発効日：2026年4月17日
1. 安全通知
目的
Even Realitiesは、当社の製品およびサービスのセキュリティと信頼性の維持にコミットしています。私たちは、セキュリティ研究者および広範なコミュニティの協力を重視し、ユーザーの安全確保に努めています。
本脆弱性開示ポリシー（以下「本ポリシー」）は、セキュリティ脆弱性を責任を持って報告する方法およびEven Realitiesがその報告をどのように取り扱うかを説明しています。本ポリシーは、報告者が特定の報奨プログラムの対象であるかどうかに関わらず、すべての脆弱性提出に適用されます（開示された脆弱性の重大性および影響に応じて、個別に報奨を提供する場合があります）。
適用範囲
本ポリシーは、Even Realitiesが開発、維持、または運用する製品およびサービスに影響を与えるセキュリティ脆弱性に適用され、以下を含みますがこれに限定されません：
- Even Realitiesが運営するウェブサービスおよびオンラインプラットフォーム（例：www.evenrealities.com）
- Even Realitiesが提供する公式モバイルアプリケーション（例：iOSおよびAndroid向けEven Realitiesアプリ）
- Even Realities製品の公式デバイスファームウェアおよび組み込みソフトウェア
- Even Realitiesが運用するデバイス通信、更新、認証および認可の仕組み
適用外：
- Even Realitiesが開発していないサードパーティ製品、統合、またはサービス
- 改造された非公式またはサポートされていないソフトウェア/ハードウェア（例：脱獄済みデバイス）
- Even Realitiesのオフィスまたはデータセンターの物理的なセキュリティ
- Even Realitiesの従業員またはユーザーに対するソーシャルエンジニアリングやフィッシング攻撃
許可声明
本ポリシーは、セキュリティ脆弱性を報告するための手段を提供することのみを目的としており、ペネトレーションテスト、セキュリティ評価、またはその他の形式の積極的なセキュリティテストを行う許可を意味するものではありません。Even Realitiesは善意で行われるセキュリティ調査を奨励します。
本ポリシーに従ってセキュリティ調査および脆弱性開示を行う場合：
- 当社はあなたの調査を許可されたものと見なします。
- 本ポリシーに準拠した活動に対して法的措置を取ることはありません。
- 第三者からあなたに対して法的措置が開始された場合、あなたの行動が本ポリシーに準拠して行われたことを公表します。
注意：すべての適用法令を遵守する必要があります。この許可は、他のユーザーのデータにアクセス、変更、または削除することを許可するものではありません。
2. 脆弱性報告
疑わしい脆弱性の報告
セキュリティ研究者、業界団体、顧客およびサプライヤーは、Even Realitiesの製品およびサービスに関連するセキュリティ脆弱性を報告するために協力することを奨励します。
脆弱性報告用メールアドレス
セキュリティ脆弱性を発見したと思われる場合は、詳細な報告書を当社の専用セキュリティ連絡先に送信してください：
Even Realitiesの製品およびサービスでセキュリティ問題を発見または遭遇した場合は、詳細な報告書を以下に送信してください：
メール：software@evenrealities.com（件名に「Security Vulnerability」をご使用ください）
推奨件名フォーマット：[脆弱性タイプ] - [製品/コンポーネント名]
可能な限り、脆弱性報告には以下の情報を含めてください：
- 脆弱性の詳細な説明
- 影響を受ける製品またはバージョン
- 再現手順または概念実証（PoC）
- 潜在的なセキュリティ影響の評価
3. 脆弱性対応
Even Realitiesは、自社製品およびサービスの脆弱性管理を重視し、責任ある脆弱性開示および取り扱いプロセスを支援し、すべてのセキュリティ研究者の成果を尊重します。報告された各セキュリティ問題に対して専任の担当者を割り当て、迅速な解決および対応を確実にします。初期のフィードバックは10営業日以内にメールで送信します。修正完了まで脆弱性解決の進捗を継続的にフォローアップし、更新情報を提供します。
注意：脆弱性への実際の対応時間は、そのリスクレベルおよび複雑さにより異なる場合があります。
脆弱性認識：報告された潜在的なセキュリティ脆弱性および問題を積極的に監視し、脆弱性報告者と連絡を取り続けます。
脆弱性検証：潜在的なセキュリティ脆弱性や問題が当社製品のセキュリティに影響を及ぼすかどうかを検証し、リスクを評価し、ユーザーに修正のタイムラインおよび脆弱性レベルを通知します。
脆弱性修正：リスク軽減および脆弱性修正の計画を策定し、修正結果を検証し、製品アップグレードパッケージまたはパッチを提供します。
脆弱性開示：回避策およびパッチが利用可能な場合（または新しいリリースが開始された場合）に脆弱性情報を開示します。
問題改善：脆弱性開示後、対策の有効性を監視し、顧客からのフィードバックや提案を収集し、必要に応じてパッチ/アップグレードパッケージを更新します。Even Realitiesは製品開発および脆弱性対応プロセスの継続的な改善も行います。
脆弱性対応プロセス全体を通じて、脆弱性情報の範囲を厳格に管理し、脆弱性修正に関与する関連担当者のみに情報の拡散を制限します。また、脆弱性報告者には、ユーザーへの完全な解決が提供されるまで脆弱性情報を機密に保持することを約束していただきます。
当社は、法令遵守に基づき取得した脆弱性データを保護するために必要かつ合理的な措置を講じます。Even Realitiesは、影響を受けた顧客からの明示的な要請がある場合または法律により要求される場合を除き、上記データを他者に自発的に共有または開示することはありません。
4. 禁止行為
以下の結果をもたらす活動はすべて禁止されています：
- Even Realitiesのデータまたはシステムへの不正アクセス
- サービスの安定性または可用性の妨害
- 影響を示すために必要な範囲を超えた脆弱性の悪用
- 調整なしの脆弱性情報の早期公開
- 適用される法律または規制に違反する活動
脆弱性発見の過程で機密情報や個人情報に遭遇した場合、研究者は直ちに活動を中止し、さらなるアクセスを避け、当該データのローカルコピーを削除し、速やかにEven Realitiesに脆弱性報告で通知する必要があります。
報告書には、脆弱性の証明に厳密に必要な範囲を超えた機密個人情報を含めないでください。
5. ポリシーの更新
本ポリシーは随時更新されることがあります。
最新のバージョンは公式Even Realitiesウェブサイトに掲載されます。