Programa de Divulgação de Vulnerabilidades

Este programa permite que você reporte, com segurança e boa-fé, vulnerabilidades que possam afetar a plataforma ou os dados dos usuários. Não é, no momento, um programa de recompensa financeira (bug bounty), mas reconhecemos publicamente contribuições relevantes, quando autorizado.

• prismacrm.com.br e seus subdomínios (incluindo api.prismacrm.com.br);
• vulnerabilidades com impacto real na confidencialidade, integridade ou disponibilidade dos dados ou da infraestrutura.

• ataques de negação de serviço (DoS/DDoS), força bruta, spam ou testes de carga;
• varreduras automatizadas sem prova de impacto real;
• self-XSS, clickjacking sem impacto demonstrável, ausência de cabeçalhos de segurança isoladamente;
• engenharia social contra funcionários ou usuários;
• acesso a dados que não sejam seus por meio de contas que você não controla legitimamente.

• não acesse, modifique ou exclua dados de terceiros — use apenas contas de teste próprias;
• não degrade nem interrompa o serviço;
• não divulgue publicamente a falha antes de corrigirmos e autorizarmos;
• forneça detalhes suficientes para reproduzir o problema.

Pesquisas de segurança conduzidas de boa-fé, dentro do escopo e das regras acima, são consideradas autorizadas. Não iniciaremos ação legal contra quem seguir estas diretrizes e agir de forma responsável. Se, durante a pesquisa, você acessar dados pessoais inadvertidamente, interrompa imediatamente e nos avise.

Envie o relatório para legal@prismacrm.com.br, incluindo: descrição da falha, passos para reproduzir, impacto potencial e, se possível, evidências (capturas, requisições). Trate os dados encontrados com confidencialidade.

• Primeiro contato: até 3 (três) dias úteis após o recebimento;
• Triagem inicial: até 10 (dez) dias úteis;
• manteremos você informado sobre o andamento da correção.

Com sua autorização, reconhecemos publicamente pesquisadores que contribuíram com divulgações responsáveis. Obrigado por ajudar a manter a plataforma segura.