SINCLIQWróć do Sincliq

Stany Zjednoczone · Wersja 2026-10-08

Zgłoś lukę bezpieczeństwa

Napisz w tej sprawie

1. Zgłoszenie bezpieczeństwa

Informacje o podejrzewanej podatności lub incydencie dotyczącym wybranego rynku kieruj do Sincliq Inc., 1000 Northwest Street, Mid-Town Brandy Wine, Suite 1200, Wilmington, DE 19801, USA, na hello@sincliq.com, z tematem „Security”. Zacznij od krótkiego opisu problemu, dotkniętej usługi i możliwych skutków. Wskaż kraj związany ze sprawą i preferowany język odpowiedzi: polski, niemiecki lub angielski. Język strony nie zmienia właściwego podmiotu. Nie musisz potwierdzać skutecznego ataku ani wykonywać kolejnego testu, aby zgłosić uzasadnione podejrzenie. Ten dokument opisuje zasady bezpiecznego przekazania informacji i współpracy; samo zgłoszenie, automatyczne potwierdzenie lub korespondencja nie udzielają zgody na badanie systemów.

2. Zwykłe korzystanie i obserwacja

Możesz przekazać problem zauważony przy zgodnym z prawem przeglądaniu publicznej strony, odczycie informacji normalnie wysyłanych do Twojej przeglądarki lub korzystaniu z własnego konta w granicach przyznanych uprawnień. Nie wymaga to odtwarzania podatności. Publiczna dostępność adresu, pliku czy formularza nie stanowi otwartej zgody na testowanie. Zmiana identyfikatorów w celu sprawdzania cudzych danych, próby obejścia kontroli dostępu, wysyłanie specjalnie przygotowanych żądań i automatyczne skanowanie wykraczają poza zwykłą obserwację. Gdy ustalenie dalszych szczegółów wymaga takiego działania, przerwij je i opisz dotychczasową obserwację. Brak technicznej blokady nie rozszerza uprawnienia użytkownika.

3. Zgoda przed aktywnymi testami

Przed aktywnymi testami uzyskaj od uprawnionego przedstawiciela wyraźną pisemną zgodę określającą systemy, metody, konta testowe, okres i warunki przerwania. Propozycję zakresu możesz przesłać na hello@sincliq.com; samo jej wysłanie lub milczenie nie oznaczają akceptacji. Ewentualne dopuszczenie jednego testu nie obejmuje innych środowisk, funkcji ani późniejszych prób. Zgoda klienta lokalu, pracownika lub posiadacza konta nie musi obejmować infrastruktury Sincliq. Muszą istnieć właściwe uprawnienia wszystkich podmiotów kontrolujących testowany zasób. Jeśli własność lub zakres zgody są niejasne, wyjaśnij je przed działaniem. Ta polityka nie jest ogólnym upoważnieniem do badań ani zastępstwem takiego uzgodnienia.

4. Działania niedopuszczalne

Nie pozyskuj, nie eksportuj ani nie kopiuj cudzych danych; nie modyfikuj i nie usuwaj danych lub konfiguracji. Nie wykonuj testów obciążeniowych, odmowy usługi, masowego zgadywania haseł, wykorzystywania wykradzionych danych logowania, socjotechniki ani prób fizycznego wejścia. Nie instaluj trwałego dostępu, nie przemieszczaj się między systemami i nie uruchamiaj transakcji finansowych w celu wykazania wpływu. Zakres tej polityki nie obejmuje testowania klientów, operatorów płatności, dostawców chmury ani innych osób trzecich, również poprzez integrację z Sincliq. Dobra intencja lub chęć potwierdzenia skali nie usprawiedliwiają zwiększania szkody. Istniejące odrębne umowy testowe podlegają własnemu zakresowi i warunkom.

5. Minimalny, użyteczny materiał

Podaj adres lub nazwę funkcji, datę i godzinę ze strefą czasową, używaną wersję oprogramowania, rolę własnego konta oraz oczekiwane i zaobserwowane działanie. Opisz kroki, które rzeczywiście wykonałeś, oraz możliwy wpływ, wyraźnie oddzielając hipotezy od faktów. Wystarczy krótki, zanonimizowany fragment komunikatu lub zrzut pokazujący problem; nie potrzebujemy pełnego eksportu bazy. Usuń hasła, tokeny, cookies sesyjne, klucze, numery kart i dane klientów z treści, obrazów, adresów i metadanych. Nie dodawaj działającego kodu wykorzystującego lukę ani wykonywalnych załączników do pierwszej wiadomości. Jeżeli dowód wymaga ochrony, opisz jego rodzaj i uzgodnij sposób przekazania.

6. Przypadkowy dostęp do danych

Jeśli przypadkowo zobaczysz cudze dane lub aktywny sekret, zatrzymaj dalsze przeglądanie i nie sprawdzaj kolejnych rekordów ani ważności danych logowania. Nie publikuj, nie przekazuj innym i nie wykorzystuj informacji do logowania, kontaktowania się z poszkodowanymi lub potwierdzania skali. Zapisz wyłącznie niezbędny opis miejsca, czasu i rodzaju ujawnienia, bez kopiowania treści. Jeśli plik pobrał się automatycznie, zabezpiecz go przed dalszym dostępem i wskaż ten fakt w zgłoszeniu; nie przesyłaj go zwykłym emailem. Uzgodnij ograniczone zachowanie lub bezpieczne usunięcie z uwzględnieniem ewentualnych obowiązków prawnych. Nie zmieniaj ani nie kasuj danych w systemie źródłowym.

7. Pilny incydent i bezpieczny kontakt

Przy trwającym ujawnieniu danych, przejęciu konta lub podejrzeniu czynnego ataku napisz na hello@sincliq.com z tematem „Security urgent”, wskazując usługę, czas i bezpośrednie skutki. Pierwsza wiadomość powinna zawierać wyłącznie opis bez danych wrażliwych i sekretów. Sposób przekazania wrażliwych dowodów wymaga wcześniejszego, odrębnego uzgodnienia; samo nawiązanie kontaktu nie zapewnia ich ochrony. Ta skrzynka nie gwarantuje całodobowej obsługi lub natychmiastowej odpowiedzi. Przy zagrożeniu życia kontaktuj właściwe służby; w razie zagrożenia płatności także swojego dostawcę płatności sprawdzonym kanałem. W granicach własnych uprawnień możesz zabezpieczyć własne konto. Nie podejmuj samodzielnego przeciwdziałania w cudzych systemach.

8. Ocena i dalsza komunikacja

Przy ocenie uwzględniamy wiarygodność informacji, rzeczywisty wpływ na poufność, integralność i dostępność, możliwość wykorzystania oraz zakres dotkniętych osób i usług. Nie musisz nadawać punktacji technicznej; opis skutków jest bardziej użyteczny niż sama etykieta „krytyczne”. Możemy poprosić o wyjaśnienie już zebranych danych, ale nie stanowi to zgody na dalszy test. Odpowiadaj w jednym wątku i wskazuj nowe okoliczności. Zakres przekazywanych informacji może podlegać ograniczeniom związanym z ochroną danych i dochodzeniem. Nie ustalamy tutaj gwarantowanego czasu potwierdzenia, rozwiązania lub naprawy; ustawowe obowiązki działają niezależnie. Brak odpowiedzi nie rozszerza dozwolonego zakresu działania.

9. Ograniczenie ryzyka i ponowne testy

Sposób ograniczenia ryzyka zależy od ustalonej przyczyny, zależności technicznych i ryzyka zmian dla użytkowników. Może obejmować zmianę konfiguracji, poprawkę, ograniczenie funkcji lub unieważnienie zagrożonych danych dostępowych przez właściwy podmiot. Informacja o wdrożeniu poprawki nie jest zaproszeniem do samodzielnego ponowienia ataku. Weryfikacja przez zgłaszającego wymaga odrębnego uzgodnienia zakresu i zgody, tak jak pierwszy aktywny test. Jeżeli bez dalszego testowania zauważysz ponowne wystąpienie problemu, przekaż nowe okoliczności. Zgłoszenie może zostać uznane za duplikat albo wymagać dodatkowych wyjaśnień; nie oznacza to oceny intencji zgłaszającego ani pozwolenia na uzyskanie mocniejszych dowodów ryzykowną metodą.

10. Skoordynowane ujawnienie

Prosimy o rozsądny czas na ocenę i ograniczenie ryzyka przed publikacją szczegółów umożliwiających wykorzystanie podatności. Przekaż proponowaną datę oraz zakres publikacji, aby można było uzgodnić praktyczny termin i aktualizacje. Ewentualne przedłużenie powinno mieć konkretny powód i nowy termin przeglądu; ta polityka nie ustanawia bezterminowego zakazu ujawniania ani obowiązku czekania bez końca na zgodę. Przy braku kontaktu możesz rozważyć właściwy CERT lub CSIRT w celu koordynacji. Nie publikuj danych osobowych, sekretów ani instrukcji stwarzających bezpośrednie zagrożenie. Ustawowe zgłoszenia do organów, chronione prawem ujawnienia i korzystanie z porady prawnej pozostają możliwe.

11. Ochrona zgłoszenia i danych

Ograniczamy wykorzystanie informacji ze zgłoszenia do jego obsługi, ochrony systemów i osób, wymaganej współpracy oraz obowiązków i roszczeń prawnych. Dostęp lub przekazanie powinny obejmować tylko informacje potrzebne osobom obsługującym sprawę, właściwym dostawcom, doradcom lub organom, na odpowiedniej podstawie. Nie obiecujemy absolutnej poufności ani tajemnicy zawodowej. Zgłoszenie bez nazwiska może ograniczyć możliwość dalszej rozmowy; zwykle wystarcza działający kontakt zwrotny bez dokumentu tożsamości. Zaznacz szczególne zagrożenia związane z ujawnieniem tożsamości. Materiał przechowuje się według niezbędności dla sprawy, obowiązków i ochrony roszczeń. Informacje o prawach dotyczących danych i sposobie ich wykonywania zawiera polityka prywatności.

12. USA: obowiązki po naruszeniu danych

W USA obowiązki po naruszeniu danych zależą od właściwych przepisów stanowych i sektorowych, miejsca zamieszkania osób, rodzaju danych oraz roli podmiotu. Sama siedziba spółki w Delaware nie ogranicza analizy do prawa tego stanu. Właściciel lub licencjobiorca danych oraz podmiot je utrzymujący mogą mieć różne obowiązki wzajemnego zawiadomienia, współpracy i powiadomienia osób lub organów. Oceniamy te obowiązki według konkretnego zdarzenia; nie ma tu jednego uniwersalnego terminu 72 godzin. Jeśli zastosowanie ma również RODO, jego obowiązki wymagają odrębnego uwzględnienia. Zgłoszenie badacza nie przenosi na niego odpowiedzialności Sincliq za wymagane zawiadomienia ani nie gwarantuje odpowiedzi w terminie ustawowym.