Segurança
O Kayru guarda dado de cliente de estúdio de tatuagem, inclusive ficha de saúde assinada. Se você encontrou uma falha, esta página diz como contar.
Como relatar
Escreva para contato@kayru.com.br com a palavra segurança no assunto. Inclua o que permitir reproduzir: o endereço, o passo a passo, o que você esperava e o que aconteceu. Se preferir, escreva em inglês.
O que você recebe de volta
Não há programa de recompensa. O que existe é resposta: um aviso de recebimento em até 5 dias úteis e, se a falha procede, a correção e o aviso de que foi corrigida. O Kayru é operado por uma empresa pequena; não há plantão, e o prazo acima é o que dá para sustentar.
O que pedimos de você
- Não use dado de gente de verdade. Crie uma conta sua e teste nela.
- Pare ao confirmar que a falha existe. Não precisa provar o alcance lendo ou alterando dado de outro espaço. Se um acesso indevido acontecer sem intenção, conte na mesma mensagem.
- Não degrade o serviço: nada de carga, varredura agressiva, negação de serviço nem tentativa em massa de senha ou token.
- Dê tempo antes de publicar: 90 dias, ou menos se a correção sair antes. Se discordar do prazo, diga na mensagem em vez de decidir sozinho.
- Não pague pela informação de ninguém, e nada de engenharia social contra pessoas da equipe ou dos clientes, nem acesso físico. Isso não é teste de segurança.
Relato de boa-fé dentro disso não vira caso jurídico aqui.
Escopo
Dentro: kayru.ink, os subdomínios dele, e a aplicação que responde neles. Fora: serviços de terceiros (Stripe, Google, Meta e a hospedagem têm canal próprio — falha em como o Kayru USA cada um é conosco), relatório só de ferramenta automática sem impacto demonstrado, e ausência de cabeçalho sem um caminho de ataque concreto.
Pedido de titular (acesso, correção, eliminação) não é relato de segurança e tem outro caminho: a política de privacidade e o mesmo e-mail de contato.