Responsible disclosureResponsible disclosure

Kwetsbaarheid melden

Report a vulnerability

Wij vinden de veiligheid van onze systemen en van de gegevens van onze leden belangrijk. Toch kan er een zwakke plek in zitten. Heb je er een gevonden? Meld het ons, zodat we het snel kunnen oplossen. We werken graag met je samen.

We care about the security of our systems and of our members’ data. Still, there may be a weak spot. Have you found one? Report it to us, so we can fix it quickly. We are happy to work with you.

Global Combat Sports Federation

Hoe meld je het

How to report

Stuur een e-mailSend an e-mail

✉ compliance@combatkinetics.nl

Zet in je melding:

Include in your report:

  • wat de kwetsbaarheid is en waar je hem vond (adres, pagina of onderdeel van de app);
  • welke stappen je zette, zodat wij het kunnen nadoen;
  • hoe we je kunnen bereiken (een e-mailadres is genoeg).
  • what the vulnerability is and where you found it (address, page or part of the app);
  • the steps you took, so we can reproduce it;
  • how we can reach you (an e-mail address is enough).

Je mag anoniem melden of een andere naam gebruiken. Dan kunnen we je alleen niet altijd op de hoogte houden. Je mag in het Nederlands of in het Engels schrijven.

You may report anonymously or under another name. We just cannot always keep you informed then. You may write in Dutch or in English.

Waar dit beleid voor geldt

What this policy covers

  • de website globalcombatsportsfederation.com;
  • de GCSF-app op app.globalcombatsportsfederation.com en gcsf-federation.onrender.com, inclusief de API;
  • de GCSF-app in de App Store en Google Play.
  • the website globalcombatsportsfederation.com;
  • the GCSF app at app.globalcombatsportsfederation.com and gcsf-federation.onrender.com, including the API;
  • the GCSF app in the App Store and Google Play.

Combat Kinetics VOF beheert de app en handelt meldingen af, ook over de website namens GCSF. Diensten van anderen die wij gebruiken, zoals Render, TransIP, Mollie, RevenueCat, Apple en Google, vallen niet onder dit beleid. Een kwetsbaarheid daarin meld je bij die partij zelf.

Combat Kinetics VOF runs the app and handles reports, also about the website on behalf of GCSF. Services of others that we use, such as Render, TransIP, Mollie, RevenueCat, Apple and Google, are not covered by this policy. Please report a vulnerability in those to that party directly.

Wat we van je vragen

What we ask of you

Doe alleen wat nodig is om de kwetsbaarheid aan te tonen. Dus:

Do only what is needed to show the vulnerability. So:

  • Meld het zo snel mogelijk nadat je het vond.
  • Bekijk, download, wijzig of verwijder geen gegevens van anderen. Zie je per ongeluk persoonsgegevens? Stop dan meteen, bewaar ze niet en meld dat ook.
  • Gebruik geen social engineering. Bel, mail of benader geen leden, leraren, gyms of medewerkers om toegang te krijgen.
  • Doe geen aanvallen die de dienst kunnen verstoren, zoals een denial-of-service, het overspoelen van formulieren of het versturen van spam.
  • Probeer niet fysiek ergens binnen te komen.
  • Plaats geen malware of achterdeur en verander niets aan het systeem.
  • Gebruik geen geautomatiseerde scans die het systeem zwaar belasten.
  • Kopieer niet meer gegevens dan nodig om het lek aan te tonen. Een schermafdruk of de naam van een map is meestal genoeg.
  • Deel de kwetsbaarheid met niemand anders tot hij is opgelost. Wil je er daarna over publiceren? Overleg dan eerst met ons over het moment en de inhoud.
  • Report it as soon as possible after you find it.
  • Do not view, download, change or delete other people’s data. If you come across personal data by accident, stop right away, do not keep it and tell us.
  • Do not use social engineering. Do not call, e-mail or approach members, teachers, gyms or staff to gain access.
  • Do not run attacks that can disrupt the service, such as denial-of-service, flooding forms or sending spam.
  • Do not try to gain physical access anywhere.
  • Do not place malware or a backdoor, and do not change anything in the system.
  • Do not use automated scans that put a heavy load on the system.
  • Do not copy more data than needed to show the issue. A screenshot or the name of a folder is usually enough.
  • Do not share the vulnerability with anyone else until it is fixed. Want to publish about it afterwards? Agree the timing and content with us first.

Wat je van ons mag verwachtenWhat you can expect from us

  • Binnen 3 werkdagen krijg je een bevestiging dat we je melding ontvingen.
  • Binnen 10 werkdagen hoor je wat we van de melding vinden en wanneer we verwachten het op te lossen.
  • We spreken samen een termijn af voor de oplossing. We streven ernaar het binnen 60 dagen op te lossen. Lukt dat niet, dan leggen we uit waarom.
  • We houden je op de hoogte van de voortgang.
  • We behandelen je melding vertrouwelijk. We delen je gegevens niet zonder jouw toestemming met anderen, tenzij de wet ons daartoe verplicht.
  • Als je dat wilt, noemen we je naam als ontdekker wanneer we over het lek berichten.
  • Within 3 working days you receive confirmation that we received your report.
  • Within 10 working days you hear what we think of the report and when we expect to fix it.
  • We agree a timeline for the fix together. We aim to fix it within 60 days. If that is not possible, we explain why.
  • We keep you informed of progress.
  • We treat your report as confidential. We do not share your details with others without your consent, unless the law requires us to.
  • If you wish, we name you as the finder when we publish about the issue.

Geen aangifte

No legal action

Houd je je aan de regels op deze pagina? Dan doen wij geen aangifte en stappen we niet naar de rechter vanwege je melding. Dit geldt niet als je duidelijk de bedoeling had om schade te doen, of als je de regels niet volgde. Let op: wij kunnen niet beloven dat het Openbaar Ministerie zelf niet vervolgt. Ook kunnen we niets toezeggen namens andere partijen, zoals onze leveranciers.

Do you follow the rules on this page? Then we will not report you to the police or take legal action because of your report. This does not apply if you clearly intended to cause harm, or if you did not follow the rules. Please note: we cannot promise that the Public Prosecution Service will not prosecute on its own. Nor can we make promises on behalf of other parties, such as our suppliers.

Bedankje

Thank-you

We geven geen geldbeloning. Als dank voor een goede melding noemen we je naam of krijg je een GCSF-artikel. Dat bepalen we per melding.

We do not pay a financial reward. As thanks for a good report, we mention your name or give you a GCSF item. We decide this per report.

Persoonsgegevens

Personal data

Als je meldt, verwerken wij je naam (als je die geeft), je e-mailadres en de inhoud van je melding. We gebruiken dat alleen om je melding af te handelen en contact met je te houden. We bewaren het niet langer dan daarvoor nodig is. Meer staat in de privacyverklaring.

When you report, we process your name (if you give it), your e-mail address and the content of your report. We use these only to handle your report and to stay in touch with you. We do not keep them longer than needed for that. More information is in the privacy statement.

Versie 1.0, 25 oktober 2026 · security.txt