1. Zgłaszanie luki

Jeśli znajdziesz lukę bezpieczeństwa, napisz na security@aukilo.com (lub na contact@aukilo.com z tematem „[SECURITY]").

Potwierdzamy odbiór w ciągu 72 godzin roboczych i informujemy o postępach.

Aby przyspieszyć segregację, podaj w miarę możliwości:

jasny opis luki i jej wpływu;
kroki reprodukcji;
wersję aplikacji lub dotknięty adres URL;
swój pseudonim, jeśli chcesz być wymieniony.

2. Zakres

Ta polityka obejmuje:

stronę i subdomeny aukilo.com;
aplikację mobilną Aukilo (iOS i Android);
funkcje Supabase Edge wdrożone w oficjalnym projekcie.

3. Poza zakresem

Następujące elementy nie są objęte i nie kwalifikują się do odpowiedzialnego ujawniania:

ataki typu odmowa usługi (DOS / DDoS);
phishing i inżynieria społeczna wobec zespołu lub użytkowników;
masowy scraping lub próby obejścia kwot;
luki już znane lub w trakcie naprawy;
usługi stron trzecich (Vercel, Supabase, Firebase, Google) — zgłaszaj je bezpośrednio dostawcy;
stare adresy e-mail lub zaparkowane domeny.

4. Nasze zobowiązanie

Jeśli przestrzegasz zasad tej polityki:

nie podejmiemy działań prawnych przeciwko tobie;
będziemy z tobą współpracować przy potwierdzeniu i naprawie;
publicznie ci podziękujemy (za twoją zgodą) po wdrożeniu poprawki;
w razie potrzeby opublikujemy anonimowy post-mortem.

Aukilo (jeszcze) nie prowadzi płatnego programu bug bounty. Uznanie jest symboliczne.

5. Zasady do przestrzegania

Aby skorzystać z naszego zobowiązania, prosimy:

nie uzyskuj dostępu ani nie modyfikuj danych użytkowników bez ich zgody;
nie pogarszaj usługi ani nie zakłócaj jej działania;
nie ujawniaj publicznie luki, zanim ją naprawimy;
nie wykorzystuj luki poza minimalnym proof of concept.

6. Dane użytkowników

Aukilo przetwarza dane osobowe zgodnie z RODO i naszą polityką prywatności. Jeśli luka ujawni dane osobowe, zastosujemy obowiązki notyfikacyjne wynikające z prawa (CNIL, dotknięci użytkownicy).

7. Kontakt

Pytania dotyczące tej polityki: security@aukilo.com.

Klucz PGP dostępny na żądanie dla zgłoszeń wrażliwych.