Segurança e divulgação responsável
Levamos a segurança desta plataforma e dos dados de saúde dos pacientes a sério. Se você encontrou uma possível vulnerabilidade, agradecemos o relato e pedimos que siga as regras abaixo.
Como relatar
Escreva para seguranca@iisa.com.br (o mesmo contato do arquivo /.well-known/security.txt). Descreva o problema, os passos para reproduzir e o impacto que você observou. Não inclua dados pessoais ou de saúde de terceiros no relato.
Confirmamos o recebimento em até 3 dias úteis e mantemos você informado até a correção.
O que está no escopo
- Esta aplicação web e as suas rotas públicas e autenticadas.
- Falhas de autenticação, de autorização, de isolamento entre clínicas ou entre pacientes, e de exposição de dados.
O que não fazer
- Não acesse, copie, altere nem apague dados de pacientes ou de terceiros. Se encontrar dado de outra pessoa, pare, não guarde nada e relate.
- Teste apenas com contas que sejam suas.
- Não faça ataques de negação de serviço, testes automatizados em volume, engenharia social, phishing nem ataques físicos.
- Não teste a infraestrutura dos nossos fornecedores.
- Não divulgue a vulnerabilidade antes de ela ser corrigida.
Nosso compromisso
Não tomaremos medidas legais contra quem relatar de boa-fé e seguir esta política. Não oferecemos recompensa financeira.
Security and responsible disclosure
If you found a possible vulnerability, please report it to seguranca@iisa.com.br (also listed in /.well-known/security.txt), with steps to reproduce and the impact you observed. Do not include personal or health data of third parties. We acknowledge reports within 3 business days.
- In scope: this web application, including authentication, authorization, isolation between clinics or between patients, and data exposure.
- Do not access, copy, change or delete patient or third-party data; if you come across someone else's data, stop, keep nothing and report it. Test only with your own accounts.
- No denial of service, high-volume automated testing, social engineering, phishing or physical attacks; do not test our vendors' infrastructure; do not disclose before a fix.
- We will not take legal action against good-faith research that follows this policy. There is no bug bounty.