Responsible disclosure

AirBill verwerkt financiële gegevens van ondernemers en accountantskantoren. Wij zoeken zelf actief naar kwetsbaarheden in onze systemen, maar geen systeem is perfect. Heb je een zwakke plek gevonden in AirBill? Dan horen wij dat graag van je, zodat we die snel kunnen verhelpen. Dit beleid volgt de Leidraad Coordinated Vulnerability Disclosure van het NCSC.

1. Hoe meld je een kwetsbaarheid?

Stuur je melding naar security@airbill.app. Beschrijf het probleem zo concreet mogelijk, zodat wij het kunnen reproduceren:

• welk onderdeel het betreft (website, accountantsportaal, API, iOS- of Android-app);
• de stappen om de kwetsbaarheid te reproduceren, eventueel met schermafbeeldingen of een proof of concept;
• wat een kwaadwillende ermee zou kunnen doen;
• hoe wij je kunnen bereiken voor vragen.

Een machineleesbare verwijzing naar dit beleid staat op /.well-known/security.txt (RFC 9116).

2. Wat valt binnen de scope?

• www.airbill.app en alle subdomeinen van airbill.app;
• het accountantsportaal op acc.airbill.app;
• de AirBill API;
• de AirBill-apps in de App Store en Google Play.

Buiten de scope vallen diensten van derden waar wij op bouwen (zoals onze hostingpartijen, betaalprovider en e-mailproviders); meld kwetsbaarheden daarin bij de betreffende partij. Ook meldingen zonder aantoonbaar beveiligingsrisico — zoals ontbrekende best-practice headers zonder exploit, versienummers in foutmeldingen of clickjacking op pagina's zonder gevoelige acties — behandelen wij niet als kwetsbaarheid.

3. Wat vragen wij van jou?

• Ga niet verder dan nodig is om de kwetsbaarheid aan te tonen. Gebruik uitsluitend je eigen (test)account en benader geen gegevens van andere gebruikers.
• Stuit je toch op persoonsgegevens of financiële gegevens van anderen? Stop dan direct en meld dit.
• Verander, kopieer of verwijder geen gegevens en installeer geen achterdeuren.
• Voer geen (D)DoS-aanvallen, social engineering, phishing, spam of fysieke aanvallen uit.
• Maak de kwetsbaarheid niet openbaar voordat wij die hebben verholpen en daarover met jou hebben afgestemd.

4. Wat mag je van ons verwachten?

• Wij bevestigen de ontvangst van je melding binnen twee werkdagen.
• Binnen vijf werkdagen geven wij een eerste beoordeling en een verwachte termijn voor de oplossing.
• Wij houden je op de hoogte van de voortgang en laten weten wanneer het probleem is verholpen.
• Wij behandelen je melding vertrouwelijk en delen je gegevens niet met derden zonder jouw toestemming, tenzij de wet dat vereist.
• Houd je je aan de afspraken hierboven, dan ondernemen wij geen juridische stappen tegen je naar aanleiding van je onderzoek.
• Als je dat wilt, vermelden wij je naam als ontdekker zodra het probleem is opgelost.

5. Contact

Tally AI B.V. (AirBill), Schipluidenlaan 4, 1062 HE Amsterdam, KvK 99443570. Beveiligingsmeldingen: security@airbill.app. Voor overige vragen: support@airbill.app.