Polityka zgłaszania podatności
Wersja 1.1. Opublikowana 1 października 2026 r., zaktualizowana 29 października 2026 r.
Jeśli Twoim zdaniem w zabezpieczeniach QuickISO jest podatność albo coś innego tutaj zagraża czyjemuś bezpieczeństwu, chcemy o tym wiedzieć. Ta strona opisuje, co możesz zgłosić i testować, jak nam to zgłosić i co robimy w zamian.
QuickISO prowadzi Axperts Dariusz Zalewski, jednoosobowa działalność gospodarcza ze Szczecina. Pełne dane są w polityce prywatności.
Zgłoś problem z bezpieczeństwem
Podatność, incydent w Twojej przestrzeni roboczej, phishing w naszym imieniu albo sprawa prywatności. Numer zgłoszenia dostaniesz od razu, a każde zgłoszenie czyta człowiek.
Albo e-mailem
Co możesz zgłosić
- podatność w QuickISO
- incydent bezpieczeństwa dotyczący Twojej przestrzeni roboczej lub Twojego konta, na przykład logowanie, którego nie rozpoznajesz, zmianę, której nikt w Twojej organizacji nie wprowadził, albo dane, które mogły wyciec
- phishing lub inne nadużycie w imieniu QuickISO, na przykład wiadomość lub stronę podszywającą się pod QuickISO albo użycie QuickISO przeciwko komuś
- wątpliwość dotyczącą tego, jak QuickISO przetwarza dane osobowe
QuickISO nigdy nie prosi o hasło ani kod z aplikacji uwierzytelniającej w e-mailu, na czacie ani przez telefon. Jeśli wiadomość w naszym imieniu o to prosi, nie odpowiadaj na nią i zgłoś ją tutaj.
Co możesz testować
| quickiso.app | strona publiczna |
| eu.quickiso.app | aplikacja QuickISO |
| us.quickiso.app | strona regionu Stanów Zjednoczonych |
| api.quickiso.app | interfejs, z którego korzystają aplikacja i aplikacje mobilne |
| aplikacja mobilna QuickISO |
Testuj wyłącznie na własnych kontach i przestrzeniach roboczych albo na takich, których właściciel zgodził się na testy. Jeśli do testu potrzebujesz konta, najpierw do nas napisz. Jeśli dotrzesz do cudzych danych, przerwij w tym miejscu, nie zachowuj ich ani nikomu nie przekazuj i napisz nam, co było widać.
Co jest poza zakresem
- ataki odmowy usługi (DoS) i wszelkie testy, które pogarszają działanie usługi dla innych, w tym zautomatyzowane skanowanie o dużym natężeniu
- socjotechnika i phishing wymierzone w osoby, które dla nas pracują, w naszych klientów lub dostawców
- ataki fizyczne na biura, sprzęt lub centra danych
- usługi prowadzone przez inne firmy, na przykład naszych dostawców hostingu, sieci i poczty; takie problemy zgłoś bezpośrednio dostawcy
- wyniki narzędzi automatycznych bez wykazanego skutku, na przykład sam brak nagłówka
Jak zgłosić
Skorzystaj z formularza zgłoszeniowego na tej stronie. Wybierz, czego dotyczy zgłoszenie, i podaj:
- na czym polega problem i gdzie występuje (adres lub ekran)
- kroki, które pozwalają go odtworzyć, wraz z dowodem koncepcji, jeśli go masz
- co atakujący mógłby dzięki niemu osiągnąć albo co się stało
- adres e-mail, na który możemy odpowiedzieć
Formularz nie przyjmuje załączników. Dowód koncepcji, zrzut ekranu lub nagranie udostępnij pod linkiem i wklej link albo opisz je w tekście.
Każde zgłoszenie wysłane formularzem dostaje numer, na przykład QI-SEC-2026-0001. Strona pokazuje go od razu po wysłaniu, a my wysyłamy go na podany adres e-mail. Podawaj go w każdej wiadomości w sprawie zgłoszenia.
Jeśli wolisz e-mail, napisz na [email protected], zaczynając temat od słowa „Bezpieczeństwo", po polsku lub po angielsku, z tymi samymi informacjami. Nie publikujemy jeszcze klucza szyfrującego. Jeśli zgłoszenie jest poufne, wyślij najpierw krótką wiadomość bez szczegółów, formularzem albo e-mailem, a uzgodnimy bezpieczniejszy sposób ich przekazania.
Do czego się zobowiązujemy
Zgłoszenie: formularzem albo e-mailem.
5dni roboczych
Potwierdzenie otrzymania: zgłoszenia z formularza od razu, pozostałych w ciągu pięciu dni roboczych.
90dni
Opis publiczny: proponujemy 90 dni od zgłoszenia i chętnie uzgodnimy konkretną datę.
- Potwierdzimy otrzymanie zgłoszenia w ciągu pięciu dni roboczych. Zgłoszenie wysłane formularzem potwierdzamy od razu e-mailem z jego numerem.
- Każde zgłoszenie czyta człowiek. Powiemy Ci, czy udało nam się odtworzyć problem i co zamierzamy z nim zrobić, a także damy znać, gdy zostanie usunięty.
- Gdy zgłoszenie przejdzie dalej, możemy wysłać Ci e-mail z jego nowym statusem: przyjęte, w toku, rozwiązane, nie dotyczy albo duplikat. Wiadomość o statusie mówi tylko, na jakim etapie jest zgłoszenie, i nigdy nie powtarza jego treści.
- Nie podejmiemy wobec Ciebie kroków prawnych i nie złożymy wniosku o ściganie w związku z badaniem prowadzonym w dobrej wierze i zgodnie z tą polityką. To zobowiązanie wiąże tylko nas; nie może wiązać innych firm ani organów państwa. Formularz prosi o potwierdzenie, że ewentualne testy były zgodne z tą polityką.
- Dane osobowe ze zgłoszenia przetwarzamy tak, jak opisuje to punkt 3.12 polityki prywatności, i wyłącznie w celu obsługi zgłoszenia.
Zgłaszanie incydentu do QuickISO
Zgłoszenie incydentu informuje QuickISO, że w QuickISO mogło coś pójść nie tak z Twoją przestrzenią roboczą lub Twoim kontem. Sprawdzamy to po naszej stronie, mówimy Ci, co ustaliliśmy, a jeśli naruszenie dotknęło danych osobowych w Twojej przestrzeni roboczej, bez zbędnej zwłoki zawiadamiamy właścicieli Twojej organizacji.
Zgłoszenie do QuickISO nie jest zawiadomieniem żadnego organu i nie zastępuje obowiązków Twojej organizacji. Jeśli Twoja organizacja jest podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (KSC), incydent poważny zgłasza ona sama do właściwego CSIRT sektorowego, z wczesnym ostrzeżeniem w ciągu 24 godzin (art. 11 ustawy), niezależnie od tego, czy ma on związek z QuickISO. Jeśli Twoja organizacja jest administratorem danych osobowych, których dotyczy naruszenie, zawiadomienie organu nadzorczego również należy do niej (art. 33 RODO). Dotrzymuj swoich terminów, nie czekając na naszą odpowiedź; pomożemy tym, co wiemy.
O co prosimy
- Daj nam rozsądny czas na usunięcie problemu, zanim opiszesz go publicznie. Proponujemy 90 dni od zgłoszenia i chętnie uzgodnimy z Tobą konkretną datę.
- Nie odczytuj, nie zmieniaj i nie usuwaj więcej danych, niż potrzeba do wykazania problemu.
- Nie wykorzystuj podatności do niczego poza jej wykazaniem i nie żądaj zapłaty w zamian za szczegóły.
Bez nagród pieniężnych
Nie prowadzimy programu bug bounty i nie płacimy za zgłoszenia. Możemy zaoferować rzetelną odpowiedź i podziękowanie.
Te same dane kontaktowe, w tym formularz, są opublikowane w formie czytelnej dla maszyn pod adresem /.well-known/security.txt.