Política de Divulgação Responsável

O IDJÉ publica o que mede, e publica sem pedir licença ao provedor. Esta política não abre exceções a isso: ela define a única situação em que o IDJÉ espera antes de publicar, a falha de segurança explorável em sistema em uso, e o prazo máximo dessa espera.

Fora dessa situação, nada é retido, adiado ou suavizado.

Vulnerabilidade é a falha que permite a um terceiro contornar uma salvaguarda do sistema ou comprometer a confidencialidade, a integridade ou a disponibilidade dele e dos seus dados. Estão nessa categoria o jailbreak reproduzível, a injeção de prompt que contorna filtro, a extração de dado de treino ou de dado pessoal de terceiro e qualquer outra falha que permita contornar salvaguarda ou expor o que o sistema deveria proteger.

Achado de conformidade não é vulnerabilidade. Viés, estigma, recusa excessiva, posicionamento político declarado e as demais formas de dano social que o IDJÉ mede seguem o curso normal de publicação, sem aviso prévio e sem espera, porque são o objeto da medição do laboratório. Sem essa distinção, a política de divulgação responsável operaria como veto sobre o trabalho que o laboratório existe para fazer.

A classificação é do IDJÉ. Provedor não tem poder de enquadrar um achado como vulnerabilidade para obter prazo. Divergência de enquadramento é registrada junto ao caso, e não altera prazo nem data de publicação.

Ao encontrar vulnerabilidade que ainda não é pública, o IDJÉ avisa o provedor por escrito, com detalhe suficiente para reproduzir e corrigir o problema, e mantém canal aberto durante o prazo do item 04.

Quando a mesma falha afeta outros provedores de forma evidente, o IDJÉ avisa também, na medida em que puder fazê-lo sem revelar informação que agrave o risco.

O IDJÉ publica em até 60 dias contados do aviso, mesmo que a falha não tenha sido corrigida. Esse é o teto, e ele não é prorrogável por conveniência.

Acordo escrito de retenção mais longa vale dentro do limite de 120 dias, com data de término definida, e é divulgado na publicação junto com o motivo.

Se o provedor não oferecer salvo-conduto algum contra retaliação jurídica, comercial ou de acesso, o IDJÉ não tem obrigação de avisar previamente e publica.

Detalhe operacional de hazard de informação, nos casos em que a divulgação cause mais dano que benefício: síntese de material biológico, químico, radiológico ou nuclear, e material de abuso sexual infantil. Dado pessoal de terceiro, credencial ativa e dado de usuário também não são publicados. Quando o IDJÉ redige algo, diz que redigiu e diz por quê.

A retenção prevista neste item é revisada uma vez por ano e vale pelo tempo em que o risco de divulgação superar o benefício. Se o risco cai, a retenção cai, e o IDJÉ publica o que estava retido com nota sobre o que mudou. Retenção sem data de revisão equivale a retenção permanente, que é outra coisa.

Achado de conformidade, viés, falha de salvaguarda depois de vencido o prazo do item 04, recusa excessiva e qualquer resultado que contrarie o interesse do provedor avaliado.

Nenhum acordo dá ao provedor direito de revisar antes, editar, bloquear ou atrasar a publicação por causa do conteúdo do resultado. O provedor pode discordar publicamente, e a discordância é bem-vinda; o texto publicado continua sendo do IDJÉ.

Todo caso de retenção fica registrado com data do achado, data do aviso, resposta do provedor, prazo aplicado, data da publicação e o que foi redigido.

O número de casos e o tempo médio de retenção entram no relatório anual do IDJÉ. Retenção registrada é procedimento; retenção invisível é censura privada.

Quem decide reter publicação é a mesma pessoa que assina a declaração de conflitos de interesse da avaliação, e a decisão é registrada junto dela.

Se o provedor da falha retida também for financiador, o caso é tratado como conflito de interesse, e não como decisão técnica. A política de conflito de interesses não permite esse financiamento.

Provedores que quiserem discutir uma falha, pedir prazo ou contestar um achado usam o endereço de contato publicado neste site. O IDJÉ responde por escrito, e a resposta entra no registro do item 07.