Sicurezza

Segnalare una vulnerabilità

Dove inviarla, che cosa includere e il nostro impegno a non agire nei confronti di chi fa ricerca in buona fede.

Invii le segnalazioni di sicurezza a security@afer.app. È un unico indirizzo, letto dalle persone in grado di risolvere il problema. Scriva in modo semplice; una prova funzionante vale più di una lunga relazione. Riceverà una risposta di conferma della ricezione e una persona di riferimento fino alla chiusura della segnalazione. Se non può usare l'email, può utilizzare anche il modulo di richiesta di assistenza su questo sito.

• che cosa ha trovato, e che cosa qualcuno potrebbe farne
• dove si trova: l'indirizzo, l'app e la sua versione, la piattaforma
• i passaggi per riprodurlo, nell'ordine
• screenshot, una breve registrazione, oppure le richieste e le risposte
• il nome o lo pseudonimo con cui desidera essere citato, oppure nessuno

Se svolge la sua ricerca in buona fede e resta entro l'ambito indicato di seguito, non intraprenderemo azioni legali nei suoi confronti per i test effettuati, non chiederemo ad altri di farlo e non la denunceremo per questo. Se ne ha bisogno, lo confermeremo per iscritto. Buona fede significa che utilizza i propri account, acquisisce solo i dati necessari a dimostrare quanto rilevato, si ferma non appena ha la prova e ci concede il tempo di porre rimedio prima di pubblicare.

Questo impegno termina dove termina la ricerca. Estorsione, minacce, vendita di una scoperta, modifica o cancellazione dei dati di altre persone e utilizzo di un account violato non sono ricerca, e li trattiamo come frode. Inoltre non possiamo impegnarci per conto di terzi. Se i suoi test coinvolgono un servizio che non gestiamo, si applicano le regole di quel fornitore. Ce lo segnali comunque e trasmetteremo ciò che possiamo.

Ambito

Quali app, domini e API rientrano nell'ambito e che cosa ne è escluso.

Rientrano nell'ambito: afer.app e le pagine pubblicate sotto questo dominio, l'app Afër per iOS e Android, l'app per esercenti, l'app per autisti e l'API pubblica su cui si basano tutte. Se un normale utente, esercente o autista può raggiungerlo, vogliamo saperlo. Ciò comprende le parti del sito che ricevono dati da lei, come il modulo di richiesta di assistenza, il banner per il consenso e il cookie della lingua.

• ingegneria sociale ai danni del nostro personale, degli esercenti, degli autisti, dei corrieri o degli utenti
• attacchi fisici a uffici, veicoli, dispositivi o persone
• attacchi di tipo denial of service, test di carico o qualsiasi azione che degradi il servizio attivo
• segnalazioni costituite unicamente dall'output di scanner automatici, senza un impatto dimostrato
• servizi che non gestiamo, compresi gli app store e il nostro fornitore di servizi di pagamento

Effettui i test sui propri account e sui propri dati. Non effettui un ordine reale, non richieda una corsa reale e non prenoti un'ispezione per dimostrare qualcosa, e non induca un esercente attivo a svolgere un lavoro che gli costa denaro. Non legga la chat, la ricevuta o la registrazione della corsa di un'altra persona; i numeri di telefono mascherati restano mascherati. Se una scoperta può essere dimostrata solo con i dati di qualcun altro, si fermi lì e la descriva, e predisporremo insieme a lei un account di prova.

Tempi di risposta

Obiettivi di conferma della ricezione, valutazione e risoluzione.

Confermiamo la ricezione di ogni segnalazione inviata a security@afer.app entro due giorni lavorativi e completiamo la valutazione entro cinque. La valutazione le fornisce tre elementi: un livello di gravità, una decisione sul fatto che quanto rilevato rientri nell'ambito e il nome della persona che se ne occupa. Se non riusciamo a riprodurre il problema, glielo diciamo e le chiediamo che cosa ci è sfuggito, anziché chiudere la segnalazione senza dire nulla. Confermiamo la ricezione anche dei duplicati, e le indichiamo quale segnalazione è arrivata per prima. I tempi seguenti sono gli obiettivi a cui lavoriamo, non garanzie.

• critica, come la presa di controllo di un account o lo spostamento di denaro senza consenso: contenimento immediato, risoluzione entro sette giorni
• alta: risoluzione entro trenta giorni
• media: risoluzione entro novanta giorni
• bassa: risoluzione in un aggiornamento ordinario, e le indichiamo quale
• qualsiasi obiettivo che non riusciremo a rispettare: glielo comunichiamo prima della scadenza, con una nuova data

Queste tempistiche sono distinte da quelle dell'assistenza. L'assistenza si propone di rispondere alle segnalazioni relative alla sicurezza personale entro un'ora, di giorno e di notte, a pagamenti e rimborsi entro lo stesso giorno lavorativo e a tutto il resto entro un giorno lavorativo. Se quanto ha scoperto sta mettendo in pericolo una persona specifica in questo momento, non aspetti nella coda delle segnalazioni di sicurezza. Usi SOS nell'app o scriva a support@afer.app indicando che è urgente.

Sicurezza dell'account

Verifica del telefono, gestione delle sessioni e ciò che non le chiederemo mai.

Il suo account è collegato al suo numero di telefono. L'accesso invia un codice monouso a quel numero, e un nuovo dispositivo deve ricevere un nuovo codice prima di vedere qualsiasi cosa. Le sessioni restano aperte sui dispositivi che ha già autorizzato, quindi è bene sapere quali sono quei telefoni. L'eliminazione dell'account da Impostazioni chiude anche quelle sessioni e rimuove il suo profilo e i suoi dati personali.

• il codice monouso inviato al suo telefono, mai, per nessun motivo
• una password, perché l'account non ne utilizza
• il numero completo della sua carta, in chat, via email o al telefono
• un pagamento per sbloccare un rimborso, un versamento o il saldo del portafoglio
• l'accesso remoto al suo telefono, o la condivisione dello schermo del suo portafoglio

Chiunque le chieda una di queste cose non siamo noi, qualunque cosa indichino il numero del chiamante o il logo. La vera assistenza la contatta tramite Assistenza nell'app, tramite support@afer.app o in risposta a una richiesta che ha aperto sul sito, riportando il codice di riferimento che le è stato fornito. Se qualcuno la chiama dichiarando di essere Afër e le chiede il codice, chiuda la chiamata e ce lo segnali.

Ci avvisi tempestivamente se perde il telefono, perde il numero o nota un pagamento che non ha effettuato. Possiamo sospendere un account mentre verifichiamo, e i problemi di pagamento ricevono risposta entro lo stesso giorno lavorativo. Una frode accertata azzera il punteggio di affidabilità di quel profilo e comporta la chiusura dell'account. Il punteggio si basa sulla verifica, sulle transazioni completate, sulle valutazioni, sull'anzianità dell'account e sulle ispezioni superate, e il titolare dell'account non può modificarlo.

Sicurezza dei pagamenti

Come vengono gestiti il saldo del portafoglio e le ricariche con carta, e il sistema del codice QR monouso.

Il portafoglio è prepagato e ogni servizio viene regolato dallo stesso saldo. È un limite voluto: il massimo a cui chiunque può arrivare tramite l'app è ciò che lei ha caricato, non il conto bancario che sta dietro. Le ricariche con carta passano attraverso il nostro fornitore di servizi di pagamento. Il denaro caricato può tornare solo sulla carta da cui proviene, mai su un conto bancario o su un'altra carta, e i guadagni vengono accreditati solo sul conto bancario registrato di chi li ha guadagnati, mai su un conto che qualcuno le indica in chat.

Il pagamento di persona alla cassa utilizza un codice QR monouso mostrato nell'app per esercenti. Il codice corrisponde a un solo pagamento, per quell'importo, e una volta utilizzato non è più valido, quindi una foto dello schermo non vale più nulla. Nessuno che lavora tramite Afër può chiederle denaro al di fuori dell'app: dove il pagamento in contanti alla consegna è accettato, lei consegna esattamente l'importo mostrato dall'app, e nulla di più.

Ogni pagamento genera una ricevuta dettagliata nel portafoglio, con la tariffa indicata separatamente, così un addebito che non riconosce è facile da individuare. Ha 14 giorni da un ordine, una corsa o un acquisto per aprire una contestazione, e nessun termine per una segnalazione relativa alla sicurezza o per il denaro che stiamo ancora trattenendo. Finché una pratica è aperta, l'importo resta trattenuto, non liquidato, e i rimborsi tornano sul saldo del portafoglio da cui provengono, di norma entro pochi minuti da una decisione.

Protezione dei dati

Cifratura in transito e a riposo, controllo degli accessi e registri di audit.

Il traffico tra il suo dispositivo e Afër è cifrato in transito, e i dati che conserviamo sono cifrati nel luogo in cui sono archiviati: dati dell'account, registrazioni delle transazioni, dati del dispositivo, messaggi all'assistenza e la posizione che raccogliamo mentre un servizio è in corso. La raccolta della posizione si interrompe quando il servizio termina. Teniamo i dati personali fuori dagli indirizzi web e da qualsiasi cosa che finirebbe altrimenti in un normale registro di sistema.

All'interno di Afër, l'accesso viene concesso in base al ruolo e alla necessità. Un operatore che gestisce la sua pratica vede l'ordine, la corsa o l'annuncio allegati, non i dati della sua carta né le pratiche di un collega. L'accesso ai sistemi che contengono dati personali viene registrato e i registri vengono esaminati. Un dipendente che apre una registrazione senza averne motivo viene trattato come un incidente di sicurezza, non come una svista.

• esportare tutto ciò che ci ha fornito, in un file in formato leggibile da dispositivo automatico
• eliminare l'account da Impostazioni, e con esso il profilo e i dati personali
• le registrazioni delle transazioni che la legge ci impone di conservare restano, senza i suoi dati di contatto
• i cookie di analisi su afer.app vengono installati solo dopo che ha scelto Accetta
• afer_lang memorizza un codice di lingua di due lettere e non è utilizzato a fini di analisi

L'invio di un modulo web viene conservato con un codice di riferimento, l'ora, il paese approssimativo di provenienza e l'indirizzo IP, che utilizziamo per prevenire gli abusi. Potremmo anteporre Cloudflare Turnstile a un modulo per distinguere le persone dai bot. Un invio viene conservato per il tempo necessario a gestire la sua richiesta e per un massimo di 24 mesi successivi.

Ringraziamenti

I ricercatori che hanno effettuato segnalazioni responsabili.

Citiamo i ricercatori che effettuano segnalazioni responsabili, con il loro consenso e mai senza. Ci indichi nella sua segnalazione come desidera comparire: un nome, uno pseudonimo, un'azienda o nulla. Può cambiare idea in seguito e rimuoveremo la voce. Non promettiamo alcun compenso per una segnalazione, e non negheremo una menzione perché una scoperta è stata imbarazzante per noi.

• il nome o lo pseudonimo scelto dal ricercatore
• il mese in cui la segnalazione ci è pervenuta
• il tipo di problema, descritto senza indicazioni per riprodurlo

L'elenco è aperto e parte vuoto. Si riempie man mano che arrivano segnalazioni, e una voce viene pubblicata una volta rilasciata la correzione e dopo che il ricercatore ne ha approvato la formulazione. Se ha effettuato una segnalazione e non compare nell'elenco, o vi compare e desidera che la voce venga rimossa, scriva a security@afer.app e provvederemo alla correzione entro un giorno lavorativo.