Divulgação responsável

Última atualização: 20 de outubro de 2026

1. Introdução

As pessoas confiam a nós seus próprios dados, sua caligrafia e os nomes e endereços de quem recebe os cartões. Se você acha que encontrou uma vulnerabilidade de segurança no Snailgram, queremos saber. Esta política explica como relatá-la, as regras que pedimos que você siga ao procurar e o que faremos em troca.

Ela é publicada pela AWS, CYY & Co. Pty Ltd (ACN 686 116 245), como administradora fiduciária (trustee) de Mumu, Lulu & Co. (ABN 54 837 123 965), que opera o Snailgram.

Não temos um programa pago de recompensas por bugs (bug bounty) e não pagamos recompensas por relatos. Com a sua permissão, agradeceremos a você pelo nome nesta página depois que o problema for corrigido.

2. Escopo

Esta política abrange:

• nosso site em snailgram.com.au, incluindo o estúdio de cartões e o checkout,
• os serviços por trás dele que criam capas, armazenam desenhos e amostras de caligrafia e recebem pedidos, e
• os e-mails que enviamos sobre pedidos.

Ela não abrange serviços operados por terceiros que usamos, como Square, Australia Post, Amazon Web Services, Fastmail ou Google. Relate problemas nesses serviços ao provedor responsável.

3. Como relatar

Escreva para support@snailgram.com.au com "Security" no assunto. Inclua:

• uma descrição do problema e do impacto que você acredita que ele tenha,
• a página, o endpoint ou o recurso afetado,
• instruções passo a passo para reproduzi-lo, com qualquer código de prova de conceito, capturas de tela ou requisições, e
• como podemos entrar em contato com você e se você gostaria de ser agradecido pelo nome.

Se você encontrar uma chave, senha ou outro segredo exposto, avise-nos imediatamente e não o utilize. Escreva em inglês, se puder.

4. O que pedimos de você

Ao procurar e relatar uma vulnerabilidade, você deve:

• testar apenas com pedidos, desenhos e amostras de caligrafia que sejam seus ou que você tenha permissão do dono para usar,
• parar assim que chegar a dados pessoais, mensagens, endereços ou caligrafia que não sejam seus e nos contar o que acessou. Não copie, guarde, altere nem exclua esses dados, nem os compartilhe com ninguém,
• não prejudicar nem interromper o site, inclusive com ataques de negação de serviço, testes de carga ou varreduras automatizadas em grande volume,
• não pedir cartões para ninguém sem o consentimento da pessoa, nem entrar em contato com nossos clientes, com as pessoas para quem eles escrevem ou com a nossa equipe,
• não usar engenharia social, phishing ou ataques físicos contra nossa equipe, instalações ou provedores,
• não usar o cartão de pagamento nem os dados de outra pessoa,
• fazer apenas o necessário para demonstrar que a vulnerabilidade existe,
• manter os detalhes em sigilo até corrigirmos o problema ou até 90 dias após o seu relato, o que ocorrer primeiro, a menos que combinemos algo diferente com você, e
• cumprir a lei.

5. O que faremos

Quando você relatar uma vulnerabilidade conforme esta política, nós:

• confirmaremos o recebimento do seu relato em até 2 dias úteis,
• diremos se conseguimos reproduzir o problema e manteremos você informado sobre o andamento,
• buscaremos corrigir uma vulnerabilidade confirmada em até 90 dias, e mais cedo quando ela colocar dados pessoais em risco, e
• avisaremos quando o problema for corrigido e agradeceremos a você pelo nome, se você pediu.

Se o problema envolver dados pessoais, vamos avaliá-lo e notificar as pessoas afetadas e o Office of the Australian Information Commissioner, conforme descrito na seção 11 da nossa política de privacidade.

6. Porto seguro

Se você agir de boa-fé e seguir esta política, trataremos sua pesquisa como autorizada, não tomaremos medidas legais contra você por causa dela e não denunciaremos você às autoridades. Se outra pessoa tomar medidas legais contra você por uma pesquisa que seguiu esta política, deixaremos claro que nós a autorizamos.

Isso não se aplica se você descumpriu esta política, acessou mais do que precisava ou pediu pagamento em troca de não divulgar um problema. Se não tiver certeza de que algo que pretende fazer é permitido, pergunte-nos antes em support@snailgram.com.au.

7. O que não tratamos como vulnerabilidade

Em geral, os itens a seguir ficam fora desta política, a menos que você consiga demonstrar um impacto real na segurança do site ou das pessoas que o usam:

• relatos de scanners automatizados sem uma prova de conceito funcional,
• ausência de cabeçalhos de segurança, flags de cookies ou registros de autenticação de e-mail (SPF, DKIM, DMARC), isoladamente,
• clickjacking em páginas sem nenhuma ação que possa causar dano,
• self-XSS ou problemas que exigem acesso físico ao dispositivo desbloqueado de alguém,
• fazer o gerador de capas criar uma imagem inesperada ou inadequada, a menos que isso exponha dados de outra pessoa ou contorne o pagamento,
• divulgação de versão de software ou ausência de limites de requisições em ações sem consequência de segurança, e
• negação de serviço e vulnerabilidades nos serviços de terceiros listados na seção 2.

8. Alterações nesta política

Podemos alterar esta política publicando uma nova versão nesta página e atualizando a data no topo. A versão publicada quando você faz um relato é a que se aplica a esse relato.