Responsible disclosure

Een beveiligingsprobleem gevonden in Nvivio? Hoe je het meldt, wat we je vragen, en wat je van ons mag verwachten.

Kort gezegd. Mail security@nvivio.com. Bekijk of wijzig geen data die niet van jou is, en geef ons tijd om het op te lossen. We antwoorden binnen vijf werkdagen en stappen niet naar de rechter tegen jou als je dit beleid volgt.

1. Hoe je meldt

Schrijf naar security@nvivio.com, in het Engels of het Nederlands. Beschrijf:

wat je vond en waar (het adres, het endpoint of het deel van het script);
de stappen om het na te doen, en wat een aanvaller ermee kan;
hoe we je bereiken, en of je bij naam genoemd wilt worden zodra het opgelost is.

Onze security.txt vermeldt hetzelfde contact.

2. Wat eronder valt

nvivio.com, met inbegrip van het dashboard op /app en de API op /v1;
nviv.io, het script en het verzamelen van events;
mcp.nvivio.com, de MCP-server;
admin.nvivio.com, ons beheer (alleen of het zonder toestemming bereikbaar is).

Valt er niet onder: onze leveranciers zelf (Cloudflare, Supabase, Amazon Web Services; meld dat bij hen), meldingen van geautomatiseerde scanners zonder aangetoonde impact, ontbrekende goede praktijken zonder concreet risico, en denial-of-service.

3. Wat we je vragen

Doe alleen wat nodig is om het probleem aan te tonen. Krijg geen toegang tot data van anderen en kopieer, wijzig of verwijder ze niet; kom je ze toch tegen, stop dan, laat het ons weten, en verwijder wat je hebt.
Test met je eigen account en sites. Gebruik geen social engineering of phishing, test de fysieke beveiliging niet, en stuur geen spam.
Overbelast of verstoor de dienst niet.
Houd het probleem voor jezelf tot we het opgelost hebben, en spreek met ons af wanneer je publiceert. We willen ernstige problemen binnen 90 dagen oplossen.

4. Wat je van ons mag verwachten

We bevestigen je melding binnen vijf werkdagen en zeggen je hoe we ze inschatten.
We houden je op de hoogte terwijl we het oplossen, en laten je weten wanneer het opgelost is.
Volgde je dit beleid, dan stappen we niet naar de rechter tegen jou en doen we geen aangifte voor je onderzoek.
Met je toestemming bedanken we je bij naam zodra het probleem opgelost is. We bieden op dit moment geen bug bounty aan.

5. Belgisch wettelijk kader

Het Belgische recht biedt een wettelijk kader om kwetsbaarheden te goeder trouw te melden via het Centrum voor Cybersecurity België (CCB). Je mag ook via het CCB melden, op ccb.belgium.be; dit beleid neemt geen bescherming weg die dat kader je geeft.

Versies

1.0, 25 oktober 2026: eerste versie.