Politica di divulgazione delle vulnerabilità

Ultimo aggiornamento: 25 ottobre 2026 (versione 1.1).

1. Finalità

GlobeID Limited ("GlobeID") gestisce la piattaforma PassportScan, che tratta dati identificativi degli ospiti di hotel per conto di strutture ricettive. Apprezziamo il lavoro dei ricercatori di sicurezza e desideriamo essere informati di qualsiasi vulnerabilità che possa mettere a rischio tali dati, i nostri clienti o i nostri utenti.

La presente politica illustra come segnalarci una vulnerabilità di sicurezza, cosa potete aspettarvi da noi e le regole applicabili durante i test. Essa supporta il sistema di gestione della sicurezza delle informazioni di GlobeID (controlli ISO/IEC 27001:2022 A.5.7 Threat intelligence e A.8.8 Gestione delle vulnerabilità tecniche).

2. Ambito di applicazione

Incluso nell'ambito

• Le applicazioni web e le API di PassportScan Cloud pubblicate su app.passportscan.net, api.passportscan.net, workspace.passportscan.net, distributor.passportscan.net e selfcheckin.passportscan.net
• Le applicazioni mobili PassportScan pubblicate da GlobeID su Apple App Store e Google Play
• Il flusso web di self check-in di PassportScan utilizzato dagli ospiti
• Il sito web pubblico https://www.passportscan.net

Escluso dall'ambito

• Sistemi gestiti da terzi (console dei fornitori cloud, fornitore di servizi di pagamento, fornitore di identità, sistemi di property management integrati dai clienti)
• Infrastruttura VPN (incluso vpn.passportscan.net) e qualsiasi nome host a uso esclusivamente interno sotto passportscan.net non elencato come incluso nell'ambito
• Dispositivi, reti e installazioni on-premise di proprietà dei clienti
• Ingegneria sociale, phishing o attacchi fisici contro il personale, i collaboratori esterni o i clienti di GlobeID
• Test di tipo denial-of-service o di esaurimento delle risorse di qualsiasi natura
• Scansioni automatizzate che generano volumi elevati di traffico (la nostra infrastruttura perimetrale applica limiti di frequenza e blocca le fonti abusive)
• Risultanze che riguardano esclusivamente browser obsoleti o che richiedono un dispositivo compromesso
• Segnalazioni relative all'assenza di header raccomandati dalle best practice, alla configurazione SPF/DMARC o alla divulgazione di versioni, senza un impatto dimostrato

3. Come effettuare una segnalazione

Inviate la vostra segnalazione a security@passportscan.net. Vi preghiamo di includere:

• una descrizione della vulnerabilità e del componente interessato (URL, versione dell'app, endpoint)
• istruzioni dettagliate passo per passo per riprodurla, con richieste/risposte o schermate ove utili
• la vostra valutazione dell'impatto
• le modalità con cui possiamo contattarvi per il seguito (sono accettate segnalazioni anonime)

Se la segnalazione contiene dati personali di ospiti o clienti, inviate solo il minimo necessario a dimostrare il problema ed eliminate ogni copia non appena avremo confermato la ricezione.

Un riferimento leggibile da macchina alla presente politica è pubblicato all'indirizzo https://www.passportscan.net/.well-known/security.txt (RFC 9116).

4. Cosa potete aspettarvi da noi

Qualora una vulnerabilità comporti, o sia suscettibile di comportare, una violazione di dati personali, GlobeID segue la propria Procedura di risposta agli incidenti e di gestione delle violazioni di dati, che include la notifica ai clienti interessati (titolari del trattamento) senza ingiustificato ritardo e all'autorità di controllo entro 72 ore ove richiesto dall'art. 33 del GDPR.

5. Regole di ingaggio (safe harbour)

Non intraprenderemo azioni legali, né vi segnaleremo alle autorità di polizia, per attività di ricerca sulla sicurezza conformi alla presente politica. In cambio vi chiediamo di:

• agire in buona fede ed evitare violazioni della privacy, distruzione di dati e interruzioni del servizio
• interrompere i test e segnalare immediatamente non appena incontrate dati personali (documenti di identità, registrazioni degli ospiti) — non scaricarli, conservarli o condividerli
• utilizzare esclusivamente account di vostra proprietà o che siete esplicitamente autorizzati a utilizzare; non tentare di accedere ai dati di altri clienti
• non sfruttare una vulnerabilità oltre quanto necessario a dimostrarla (nessun pivoting, persistenza o movimento laterale)
• non eseguire test di tipo denial-of-service, brute-force o spam
• mantenere riservati i dettagli della vulnerabilità finché non l'avremo risolta e non avremo concordato la divulgazione

L'ambiente di produzione di GlobeID è monitorato (web application firewall, registrazione delle richieste e sistemi di allerta). I test che violano queste regole possono essere bloccati automaticamente e trattati come un attacco.

6. Divulgazione coordinata

Chiediamo un periodo di 90 giorni dalla conferma di ricezione prima di qualsiasi divulgazione pubblica, prorogabile di comune accordo qualora una correzione richieda il coordinamento con un terzo (ad esempio il rilascio su uno store di applicazioni mobili o un'integrazione di un cliente). Su richiesta, saremo lieti di riconoscere il contributo dei ricercatori nelle nostre note di rilascio.

7. Riconoscimento

GlobeID non gestisce attualmente un programma di bug-bounty retribuito. Riconosciamo pubblicamente le segnalazioni valide (con il vostro consenso) e possiamo, a nostra discrezione, offrire un segno di apprezzamento per le scoperte di elevato impatto.

8. La nostra gestione delle vulnerabilità

Indipendentemente dalle segnalazioni esterne, GlobeID:

• esegue la scansione di ogni immagine container alla ricerca di vulnerabilità note al momento del suo caricamento nel registro delle immagini e verifica le dipendenze di terze parti nell'ambito del processo di rilascio
• applica una politica di patching basata sul rischio con gli obiettivi di risoluzione indicati nella sezione 4
• commissiona periodicamente test di penetrazione indipendenti della piattaforma
• registra tutti i risultati nel proprio registro delle vulnerabilità, sottoposto a revisione da parte dell'Information Security Officer

9. Contatti

Segnalazioni di sicurezza: security@passportscan.net Questioni relative alla privacy: privacy@passportscan.net Entità giuridica: GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irlanda (CRO 559612)