Meta, YouTube), до цієї політики не входять: про їхні вразливості повідомляйте їм.
Правила
- Перевіряйте лише на власному обліковому записі або на тестовому, якщо ми вам його надали.
- Не відкривайте, не змінюйте й не видаляйте чужі дані. Якщо ви випадково отримали доступ до чужих даних, зупиніться, не зберігайте їх і повідомте нам.
- Не перевантажуйте сервіси: жодних атак на відмову в обслуговуванні, навантажувальних тестів чи масового автоматичного сканування.
- Без соціальної інженерії, фішингу наших працівників чи клієнтів і без фізичного доступу.
- Не розголошуйте подробиці, доки вразливість не усунуто або доки ми не домовилися з вами про інше.
Що ми робимо зі звітом
- Підтверджуємо, що отримали звіт.
- Оцінюємо ризик за нашою процедурою управління вразливостями: наскільки вразливість серйозна, наскільки її легко використати й на що вона впливає.
- Визначаємо дії й строки та призначаємо відповідального; критичні й високі вразливості усуваються першими.
- Повідомляємо вам результат і, коли вразливість усунуто, підтверджуємо це.
- Якщо вразливість зачепила персональні дані, діємо за процедурою інцидентів, як описано в Політиці конфіденційності.
Добросовісне дослідження
Якщо ви дотримуєтеся цих правил і дієте добросовісно, ми вважатимемо ваше дослідження дозволеним, не звертатимемося через нього до суду чи правоохоронних органів і працюватимемо з вами, щоб зрозуміти й усунути проблему.
Ця політика також опублікована для автоматичних інструментів у файлі /.well-known/security.txt (RFC 9116).