Tietoturvan ilmoituskäytäntö

Ronski on treffisovellus homo-, bi-, trans- ja queer-miehille. Jäsenemme uskovat meille arkaluonteisia tietoja, joten haluamme kuulla tietoturvaongelmista ja lupaamme kohdella reilusti niitä, jotka ilmoittavat niistä hyvässä uskossa.

Näin ilmoitat

Lähetä sähköpostia security.txt-tiedostossa olevaan osoitteeseen: <https://ronski.app/.well-known/security.txt> (tiedosto löytyy myös osoitteesta https://<api host>/.well-known/security.txt). Oletusyhteystieto on security@ronski-app.com.
Kirjoita englanniksi tai suomeksi.
Kerro, mitä löysit, mistä, miten ongelman voi toistaa ja mitä vaikutuksia sillä mielestäsi on. Kuvakaappaukset ja lyhyet esimerkkipyynnöt ovat tervetulleita.
Jos haluat lähettää arkaluonteisia tietoja, kysy ensin lyhyesti sähköpostilla, niin sovimme kanavasta. Älä laita jäsenten tietoja sähköpostiin.

Mitä lupaamme (vastausajat)

Vaihe	Tavoite
Vahvistamme, että saimme ilmoituksesi	3 arkipäivän kuluessa
Ensimmäinen arvio ja vakavuus	7 päivän kuluessa
Tilannepäivitys	vähintään 14 päivän välein, kunnes asia on ratkaistu
Korjaus kriittiseen tai vakavaan ongelmaan	niin nopeasti kuin voimme, tavoitteena 30 päivää
Maininta	pyynnöstä, kun ongelma on korjattu (katso alla)

Ronskia pyörittää hyvin pieni tiimi, joten nämä ovat tavoitteita, eivät takuita. Jos olemme hitaita, muistuta meitä.

Turvasatama

Jos toimit hyvässä uskossa ja noudatat tätä käytäntöä, emme aloita tai tue oikeustoimia sinua vastaan emmekä pyydä palveluntarjoajaa tai poliisia toimimaan sinua vastaan ilmoituksessasi kuvaamasi tutkimuksen vuoksi. Pidämme erityisesti seuraavia sallittuina:

testaaminen omalla tililläsi tai tätä varten luomillasi tileillä;
tutkiminen vain niin pitkälle kuin ongelman osoittaminen vaatii;
ilmoittaminen ensin meille ja kohtuullisen ajan antaminen korjaukselle ennen kuin kerrot asiasta muille.

Turvasatama koskee Ronskin omia järjestelmiä. Se ei sido kolmansia osapuolia (esimerkiksi palvelin- ja infrastruktuuripalveluiden tarjoajia) eikä se oikeuta rikkomaan lakia tavoilla, jotka eivät liity tutkimukseen. Jos kolmas osapuoli ryhtyy toimiin sinua vastaan tämän käytännön mukaisen tutkimuksen vuoksi, kerromme julkisesti, että toimit meidän luvallamme.

Tutkijoiden säännöt

Älä:

avaa, kopioi, muuta tai säilytä muiden jäsenten tietoja. Jos pääset vahingossa jäsenten tietoihin, lopeta, älä lue enempää, poista saamasi tiedot ja kerro meille, mitä tapahtui;
testaa oikeiden jäsenten tileillä, lähetä viestejä oikeille jäsenille tai lähetä roskapostia;
tee palvelunestoon, kuormitukseen tai raakaan voimaan perustuvia testejä äläkä käytä sosiaalista manipulointia tai fyysisiä hyökkäyksiä ketään vastaan;
lataa tai katso laitonta sisältöä. Jos törmäät lasten seksuaaliseen hyväksikäyttöön liittyvään materiaaliin, lopeta heti ja ilmoita siitä poliisille tai Nettivihjeeseen (<https://www.nettivihje.fi>). Älä kerro yksityiskohtia meille ilmoituksessa äläkä lataa tai jaa materiaalia.

Laajuus

Sisältyy: Ronskin API ja hallintakonsoli omilla verkkotunnuksillamme, Ronski-mobiilisovellus ja julkinen sivusto ronski.app.
Ei sisälly: löydökset, jotka ovat vain kolmansien osapuolten palveluissa (Cloudflare, Oracle Cloud, Microsoft Azure, Expo, Zoho) ja jotka tulee ilmoittaa kyseisille palveluntarjoajille; puuttuvat hyvät käytännöt otsakkeissa ilman osoitettua vaikutusta; automaattisten skannerien raportit ilman näyttöä vaikutuksesta; sekä vanhentuneiden sovellusten ja laitteiden haavoittuvuudet.

Palkkiot ja maininta

Emme voi maksaa palkkioita. Voimme kiittää sinua nimellä kunniataulussa, jos haluat, ja kerromme sinulle, kun korjaus on julkaistu.

Meidän osaltamme

Pidämme ilmoitukset luottamuksellisina, käytämme tietojasi vain ilmoituksen käsittelyyn ja kerromme sinulle lopputuloksen. Jos ongelma vaaransi jäsenten tietoja, noudatamme tietoturvaloukkausmenettelyämme ja ilmoitamme tietosuojavaltuutetulle ja jäsenille lain edellyttämällä tavalla.

Tämä sivu on koneluettavissa security.txt-tiedoston (RFC 9116) kautta. Tiedoston käytäntölinkki osoittaa tänne (SECURITY_POLICY_URL).