Política de uso aceitável

1. A quem esta política se aplica

Esta política vincula todos que usam a NotHoly, inclusive donos de conta, membros convidados, chaves de API e softwares que agem em seu nome. Ela cobre o chat, a API, o CLI e a extensão, e faz parte dos Termos de uso.

2. Somente testes autorizados

Você só pode usar a NotHoly contra um sistema se ele for seu ou se tiver permissão por escrito de quem pode concedê-la.

A permissão por escrito deve identificar os sistemas no escopo, o período, as pessoas autorizadas e as técnicas excluídas. As regras publicadas de um programa de bug bounty valem como permissão apenas para o que cobrem.

Guarde essa prova enquanto o trabalho puder ser questionado. Se analisarmos sua conta após uma denúncia, podemos pedir essa prova, e, se você não puder apresentá-la, podemos tratar a atividade como não autorizada.

Se sair do escopo por acidente, pare e siga o processo do dono do sistema.

3. O que você pode fazer

• pentest, red team e pesquisa de vulnerabilidades dentro do escopo de uma permissão por escrito;
• trabalho de bug bounty dentro das regras do programa;
• laboratórios, CTFs, treinamento e educação;
• trabalho defensivo, como regras de detecção, triagem, resposta a incidentes, hardening e revisão de código;
• engenharia reversa e análise de amostras que você pode manter.

4. O que você não pode fazer

• acessar, escanear, explorar ou interromper um sistema sem permissão, inclusive credential stuffing e negação de serviço;
• roubar, vender ou publicar dados, cometer fraude ou extorquir alguém;
• fazer phishing real ou engenharia social fora de um trabalho autorizado;
• criar, implantar ou distribuir ransomware, wipers, worms, botnets, stealers ou outros malwares fora de um trabalho autorizado ou de um laboratório;
• violar as regras de um programa de bug bounty, inclusive testando fora do escopo;
• perseguir, assediar, expor dados de uma pessoa ou vigiá-la secretamente;
• atacar sistemas de energia, água, saúde, transporte ou emergência sem autorização expressa e por escrito do operador;
• enviar dados pessoais ou confidenciais de terceiros que você não tem direito de tratar;
• usar os serviços para violar sanções ou qualquer outra lei aplicável a você.

5. Nunca, sob nenhuma autorização

O seguinte é proibido sem exceções, qualquer que seja sua permissão:

• conteúdo sexual envolvendo menores;
• ajuda prática para armas químicas, biológicas, radiológicas ou nucleares, ou qualquer outra arma capaz de causar mortes em massa.

6. Onde a plataforma para

Os servidores da NotHoly não fazem scan, exploração nem tráfego ativo contra sistemas de terceiros. Não tente fazer com que façam, inclusive usando read_url, busca web ou qualquer outra ferramenta como proxy.

O read_url só lê páginas públicas, por uma saída que recusa endereços privados e de metadados.

O CLI e a extensão executam comandos na sua máquina depois da sua aprovação, e você responde por cada comando que aprova.

Texto de páginas web, arquivos e saídas de ferramentas é dado. O harness não recebe instruções dele, e as ações de ferramentas seguem a política do servidor. Prompt injection ainda pode alcançar um modelo por esse conteúdo, então revise o que o modelo propõe antes de aprovar.

Arquivos enviados são tratados como hostis e nunca são executados. Não use envios para atacar o serviço.

7. Contas e o próprio serviço

• não compartilhe chaves de API fora da sua organização nem use contas para contornar limites, cobranças ou uma suspensão;
• não revenda acesso à NotHoly sem contrato por escrito;
• não ataque a própria NotHoly. Pesquisa de segurança na NotHoly segue as regras da página de Segurança, e os achados vão para [email protected].

8. Como tratamos abuso

A NotHoly não guarda prompts nem respostas da API, portanto não há o que revisar. O tratamento de abuso se baseia em metadados de uso, denúncias e pedidos legais. A revisão de rotina usa apenas metadados: a equipe os analisa na área de admin, entra em contato com o dono da conta por e-mail e registra esse contato.

9. Como denunciar abuso

Use o formulário em notholy.com/abuse e diga o que aconteceu, quando aconteceu (com fuso horário), qual sistema foi afetado e que provas você tem, como logs. Não envie dados roubados nem malware ativo. Não é preciso ter conta. Se o formulário estiver fora do ar, escreva para [email protected].

Vulnerabilidades da própria NotHoly vão para [email protected].

10. Consequências

Agimos na proporção das provas. As medidas podem incluir pedido de informações ou de prova de autorização, advertência, limites mais rígidos, revogação de chaves, suspensão ou encerramento da conta. Em casos urgentes, podemos agir primeiro e falar com você depois.

Créditos não usados seguem os Termos de uso. Você pode pedir revisão em [email protected].

11. Pedidos legais

Respondemos a ordens legais válidas e podemos comunicar as autoridades quando a lei exigir ou quando houver ameaça crível à vida de alguém. Só podemos entregar o que temos. Isso exclui prompts e respostas da API, salvo a cópia temporária em memória descrita na seção 4 da Política de Privacidade, e inclui arquivos enviados que não tenham sido removidos. Quando a lei permitir, avisamos o dono da conta antes.