Política de Disclosure Responsável — Escola de Rádio TV & Web
================================================================

A Escola de Rádio (ER+) agradece a contribuição da comunidade de segurança
para a proteção dos nossos sistemas, alunos e parceiros.

Como reportar
-------------
- E-mail: escoladeradio@escoladeradio.com
- Assunto: [SECURITY] <breve descrição>
- Inclua: descrição da vulnerabilidade, passos pra reproduzir, impacto
  estimado e (opcional) sugestão de mitigação.

O que esperar
-------------
- Acuse de recebimento em até 5 dias úteis.
- Atualização sobre a investigação dentro de 15 dias úteis.
- Correção priorizada conforme severidade (CVSS 3.1).
- Reconhecimento público no nosso histórico de agradecimentos (opt-in).

O que NÃO fazer
---------------
- Não execute testes de carga / DoS em produção.
- Não acesse, modifique ou exfiltre dados pessoais de alunos, professores
  ou parceiros.
- Não publique a vulnerabilidade antes da correção.
- Não use engenharia social contra funcionários ou alunos.

Escopo
------
- escoladeradio.com.br e subdomínios
- API pública (api.escoladeradio.com.br, quando existir)
- Endpoints públicos da Escola de Rádio em /api/*

Fora de escopo
--------------
- Plataformas de terceiros (Sanity, Vercel, Supabase, ClassBuild, Asaas).
  Reporte direto pro vendor — repassamos se for downstream.
- Bugs cosméticos sem impacto de segurança.
- Vulnerabilidades já conhecidas e divulgadas publicamente.

Recompensa
----------
A ER+ não opera um programa de bug bounty pago. Reconhecimento público,
agradecimento formal e (eventualmente) brindes da escola são oferecidos
pra reports válidos e bem-documentados.