Bezpieczeństwo i zgłaszanie podatności

Jak zgłosić

Napisz na olimpia@intuflow.pl z tematem „Bezpieczeństwo”. Piszemy po polsku i angielsku. W zgłoszeniu podaj:

• opis podatności i jej możliwy wpływ,
• adres, ekran lub funkcję, której dotyczy,
• kroki pozwalające ją odtworzyć (np. zapytania, zrzuty ekranu),
• dane kontaktowe, jeśli chcesz otrzymać odpowiedź.

olimpia@intuflow.pl

Co obiecujemy

• potwierdzimy otrzymanie zgłoszenia w ciągu 5 dni roboczych,
• w ciągu 30 dni przekażemy ocenę zgłoszenia i plan dalszych działań,
• poinformujemy Cię, gdy podatność zostanie usunięta,
• nie przekażemy Twoich danych osobom trzecim bez Twojej zgody, chyba że wymagają tego przepisy prawa.

Zasady testowania

• testuj wyłącznie na własnym koncie; nie uzyskuj dostępu do cudzych kont ani danych,
• jeśli natrafisz na dane innych osób – przerwij, nie zapisuj ich i od razu nam to zgłoś,
• nie modyfikuj ani nie usuwaj danych, nie zakłócaj działania usługi (bez ataków DoS, masowych zapytań i spamu),
• nie stosuj socjotechniki wobec użytkowników ani zespołu,
• nie ujawniaj podatności publicznie, dopóki jej nie usuniemy albo nie minie 90 dni od zgłoszenia – chyba że uzgodnimy inaczej.

Działanie w dobrej wierze

Jeżeli szukasz i zgłaszasz podatności w dobrej wierze i zgodnie z powyższymi zasadami, nie wystąpimy wobec Ciebie z roszczeniami ani nie złożymy zawiadomienia w związku z takim zgłoszeniem. Nie prowadzimy płatnego programu nagród za błędy (bug bounty).

Zakres

• aplikacja internetowa app.intuflow.pl i jej interfejs API,
• aplikacja INTUflow na Androida z Google Play (pl.intuflow.app).

Podatności w usługach naszych dostawców (np. Supabase, Vercel, Google, Anthropic) zgłaszaj bezpośrednio tym dostawcom. Jeśli nie wiesz, czy coś jest w zakresie – napisz do nas.

Aktualizacje bezpieczeństwa

Aplikacja z Google Play otwiera app.intuflow.pl w przeglądarce Chrome, dlatego poprawki bezpieczeństwa wdrażamy po stronie serwera – trafiają do wszystkich użytkowników bez potrzeby aktualizowania aplikacji. Aktywnie wykorzystywane podatności i poważne incydenty zgłaszamy właściwym organom, jeżeli wymagają tego przepisy (m.in. rozporządzenie (UE) 2024/2847 – Cyber Resilience Act).