unopost

Política de divulgação responsável

Última atualização: 15 de outubro de 2026

Esta é uma tradução fornecida apenas para sua conveniência; o original em inglês está em https://unopost.com.au/responsible-disclosure e prevalece em caso de qualquer divergência.

1. Introdução

Recebemos com satisfação relatos de qualquer pessoa que acredite ter encontrado uma vulnerabilidade de segurança na Unopost. Esta Política de Divulgação Responsável explica como relatar uma vulnerabilidade, as regras que pedimos que você siga durante a investigação e o que faremos em contrapartida. Ela é publicada pela AWS, CYY & Co. Pty Ltd (ACN 686 116 245), na qualidade de Fiduciária (Trustee) de Mumu, Lulu & Co. (ABN 54 837 123 965), que opera a Unopost.

Não mantemos um programa de bug bounty pago e não pagamos recompensas por relatos. Com a sua permissão, agradeceremos a você nominalmente nesta página assim que o problema for corrigido.

2. Abrangência

Esta Política abrange:

Ela não abrange serviços operados por terceiros que utilizamos, como Square, Australia Post ou Amazon Web Services. Relate problemas nesses serviços ao respectivo fornecedor.

3. Como relatar

Envie um e-mail para support@unopost.com.au com “Security” no assunto. Inclua:

  • Uma descrição do problema e do impacto que você acredita que ele tem
  • A URL, o endpoint ou o recurso afetado
  • Instruções passo a passo para reproduzi-lo, com qualquer código de prova de conceito, capturas de tela ou requisições
  • Como podemos entrar em contato com você e se você gostaria de receber um agradecimento nominal

Se você encontrou uma chave, senha ou outro segredo exposto, avise-nos imediatamente e não o utilize. Se puder, escreva em inglês.

4. O que pedimos a você

Ao procurar e relatar uma vulnerabilidade, você deve:

  • Testar apenas contas, documentos e Cartas que sejam seus ou que você tenha permissão do titular para usar
  • Parar assim que chegar a informações pessoais, documentos ou dados que não sejam seus e nos informar o que você acessou. Não os copie, guarde, altere ou exclua, nem os compartilhe com ninguém
  • Não degradar nem interromper o Serviço, inclusive por meio de ataques de negação de serviço, testes de carga ou varreduras automatizadas em grande volume
  • Não enviar Cartas a ninguém sem o consentimento da pessoa, nem enviar mensagens aos nossos clientes, aos destinatários deles ou à nossa equipe
  • Não usar engenharia social, phishing ou ataques físicos contra nossa equipe, nossas instalações ou nossos prestadores de serviços
  • Não usar o cartão de pagamento, o Crédito Empresarial ou as credenciais de outra pessoa
  • Fazer apenas o necessário para demonstrar que a vulnerabilidade existe
  • Manter os detalhes em sigilo até que tenhamos corrigido o problema ou até 90 dias após o seu relato, o que ocorrer primeiro, salvo acordo em contrário com você
  • Cumprir a lei

5. O que faremos

Quando você relatar uma vulnerabilidade de acordo com esta Política, nós iremos:

  • Confirmar o recebimento do seu relato em até 2 dias úteis
  • Informar se conseguimos reproduzir o problema e manter você informado sobre o nosso progresso
  • Procurar corrigir uma vulnerabilidade confirmada em até 90 dias, e antes disso quando ela colocar informações pessoais em risco
  • Avisar quando o problema tiver sido corrigido e agradecer a você nominalmente, se você tiver pedido

Se o problema envolver informações pessoais, nós o avaliaremos e notificaremos as pessoas afetadas e o Office of the Australian Information Commissioner, conforme descrito na Seção 11 da nossa Política de Privacidade (https://unopost.com.au/privacy).

6. Porto seguro (safe harbour)

Se você agir de boa-fé e de acordo com esta Política, consideraremos sua pesquisa autorizada, não tomaremos medidas judiciais contra você em relação a ela e não o denunciaremos às autoridades. Se um terceiro tomar medidas judiciais contra você por uma pesquisa que cumpriu esta Política, tornaremos público que sua pesquisa foi autorizada por nós.

Isso não se aplica se você tiver violado esta Política, acessado mais do que o necessário ou pedido pagamento em troca de não divulgar um problema. Se não tiver certeza de que algo que pretende fazer é permitido, pergunte-nos antes em support@unopost.com.au.

7. O que não consideramos uma vulnerabilidade

Os itens a seguir geralmente ficam fora desta Política, a menos que você possa demonstrar um impacto real na segurança do Serviço ou de nossos usuários:

  • Relatórios de scanners automatizados sem uma prova de conceito funcional
  • A simples ausência de cabeçalhos de segurança, flags de cookies ou registros de autenticação de e-mail (SPF, DKIM, DMARC)
  • Clickjacking em páginas sem nenhuma ação que possa ser prejudicial
  • Self-XSS, ou problemas que exijam acesso físico ao dispositivo desbloqueado de um usuário
  • A divulgação de versões de software, ou a ausência de limites de taxa em ações sem consequências para a segurança
  • Negação de serviço e vulnerabilidades em serviços de terceiros descritos na Seção 2

8. Alterações nesta Política

Podemos alterar esta Política a qualquer momento publicando uma nova versão nesta página. A versão publicada no momento em que você faz um relato aplica-se a esse relato.