A Atouch Winwel Lda está comprometida com a segurança dos seus produtos, software e serviços digitais.
A presente Política de Divulgação Coordenada de Vulnerabilidades estabelece o processo através do qual investigadores de segurança, clientes, parceiros e outras entidades podem comunicar potenciais vulnerabilidades identificadas em produtos ou serviços Atouch.
O objetivo é permitir que essas vulnerabilidades sejam analisadas, corrigidas e, quando necessário, divulgadas de forma responsável e coordenada, reduzindo o risco para os utilizadores e para os sistemas afetados.
Esta política aplica-se aos produtos com elementos digitais disponibilizados sob a marca Atouch e aos componentes diretamente controlados pela Atouch Winwel Lda, incluindo, quando aplicável:
• Aplicações móveis Atouch;
• Software desenvolvido pela Atouch;
• Firmware;
• Gateways e outros equipamentos ligados à rede;
• Interfaces de comunicação;
Vulnerabilidades existentes exclusivamente em produtos ou serviços de terceiros e que não estejam sob controlo da Atouch devem ser comunicadas diretamente ao respetivo fornecedor.
Quando uma vulnerabilidade existente num componente de terceiros possa afetar um produto Atouch, a Atouch analisará o respetivo impacto e coordenará, quando necessário, as medidas de correção e comunicação adequadas.
Qualquer potencial vulnerabilidade relacionada com um produto ou serviço Atouch pode ser comunicada através dos seguintes canais:
Recomenda se a utilização do seguinte assunto:
[SECURITY] Vulnerabilidade
+351 910 041 185
https://atouch.com.pt/contactos/
Para permitir uma análise mais rápida, deve ser enviada apenas a informação necessária para identificar, reproduzir e avaliar a vulnerabilidade.
Não devem ser enviados dados pessoais, palavras passe, chaves privadas, credenciais ou informação pertencente a terceiros, exceto quando estritamente necessário para demonstrar o problema.
Sempre que possível, a comunicação deverá incluir:
A Atouch solicita que qualquer investigação de segurança seja realizada de forma responsável e limitada ao necessário para confirmar a existência da vulnerabilidade.
Durante os testes, deverá:
• Utilizar, sempre que possível, equipamentos, contas e ambientes próprios ou para os quais exista autorização expressa;
• Interromper os testes caso exista risco de afetar a disponibilidade, integridade, confidencialidade ou segurança de outros utilizadores;
• Evitar o acesso, cópia, alteração ou eliminação de dados pertencentes a terceiros;
• Limitar qualquer acesso ao mínimo necessário para demonstrar a vulnerabilidade;
• Evitar qualquer ação que possa causar interrupção ou degradação dos serviços.
Não deverão ser realizados:
• Ataques de negação de serviço;
• Testes destrutivos;
• Engenharia social;
• Phishing;
• Tentativas de acesso físico não autorizado;
• Instalação de malware;
• Instalação de mecanismos de persistência;
• Ações destinadas a manter acesso não autorizado aos sistemas;
• Utilização da vulnerabilidade para extorsão, ameaça, obtenção de vantagem ou exigência de compensação.
Após a receção de uma comunicação de vulnerabilidade, a Atouch seguirá, sempre que aplicável, o seguinte processo:
A complexidade de cada vulnerabilidade poderá exigir diferentes períodos de análise e correção.
A Atouch procurará tratar cada reporte com a maior rapidez possível, tendo sempre como prioridade a segurança dos utilizadores e dos produtos afetados.
A Atouch solicita que os detalhes técnicos de uma vulnerabilidade que possam facilitar a sua exploração não sejam divulgados publicamente antes de existir uma oportunidade razoável para analisar o problema e disponibilizar uma correção ou medida de mitigação.
Sempre que possível, o momento e o conteúdo de uma eventual divulgação deverão ser coordenados entre a Atouch e o investigador.
Esta coordenação terá em consideração:
• A gravidade da vulnerabilidade;
• O risco para os utilizadores;
• A existência de exploração conhecida;
• A disponibilidade de medidas de mitigação;
• A disponibilidade de uma atualização de segurança;
• O tempo necessário para que os utilizadores possam aplicar a correção.
Quando uma atualização de segurança estiver disponível, a Atouch poderá disponibilizar informação adequada sobre as vulnerabilidades corrigidas e as ações recomendadas aos utilizadores.
Quando a divulgação imediata de detalhes técnicos possa aumentar significativamente o risco de exploração, essa divulgação poderá ser adiada de forma responsável.
Quando a Atouch obtenha evidência fiável de que uma vulnerabilidade está a ser explorada de forma maliciosa ou identifique um incidente grave com impacto na segurança de um produto, serão ativados os procedimentos internos e legais aplicáveis.
Quando exigido pelo Cyber Resilience Act, Regulamento (UE) 2024/2847, a Atouch efetuará as comunicações necessárias às autoridades competentes através dos mecanismos europeus aplicáveis.
Sempre que necessário, os utilizadores afetados serão informados sobre:
• O risco identificado;
• As medidas de mitigação disponíveis;
• As ações recomendadas;
• As atualizações de segurança que devam ser instaladas.
Os reportes de vulnerabilidades devem evitar a inclusão de dados pessoais ou informação confidencial que não seja necessária para a investigação.
A informação recebida será disponibilizada apenas às pessoas e entidades que necessitem de acesso para:
• Analisar a vulnerabilidade;
• Confirmar o problema;
• Desenvolver uma correção;
• Implementar medidas de mitigação;
• Cumprir obrigações legais;
• Comunicar com as partes envolvidas.
Caso sejam encontrados dados pertencentes a terceiros durante uma investigação, deverá ser minimizada qualquer recolha ou acesso e os testes deverão ser interrompidos assim que o impacto possa ser demonstrado de forma segura.
A existência desta política não constitui um programa de recompensas por vulnerabilidades e não implica qualquer obrigação de pagamento ou compensação financeira.
Quando considerado adequado e mediante autorização do investigador, a Atouch poderá reconhecer publicamente a contribuição responsável de quem tenha comunicado uma vulnerabilidade após a respetiva correção.
A presente política disponibiliza um canal para comunicação e coordenação responsável de vulnerabilidades.
Não constitui autorização para:
• Aceder sem autorização a sistemas, equipamentos, contas ou dados;
• Praticar atos contrários à legislação aplicável;
• Interferir com sistemas ou serviços de terceiros;
• Contornar mecanismos de segurança para fins não necessários à demonstração da vulnerabilidade;
• Realizar ações suscetíveis de causar danos a utilizadores, produtos ou infraestruturas.
Cada investigador é responsável por garantir que os seus testes cumprem a legislação aplicável e as autorizações de que dispõe.
A Atouch Winwel Lda poderá atualizar esta Política de Divulgação Coordenada de Vulnerabilidades sempre que necessário, nomeadamente devido a:
• Alterações legislativas;
• Alterações nos produtos ou serviços;
• Alterações nos procedimentos internos;
• Novas orientações das autoridades competentes;
• Evolução das boas práticas de cibersegurança.
A versão em vigor será sempre a versão publicada no website oficial da Atouch.
Última atualização: setembro de 2026