Divulgação Responsável

Atualizada em 3 de Outubro de 2026 · Versão 1.0

Política de Divulgação Responsável

A Quanthum valoriza o trabalho de pesquisadores de segurança. Se você encontrou uma vulnerabilidade em um sistema da Quanthum, queremos saber, corrigir e reconhecer a sua contribuição. Esta política explica o escopo, como reportar e o que você pode esperar de nós. Ela segue as referências ISO/IEC 29147 (divulgação) e ISO/IEC 30111 (tratamento de vulnerabilidades).

1. Escopo

• Incluídos: quanthum.tec.br e subdomínios (inclusive trust. e status.), qai.ia.br e subdomínios, kosmosone.com.br e subdomínios, plataformamundo.com.br e subdomínios, e as APIs públicas desses serviços.
• Fora do escopo: serviços de terceiros (como Google, Meta/WhatsApp e provedores de nuvem), ataques de engenharia social contra colaboradores ou clientes, ataques físicos, negação de serviço (DoS/DDoS) e relatórios só de ferramentas automáticas sem prova de impacto.
• Falhas no software de terceiros que a Quanthum sustenta (como Chatwoot e Evolution API) devem ser reportadas também aos mantenedores do projeto. Avise-nos se afetarem instâncias operadas pela Quanthum.

2. Como reportar

Envie o relato para seguranca@quanthum.tec.br, em português ou inglês, com:

• Sistema e URL afetados.
• Descrição da vulnerabilidade e do impacto possível.
• Passos para reproduzir, prova de conceito e capturas de tela, se houver.
• Seu nome ou apelido para os agradecimentos, se quiser ser citado.

Os dados de contato também estão em /.well-known/security.txt (RFC 9116).

3. O que não fazer

• Não acesse, altere, copie ou apague dados que não sejam seus. Se encontrar dados pessoais, pare e reporte.
• Não degrade a disponibilidade dos serviços nem faça testes de carga.
• Não use a falha além do mínimo necessário para demonstrá-la.
• Não divulgue a vulnerabilidade publicamente antes da correção ou do prazo combinado conosco.
• Não exija pagamento em troca de não divulgar a falha.

4. Nossos compromissos e prazos

5. Pesquisa de boa-fé

Se você seguir esta política, a Quanthum considera a sua pesquisa autorizada, não tomará medidas judiciais contra você em razão dela e não pedirá a sua responsabilização a autoridades. Se um terceiro tomar medidas contra você por pesquisa feita conforme esta política, deixaremos claro que ela estava autorizada. Este compromisso não se estende a ações que violem a lei ou esta política.

No momento não há programa de recompensas em dinheiro (bug bounty).

6. Agradecimentos

Com a sua autorização, publicaremos o seu nome ou apelido nesta seção depois que a vulnerabilidade for corrigida. Ainda não há relatos reconhecidos.