Política de Divulgação de Vulnerabilidades

Última atualização: 25 de outubro de 2026 (versão 1.1).

1. Objetivo

A GlobeID Limited ("GlobeID") opera a plataforma PassportScan, que processa dados de identidade de hóspedes de hotéis em nome de prestadores de serviços de alojamento. Valorizamos o trabalho dos investigadores de segurança e queremos ser informados sobre qualquer vulnerabilidade que possa colocar em risco esses dados, os nossos clientes ou os nossos utilizadores.

Esta política explica como comunicar-nos uma vulnerabilidade de segurança, o que pode esperar de nós e as regras aplicáveis durante os testes. Esta política apoia o sistema de gestão de segurança da informação da GlobeID (controlos A.5.7 Informações sobre ameaças e A.8.8 Gestão de vulnerabilidades técnicas da norma ISO/IEC 27001:2022).

2. Âmbito

Dentro do âmbito

• As aplicações web e APIs do PassportScan Cloud publicadas em app.passportscan.net, api.passportscan.net, workspace.passportscan.net, distributor.passportscan.net e selfcheckin.passportscan.net
• As aplicações móveis PassportScan publicadas pela GlobeID na Apple App Store e no Google Play
• O fluxo web de self check-in do PassportScan utilizado pelos hóspedes
• O sítio web público https://www.passportscan.net

Fora do âmbito

• Sistemas operados por terceiros (consolas de fornecedores de serviços de computação em nuvem, prestador de serviços de pagamento, fornecedor de identidade, sistemas de gestão de propriedades integrados pelos clientes)
• Infraestrutura de VPN (incluindo vpn.passportscan.net) e quaisquer nomes de anfitrião de uso exclusivamente interno sob passportscan.net não indicados como estando dentro do âmbito
• Dispositivos, redes e instalações locais pertencentes aos clientes
• Engenharia social, phishing ou ataques físicos contra colaboradores, subcontratados ou clientes da GlobeID
• Testes de negação de serviço ou de esgotamento de recursos de qualquer tipo
• Análises automatizadas que gerem elevados volumes de tráfego (a nossa infraestrutura de perímetro limita a taxa de pedidos e bloqueia fontes abusivas)
• Constatações que afetem apenas navegadores desatualizados ou que exijam um dispositivo comprometido
• Comunicações relativas à ausência de cabeçalhos de boas práticas, à configuração de SPF/DMARC ou à divulgação de versões sem um impacto demonstrado

3. Como comunicar

Envie a sua comunicação para security@passportscan.net. Inclua, por favor:

• uma descrição da vulnerabilidade e do componente afetado (URL, versão da aplicação, endpoint)
• instruções passo a passo para a reproduzir, com pedidos/respostas ou capturas de ecrã, quando útil
• a sua avaliação do impacto
• a forma como podemos contactá-lo para seguimento (são aceites comunicações anónimas)

Se a comunicação contiver dados pessoais de hóspedes ou clientes, envie apenas o mínimo necessário para demonstrar o problema e elimine qualquer cópia assim que confirmarmos a receção.

Um apontador legível por máquina para esta política está publicado em https://www.passportscan.net/.well-known/security.txt (RFC 9116).

4. O que pode esperar de nós

Quando uma vulnerabilidade resulte, ou seja suscetível de resultar, numa violação de dados pessoais, a GlobeID segue o seu Procedimento de Resposta a Incidentes e Violações de Dados, incluindo a notificação dos clientes afetados (responsáveis pelo tratamento) sem demora injustificada e da autoridade de controlo no prazo de 72 horas, quando exigido pelo artigo 33.º do RGPD.

5. Regras de conduta (porto seguro)

Não intentaremos ações judiciais, nem o denunciaremos às autoridades policiais, por investigação de segurança realizada em conformidade com esta política. Em contrapartida, solicitamos que:

• atue de boa-fé e evite violações de privacidade, destruição de dados e interrupção do serviço
• interrompa os testes e comunique imediatamente assim que encontrar dados pessoais (documentos de identidade, registos de hóspedes) — não os descarregue, armazene ou partilhe
• utilize apenas contas de que seja titular ou que esteja expressamente autorizado a utilizar; não tente aceder a dados de outros clientes
• não explore uma vulnerabilidade para além do necessário para a demonstrar (sem pivotagem, persistência ou movimentação lateral)
• não realize testes de negação de serviço, de força bruta ou de spam
• mantenha os detalhes da vulnerabilidade confidenciais até que a tenhamos corrigido e tenhamos acordado a sua divulgação

O ambiente de produção da GlobeID é monitorizado (firewall de aplicações web, registo de pedidos e alertas). Os testes que violem estas regras podem ser bloqueados automaticamente e tratados como um ataque.

6. Divulgação coordenada

Solicitamos um período de 90 dias a contar da confirmação de receção antes de qualquer divulgação pública, prorrogável por mútuo acordo quando uma correção exigir coordenação com terceiros (por exemplo, o lançamento de uma versão numa loja de aplicações móveis ou uma integração de um cliente). Teremos todo o gosto em creditar os investigadores nas nossas notas de lançamento, mediante pedido.

7. Reconhecimento

A GlobeID não dispõe atualmente de um programa remunerado de recompensas por vulnerabilidades (bug bounty). Reconhecemos publicamente os relatórios válidos (com o seu consentimento) e podemos, a nosso critério, oferecer uma lembrança de agradecimento por descobertas de elevado impacto.

8. A nossa própria gestão de vulnerabilidades

Independentemente de relatórios externos, a GlobeID:

• analisa todas as imagens de contentores quanto a vulnerabilidades conhecidas no momento do seu envio para o registo de imagens e revê as dependências de terceiros como parte do processo de lançamento
• aplica uma política de correção baseada no risco, com os prazos de remediação indicados na secção 4
• encomenda testes de intrusão independentes e periódicos à plataforma
• regista todas as descobertas no seu registo de vulnerabilidades, revisto pelo Responsável pela Segurança da Informação

9. Contacto

Relatórios de segurança: security@passportscan.net Questões de privacidade: privacy@passportscan.net Entidade jurídica: GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irlanda (CRO 559612)