1. ΣΚΟΠΟΣ ΚΑΙ ΠΕΔΙΟ ΕΦΑΡΜΟΓΗΣ
1.1 Η παρούσα Πολιτική περιγράφει τον τρόπο με τον οποίο η εταιρεία «BIMoQ ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε.» (η «Εταιρεία»), ως κατασκευαστής, παραλαμβάνει, εξετάζει και γνωστοποιεί τις αναφορές ευπαθειών ασφαλείας στα προϊόντα λογισμικού της. Δημοσιεύεται κατ' εφαρμογή του Κανονισμού (ΕΕ) 2024/2847 (Cyber Resilience Act).
1.2 Η Πολιτική καλύπτει τα προϊόντα BIMoQ-Model (πρόσθετο για το Autodesk® Revit®), BIMoQ-Estimate (πρόσθετο για το Microsoft Excel), BIMoQ-Viewer (πρόγραμμα προβολής αρχείων IFC) και την έκδοση Preview Release, που διατίθεται δωρεάν έως την 31η Δεκεμβρίου 2026 (από κοινού, τα «Προϊόντα»), συμπεριλαμβανομένων των συστατικών τρίτων και ανοικτού κώδικα που αυτά περιέχουν. Τα συστατικά αυτά απαριθμούνται στον κατάλογο υλικών λογισμικού (SBOM) που συνοδεύει τα Προϊόντα.
2. ΠΩΣ ΑΝΑΦΕΡΕΤΑΙ ΜΙΑ ΕΥΠΑΘΕΙΑ
2.1 Οι αναφορές υποβάλλονται μέσω οποιουδήποτε από τους ακόλουθους διαύλους, οι οποίοι αποτελούν από κοινού το ενιαίο σημείο επαφής της Εταιρείας για τις ευπάθειες:
(α) με ηλεκτρονικό ταχυδρομείο στη διεύθυνση security@bimoq.com·
(β) τηλεφωνικά στο +30 211 0012367, τις εργάσιμες ημέρες 09:00–17:00, ώρα Ελλάδας.
2.2 Οι αναφορές μπορούν να συντάσσονται στα ελληνικά ή στα αγγλικά.
2.3 Μια χρήσιμη αναφορά περιλαμβάνει: το Προϊόν και την έκδοση που επηρεάζεται· περιγραφή της ευπάθειας και των πιθανών επιπτώσεών της· τα βήματα ή τον κώδικα επίδειξης (proof of concept) που απαιτούνται για την αναπαραγωγή της· και τα στοιχεία με τα οποία μπορούμε να επικοινωνήσουμε μαζί σας. Αν η ευπάθεια εντοπίζεται σε συστατικό τρίτου ή ανοικτού κώδικα, παρακαλούμε να αναφέρετε επίσης το συστατικό και την έκδοσή του.
2.4 Παρακαλούμε να μην αποστέλλετε δεδομένα προσωπικού χαρακτήρα ή δεδομένα έργων πέραν όσων απαιτούνται για την περιγραφή του προβλήματος.
3. ΤΙ ΑΚΟΛΟΥΘΕΙ ΜΕΤΑ ΤΗΝ ΑΝΑΦΟΡΑ
3.1 Επιβεβαιώνουμε την παραλαβή της αναφοράς σας εντός 2 εργάσιμων ημερών.
3.2 Στη συνέχεια προβαίνουμε σε αρχική αξιολόγηση, για να διαπιστώσουμε αν η αναφορά αφορά ευπάθεια Προϊόντος, ποια Προϊόντα και ποιες εκδόσεις επηρεάζονται και πόσο σοβαρή είναι η ευπάθεια. Σας ενημερώνουμε για το αποτέλεσμα.
3.3 Όσο εργαζόμαστε για τη διόρθωση, σας ενημερώνουμε για την πρόοδο σε εύλογα χρονικά διαστήματα και ενδέχεται να σας ζητήσουμε συμπληρωματικές πληροφορίες.
3.4 Όταν η ευπάθεια εντοπίζεται σε συστατικό τρίτου ή ανοικτού κώδικα, την αναφέρουμε επίσης στο πρόσωπο ή τον φορέα που κατασκευάζει ή συντηρεί το συστατικό αυτό.
4. ΣΥΝΤΟΝΙΣΜΕΝΗ ΓΝΩΣΤΟΠΟΙΗΣΗ
4.1 Σας ζητούμε να τηρείτε την ευπάθεια εμπιστευτική έως ότου δημοσιοποιηθεί σε συνεννόηση μαζί σας. Στόχος μας είναι να διαθέσουμε διόρθωση και να δημοσιοποιήσουμε την ευπάθεια εντός 90 ημερών από την αναφορά σας. Η προθεσμία αυτή μπορεί να παραταθεί με κοινή συμφωνία, όταν η διόρθωση απαιτεί περισσότερο χρόνο.
4.2 Μόλις καταστεί διαθέσιμη η ενημέρωση ασφαλείας, δημοσιεύουμε ανακοίνωση ασφαλείας (advisory) με περιγραφή της ευπάθειας, τα Προϊόντα και τις εκδόσεις που επηρεάζονται, τις επιπτώσεις και τη σοβαρότητά της, καθώς και οδηγίες για την αντιμετώπισή της από τους χρήστες. Σε δεόντως αιτιολογημένες περιπτώσεις, όταν κρίνουμε ότι οι κίνδυνοι ασφαλείας από την άμεση δημοσίευση υπερτερούν των οφελών της, μπορούμε να καθυστερήσουμε την ανακοίνωση έως ότου δοθεί στους χρήστες η δυνατότητα να εγκαταστήσουν την ενημέρωση.
4.3 Εφόσον το επιθυμείτε, αναφέρουμε το όνομα ή το ψευδώνυμό σας στην ανακοίνωση. Δεν διαθέτουμε πρόγραμμα επιβράβευσης (bug bounty) και δεν καταβάλλουμε αμοιβή για τις αναφορές.
5. ΕΝΗΜΕΡΩΣΕΙΣ ΑΣΦΑΛΕΙΑΣ ΚΑΙ ΑΝΑΚΟΙΝΩΣΕΙΣ
5.1 Οι ενημερώσεις ασφαλείας των Προϊόντων παρέχονται δωρεάν και συνοδεύονται από ανακοίνωση με τις αναγκαίες πληροφορίες για τους χρήστες, συμπεριλαμβανομένων των ενεργειών στις οποίες πρέπει να προβούν.
5.2 Οι ανακοινώσεις ασφαλείας και οι σημειώσεις έκδοσης δημοσιεύονται στη διεύθυνση https://help.bimoq.com/release-notes/, όπου οι χρήστες μπορούν να τις συμβουλεύονται.
6. ΚΟΙΝΟΠΟΙΗΣΗ ΣΤΙΣ ΑΡΜΟΔΙΕΣ ΑΡΧΕΣ
Όταν η Εταιρεία λάβει γνώση ευπάθειας Προϊόντος που αποτελεί αντικείμενο ενεργού εκμετάλλευσης ή σοβαρού περιστατικού που έχει αντίκτυπο στην ασφάλεια Προϊόντος, υποβάλλει τις κοινοποιήσεις που προβλέπει ο Κανονισμός (ΕΕ) 2024/2847 στην ομάδα CSIRT στην οποία έχουν ανατεθεί καθήκοντα συντονισμού (για την Ελλάδα, τη CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας) και στον ENISA, μέσω της ενιαίας πλατφόρμας αναφοράς, και ενημερώνει τους επηρεαζόμενους χρήστες. Πληροφορίες από την αναφορά σας ενδέχεται να χρησιμοποιηθούν για τον σκοπό αυτόν.
7. ΕΡΕΥΝΑ ΚΑΛΗΣ ΠΙΣΤΗΣ
7.1 Κατά την έρευνα και την αναφορά μιας ευπάθειας, σας ζητούμε:
(α) να μην αποκτάτε πρόσβαση σε δεδομένα χρηστών ή τρίτων και να μην τα τροποποιείτε ή τα διαγράφετε, πέραν του απολύτως αναγκαίου για την επίδειξη της ευπάθειας·
(β) να μην υποβαθμίζετε ή διαταράσσετε τη λειτουργία των Προϊόντων, των συστημάτων της Εταιρείας ή των συστημάτων των χρηστών·
(γ) να μη γνωστοποιείτε την ευπάθεια σε οποιονδήποτε πριν από τη συντονισμένη δημοσιοποίησή της σύμφωνα με την ενότητα 4.
7.2 Η Εταιρεία δεν θα ασκήσει αξιώσεις αστικού δικαίου κατά προσώπου που αναφέρει ευπάθεια καλόπιστα και σύμφωνα με την παρούσα Πολιτική. Η δέσμευση αυτή αναλαμβάνεται αποκλειστικά από την Εταιρεία: δεν δεσμεύει καμία δημόσια αρχή ή τρίτο, συμπεριλαμβανομένων των δικαιούχων συστατικών τρίτων, και δεν θίγει την εφαρμογή του ποινικού δικαίου.
8. ΔΕΔΟΜΕΝΑ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ
Τα δεδομένα προσωπικού χαρακτήρα που μας παρέχετε με την αναφορά, όπως το όνομα και τα στοιχεία επικοινωνίας σας, υφίστανται επεξεργασία για τον χειρισμό της αναφοράς και για τους σκοπούς της παρούσας Πολιτικής, σύμφωνα με την Πολιτική Απορρήτου του Ιστοτόπου μας https://bimoq.com/bimoq-privacy.
9. ΤΡΟΠΟΠΟΙΗΣΕΙΣ ΤΗΣ ΠΑΡΟΥΣΑΣ ΠΟΛΙΤΙΚΗΣ
Η ισχύουσα έκδοση φέρει αριθμό έκδοσης και ημερομηνία ισχύος και δημοσιεύεται στον ιστότοπο www.bimoq.com.