Безопасность

Как мы защищаем ваши данные

• Шифрование при передаче: трафик к MyVisito и от него шифруется по TLS.
• Шифрование при хранении: ваши данные хранятся с шифрованием на стороне наших инфраструктурных провайдеров.
• Контроль доступа к рабочим пространствам: политики доступа на уровне базы данных и роли пользователей ограничивают доступ соответствующим рабочим пространством.
• Защита аккаунта: провайдер аутентификации хранит пароли в виде односторонних хэшей, а не в читаемом виде.
• Платежи: платежи картой обрабатывает Stripe, поставщик услуг уровня PCI DSS Level 1. MyVisito не хранит полный номер карты.
• Соответствие стандарту: MyVisito ежегодно проходит самооценку PCI DSS (SAQ A), которую подтверждает Stripe, и раз в квартал проводит внешнее сканирование myvisito.com на уязвимости через утверждённого PCI поставщика сканирования.
• Доступ к производственным системам: доступ ограничен разрешёнными операционными задачами.

Как сообщить о проблеме безопасности

Если вы предполагаете наличие уязвимости, отправьте понятное описание, минимальный набор шагов для воспроизведения и укажите затронутую страницу или функцию. Имя можно не указывать.

Не отправляйте пароли, токены аутентификации, ключи API, полные реквизиты платёжных карт или персональные данные других людей. Скройте конфиденциальные данные на снимках экрана и сначала отправьте описание без чувствительных материалов. Мы сообщим, если потребуются дополнительные сведения.

Правила тестирования

• Тестируйте только аккаунты и данные, которые принадлежат вам или на использование которых у вас есть явное разрешение.
• Если вы столкнулись с чужими данными, немедленно остановитесь. Не копируйте, не скачивайте, не изменяйте, не удаляйте и не передавайте их. Сообщите о проблеме, используя только минимально необходимые сведения.
• Используйте минимальное неразрушающее доказательство, необходимое для подтверждения проблемы. Не сохраняйте доступ и не используйте уязвимость после подтверждения.
• Не проводите атаки отказа в обслуживании или нагрузочные атаки, автоматические сканирования, способные нарушить работу, спам, фишинг, социальную инженерию, распространение вредоносного ПО или физические атаки.
• Сервисы третьих сторон не входят в эту политику. Соблюдайте правила безопасности и тестирования, опубликованные их провайдерами.
• Дайте нам разумное время на проверку и исправление проблемы, прежде чем публиковать её.

Наши обязательства перед исследователями

Если исследование проводится добросовестно, в соответствии с этими правилами и применимым законодательством, без причинения вреда и с оперативным сообщением, мы не будем инициировать или поддерживать судебные действия исключительно из-за исследования, соответствующего этой политике. Разрешение распространяется только на системы MyVisito, а также аккаунты и данные, которые вам разрешено использовать. Действия за пределами этих правил не разрешены. Если вы не уверены, допустима ли проверка, свяжитесь с нами до её проведения.

Мы стремимся подтвердить получение обоснованного сообщения в течение пяти рабочих дней и сообщать о ходе проверки. Сейчас мы не проводим платную программу bug bounty, и отправка сообщения не создаёт права на выплату. После устранения проблемы и с вашего согласия мы можем указать исследователей, которые помогли нам.

Дополнительная информация

О том, как мы обращаемся с персональными данными, читайте в Политике конфиденциальности. По остальным вопросам пишите на contact@myvisito.com или по адресу: EmodeFlow, LLC, 1111b South Governors Avenue, Suite 93153, Dover, DE 19904, United States.