Política de divulgação responsável/divulgação de vulnerabilidade
Na Choice Hotels International, apreciamos e incentivamos os pesquisadores de segurança a entrar em contato conosco para relatar possíveis vulnerabilidades identificadas em qualquer produto, sistema ou ativo de nossa propriedade. Para tanto, definimos uma Política de Divulgação Responsável, também chamada de Política de Divulgação de Vulnerabilidade. À medida que avançamos para o futuro, amadureceremos e revisaremos esta política; continue verificando aqui para verificar as atualizações.
Mensagem especial para a comunidade de pesquisadores de segurança/relatores de vulnerabilidade
Agradecemos por nos notificar sobre possíveis falhas em nossa segurança. Agradecemos muito os que se conectam conosco para retificar vulnerabilidades e garantir o mínimo de impacto e risco para nossas comunidades de partes interessadas e, em apoio, estabelecemos uma Política de divulgação responsável/divulgação de vulnerabilidade.
Ação legal
Não tomaremos medidas legais, nem iniciaremos uma reclamação perante as autoridades policiais contra o localizador/pesquisador que estiver agindo de boa-fé. No entanto, a Choice Hotels International reserva-se todos os direitos legais em caso de não conformidade com as Diretrizes para Operação de Boa-Fé abaixo incluídas na política.
Recompensas
Observe que a Choice Hotels International atualmente não oferece um programa de “recompensas para bug”; portanto, não estendemos nenhuma oferta de remuneração/recompensas ou reconhecimento público pelo envio de possíveis vulnerabilidades.
Diretrizes para operação de boa-fé
Para promover a descoberta e o relato de vulnerabilidades, pedimos que você:
- Respeite nossos aplicativos existentes; aja para evitar violações de privacidade, destruição de dados e interrupção ou degradação de nossos serviços (incluindo negação de serviço).
- Não acesse ou modifique nossos dados ou os dados de nossos stakeholders.
- Entre em contato conosco imediatamente se encontrar dados dos stakeholders. Não visualize, altere, destrua, salve, compartilhe, armazene, transfira ou acesse ou comprometa os dados e elimine qualquer informação local ao relatar a vulnerabilidade para nós.
- Se forem encontradas informações pessoais (por exemplo, nomes, endereços, endereços de e-mail, números de conta do programa de fidelidade, identificadores exclusivos, números de cartão de crédito), interrompa todas as atividades e entre em contato imediatamente com a Choice Hotels International.
- Não gere transações financeiras fraudulentas.
- Não participe de nenhuma atividade que viole: a) leis ou regulamentos federais, estaduais ou internacionais; ou b) as leis ou regulamentos de qualquer país: i) onde os ativos, dados ou sistemas residam; ii) para onde o tráfego de dados seja roteado; iii) em que o pesquisador esteja conduzindo atividades de pesquisa; ou iv) onde os titulares dos dados residam.
- Compartilhe conosco o problema de segurança e/ou privacidade.
Processo de divulgação responsável/divulgação de vulnerabilidade: como divulgar uma vulnerabilidade
Para divulgar uma possível vulnerabilidade, envie um e-mail para as equipes de Privacidade e Segurança da Informação:responsibledisclosure@choicehotels.com.
Formato do envio
Ao relatar uma possível vulnerabilidade, inclua uma descrição detalhada da vulnerabilidade: ferramentas utilizadas, alvo, processos e resultados. Corrobore suas conclusões anexando quaisquer artefatos pertinentes usados para a descoberta. Embora não seja necessário para revisão e validação/verificação da vulnerabilidade, se você tiver informações sobre a correção da vulnerabilidade, compartilhe a sua resolução proposta.
Confirmação e resposta
Quando um relato for recebido pela Equipe de Segurança da Informação, uma confirmação será enviada em resposta ao remetente em até cinco dias úteis. Uma solicitação de acompanhamento para obter mais informações pode ser enviada, se necessário. Após a validação/verificação de uma vulnerabilidade, uma resposta de acompanhamento será enviada ao remetente.
Prazo
A Choice Hotels International não negociará com o autor de uma ameaça (por exemplo, não negociaremos mediante ameaça de retenção ou ameaça de comunicar a vulnerabilidade ao público). Dito isso, dedicamos nossos recursos para trabalhar com você e pedimos que nos conceda um tempo razoável para a validação/verificação e a resolução da vulnerabilidade antes de tomar alguma medida para torná-la pública.
Relatórios de vulnerabilidade externa
O relato de informações de vulnerabilidade a terceiros/outros fornecedores será determinado a critério da Choice Hotels International.
Fora do escopo
Os itens a seguir estão fora do escopo para o envio nos termos da Política de Divulgação Responsável. As vulnerabilidades fora do escopo incluem:
- engenharia social, como tentativas de roubar cookies, páginas falsas de login para coletar credenciais e phishing
- Ataques de exaustão de recursos
- Testes físicos
- Ataques de negação de serviço