Bezpieczeństwo

Zgłaszanie podatności

Jeśli znajdziesz podatność we wtyczce Archinaut, na stronie archinaut.pl albo w naszych usługach (konto, licencje, płatności), napisz na security@archinaut.pl.

Co dołączyć do zgłoszenia

• opis problemu i tego, czego się spodziewasz,
• kroki, dzięki którym problem można odtworzyć,
• wersję wtyczki Archinaut oraz wersję ArchiCAD,
• system operacyjny (Windows lub macOS) z jego wersją,
• ewentualny dowód (zrzut ekranu, plik logu) — bez cudzych danych osobowych.

Co zrobimy

• Potwierdzimy odbiór zgłoszenia w ciągu 72 godzin.
• Będziemy informować o postępach prac.
• Termin poprawki zależy od wagi problemu.
• Po wydaniu poprawki możemy wspólnie opisać problem — domyślnie do 90 dni od zgłoszenia, chyba że ustalimy inaczej.

Zasady dobrej wiary

Nie podejmiemy kroków prawnych wobec osób, które działają w dobrej wierze. Oznacza to, że nie:

• uzyskują dostępu do cudzych danych ani ich nie zmieniają,
• przeprowadzają ataków odmowy usługi,
• stosują socjotechniki ani ataków fizycznych,
• publikują szczegółów przed poprawką — problem zgłaszają tylko nam.

Obowiązki zgłoszeniowe

Aktywnie wykorzystywane podatności i poważne incydenty zgłaszamy do właściwego zespołu CSIRT i ENISA zgodnie z rozporządzeniem (UE) 2024/2847 (Cyber Resilience Act).

Program nagród

Nie prowadzimy programu nagród (bug bounty), ale chętnie podziękujemy publicznie, jeśli się zgodzisz.

Security (in English)

Reporting vulnerabilities

If you find a vulnerability in the Archinaut plugin, on the archinaut.pl website, or in our services (account, licences, payments), write to security@archinaut.pl.

What to include in your report

• a description of the problem and what you expected to happen,
• steps that allow the problem to be reproduced,
• the Archinaut plugin version and the ArchiCAD version,
• the operating system (Windows or macOS) and its version,
• any evidence (screenshot, log file) — without other people's personal data.

What we will do

• We will confirm receipt of your report within 72 hours.
• We will keep you informed about our progress.
• The deadline for a fix depends on how serious the problem is.
• After a fix is released, we can describe the problem together — by default within 90 days of the report, unless we agree otherwise.

Good-faith rules

We will not take legal action against people who act in good faith. This means that they do not:

• access or change other people's data,
• carry out denial-of-service attacks,
• use social engineering or physical attacks,
• publish details before a fix is released — they report the problem only to us.

Reporting obligations

We report actively exploited vulnerabilities and serious incidents to the relevant CSIRT and to ENISA in accordance with Regulation (EU) 2024/2847 (Cyber Resilience Act).

No reward programme

We do not run a bug bounty programme, but we will gladly thank you publicly if you agree.