COORDINATED VULNERABILITY DISCLOSURE (CVD)

De veiligheid van Chatmee.nl is belangrijk voor ons. Ondanks onze zorg voor de beveiliging kan er een kwetsbaarheid aanwezig zijn. Heeft u een technisch beveiligingsprobleem gevonden? Meld dit dan op verantwoorde wijze, zodat wij het probleem kunnen onderzoeken en oplossen.

Dit beleid wordt ook wel een Responsible Disclosure-beleid genoemd.

1. WAARVOOR IS DIT MELDPUNT BEDOELD?

Dit meldpunt is uitsluitend bedoeld voor technische kwetsbaarheden in systemen en diensten die door Chatmee.nl worden beheerd.

Voorbeelden zijn:

- een mogelijkheid om zonder toestemming toegang tot een account te krijgen;
- het omzeilen van toegangscontroles;
- cross-site scripting (XSS);
- SQL-injectie;
- server-side request forgery (SSRF);
- het ongeoorloofd bekijken of wijzigen van gegevens;
- een fout waardoor gevoelige informatie openbaar wordt;
- een ernstig beveiligingsprobleem in een API of uploadfunctie;
- een verkeerd ingestelde server of beveiligingsmaatregel.

Het meldpunt is niet bedoeld voor:

- hulp bij inloggen of accountherstel;
- klachten over gebruikers;
- spam, pesten of ongepaste inhoud;
- privacyverzoeken;
- algemene vragen of suggesties;
- meldingen die uitsluitend betrekking hebben op verouderde software zonder aantoonbaar risico;
- ontbrekende beveiligingsheaders zonder aantoonbare gevolgen;
- geautomatiseerde scanresultaten zonder controle of duidelijke toelichting.

Gebruik voor deze onderwerpen onze gewone contactpagina:

Neem Contact met ons op.

2. SYSTEMEN DIE BINNEN HET BELEID VALLEN

Dit beleid geldt voor:

- Website
- officiële subdomeinen van chatmee.nl die door Chatmee.nl worden beheerd;
- webdiensten en API's die aantoonbaar onderdeel zijn van Chatmee.nl.

Systemen en diensten van externe leveranciers vallen niet automatisch binnen dit beleid. Meld een kwetsbaarheid in een externe dienst rechtstreeks bij de betreffende leverancier, tenzij het probleem aantoonbaar wordt veroorzaakt door de manier waarop Chatmee.nl die dienst heeft ingericht.

Twijfelt u of een systeem binnen de reikwijdte valt? Vraag dit dan eerst voordat u verder onderzoek uitvoert.

3. HOE KUNT U EEN KWETSBAARHEID MELDEN?

Stuur uw melding naar:

Stuur u melding door.

Vermeld bij voorkeur in het onderwerp:

Beveiligingsmelding Chatmee.nl

Neem in uw melding zo veel mogelijk van de volgende informatie op:

- een duidelijke omschrijving van de kwetsbaarheid;
- de URL, functie of het systeem waarop de melding betrekking heeft;
- de stappen waarmee het probleem veilig kan worden gereproduceerd;
- de mogelijke gevolgen en ernst van het probleem;
- de datum en het tijdstip waarop u het probleem heeft vastgesteld;
- relevante technische informatie, zoals verzoeken en antwoorden;
- een beperkt bewijs, bijvoorbeeld een onschadelijke schermafbeelding;
- mogelijke maatregelen waarmee het probleem kan worden opgelost;
- uw contactgegevens, wanneer u op de hoogte wilt blijven.

Verwijder wachtwoorden, sessiecookies, toegangstokens en onnodige persoonsgegevens uit uw melding.

Stuur geen volledige databestanden, identiteitsdocumenten of grote hoeveelheden persoonsgegevens per gewone e-mail. Vermeld dat u gevoelige informatie heeft aangetroffen; wij spreken dan zo nodig een veilig overdrachtskanaal met u af.

4. WAT WIJ VAN U VRAGEN

Wanneer u een kwetsbaarheid onderzoekt of meldt, vragen wij u om:

- de kwetsbaarheid zo snel mogelijk bij ons te melden;
- alleen onderzoek te doen dat noodzakelijk is om het bestaan en de gevolgen van het probleem aan te tonen;
- de kwetsbaarheid niet te misbruiken;
- geen gegevens te wijzigen of te verwijderen;
- niet meer persoonsgegevens te bekijken dan strikt noodzakelijk;
- aangetroffen gegevens niet te downloaden, kopiëren, bewaren of verspreiden;
- uw onderzoek onmiddellijk te stoppen wanneer u persoonsgegevens of andere vertrouwelijke informatie aantreft;
- geen achterdeur, account of andere vorm van blijvende toegang aan te maken;
- geen malware te plaatsen;
- de beschikbaarheid en werking van Chatmee.nl niet te verstoren;
- de kwetsbaarheid niet openbaar te maken voordat wij voldoende gelegenheid hebben gehad om deze te onderzoeken en te verhelpen;
- alle tijdens het onderzoek verkregen vertrouwelijke gegevens na afhandeling veilig te verwijderen.

Gebruik bij een bewijs bij voorkeur uw eigen account en uw eigen gegevens.

5. WAT NIET IS TOEGESTAAN

De volgende onderzoeksmethoden zijn niet toegestaan:

- social engineering, phishing of misleiding van gebruikers of medewerkers;
- het opvragen of onderscheppen van wachtwoorden en verificatiecodes;
- fysieke toegang tot apparatuur, gebouwen of medewerkers;
- denial-of-service- en distributed-denial-of-serviceaanvallen;
- het bewust overbelasten van servers, formulieren of API's;
- grootschalige of agressieve geautomatiseerde scans;
- brute-forceaanvallen op wachtwoorden, accounts of verificatiecodes;
- het plaatsen of uitvoeren van malware;
- het wijzigen, verwijderen of versleutelen van gegevens;
- het benaderen van accounts of gegevens van andere gebruikers, behalve wanneer dit onvermijdelijk en minimaal noodzakelijk is om de kwetsbaarheid vast te stellen;
- het downloaden van databases of grote hoeveelheden gegevens;
- het uitvoeren van financiële transacties;
- het verzenden van spam of ongewenste berichten;
- het publiceren of doorverkopen van de kwetsbaarheid of verkregen informatie voordat passende afstemming heeft plaatsgevonden;
- onderzoek dat in strijd is met de wet of onevenredige schade veroorzaakt.

Heeft u per ongeluk toegang gekregen tot gegevens van anderen? Stop dan direct, maak geen kopieën en meld ons uitsluitend welke gegevenscategorieën zichtbaar waren.

6. WAT U VAN CHATMEE.NL KUNT VERWACHTEN

Wanneer uw melding voldoende informatie bevat, proberen wij:

- de ontvangst binnen vijf werkdagen te bevestigen;
- de melding vertrouwelijk en zorgvuldig te behandelen;
- binnen tien werkdagen een eerste inhoudelijke beoordeling of statusupdate te geven;
- u op de hoogte te houden van belangrijke voortgang;
- samen met u een redelijke termijn voor herstel en eventuele openbaarmaking af te spreken;
- uw naam alleen openbaar te maken wanneer u daarvoor toestemming geeft.

De benodigde oplostijd hangt af van de ernst en complexiteit van het probleem en van eventuele betrokken externe leveranciers. Een kwetsbaarheid kan daardoor niet altijd binnen een vaste termijn worden opgelost.

Wanneer een melding buiten dit beleid valt, geen aantoonbaar veiligheidsrisico bevat of onvoldoende informatie bevat, kunnen wij besluiten de melding niet verder te behandelen.

7. ZORGVULDIG ONDERZOEK EN JURIDISCHE STAPPEN

Wanneer u te goeder trouw handelt, dit beleid naleeft en uw onderzoek beperkt tot wat redelijkerwijs noodzakelijk is, zal Chatmee.nl in beginsel geen aangifte doen of civielrechtelijke stappen tegen u ondernemen vanwege uitsluitend dat beveiligingsonderzoek.

Deze toezegging geldt niet wanneer u:

- opzettelijk schade veroorzaakt;
- gegevens misbruikt, wijzigt, verwijdert, kopieert of verspreidt;
- privacy van gebruikers onnodig schendt;
- geld, goederen of diensten probeert af te dwingen;
- dreigt met openbaarmaking om druk uit te oefenen;
- de kwetsbaarheid verkoopt of aan kwaadwillenden verstrekt;
- verboden onderzoeksmethoden gebruikt;
- buiten de afgesproken reikwijdte of in strijd met de wet handelt.

Chatmee.nl kan geen bescherming toezeggen tegen maatregelen van andere organisaties of overheidsinstanties. U blijft zelf verantwoordelijk voor naleving van de toepasselijke wetgeving.

Twijfelt u of een onderzoekshandeling is toegestaan? Neem dan vooraf contact met ons op en voer die handeling pas uit nadat u schriftelijke toestemming heeft ontvangen.

8. OPENBAARMAKING

Maak een kwetsbaarheid niet openbaar zolang deze nog niet voldoende is onderzocht of verholpen.

Wanneer u de kwetsbaarheid later wilt publiceren, stemmen wij vooraf samen af:

- wanneer openbaarmaking verantwoord is;
- welke technische details veilig kunnen worden gedeeld;
- of gebruikers eerst moeten worden geïnformeerd;
- of externe leveranciers extra tijd nodig hebben;
- hoe uw bijdrage eventueel wordt vermeld.

De termijn wordt per melding bepaald op basis van de ernst, het risico en de benodigde hersteltijd. Bij actief misbruik of een direct risico kan een afwijkende aanpak noodzakelijk zijn.

9. BELONING

Chatmee.nl heeft momenteel geen betaald bugbountyprogramma. Een melding geeft daarom niet automatisch recht op geld, goederen, diensten, een VIP-account of een andere beloning.

Wij kunnen een melder, met diens toestemming, bedanken of vermelden wanneer de melding waardevol is en volgens dit beleid is gedaan. Hieraan kunnen geen rechten worden ontleend.

Vraag niet om een betaling in ruil voor het achterhouden van informatie. Een dergelijk verzoek kan als ongeoorloofde druk of afpersing worden beschouwd.

10. PRIVACY VAN DE MELDER

Wij gebruiken de persoonsgegevens van een melder uitsluitend voor:

- communicatie over de beveiligingsmelding;
- onderzoek en herstel van de kwetsbaarheid;
- beveiliging van onze systemen;
- het voldoen aan wettelijke verplichtingen;
- het vaststellen, uitoefenen of verdedigen van rechten wanneer dit noodzakelijk is.

Wij delen uw identiteit niet zonder toestemming, tenzij dit wettelijk verplicht of noodzakelijk is. U kunt ook anoniem melden, maar dan kunnen wij geen aanvullende vragen stellen of terugkoppeling geven.

Meer informatie over de verwerking van persoonsgegevens vindt u in onze privacyverklaring:

Bekijk hier onze privacyregels.

11. GEEN NOOD- OF MISBRUIKMELDPUNT

Is sprake van direct gevaar, een strafbaar feit of een acute bedreiging? Neem dan contact op met de politie of bel bij een noodsituatie het toepasselijke alarmnummer.

Meld gestolen accounts, bedreigingen, ongepaste inhoud en overtredingen via:

Neem hier Contact met ons op.

12. WIJZIGINGEN VAN DIT BELEID

Chatmee.nl kan dit CVD-beleid aanpassen wanneer onze systemen, werkwijze of toepasselijke regels veranderen.

Controleer vóór ieder nieuw onderzoek de meest recente versie van deze pagina.

Laatst bijgewerkt: 15 juni 2026