Esta versão em português é fornecida por conveniência. A versão em espanhol é a que se aplica.
A Xeneural agradece o trabalho de quem pesquisa a segurança do XEN e de xeneural.com de boa-fé. Esta política explica o que está dentro do escopo, como reportar, que resposta pode esperar e o compromisso da Xeneural de não empreender ações contra quem pesquisar conforme ela.
1. Escopo
Dentro do escopo:
- xeneural.com e os seus subdomínios públicos.
- O aplicativo XEN (web e aplicativos móveis).
- O assistente XENI, no que se refere a evasão de permissões, vazamento de dados entre organizações ou injeção de instruções que produzam ações não autorizadas.
Fora do escopo:
- Sistemas de terceiros que usamos (provedores de nuvem, de identidade, de e-mail, de modelos de inteligência artificial): reporte-os ao seu programa correspondente.
- Ataques de negação de serviço, envio massivo de e-mail, engenharia social contra o nosso pessoal ou os nossos clientes, e acesso físico.
- Achados sem impacto de segurança demonstrável: melhores práticas sem vetor de exploração, cabeçalhos informativos, versões de software sem vulnerabilidade conhecida, resultados de scanners automáticos sem confirmação.
2. Regras da pesquisa
- Use somente contas próprias ou de teste; não acesse, modifique nem baixe dados de outros clientes. Se acessar dados alheios por acidente, pare, não os conserve e reporte-o de imediato.
- Não degrade o Serviço: nada de testes de carga, força bruta massiva nem automação agressiva.
- Não torne pública a vulnerabilidade antes que esteja corrigida e tenhamos acordado a publicação.
- Cumpra a lei aplicável.
3. Como reportar
Escreva para security@xeneural.com com: descrição do achado, passos para reproduzi-lo, impacto estimado, e o seu nome ou apelido se desejar reconhecimento. Pode anexar capturas ou registros. Se precisar criptografar a mensagem, indique-o e enviaremos uma chave pública. Os dados de contato também estão em https://xeneural.com/.well-known/security.txt.
4. O que pode esperar da Xeneural
| Compromisso | Prazo |
|---|---|
| Confirmação de recebimento | 2 dias úteis |
| Avaliação inicial e classificação de severidade | 5 dias úteis |
| Correção de vulnerabilidades críticas ou altas | 30 dias desde a confirmação, ou plano de mitigação comunicado |
| Correção de vulnerabilidades médias ou baixas | 90 dias desde a confirmação |
| Informação de andamento | Pelo menos a cada 15 dias enquanto o reporte estiver aberto |
| Publicação coordenada | Acordada com o pesquisador após a correção |
Reconhecemos publicamente, com a sua permissão, quem reporta vulnerabilidades válidas. Hoje não operamos um programa de recompensas; se o fizermos no futuro, será anunciado nesta página.
5. Porto seguro
A Xeneural considera que a pesquisa realizada conforme esta política está autorizada, é conduta de boa-fé e não constitui acesso ilícito. A Xeneural não iniciará nem apoiará ações legais contra quem cumprir estas regras, e se um terceiro o fizer, faremos constar que a pesquisa foi autorizada. Se uma ação concreta lhe gerar dúvidas sobre se está coberta, pergunte-nos antes de realizá-la.
6. Mudanças
Esta política é publicada com versão e data. As mudanças não afetam os reportes já apresentados.
Em vigor desde 28 de setembro de 2026. As versões anteriores são conservadas e fornecidas mediante pedido a legal@xeneural.com.