Coordinated Vulnerability Disclosure

Ecommit werkt graag met je samen om de veiligheid van onze website en ICT-systemen nog beter te waarborgen. Daarom vragen wij jou of je het zo snel mogelijk aan ecommit kunt laten weten als je een kwetsbaarheid hebt gevonden op de website, zodat ecommit zo snel mogelijk passende maatregelen kan nemen.

Wat vragen wij van jou?

• Je bevindingen met zoveel mogelijk informatie te mailen naar security@ecommit.nl. Wij nemen meldingen serieus en zullen de gemelde kwetsbaarheid onderzoeken;

• Je contactgegevens (e-mailadres en telefoonnummer) door te geven bij de melding, zodat we eventueel contact kunnen opnemen over de kwetsbaarheid;

• De kwetsbaarheid niet te misbruiken en gegevens uit onze ICT-systemen te kopiëren, publiceren, wijzigen of verwijderen;

• De kwetsbaarheid niet te melden bij anderen voordat er door ons passende maatregelen zijn getroffen;

• Alle vertrouwelijke gegevens te verwijderen nadat de kwetsbaarheid is verholpen.

Wat kun jij van ecommit verwachten?

• Een reactie op de melding;

• We spannen ons in de kwetsbaarheid zo snel mogelijk te verhelpen, de termijn is afhankelijk van de ernst en de complexiteit van de kwetsbaarheid;

• Geen juridische stappen tegen jou te nemen indien je een melding van een kwetsbaarheid maakt en de inhoud van dit beleid daarbij in acht neemt;

• Wij behandelen de melding met grote zorg en vertrouwen. We delen jouw persoonlijke gegevens nergens zonder toestemming, tenzij wij genoodzaakt zijn de kwetsbaarheid te melden of aangifte te doen bij politie en justitie.

Om je te bedanken voor je hulp met het beschermen van onze systemen, willen wij je graag bedanken met een kleine beloning. De beloning is afhankelijk van de ernst van de kwetsbaarheid en de kwaliteit van de melding. Daarnaast geldt ook het volgende: indien de kwetsbaarheid die jij hebt gemeld, zich begeeft in een systeem van een derde waarvan ecommit gebruikt maakt, en deze kwetsbaarheid valt onder een bug bounty program, dan is een eventuele bounty voor jou.

Daarnaast willen we je er graag op wijzen dat deze Coordinated Vulnerability Disclosure geen uitnodiging is om onze website en ICT-systemen grondig te onderzoeken op kwetsbaarheden, dit monitoren wij namelijk zelf.