1. Para que serve
O Fiscalo guarda certificados digitais e emite notas fiscais em nome de empresas. Levamos a segurança a sério e queremos saber de qualquer falha antes que alguém mal-intencionado a encontre. Esta política diz como reportar e o que você pode esperar de nós.
2. Como reportar
Envie um e-mail para [email protected] com o assunto [Segurança], contendo:
- a descrição da falha e o impacto que você imagina;
- os passos para reproduzir (URLs, requisições, capturas de tela);
- o seu nome ou apelido, se quiser crédito, e como prefere ser contatado.
Não inclua dados pessoais de terceiros no relato. Se precisar mostrar que teve acesso a algo, descreva o tipo de dado, sem copiá-lo.
3. O que está no escopo
- O site
fiscalo.com.bre o aplicativofiscalo.com.br/app. - A API em
api.fiscalo.com.br, incluindo a API pública, as chaves de acesso e os webhooks. - O fluxo de envio e guarda do certificado digital A1.
Teste sempre com uma conta sua. Para testar a emissão, use apenas o ambiente de homologação (produção restrita), que não gera notas com valor fiscal.
4. O que não é permitido
- Acessar, alterar ou apagar dados de outras contas além do mínimo necessário para provar a falha. Se isso acontecer por acidente, pare e nos avise.
- Emitir, cancelar ou substituir notas fiscais reais, ou usar o certificado de outra empresa.
- Ataques de negação de serviço, testes de carga ou automação que degrade o serviço.
- Engenharia social com a nossa equipe ou com clientes, phishing e ataques físicos.
- Testar os serviços de terceiros que usamos (Google Cloud, Cloudflare, Stripe, Zoho, Sefin Nacional). Falhas neles devem ir para os programas desses fornecedores.
- Divulgar a falha antes de corrigida ou antes de 90 dias do seu relato, o que vier primeiro, sem combinar conosco.
5. O que não consideramos vulnerabilidade
- Relatórios de ferramentas automáticas sem prova de impacto.
- Ausência de cabeçalhos de segurança sem um ataque viável.
- Clickjacking em páginas sem ação sensível.
- Enumeração de e-mails no login ou no cadastro, quando não leva a acesso indevido.
- Limites de requisição em páginas públicas e estáticas.
6. O nosso compromisso
- Confirmamos o recebimento em até 3 dias úteis e damos uma primeira avaliação em até 10 dias úteis.
- Mantemos você informado até a correção e avisamos quando ela estiver no ar.
- Se você agir de boa-fé e dentro destas regras, consideramos a sua pesquisa autorizada e não tomaremos medida judicial nem pediremos que autoridades o façam.
- Com a sua permissão, damos crédito público pela descoberta.
No momento não temos programa de recompensa em dinheiro (bug bounty).
7. Dados pessoais e LGPD
Se a falha envolver dados pessoais, nós a tratamos também como incidente de segurança, conforme a Política de Privacidade e a LGPD, inclusive com comunicação à ANPD e aos titulares quando a lei exigir.
8. Alterações
Podemos atualizar esta política. A versão e a data de vigência ficam no topo da página.