Bezpieczeństwo i zgłaszanie podatności — M365 Access Audit

POLITYKA OBSŁUGI I ZGŁASZANIA PODATNOŚCI — M365 Access Audit

Traktujemy bezpieczeństwo naszego oprogramowania priorytetowo. Jeżeli znalazłeś(-aś) podatność w M365 Access Audit, portalu (arvetio.com), panelu (panel.arvetio.com) lub w naszym backendzie (api.arvetio.com) — prosimy o odpowiedzialne zgłoszenie zgodnie z poniższymi zasadami.

1. JAK ZGŁOSIĆ
E-mail: security@arvetio.com (temat: „Zgłoszenie podatności"). Prosimy o opis podatności, kroki odtworzenia (proof-of-concept), wersję/komponent, potencjalny wpływ oraz dane kontaktowe. W miarę możliwości szyfruj wrażliwe szczegóły. Potwierdzamy przyjęcie zgłoszenia bez zbędnej zwłoki.

2. NASZE ZOBOWIĄZANIA (SKOORDYNOWANE UJAWNIANIE)
- Potwierdzenie przyjęcia zgłoszenia: do 3 dni roboczych.
- Wstępna ocena i triage: do 10 dni roboczych.
- Usunięcie potwierdzonej podatności: w możliwie najkrótszym czasie, adekwatnie do ryzyka; nie  wydajemy nowych wersji produktu ze świadomością nieusuniętych podatności.
- Informujemy zgłaszającego o postępie i uzgadniamy termin publicznego ujawnienia (domyślnie do 90  dni od zgłoszenia lub po udostępnieniu poprawki — zależnie od tego, co nastąpi wcześniej).
- Za zgodą zgłaszającego wskażemy jego wkład w informacji o poprawce (credit).

3. BEZPIECZNA PRZYSTAŃ (SAFE HARBOUR)
Działania w dobrej wierze, zgodne z tą polityką, traktujemy jako autoryzowane badania bezpieczeństwa i nie będziemy dochodzić z ich tytułu roszczeń. Prosimy: nie naruszaj prywatności innych, nie niszcz danych, nie zakłócaj usług (brak DoS), testuj wyłącznie na własnych zasobach/kontach.

4. ZAKRES
W zakresie: aplikacja desktopowa M365 Access Audit, arvetio.com, panel.arvetio.com, api.arvetio.com. 
Poza zakresem: usługi podmiotów trzecich (Microsoft 365, Azure, Cloudflare, PayPal) — zgłaszaj je do odpowiednich dostawców.

5. BRAK PROGRAMU BUG BOUNTY
Nie prowadzimy płatnego programu nagród. Doceniamy jednak odpowiedzialne zgłoszenia i chętnie podziękujemy publicznie (za zgodą zgłaszającego).

6. KONTEKST PRAWNY (CRA)
Jako producent oprogramowania monitorujemy podatności przez cały okres wsparcia produktu i — zgodnie z rozporządzeniem (UE) 2024/2847 (Cyber Resilience Act) — zgłaszamy aktywnie wykorzystywane podatności oraz poważne incydenty właściwym organom (platforma ENISA / CSIRT). O istotnych podatnościach i dostępnych poprawkach informujemy użytkowników.

Kontakt: security@arvetio.com. Zobacz też: /.well-known/security.txt.

Data wejścia w życie: 15.08.2026.