Responsible Disclosure

Versie: 1.0 · Laatst bijgewerkt: 25 augustus 2026

Waarom dit beleid er is

Borgivo verwerkt gevoelige compliance-informatie voor haar klanten. Vind je een kwetsbaarheid in onze systemen, dan willen we dat je die bij ons meldt in plaats van elders — zodat we het probleem kunnen oplossen voordat het schade veroorzaakt. Dit beleid legt vast hoe dat werkt en wat je van ons mag verwachten.

Reikwijdte

Dit beleid geldt voor:

• borgivo.nl
• api.borgivo.nl
• admin.borgivo.nl

Kwetsbaarheden in diensten van derden die wij gebruiken (zoals onze hostingpartij of e-mailvoorziening) vallen hierbuiten — meld die bij de betreffende partij.

Wat we van je vragen

• Meld een kwetsbaarheid zo snel mogelijk na ontdekking, en in ieder geval voordat je deze openbaar maakt of aan derden meldt.
• Doe niet meer dan nodig is om de kwetsbaarheid aan te tonen. Ga niet verder dan het minimum dat bewijst dat het probleem bestaat.
• Kom je onverwacht gegevens van anderen tegen (bijvoorbeeld klantgegevens), stop dan direct, maak geen kopie en verwijder wat je eventueel al hebt opgeslagen.
• Gebruik geen technieken die onze dienstverlening verstoren, zoals geautomatiseerde scans die de infrastructuur belasten, denial-of-service, of social engineering en phishing gericht op onze medewerkers.
• Breek niet fysiek in en benader onze medewerkers niet persoonlijk om toegang te krijgen.

Hoe je meldt

Stuur een melding naar security@borgivo.nl met:

• een beschrijving van de kwetsbaarheid en waar je die hebt gevonden;
• de stappen om het probleem te reproduceren;
• als mogelijk: een inschatting van de impact.

Wat je van ons mag verwachten

• Een ontvangstbevestiging binnen 5 werkdagen.
• Een inhoudelijke reactie met onze inschatting van de melding binnen 10 werkdagen.
• Bij een bevestigde kwetsbaarheid: een oplossing binnen een redelijke termijn, in overleg met jou. Als richtlijn hanteren wij 90 dagen; bij complexere problemen houden we je op de hoogte van de voortgang.
• Geen financiële beloning: Borgivo kent geen bug bounty-programma. Op verzoek noemen we je desgewenst als melder zodra het probleem is opgelost.

Onze toezegging

Meld je een kwetsbaarheid te goeder trouw en volgens dit beleid, dan ondernemen wij geen aangifte of civielrechtelijke stappen tegen je vanwege die melding. Wij kunnen niet namens het Openbaar Ministerie garanderen dat vervolging op grond van artikel 138ab Wetboek van Strafrecht (computervredebreuk) uitgesloten is — dat is aan het OM — maar het OM houdt bij die beoordeling rekening met de vraag of een melder zich aan een gepubliceerde procedure zoals deze heeft gehouden.

Contact

security@borgivo.nl