Gegevensbeveiliging is een topprioriteit voor ClassPass. We zijn van mening dat het werken met bekwame, externe beveiligingsonderzoekers een belangrijke manier is om zwakke punten in onze software te identificeren.

Als je denkt dat je een beveiligingsprobleem hebt gevonden in de ClassPass-service, laat het ons dan weten. We zullen samenwerken om het probleem snel op te lossen.

We waarderen het als je de tijd en moeite neemt om beveiligingsproblemen te melden. We geven er je dan ook graag een financiële beloning voor.

Beleid inzake bekendmaking

Als je denkt een mogelijke kwetsbaarheid te hebben ontdekt, stuur dan een e-mail naar security@classpass.com. We zullen je e-mail binnen 5 werkdagen bevestigen.

Vermeld in de melding de volgende gegevens:

• De website, IP of pagina waar de kwetsbaarheid kan worden waargenomen.
• Een korte beschrijving van het type kwetsbaarheid
• Stappen om te reproduceren. Dit zou een goedaardige, niet-destructieve proof of concept moeten zijn. Dit helpt bij het snel en accuraat beoordelen van de melding.

Geef ons een redelijke hoeveelheid tijd om het probleem op te lossen voordat je het openbaar maakt bij het publiek of een derde partij. We streven ernaar kritieke problemen binnen 30 dagen na bekendmaking op te lossen. We zullen het probleem analyseren om ervoor te zorgen dat het geen duplicaat is en om de ernst van het beveiligingslek te classificeren. Zodra de triage is voltooid en we ervan uitgaan dat de kwetsbaarheid uniek is, betalen we via PayPal een premie op basis van de ernst van de kwetsbaarheid.

Doe te goeder trouw je best om te voorkomen dat je de privacy schendt, gegevens vernietigt of de ClassPass-service onderbreekt of verslechtert. Gebruik alleen accounts die je bezit of waarvoor je expliciete toestemming hebt van de accounthouder. Je mag niet opzettelijk de toepasselijke wetten of voorschriften schenden, met inbegrip van (maar niet beperkt tot) wetten en voorschriften die ongeautoriseerde toegang tot gegevens verbieden.

Uitzonderingen

We willen graag dat je je tijdens het onderzoek onthoudt van:

• Distributed Denial of Service (DDoS)
• Spammen
• Social engineering of phishing van ClassPass-medewerkers of contractanten
• Aanvallen op de fysieke eigendommen of datacenters van ClassPass
• Aanvallen tegen onze eindgebruikers of handel in gestolen gebruikersgegevens. Gebruik geen gelekte of gecompromitteerde accounts van anderen. Kwetsbaarheden die zijn ontdekt met gelekte of gecompromitteerde accounts, worden gediskwalificeerd.

Bedankt voor je hulp om ClassPass en onze klanten veilig te houden!

Wijzigingen

Richtlijnen kunnen van tijd tot tijd veranderen. De meest actuele versie van de richtlijnen zal altijd beschikbaar zijn op https://classpass.com/vulnerability-disclosure.

Contact

ClassPass staat altijd open voor feedback, vragen en suggesties. Als je contact met ons wilt opnemen, kun je een e-mail sturen naar security@classpass.com.