Política de divulgação responsável de vulnerabilidades
PMD Gestão e Saúde Ltda. — plataforma Portimed
Responsible disclosure policy (summary in English at the end)

CONTATO
  engenharia@portimed.com.br
  Assunto sugerido: [SEGURANÇA] <resumo em uma linha>

PRAZOS
  Primeiro retorno ...... 2 dias úteis do recebimento, confirmando que o relato
                          foi recebido e lido.
  Triagem ............... 5 dias úteis do recebimento, com classificação de
                          severidade e resposta dizendo se o relato foi aceito,
                          se precisa de mais informação, ou se está fora de
                          escopo — com o motivo.
  Andamento ............. a cada 15 dias corridos enquanto o caso estiver aberto.
  Encerramento .......... até 5 dias úteis da correção em produção.

ESCOPO
  sistema.portimed.com.br ... aplicação web e sua camada de servidor
  portimed.com.br ........... site institucional
  faltei.com ................ envio de atestados pelo colaborador
  A API da plataforma, alcançada através da camada de servidor da aplicação web
  A configuração de infraestrutura da PMD no Google Cloud

  Fora de escopo: serviços de terceiros e sub-processadores (relate a eles; a
  integração da PMD com eles está no escopo), a infraestrutura do Google Cloud
  em si, os ambientes de desenvolvimento e de teste, engenharia social,
  phishing, testes físicos e ataques que exijam acesso físico ou dispositivo
  previamente comprometido.

NÃO RETALIAÇÃO
  Pesquisa feita de boa-fé, dentro do escopo acima e sem acesso a dado pessoal
  de terceiros além do mínimo necessário para demonstrar a falha, não motiva
  ação legal nem administrativa da PMD contra quem relatou.

O QUE NÃO FAZER
  Não exfiltre, altere ou apague dado de titular. Não degrade o serviço
  (negação de serviço, força bruta em volume). Não use engenharia social contra
  pessoas da PMD, de clientes ou de fornecedores. Não divulgue publicamente
  antes da correção em produção ou do fim do prazo de reserva de 90 dias
  corridos contados do primeiro retorno da PMD, o que ocorrer primeiro — a
  divulgação é coordenada.

TITULAR DE DADOS
  Pedido de acesso, correção ou exclusão de dados pessoais não passa por este
  canal: use o contato do encarregado indicado em
  https://portimed.com.br/politica-de-privacidade/

DOCUMENTO COMPLETO
  A íntegra desta política, com os prazos, as regras de conduta, o tratamento
  do relato e o reconhecimento, está publicada em
  https://portimed.com.br/politica-de-divulgacao-responsavel/

--
ENGLISH SUMMARY
  Report security issues to engenharia@portimed.com.br. First response within 2
  business days, triage within 5 business days, progress updates every 15
  calendar days, closure notice within 5 business days of the production fix. In scope: sistema.portimed.com.br, portimed.com.br,
  faltei.com, the platform API reached through the web application's server
  layer, and PMD's own Google Cloud configuration. Good-faith research within
  that scope draws no legal or administrative action from PMD. Do not exfiltrate
  or modify personal data, do not degrade the service, do not use social
  engineering, and do not disclose publicly before the production fix or the end
  of the 90-calendar-day embargo counted from PMD's first response, whichever
  comes first — disclosure is coordinated. Preferred languages: pt-BR, en. Full policy (pt-BR):
  https://portimed.com.br/politica-de-divulgacao-responsavel/