Bezpieczeństwo i zgłaszanie podatności

Wersja 2026-10-13

Dbamy o bezpieczeństwo SeaSteps i danych osób, które z niego korzystają. Jeśli znajdziesz lukę bezpieczeństwa, daj nam znać — ta strona opisuje, jak to zrobić i czego możesz się po nas spodziewać (polityka skoordynowanego ujawniania podatności, CVD). Wersja do odczytu maszynowego: /.well-known/security.txt.

Producentem aplikacji SeaSteps i usługodawcą jest 963 sp. z o.o. z siedzibą w Gdańsku (ul. Aleksandra Gryglewskiego 6 lok. 8, 80-303 Gdańsk), KRS: 0001214277, NIP: 5842878792, REGON: 543615988 (od 8 października 2026).

1. Zakres

• aplikacja SeaSteps na Androida (pl.seasteps.app, Google Play),
• aplikacja webowa seasteps.pl/app,
• API i serwer aplikacji SeaSteps (backend, z którym łączą się obie aplikacje),
• strona seasteps.pl.

Podatności w usługach dostawców (Google Play, Microsoft Azure, Supabase, Vercel) zgłaszaj bezpośrednio im, chyba że wynikają z naszej konfiguracji — wtedy do nas.

2. Jak zgłosić

Napisz na admin@seasteps.pl z tematem zaczynającym się od „[BEZPIECZEŃSTWO]”. Opisz, jeśli możesz:

• czego dotyczy luka (aplikacja Android i jej wersja, aplikacja webowa, API — adres),
• kroki do odtworzenia lub dowód koncepcji,
• możliwe skutki — jakie dane lub funkcje są zagrożone,
• czy wiesz o tym, że ktoś tę lukę już wykorzystuje,
• jak możemy się z Tobą kontaktować i czy chcesz podziękowania z imienia.

Piszemy po polsku i po angielsku. Nie dołączaj danych osobowych innych użytkowników — wystarczy opis, jak do nich dotrzeć.

3. Co dzieje się dalej

• potwierdzamy otrzymanie zgłoszenia w ciągu 5 dni roboczych;
• oceniamy lukę i informujemy Cię o wyniku oceny oraz planie naprawy;
• naprawiamy lukę i udostępniamy poprawkę — w aplikacji Android przez aktualizację w Google Play, w aplikacji webowej i API po stronie serwera;
• informujemy Cię o naprawie. Prosimy, żeby szczegóły luki upubliczniać dopiero po udostępnieniu poprawki albo po uzgodnieniu terminu z nami.

Aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa zgłaszamy właściwemu zespołowi CSIRT i agencji ENISA oraz informujemy o nich użytkowników, których dotyczą — zgodnie z art. 14 rozporządzenia (UE) 2024/2847 (Cyber Resilience Act).

4. Zgłoszenia w dobrej wierze

Nie będziemy podejmować kroków prawnych wobec osób, które szukają i zgłaszają podatności w dobrej wierze i zgodnie z tą polityką. Dobra wiara oznacza, że:

• testujesz na własnym koncie albo kontach, na które masz zgodę właściciela;
• nie pobierasz, nie zmieniasz i nie usuwasz cudzych danych ponad minimum potrzebne do pokazania luki, a dostęp do nich przerywasz od razu;
• nie zakłócasz działania usługi (bez ataków DoS, masowych zapytań i spamu), nie stosujesz socjotechniki wobec użytkowników ani nas i nie testujesz fizycznego bezpieczeństwa;
• dajesz nam rozsądny czas na naprawę przed upublicznieniem szczegółów.

SeaSteps nie prowadzi programu nagród pieniężnych za zgłoszenia (bug bounty).

Zobacz też: Polityka Prywatności, Regulamin, Usuwanie konta. Kontakt: admin@seasteps.pl · 963 sp. z o.o., ul. Aleksandra Gryglewskiego 6 lok. 8, 80-303 Gdańsk