Beleid voor het melden van kwetsbaarheden (Coordinated Vulnerability Disclosure)

Versie 1.0 - 23 oktober 2026 - status: vastgesteld

UpValue VOF, Zuidelijk Halfrond 1, 2801 DD Gouda, KvK 42176652 - security@upvalueit.eu

Inleiding

UpValue vindt de veiligheid van haar platform belangrijk. Ondanks alle zorg kan er toch een zwakke plek zitten. Heb je er een gevonden? Meld die dan bij ons. Dan lossen we het samen op.

Waarop dit beleid van toepassing is

Dit beleid geldt voor het platform app.upvalueit.eu, inclusief de API, en voor de website upvalueit.eu. Het geldt niet voor systemen van klanten, partners of leveranciers. Een zwakke plek daar meld je bij henzelf.

Hoe je meldt

Stuur een e-mail naar security@upvalueit.eu, zo snel mogelijk nadat je het probleem hebt ontdekt. Vermeld daarin:

• wat je hebt gevonden en waar;
• hoe wij het kunnen nabootsen (stappen, URL’s, eventueel schermafbeeldingen);
• hoe we je kunnen bereiken.

Je mag anoniem of onder een pseudoniem melden. Dan kunnen we je wel geen vragen stellen of op de hoogte houden. Je kunt in het Nederlands of Engels schrijven.

Wat we van je vragen

• Maak geen misbruik van het probleem. Bekijk, kopieer, wijzig of verwijder niet meer gegevens dan nodig is om het probleem aan te tonen. Een schermafbeelding van een directorylisting of van één record is beter dan een download.
• Krijg je toegang tot persoonsgegevens? Stop dan direct, meld het en verwijder wat je hebt verkregen.
• Gebruik geen gegevens van anderen. Werk waar mogelijk met je eigen (test)account.
• Deel het probleem met niemand anders totdat het is opgelost.

Dit is niet toegestaan:

• aanvallen die de dienst platleggen of zwaar belasten (denial-of-service, belastingtests);
• geautomatiseerde scans die de dienst merkbaar belasten;
• social engineering, zoals phishing of bellen;
• fysieke toegang tot kantoren of datacentra;
• spam, malware of een backdoor plaatsen;
• wijzigingen aanbrengen in het systeem;
• brute force op inlogpogingen.

Wat wij beloven

• Je krijgt binnen 3 werkdagen een ontvangstbevestiging.
• Binnen 10 werkdagen laten we je weten wat we van de melding vinden en wanneer we verwachten het op te lossen.
• We houden je op de hoogte van de voortgang.
• Houd je je aan dit beleid? Dan doen we geen aangifte en nemen we geen juridische stappen tegen je in verband met je melding.
• We behandelen je melding vertrouwelijk. Je persoonsgegevens delen we niet met derden zonder jouw toestemming, tenzij de wet of de politie dat eist.
• We lossen het probleem zo snel mogelijk op. In overleg met jou bepalen we of en wanneer het openbaar wordt gemaakt. Dat gebeurt niet eerder dan nadat het probleem is opgelost. Als standaard noemen we 90 dagen na je melding.
• Als je dat wilt, noemen we je als melder bij de oplossing.
• We betalen geen beloning (geen bug bounty). Voor een melding van een nog onbekend en serieus probleem kunnen we je wel een bedankje geven. Dat hangt af van de ernst en de kwaliteit van je melding.

Gegevens van klanten

Raakt een melding gegevens van onze klanten, dan informeren wij die klanten volgens onze afspraken met hen.

Slot

Dit beleid is gebaseerd op de Leidraad Coordinated Vulnerability Disclosure van het NCSC.

Laatst bijgewerkt: 23 oktober 2026