Kwetsbaarheid melden

Dit beleid van TovoT B.V. geldt voor het melden van kwetsbaarheden in de website https://tovot.ai. Klantomgevingen, subdomeinen, externe platforms, gedeelde hostinginfrastructuur en systemen van leveranciers vallen niet automatisch onder toestemming voor onderzoek. Vraag vooraf schriftelijke toestemming als het eigendom of de reikwijdte onduidelijk is. Wij ontvangen ook signalen over andere mogelijk door TovoT beheerde diensten en beoordelen dan wie verantwoordelijk is.

Meld een kwetsbaarheid aan [email protected] met als onderwerp “Beveiligingsmelding”. Noem de betrokken URL of component, de datum van ontdekking, een beschrijving van de impact en de minimale stappen om het probleem te reproduceren. Vermeld een veilige manier om contact met je op te nemen.

Stuur geen wachtwoorden, tokens, volledige databases of onnodige persoonsgegevens mee. Meld eerst de kern en vraag om een veilige overdracht als het bewijs gevoelig is. Wij publiceren momenteel geen geverifieerde encryptiesleutel. Houd het eerste bericht vrij van gevoelige details en vraag om een veilige overdracht. Gewone e-mail biedt geen garantie op end-to-endversleuteling.

Beperk handelingen tot wat minimaal nodig is om de kwetsbaarheid aan te tonen. Gebruik bij voorkeur eigen testaccounts en synthetische gegevens. Stop zodra persoonsgegevens of gegevens van anderen zichtbaar worden en meld dit; kopieer geen datasets en open geen extra dossiers om de impact te vergroten.

Voer geen denial-of-service, brute-force, credential stuffing, phishing of andere social engineering uit. Plaats geen malware of backdoor, maak geen blijvende toegang, wijzig of verwijder geen gegevens en verplaats je niet naar andere systemen. Vermijd intensieve of geautomatiseerde scans die de beschikbaarheid kunnen beïnvloeden. Vraag vóór actieve beveiligingstests, een pentest, belastende scan of aanvullend onderzoek schriftelijke toestemming van TovoT en alle betrokken systeemeigenaren, zoals ook bepaald in onze Acceptable Use Policy. Een toevallig ontdekte kwetsbaarheid mag je altijd melden; het doen van een melding vereist geen voorafgaande toestemming.

Als een onbedoeld effect optreedt, stop dan en meld het direct. Bewaar uitsluitend het minimaal noodzakelijke bewijs beveiligd en stem verwijdering af zodra dat verantwoord kan. Dit beleid en security.txt vormen geen algemene toestemming om systemen of accounts van anderen binnen te dringen.

Wij streven naar een persoonlijke ontvangstbevestiging binnen drie werkdagen en een eerste inhoudelijke beoordeling binnen tien werkdagen. Deze termijnen zijn servicenormen; dit kanaal belooft geen 24/7-bewaking. Vermeld actieve uitbuiting of direct dataverlies duidelijk in het onderwerp.

Wij beoordelen ernst, blootstelling en mogelijke schade, wijzen een behandelaar aan en bespreken vervolgstappen. Tijdens behandeling streven we naar minimaal iedere tien werkdagen een voortgangsbericht. Een hersteltermijn wordt op basis van het risico afgesproken; wij beloven geen vaste oplostijd voor iedere kwetsbaarheid. Indien nodig betrekken wij de verantwoordelijke klant, leverancier of coördinerende instantie met zo weinig mogelijk gevoelige informatie.

Wij gebruiken je contactgegevens en melding voor beoordeling, herstel, afstemming en noodzakelijke bewijsvoering. Alleen bevoegde betrokkenen krijgen de informatie die zij nodig hebben. Wij delen je identiteit niet zonder jouw toestemming, tenzij verstrekking wettelijk noodzakelijk is.

Stem openbaarmaking met ons af zodat eerst maatregelen kunnen worden genomen. Spreek een redelijke termijn af en beoordeel uitstel periodiek. Bij uitblijvende reactie of een vastgelopen traject kun je het NCSC om coördinatie vragen. Deze afstemming beperkt geen dwingende wettelijke meld- of openbaarmakingsrechten. Vermeld je naam alleen als je daar uitdrukkelijk voor kiest. Er is geen vaste financiële beloning toegezegd.

Wanneer je te goeder trouw en binnen dit beleid handelt, zal TovoT geen civiele vordering of aangifte tegen je instellen uitsluitend vanwege het zorgvuldig onderzoeken en melden van de kwetsbaarheid binnen deze reikwijdte. Bij een onbedoelde afwijking beoordelen wij intentie, proportionaliteit, schadebeperking en je melding van het incident.

TovoT kan geen immuniteit voor strafvervolging of handelen van derden garanderen. Dit beleid beperkt geen rechten onder de Wet bescherming klokkenluiders en verplicht niemand eerst intern te melden. Meldingen van werkgerelateerde misstanden vereisen een eigen vertrouwelijke route; [email protected] is daarvoor niet als onafhankelijk integriteitskanaal aangewezen.