Bezpieczeństwo
Polityka zgłaszania podatności
Ostatnia aktualizacja: 8 września 2026 r.
1. Cel polityki
Niniejsza polityka opisuje sposób odpowiedzialnego zgłaszania problemów bezpieczeństwa dotyczących serwisu Zlecono. Jej celem jest ułatwienie bezpiecznego przekazywania informacji osobom, które chcą pomóc w ochronie serwisu, jego użytkowników i danych.
2. Zakres
Zakres polityki obejmuje publicznie dostępne domeny, aplikacje, interfejsy API oraz inne elementy infrastruktury Zlecono, które są jednoznacznie powiązane z serwisem zlecono.com. Jeśli nie masz pewności, czy dany zasób należy do zakresu, zapytaj przed rozpoczęciem testów pod adresem security@zlecono.com.
3. Jak zgłosić podatność
Zgłoszenia należy przesyłać na adres security@zlecono.com. Prosimy, aby w temacie wiadomości umieścić oznaczenie „Security report” oraz krótki opis problemu. Nie przesyłaj haseł, kluczy API, pełnych danych osobowych ani innych sekretów, jeżeli nie są niezbędne do odtworzenia problemu.
4. Informacje wymagane w zgłoszeniu
W miarę możliwości zgłoszenie powinno zawierać: opis podatności i jej potencjalnego wpływu, dokładny adres URL lub komponent, kroki odtworzenia, minimalny bezpieczny proof of concept, informacje o środowisku i czasie testu oraz propozycję ograniczenia ryzyka. Zanonimizuj wszystkie dane osób trzecich i używaj wyłącznie własnych kont oraz danych testowych.
5. Odpowiedzialne testowanie
Testuj w sposób proporcjonalny, ograniczony i możliwie najmniej uciążliwy. Korzystaj z własnych kont, nie uzyskuj dostępu do cudzych danych, nie modyfikuj ani nie usuwaj danych, a po potwierdzeniu podatności przerwij testy i przekaż nam informacje. Jeżeli przypadkowo uzyskasz dostęp do danych, nie kopiuj ich, nie rozpowszechniaj i niezwłocznie poinformuj nas o zdarzeniu.
6. Działania niedozwolone
Zabronione są w szczególności: testy obciążeniowe i odmowa usługi, spamowanie lub socjotechnika, phishing, malware, skanowanie i testowanie systemów osób trzecich, omijanie zabezpieczeń w celu uzyskania trwałego dostępu, eskalowanie uprawnień ponad minimum potrzebne do wykazania problemu, pobieranie lub ujawnianie danych oraz niszczenie, blokowanie lub zakłócanie działania serwisu.
7. Odpowiedzialne ujawnienie
Prosimy o zachowanie poufności informacji o podatności do czasu uzgodnienia z nami dalszego postępowania. Nie publikuj szczegółów, proof of concept, danych użytkowników ani informacji umożliwiających wykorzystanie problemu bez naszej wcześniejszej pisemnej zgody. Możemy uzgodnić skoordynowane ujawnienie po przygotowaniu i wdrożeniu odpowiednich działań ograniczających ryzyko.
8. Safe harbor
Jeżeli działasz w dobrej wierze, przestrzegasz tej polityki, nie naruszasz praw osób trzecich i nie wykorzystujesz podatności do osiągania korzyści, będziemy traktować takie działania jako autoryzowane testy bezpieczeństwa w zakresie niezbędnym do zgłoszenia problemu. Nie stanowi to zrzeczenia się praw ani gwarancji, że działania nie będą podlegały ocenie właściwych organów lub przepisów. Nie obejmuje to działań zabronionych, nadużyć, naruszeń poufności ani testów dotyczących systemów osób trzecich.
9. Obsługa zgłoszeń
Potwierdzenie otrzymania zgłoszenia planujemy przesłać w ciągu 3 dni roboczych, o ile zgłoszenie pozwala na kontakt zwrotny. Wstępna ocena i kwalifikacja problemu zwykle następuje w ciągu 10 dni roboczych. Terminy usunięcia podatności zależą od jej wpływu, złożoności i zależności od dostawców; możemy przekazywać aktualizacje, jeżeli rozwiązanie wymaga dodatkowego czasu.
10. Klasyfikacja i współpraca
Możemy poprosić o dodatkowe informacje, ograniczyć zakres testów albo uzgodnić bezpieczny sposób dalszej weryfikacji. Priorytet nadajemy problemom, które mogą prowadzić do nieuprawnionego dostępu, ujawnienia danych, przejęcia konta, obejścia kontroli bezpieczeństwa lub istotnego zakłócenia działania serwisu.
11. Dane osobowe i poufność
Dane zawarte w zgłoszeniu przetwarzamy wyłącznie w celu obsługi zgłoszenia, ochrony serwisu, komunikacji oraz ustalenia, dochodzenia lub obrony roszczeń, w zakresie wymaganym przez prawo. Prosimy o ograniczenie danych osobowych do minimum. Informacje o przetwarzaniu danych osobowych znajdują się w Polityce prywatności. Jeżeli zgłoszenie dotyczy bezpośredniego naruszenia ochrony danych, zaznacz to wyraźnie w wiadomości.
12. Brak programu nagród
Zlecono nie prowadzi obecnie publicznego programu nagród ani nie gwarantuje wynagrodzenia, wyróżnienia lub odpowiedzi o określonej treści za zgłoszenie. Możemy dobrowolnie podziękować za wartościową współpracę, bez tworzenia zobowiązania na przyszłość.
13. Aktualizacja polityki
Polityka może być aktualizowana wraz ze zmianą zakresu serwisu, procesów bezpieczeństwa lub przepisów prawa. Aktualna wersja jest publikowana na tej stronie. Plik security.txt wskazuje tę stronę jako dokument polityki zgodnie z RFC 9116.