Segnalazione responsabile

Ultimo aggiornamento: 20 ottobre 2026

1. Introduzione

Le persone ci affidano i propri dati, la propria calligrafia e i nomi e gli indirizzi di chi scrivono. Se ritieni di aver trovato una vulnerabilità di sicurezza in Snailgram, vogliamo saperlo. Questa politica spiega come segnalarla, le regole che ti chiediamo di seguire mentre cerchi e cosa faremo noi in cambio.

È pubblicata da AWS, CYY & Co. Pty Ltd (ACN 686 116 245) in qualità di trustee per Mumu, Lulu & Co. (ABN 54 837 123 965), che gestisce Snailgram.

Non abbiamo un programma di bug bounty a pagamento e non paghiamo ricompense per le segnalazioni. Con il tuo permesso, ti ringrazieremo per nome su questa pagina una volta risolto il problema.

2. Ambito

Questa politica riguarda:

• il nostro sito web all'indirizzo snailgram.com.au, compresi lo studio dei biglietti e il pagamento,
• i servizi che stanno dietro al sito e che creano le copertine, salvano i design e i campioni di calligrafia e ricevono gli ordini, e
• le email che inviamo sugli ordini.

Non riguarda i servizi gestiti da terzi che utilizziamo, come Square, Australia Post, Amazon Web Services, Fastmail o Google. Segnala i problemi di quei servizi al fornitore interessato.

3. Come segnalare

Scrivi a support@snailgram.com.au con "Security" nell'oggetto. Includi per favore:

• una descrizione del problema e dell'impatto che ritieni abbia,
• la pagina, l'endpoint o la funzione interessata,
• istruzioni passo per passo per riprodurlo, con eventuale codice proof-of-concept, schermate o richieste, e
• come possiamo contattarti e se desideri essere ringraziato per nome.

Se trovi una chiave, una password o un altro segreto esposto, dillo subito e non usarlo. Se puoi, scrivi in inglese.

4. Cosa ti chiediamo

Quando cerchi e segnali una vulnerabilità, devi:

• fare test solo con ordini, design e campioni di calligrafia tuoi, o che hai il permesso del proprietario di usare,
• fermarti non appena raggiungi dati personali, messaggi, indirizzi o calligrafie che non sono tuoi, e dirci a cosa hai avuto accesso. Non copiarli, conservarli, modificarli o eliminarli, né condividerli con nessuno,
• non compromettere né interrompere il sito, anche con attacchi denial-of-service, test di carico o scansioni automatiche ad alto volume,
• non ordinare biglietti destinati a qualcuno senza il suo consenso, né contattare i nostri clienti, le persone a cui scrivono o il nostro team,
• non usare social engineering, phishing o attacchi fisici contro il nostro team, i nostri locali o i nostri fornitori,
• non usare la carta di pagamento o i dati di un'altra persona,
• fare solo ciò che serve per dimostrare che la vulnerabilità esiste,
• mantenere riservati i dettagli finché non abbiamo risolto il problema, o fino a 90 giorni dopo la tua segnalazione, a seconda di quale evento si verifichi per primo, salvo diverso accordo con noi, e
• rispettare la legge.

5. Cosa faremo noi

Quando segnali una vulnerabilità ai sensi di questa politica, noi:

• confermeremo la ricezione della tua segnalazione entro 2 giorni lavorativi,
• ti diremo se riusciamo a riprodurre il problema e ti terremo aggiornato sui progressi,
• cercheremo di risolvere una vulnerabilità confermata entro 90 giorni, e prima se mette a rischio dati personali, e
• ti diremo quando il problema è risolto e ti ringrazieremo per nome, se ce lo hai chiesto.

Se il problema ha riguardato dati personali, lo valuteremo e informeremo le persone interessate e l'Office of the Australian Information Commissioner, come descritto nella sezione 11 della nostra informativa sulla privacy.

6. Porto sicuro (safe harbour)

Se agisci in buona fede e segui questa politica, considereremo la tua ricerca autorizzata, non intraprenderemo azioni legali contro di te per essa e non ti segnaleremo alle forze dell'ordine. Se qualcun altro intraprende un'azione legale contro di te per una ricerca che rispettava questa politica, faremo sapere che l'avevamo autorizzata.

Questo non vale se hai violato questa politica, hai avuto accesso a più di quanto necessario o hai chiesto un pagamento in cambio del silenzio su un problema. Se non sei sicuro che una cosa che intendi fare sia consentita, chiedicelo prima a support@snailgram.com.au.

7. Cosa non consideriamo una vulnerabilità

In genere i casi seguenti non rientrano in questa politica, a meno che tu non riesca a dimostrare un impatto reale sulla sicurezza del sito o delle persone che lo usano:

• segnalazioni di scanner automatici senza un proof of concept funzionante,
• intestazioni di sicurezza, flag dei cookie o record di autenticazione email (SPF, DKIM, DMARC) mancanti, da soli,
• clickjacking su pagine che non hanno alcuna azione che possa causare danni,
• self-XSS, o problemi che richiedono l'accesso fisico al dispositivo sbloccato di qualcuno,
• far sì che il generatore di copertine crei un'immagine inattesa o inadatta, a meno che non esponga dati di qualcun altro o aggiri il pagamento,
• divulgazione della versione del software, o assenza di limiti di frequenza su azioni senza conseguenze per la sicurezza, e
• denial of service e vulnerabilità nei servizi di terze parti elencati nella sezione 2.

8. Modifiche a questa politica

Possiamo modificare questa politica pubblicando una nuova versione su questa pagina e aggiornando la data in alto. Alla tua segnalazione si applica la versione pubblicata nel momento in cui la fai.