Zgłaszanie podatności
Wersja 1.0 · obowiązuje od 12 listopada 2026
Znaleźliście lukę bezpieczeństwa w redai.pl albo w portalu redAi? Napiszcie na m@redai.pl. Każde zgłoszenie czyta człowiek, a odpowiedź dostaniecie najpóźniej w 3 dni robocze.
§1. Zakres
1.1. Zgłoszenia przyjmujemy dla serwisu redai.pl i jego subdomen (*.redai.pl), w tym portali redAi udostępnianych klientom.
1.2. Poza zakresem są: ataki odmowy usługi (DoS, DDoS) i testy obciążeniowe, socjotechnika i phishing wobec naszego zespołu i klientów, wysyłka spamu przez formularze, próby fizycznego dostępu do biur i serwerowni, a także usługi podmiotów trzecich (np. dostawcy poczty, DNS, modelu AI), które zgłaszacie bezpośrednio ich dostawcom.
1.3. Nie traktujemy jako podatności samych braków nagłówków albo wersji oprogramowania widocznych w odpowiedzi serwera, jeżeli nie da się ich wykorzystać do realnego ataku.
§2. Jak zgłosić
2.1. Napiszcie na m@redai.pl z tematem zaczynającym się od „Podatność”. Zgłoszenie przyjmiemy po polsku albo po angielsku.
2.2. W zgłoszeniu podajcie: adres lub element, którego dotyczy luka, opis problemu, kroki pozwalające go odtworzyć, możliwy wpływ (jakie dane albo funkcje są zagrożone) oraz dane kontaktowe do dalszej rozmowy.
2.3. Nie dołączajcie do zgłoszenia danych osobowych ani treści klientów, które zobaczyliście przy teście. Wystarczy opis, co było widoczne.
§3. Co robimy po zgłoszeniu
3.1. Potwierdzamy otrzymanie zgłoszenia najpóźniej w 3 dni robocze.
3.2. Oceniamy zgłoszenie, informujemy Was o wyniku oceny i planowanym terminie poprawki, a po jej wdrożeniu dajemy znać, że luka jest usunięta.
3.3. Jeżeli luka mogła naruszyć dane klientów, postępujemy zgodnie z umowami i przepisami o ochronie danych osobowych, w tym powiadamiamy klientów i właściwy organ, gdy jest to wymagane.
3.4. Nie prowadzimy programu nagród (bug bounty). Za zgodą zgłaszającego chętnie wymienimy go z imienia albo pseudonimu w podziękowaniach.
§4. Zasady testowania i ochrona w dobrej wierze
4.1. Nie podejmiemy kroków prawnych wobec osoby, która szuka i zgłasza podatności w dobrej wierze i zgodnie z tą polityką, w szczególności:
- sięga do danych tylko w zakresie niezbędnym, żeby wykazać lukę, i nie kopiuje, nie zmienia ani nie usuwa danych klientów;
- nie wprowadza trwałych zmian w systemach, nie instaluje tylnych furtek i nie wykorzystuje luki dalej niż do jej wykazania;
- nie zakłóca pracy serwisu ani portali klientów;
- używa tylko własnych kont testowych albo kont, do których ma zgodę ich właściciela;
- zgłasza lukę niezwłocznie i nie przekazuje informacji o niej osobom trzecim przed jej usunięciem.
4.2. Ta polityka nie daje zgody na działania wobec systemów klientów redAi poza samym portalem redAi ani na działania niezgodne z prawem. Jeżeli nie macie pewności, czy test mieści się w tych zasadach, zapytajcie nas wcześniej.
§5. Ujawnienie
5.1. Prosimy o wstrzymanie publicznego ujawnienia szczegółów luki do czasu jej usunięcia, nie dłużej jednak niż 90 dni od zgłoszenia, chyba że wspólnie ustalimy inny termin.
5.2. Termin ujawnienia ustalamy razem, tak żeby klienci zdążyli otrzymać poprawkę.
§6. Kontakt
6.1. Adres do zgłoszeń: m@redai.pl. Dane do kontaktu w formacie maszynowym są w pliku /.well-known/security.txt (RFC 9116).
6.2. Zasady korzystania z serwisu opisuje Regulamin, a przetwarzanie danych osobowych Polityka prywatności.