Policy för Ansvarsfullt Avslöjande

Scope

Följande kategorier omfattas av Securitas Responsible Disclosure Program:

• OWASP Top 10 Vulnerabilities
• Server-Side Request Forgery (SSRF) — Must include evidence beyond basic interaction (e.g., external server response via Burp Collaborator or equivalent)
• Remote Code Execution (RCE)
• Account Takeover (ATO)
• Authentication Bypass
• Information Disclosure
• Stored Cross-Site Scripting (Stored XSS)

Vänligen notera att ovan lista inte ska läsas som uttömmande och att Securitas förbehåller sig rätten att ändra ovan lista när som helst och av vilken anledning som helst.

Out of Scope

Följande kategorier omfattas inte av Securitas Responsible Disclosure Program och rapporter som rör dessa kategorier berättigar således inte till kompensation:

• Clickjacking
• Open redirects
• Reports of Publicly Known (Published) CVEs
• Rate limiting tests involving fewer than 101 requests
• Rate limiting on email subscription or signup forms
• UI injection

Villkor för Ansvarsfullt Avslöjande

Vi vill härmed informera dig om att när du skickar in en rapport i enlighet med vårt Responsible Disclosure Program så accepterar du att vara bunden av och att efterleva våra Villkor för Ansvarsfullt Avslöjande. Vi uppmanar dig att läsa dessa villkor noggrant innan du lämnar in någon rapport, eftersom de innehåller viktig information om dina rättigheter (såsom din möjliga rätt till belöning) och skyldigheter. Klicka här för att läsa våra Villkor för Ansvarsfullt Avslöjande. Vänligen notera att villkoren endast tillhandahålls på engelska. Om du har några frågor om vårt Responsible Disclosure Program, vänligen kontakta oss på responsible.disclosure@securitas.com. 

Personuppgiftsbehandling

När du skickar in en rapport till oss kommer vi att behandla dessa personuppgifter samt eventuella ytterligare uppgifter som samlas in under eller efter hanteringen av den aktuella sårbarheten. Securitas Intelligent Services AB är personuppgiftsansvarig för behandling av personuppgifterna och personuppgifterna behandlas inom vårt berättigade intresse av nätverks samt informationssäkerhet. Vi använder dina personuppgifter för att kommunicera med dig under samt efter processen, för att betala ut en eventuell belöning samt att, om du godkänt detta, ange dig som upptäckare av sårbarheten i den officiella kommunikationen. Vi kommer behålla dina personuppgifter under så lång tid som behövs beroende på sårbarhetens känslighet samt så länge som är nödvändig på grund av lag (om vi betalar ut en belöning till dig har vi en legal skyldighet att behålla dokumentation kring betalningen). Som registrerad har du ett flertal rättigheter, för att utöva dessa rättigheter kontakta privacy@securitas.com eller vårt dataskyddsombud på dpo@securitas.com. Du har också rätt att framföra klagomål till Integritetsskyddsmyndigheten.