VIARIS

Odpowiedzialne ujawnianie

Jak zgłosić podatność do Viaris / RAENBI GROUP BV: kanał, odcisk PGP, zakres, skoordynowany harmonogram i belgijskie ramy skoordynowanego ujawniania.

Ostatnia weryfikacja
11 października 2026

W skrócie

  • Proszę zgłosić podatność w jednym uporządkowanym e-mailu na security@autovig.eu z „security report” w temacie; zakres obejmuje viaris.eu, wygenerowane pliki i proces zgody na pliki cookie.
  • Proszę użyć opublikowanego odcisku PGP i klucza publicznego; Autovig i Viaris mają jeden kanał CVD tego samego administratora.
  • Badania w dobrej wierze w zakresie są autoryzowane przez administratora; ustawowe wyłączenie z art. 23 belgijskiej ustawy NIS2 wymaga ponadto zgłoszenia do CCB (CERT.be) w ciągu 24 i 72 godzin.

RAENBI GROUP BV (marki Viaris i Autovig) z zadowoleniem przyjmuje badania bezpieczeństwa prowadzone w dobrej wierze na jej publicznych zasobach. Niniejsza polityka jest polityką administratora dotyczącą skoordynowanego ujawniania podatności (CVD). Ma zastosowanie do viaris.eu i jest spójna z kanałem CVD Autovig tego samego administratora.

1. Kanał zgłoszeń

Jeśli nie mogą się Państwo z nami skontaktować lub nie otrzymają potwierdzenia w poniższych terminach, zgłoszenie można przekazać do:

Zgłoszenia przyjmujemy po angielsku, francusku, niemiecku, niderlandzku, rumuńsku lub polsku.

2. Zakres

W zakresie:

  • viaris.eu i każda subdomena udostępniająca treści produkcyjne;
  • wygenerowane pliki statycznej witryny: HTML, CSS, pakiety JS i publikowane przez nas dane strukturalne;
  • proces zgody na pliki cookie i przechowywanie zgody na urządzeniu.

Poza zakresem:

  • witryny zewnętrznych operatorów — prosimy zgłaszać bezpośrednio do nich;
  • problemy wymagające przejętej przeglądarki, złośliwego rozszerzenia lub fizycznego dostępu do urządzenia;
  • wyniki automatycznych skanerów bez jasnego, możliwego do wykazania wpływu na bezpieczeństwo;
  • zgłoszenia brakujących dobrych praktyk bez wykazanego ryzyka możliwego do wykorzystania.

3. Treść zgłoszenia

Przydatne zgłoszenie zawiera jasny opis, adresy URL, których dotyczy, kroki pozwalające odtworzyć problem, ocenę wpływu oraz ewentualny dowód koncepcji ograniczony do tego, co niezbędne do wykazania problemu.

4. Nasze zobowiązania

  • Potwierdzenie w ciągu 5 dni roboczych.
  • Ocena wagi w ciągu 10 dni roboczych.
  • Cel: usunięcie lub ograniczenie problemu w ciągu 90 dni w ramach skoordynowanego ujawniania, chyba że złożoność wymaga dłuższego terminu, o którym poinformujemy.
  • Nie prowadzimy płatnego programu bug bounty; na życzenie możemy wymienić Państwa publicznie.

5. Ochrona i belgijskie ramy prawne

Badania w dobrej wierze, które mieszczą się w zakresie niniejszej polityki i nie naruszają prywatności, nie zakłócają usługi ani nie prowadzą do wyprowadzania danych ponad to, co niezbędne do wykazania problemu, traktujemy jako autoryzowane przez nas jako administratora wskazanych zasobów. Ta autoryzacja nie wiąże organów publicznych ani osób trzecich.

Niezależnie od tego art. 23 belgijskiej ustawy z 26 kwietnia 2024 r. (belgijskiej ustawy NIS2) zwalnia osoby zgłaszające potencjalną podatność w trybie jej art. 22 z odpowiedzialności za niektóre przestępstwa, w tym nieuprawniony dostęp do systemu informatycznego, jeśli spełnią wszystkie warunki — m.in. zgłoszenie uproszczone do nas i do CCB w ciągu 24 godzin od wykrycia, zgłoszenie pełne w ciągu 72 godzin, wyłącznie proporcjonalne działania i brak publicznego ujawnienia bez zgody CCB. Punktem odniesienia jest strona CVD CCB: https://ccb.belgium.be/regulation/cvdp.

6. Prywatność zgłoszeń

Dane zgłoszeń są przetwarzane na podstawie art. 6 ust. 1 lit. f) RODO na potrzeby skoordynowanego ujawniania. Szczegóły w Polityce prywatności. Zamknięte zgłoszenia przechowujemy do 5 lat.

Źródła

Powiązane strony prawne