In Übereinstimmung mit der Europäischen Verordnung Nr. 2024/2847 (Cyber Resilience Act) stellt Praxedo diese Richtlinie zur koordinierten Offenlegung von Schwachstellen („diese CVD-Richtlinie“) zur Verfügung.

Bei Praxedo hat die Sicherheit unserer Systeme und Kundendaten oberste Priorität. Trotz unserer strengen Sicherheitskontrollen und kontinuierlichen Bemühungen können jedoch Schwachstellen auftreten.

Wenn Sie eine Sicherheitslücke in einem unserer in den Geltungsbereich fallenden Assets entdecken, bitten wir Sie, uns so schnell wie möglich zu informieren, damit wir umgehend Maßnahmen zur Behebung ergreifen können.

Geltungsbereich dieser CVD-Richtlinie

• Im Geltungsbereich (In-Scope): *.praxedo.com, Haupt-APIs, mobile Praxedo-Anwendungen.
• Außerhalb des Geltungsbereichs (Out-of-Scope): Dienste von Drittanbietern, Staging- oder Testumgebungen sowie alle anderen Domains, Dienste oder Assets, die nicht ausdrücklich im Abschnitt „Im Geltungsbereich“ aufgeführt sind.

Bitte gehen Sie wie folgt vor

• Melden Sie Ihre Erkenntnisse: Senden Sie Ihre Entdeckung per E-Mail an disclosure@praxedo.net. Bitte stellen Sie sicher, dass Ihr Bericht auf Englisch oder Französisch verfasst ist.
• Handeln Sie verantwortungsbewusst: Nutzen Sie die entdeckte Schwachstelle oder das Problem nicht aus, zum Beispiel, indem Sie mehr Daten herunterladen, als für den Proof of Concept unbedingt erforderlich sind, oder indem Sie Daten ändern oder löschen.
• Wahren Sie die Vertraulichkeit: Geben Sie das Problem nicht öffentlich oder an Dritte weiter, bis es von unserem Team behoben wurde.
• Vermeiden Sie destruktive Tests: Führen Sie keine physischen Sicherheitsangriffe, Social Engineering, Distributed Denial of Service (DDoS)-Angriffe, Spamming oder Angriffe auf Anwendungen von Drittanbietern durch.
• Stellen Sie klare Informationen bereit: Fügen Sie ausreichende Details hinzu, damit wir das Problem reproduzieren können (z. B. die Ziel-URL oder IP-Adresse, Schritte für den Proof of Concept, betroffene Komponenten). Komplexe Probleme erfordern möglicherweise eine detaillierte technische Erklärung.

Was wir versprechen

• Zeitnahe Antwort: Wir werden den Eingang Ihres Berichts innerhalb von 48 Geschäftsstunden bestätigen und angemessene Anstrengungen unternehmen, um innerhalb von 8 Werktagen eine erste Bewertung und einen geschätzten Zeitplan für die Lösung vorzulegen.
• Rechtsschutz (Safe Harbor): Wenn Sie diese Richtlinien nach Treu und Glauben strikt befolgen, wird Praxedo keine rechtlichen Schritte gegen Sie in Bezug auf Ihre im Rahmen dieser Richtlinie durchgeführten Sicherheitsforschungsaktivitäten einleiten. Sie sollten uns zur Klärung kontaktieren, bevor Sie sich an Verhaltensweisen beteiligen, von denen Sie glauben, dass sie mit dieser CVD-Richtlinie unvereinbar sind oder nicht davon erfasst werden. Denken Sie daran, dass wir keine Sicherheitsforschung auf der Infrastruktur von Drittanbietern genehmigen können und ein Dritter nicht an diese Safe-Harbor-Erklärung gebunden ist.
• Vertraulichkeit: Wir behandeln Ihren Bericht vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiter.
• Aktualisierungen: Soweit möglich, werden wir Sie über unsere Fortschritte bei der Behebung der Schwachstelle auf dem Laufenden halten.
• Öffentliche Anerkennung: Als Zeichen unserer Dankbarkeit werden wir Ihren Namen als Entdecker des Problems veröffentlichen, vorausgesetzt, Sie haben in Ihrer ursprünglichen E-Mail zugestimmt, falls und wenn wir das Problem öffentlich bekannt geben.

Wir bemühen uns, alle gemeldeten Probleme so schnell wie möglich zu lösen und begrüßen gemeinsame Anstrengungen für eine koordinierte öffentliche Offenlegung.