Verantwoorde openbaarmaking

Laatst bijgewerkt: 20 oktober 2026

1. Inleiding

Mensen vertrouwen ons hun eigen gegevens toe, hun handschrift en de namen en adressen van de mensen aan wie ze schrijven. Denk je dat je een beveiligingskwetsbaarheid in Snailgram hebt gevonden, dan willen we dat graag horen. Dit beleid legt uit hoe je er een meldt, welke regels we vragen te volgen terwijl je zoekt en wat wij in ruil daarvoor doen.

Het wordt gepubliceerd door AWS, CYY & Co. Pty Ltd (ACN 686 116 245) als trustee voor Mumu, Lulu & Co. (ABN 54 837 123 965), die Snailgram beheert.

Wij hebben geen betaald bugbountyprogramma en betalen geen beloningen voor meldingen. Met jouw toestemming bedanken we je met naam op deze pagina zodra het probleem is opgelost.

2. Reikwijdte

Dit beleid heeft betrekking op:

• onze website op snailgram.com.au, inclusief de kaartstudio en het afrekenen,
• de diensten erachter die voorkanten maken, ontwerpen en handschriftvoorbeelden opslaan en bestellingen aannemen, en
• de e-mails die we sturen over bestellingen.

Het geldt niet voor diensten van anderen die wij gebruiken, zoals Square, Australia Post, Amazon Web Services, Fastmail of Google. Meld problemen daarin bij de betreffende aanbieder.

3. Hoe te melden

Mail support@snailgram.com.au met "Security" in de onderwerpregel. Vermeld alsjeblieft:

• een beschrijving van het probleem en de impact die het volgens jou heeft,
• de pagina, het eindpunt of de functie die het betreft,
• stapsgewijze instructies om het te reproduceren, met eventuele proof-of-concept-code, schermafbeeldingen of verzoeken, en
• hoe we contact met je kunnen opnemen, en of je met naam bedankt wilt worden.

Vind je een blootgestelde sleutel, een wachtwoord of een ander geheim, meld dat dan meteen en gebruik het niet. Schrijf bij voorkeur in het Engels als dat kan.

4. Wat we van je vragen

Bij het zoeken naar en melden van een kwetsbaarheid moet je:

• alleen testen met bestellingen, ontwerpen en handschriftvoorbeelden die van jou zijn, of waarvoor je toestemming van de eigenaar hebt,
• stoppen zodra je persoonsgegevens, berichten, adressen of handschrift tegenkomt die niet van jou zijn, en ons vertellen wat je hebt ingezien. Kopieer, bewaar, wijzig of verwijder het niet, en deel het met niemand,
• de site niet verslechteren of onderbreken, ook niet via denial-of-service-aanvallen, belastingtests of geautomatiseerd scannen op grote schaal,
• geen kaarten bestellen voor iemand zonder diens toestemming, en geen contact opnemen met onze klanten, de mensen aan wie zij schrijven of ons team,
• geen social engineering, phishing of fysieke aanvallen gebruiken tegen ons team, onze panden of onze aanbieders,
• de betaalkaart of gegevens van een ander niet gebruiken,
• alleen doen wat nodig is om aan te tonen dat de kwetsbaarheid bestaat,
• de details vertrouwelijk houden tot we het probleem hebben opgelost, of tot 90 dagen na je melding, wat het eerst komt, tenzij we met jou iets anders afspreken, en
• je aan de wet houden.

5. Wat wij doen

Als je op grond van dit beleid een kwetsbaarheid meldt, zullen wij:

• je melding binnen 2 werkdagen bevestigen,
• je laten weten of we het probleem kunnen reproduceren, en je op de hoogte houden van de voortgang,
• ernaar streven een bevestigde kwetsbaarheid binnen 90 dagen te verhelpen, en eerder wanneer persoonsgegevens gevaar lopen, en
• je laten weten wanneer het probleem is opgelost, en je met naam bedanken als je daarom hebt gevraagd.

Als het probleem persoonsgegevens betrof, beoordelen we het en stellen we de getroffen mensen en het Office of the Australian Information Commissioner op de hoogte, zoals beschreven in artikel 11 van ons privacybeleid.

6. Veilige haven

Als je te goeder trouw handelt en dit beleid volgt, beschouwen we je onderzoek als toegestaan, ondernemen we daarvoor geen juridische stappen tegen je en melden we je niet bij de politie of justitie. Neemt iemand anders juridische stappen tegen je voor onderzoek dat dit beleid volgde, dan maken we bekend dat wij het hebben toegestaan.

Dit geldt niet als je dit beleid hebt overtreden, meer hebt ingezien dan nodig was of betaling hebt gevraagd in ruil voor het niet openbaar maken van een probleem. Weet je niet zeker of iets wat je van plan bent is toegestaan, vraag het ons dan eerst via support@snailgram.com.au.

7. Wat wij niet als kwetsbaarheid beschouwen

Het volgende valt over het algemeen buiten dit beleid, tenzij je een echte impact kunt aantonen op de veiligheid van de site of de mensen die hem gebruiken:

• meldingen van geautomatiseerde scanners zonder werkende proof of concept,
• ontbrekende beveiligingsheaders, cookievlaggen of e-mailauthenticatiegegevens (SPF, DKIM, DMARC) op zichzelf,
• clickjacking op pagina's zonder actie die schade kan veroorzaken,
• self-XSS, of problemen waarvoor fysieke toegang tot het ontgrendelde apparaat van iemand nodig is,
• de voorkantgenerator een onverwachte of ongeschikte afbeelding laten maken, tenzij dit andermans gegevens blootlegt of de betaling omzeilt,
• het prijsgeven van softwareversies, of ontbrekende limieten op acties zonder beveiligingsgevolgen, en
• denial of service, en kwetsbaarheden in de diensten van derden die in artikel 2 worden genoemd.

8. Wijzigingen in dit beleid

We kunnen dit beleid wijzigen door een nieuwe versie op deze pagina te publiceren en de datum bovenaan bij te werken. De versie die geldt op het moment dat je een melding doet, is van toepassing op die melding.