Oferecemos esse processo de remoção de informações privadas como um serviço excepcional apenas para conteúdo de alto risco que viola os Termos de Serviço do GitHub, como quando sua segurança está em risco devido à exposição das credenciais de acesso. Este guia descreve as informações que o GitHub precisa de você para processar uma solicitação para remover informações privadas de um repositório.
O que é Informação Privada?
Para as finalidades deste documento, “informação privada” refere-se ao conteúdo que (i) deveria ter sido mantido em sigilo e (ii) cuja disponibilidade pública represente um risco específico ou direcionado à segurança para você ou para sua organização.
"Risco de segurança" refere-se a uma situação envolvendo exposição a perigo físico, roubo de identidade ou maior probabilidade de acesso não autorizado a instalações físicas ou de rede.
As solicitações de remoção de informações privadas são apropriadas para:
- Credenciais de acesso, como nomes de usuário combinados com senhas, tokens de acesso ou outros segredos confidenciais que podem conceder acesso ao servidor, rede ou domínio da sua organização.
- Tokens da AWS e outras credenciais de acesso semelhantes que concedem acesso a terceiros em seu nome. Você deve ser capaz de mostrar que o token pertence a você.
- Documentação (como diagramas ou arquitetura de rede) que representa um risco de segurança específico para uma organização.
- Informações relacionadas a você enquanto indivíduo e que representam risco (por exemplo, número do seguro social ou outros números de identificação governamental).
As solicitações de remoção de informações privadas não são apropriadas para:
- Nomes de servidores internos, endereços IP e URLs por conta própria. Você deve ser capaz de mostrar que seu uso em um determinado arquivo ou parte de código representa uma ameaça à segurança.
- Meras menções à identidade, nome, marca, nome de domínio da sua empresa ou outras referências à sua empresa em arquivos no GitHub. Você deve ser capaz de articular por que o uso da identidade de sua empresa é uma ameaça à postura de segurança de sua empresa.
- Arquivos ou repositórios inteiros que não representam um risco de segurança específico, mas que você acredita serem censuráveis.
- Solicitações para remover conteúdo que possa infringir seus direitos autorais ou de sua organização. Se você tiver dúvidas sobre como o GitHub lida com questões relacionadas a direitos autorais ou se gostaria de denunciar conteúdo potencialmente infrator, consulte a Política de Remoção de DMCA. O processo de remoção de informações privadas geralmente não se destina à remoção de arquivos ou repositórios completos — apenas de partes específicas de informações privadas nesses arquivos. Embora possa haver casos em que os arquivos sejam preenchidos inteiramente com informações privadas, você deve justificar o risco de segurança para a remoção de tais arquivos, e isso pode aumentar o tempo necessário para processar sua solicitação.
- Disputas de marcas. Se você tiver dúvidas sobre como o GitHub lida com assuntos relacionados a marcas ou se gostaria de denunciar conteúdo que contenha marcas comerciais ou de serviço de sua organização, consulte a Política de Marcas.
- Reclamações de privacidade. Se você desejar acessar, transferir, alterar ou excluir suas informações pessoais no GitHub, entre em contato conosco usando o Formulário de contato de privacidade.
- Conteúdo regido pelas Diretrizes da Comunidade, como malware ou ferramentas de uso geral. Se você tiver dúvidas sobre nossas Diretrizes da Comunidade ou se acreditar que o conteúdo no GitHub possa violar nossas diretrizes, entre em contato conosco por meio do Portal de Suporte do GitHub para denunciar o conteúdo.
Coisas para saber
Primeiro pergunte gentilmente. Um ótimo primeiro passo antes de nos enviar uma solicitação para remover dados é tentar entrar em contato diretamente com o usuário. Eles podem ter listado informações de contato em sua página de perfil público ou no arquivo README ou Suporte do repositório, ou você pode entrar em contato criando um problema ou pull request no repositório. Isso não é estritamente necessário, mas é apreciado.
Ausência de bots. Você deve ter um profissional treinado para avaliar os fatos de cada solicitação que você enviar. Se você está terceirizando seus esforços para terceiros, certifique-se de saber como eles operam e certifique-se de que eles não estejam usando bots automatizados para enviar reclamações em massa. Essas reclamações geralmente incluem dados que não representam ameaças à segurança e não incluem explicações suficientes, exigindo idas e vindas adicionais e resultando em atrasos, mesmo quando a reclamação é válida.
Envie a solicitação correta. Conforme observado acima, oferecemos esse processo de remoção de informações privadas como um serviço excepcional apenas para conteúdo de alto risco. Não podemos usar esse processo para remover outros tipos de conteúdo, como conteúdo potencialmente infrator, e não podemos processar nenhum outro tipo de solicitação de remoção simultaneamente enquanto processamos solicitações de remoção de informações privadas. Poderemos ajudá-lo mais rapidamente se você enviar suas solicitações de remoção de informações privadas separadamente de quaisquer solicitações para remover conteúdo potencialmente infrator. Se você não tiver certeza se sua solicitação envolve apenas informações privadas ou também envolve outros assuntos legais, consulte um advogado.
Tempo de processamento. Embora processemos solicitações de remoção de informações privadas o mais rápido possível, devido ao volume de solicitações que processamos, pode levar algum tempo para que sua solicitação seja analisada. Solicitações adicionais ou solicitações múltiplas de pontos de contato adicionais podem resultar em atrasos.
Como Isso Realmente Funciona?
-
O denunciante investiga. Cabe à parte requerente conduzir sua própria investigação e nos fornecer os detalhes que exigimos — mais importante, uma explicação de como os dados representam um risco à segurança. O GitHub não está em posição de pesquisar ou fazer determinações iniciais sobre informações privadas em nome de qualquer indivíduo ou organização.
-
O denunciante envia uma solicitação de remoção de informações privadas. Depois de conduzir uma investigação, o denunciante prepara e envia uma solicitação de remoção de informações privadas para o GitHub. Se a solicitação não for suficientemente detalhada para demonstrar o risco de segurança e para o GitHub localizar os dados, responderemos e solicitaremos mais informações.
-
O GitHub pede ao usuário para fazer alterações. Na maioria dos casos, entraremos em contato com o usuário que criou o repositório e daremos a ele a oportunidade de excluir ou modificar as informações particulares especificadas na solicitação ou contestar a reclamação.
-
O usuário notifica o GitHub sobre as alterações. Se o usuário optar por fazer as alterações especificadas, ele deverá nos informar dentro do período de tempo permitido. Caso contrário, desativaremos o repositório. Se o usuário nos notificar que fez alterações, verificaremos se as alterações foram feitas e notificaremos o reclamante.
OU
-
O usuário pode contestar a solicitação. Se um usuário acreditar que o conteúdo em questão não é uma informação privada sujeita a esta Política, ele poderá contestá-lo. Se o fizerem, geralmente deixaremos para o reclamante entrar em contato com o usuário e resolver as coisas diretamente com ele, dentro do razoável.
-
O denunciante analisa as alterações. Se o usuário fizer alterações, o reclamante deverá analisá-las. Se as alterações forem insuficientes, o reclamante deve fornecer ao GitHub detalhes explicando o motivo. O GitHub pode desabilitar o repositório ou dar ao usuário uma chance adicional de fazer as alterações.
-
O usuário pode solicitar uma janela adicional para fazer alterações. Se o usuário perdeu a oportunidade de remover as informações particulares especificadas no aviso, podemos conceder a ele uma janela adicional de aproximadamente 1 dia útil, mediante solicitação, para fazer essas alterações. Nesse caso, o GitHub notificará o reclamante.
E os garfos? (ou o que é um garfo?)
Um dos melhores recursos do GitHub é a capacidade dos usuários de "bifurcar" os repositórios uns dos outros. O que isso significa? Em essência, isso significa que os usuários podem fazer uma cópia de um projeto no GitHub em seus próprios repositórios. Conforme a licença ou a lei permitir, os usuários podem fazer alterações nesse fork para retornar ao projeto principal ou apenas manter como sua própria variação de um projeto. Cada uma dessas cópias é um "Glossário do GitHub" do repositório original, que por sua vez também pode ser chamado de "pai" do fork.
O GitHub não desabilitará automaticamente os forks ao desabilitar um repositório pai. Isso ocorre porque os garfos pertencem a usuários diferentes e podem ter sido alterados de maneira significativa. O GitHub não conduz nenhuma investigação independente sobre forks. Esperamos que aqueles que enviam solicitações de remoção de informações privadas conduzam essa investigação e, se acreditarem que as bifurcações também contêm informações privadas, incluam expressamente bifurcações em sua solicitação.
Se, no momento em que você enviou sua notificação, você identificou todas as bifurcações existentes desse repositório, processaremos uma reivindicação válida contra todas as bifurcações dessa rede no momento em que processarmos a notificação. Faríamos isso dada a probabilidade de todos os forks recém-criados conterem o mesmo conteúdo. Além disso, se a rede denunciada que contém o conteúdo denunciado for maior que cem (100) repositórios e, portanto, for difícil revisar em sua totalidade, podemos considerar a desativação de toda a rede se você declarar em seu aviso que, com base na representativo de bifurcações que você revisou, você acredita que todas ou a maioria das bifurcações contém o conteúdo relatado no repositório pai.
Enviando uma solicitação de remoção de informações privadas
Devido ao tipo de conteúdo que o GitHub hospeda (principalmente código de software) e à maneira como esse conteúdo é gerenciado (com Git), precisamos que as reclamações sejam o mais específicas possível. Para que possamos verificar se um usuário removeu completamente as informações privadas relatadas, precisamos saber exatamente onde procurar.
Essas diretrizes foram elaboradas para tornar o processamento de solicitações de remoção de informações privadas o mais simples possível.
Sua solicitação deve incluir:
- Um link funcional e clicável para cada arquivo contendo informações privadas. (Observe que não podemos trabalhar com resultados de pesquisa, exemplos ou capturas de tela.)
- Números de linha específicos dentro de cada arquivo contendo as informações privadas.
- Uma breve descrição de como cada item identificado representa um risco de segurança para você ou sua organização. É importante que você forneça uma explicação de como os dados representam um risco à segurança além de apenas declarar que sim.
- Se você for um terceiro atuando como agente de uma organização que enfrenta um risco de segurança, inclua uma declaração de que você tem o direito legal de agir em nome dessa organização.
- OPCIONAL: Informe-nos se a sua solicitação é particularmente urgente e o motivo. Respondemos a todas as solicitações de remoção de informações privadas o mais rápido possível. No entanto, se esta solicitação for especialmente sensível ao tempo, como uma exposição de credencial muito recente, explique o motivo.
Como enviar sua solicitação
Você pode enviar sua solicitação para remover informações privadas por meio do formulário de contato. Por favor, inclua uma versão em texto simples de sua solicitação no corpo de sua mensagem. O envio de sua solicitação em anexo pode resultar em atrasos no processamento.
Controvérsias
Se você recebeu uma solicitação de remoção de informação privada enviada por nós, poderá contestá-la respondendo ao nosso email e nos informando — com o máximo de detalhes possível — por que você acha que o conteúdo em questão não é uma informação privada sujeita a esta Política.