Sigurnost

Prijava ranjivosti

Kamo je poslati, što navesti i naša obveza da ne poduzimamo pravne korake protiv istraživanja u dobroj vjeri.

Sigurnosne prijave šaljite na security@afer.app. To je jedna adresa, a čitaju je ljudi koji mogu riješiti problem. Pišite jednostavnim jezikom; funkcionalan dokaz vrijedi više od dugog opisa. Dobit ćete odgovor kojim potvrđujemo primitak te jednu osobu za kontakt dok se problem ne riješi. Ako e-pošta nije moguća, možete upotrijebiti i obrazac za zahtjev za podršku na ovom web-mjestu.

• što ste otkrili i što bi netko time mogao učiniti
• gdje se nalazi: adresa, aplikacija i njezina verzija, platforma
• korake za reprodukciju, redom
• snimke zaslona, kratku videosnimku ili zahtjeve i odgovore
• ime ili korisničko ime pod kojim želite biti navedeni ili napomenu da ne želite biti navedeni

Ako istražujete u dobroj vjeri i ostanete unutar opsega navedenog u nastavku, nećemo protiv Vas pokretati pravne postupke zbog testiranja, tražiti od drugih da to učine niti Vas zbog toga prijaviti. Ako Vam je potrebno, to ćemo potvrditi u pisanom obliku. Dobra vjera znači da upotrebljavate vlastite račune, preuzimate samo podatke potrebne za dokazivanje nalaza, prestajete čim imate dokaz i dajete nam vremena da problem ispravimo prije nego što ga objavite.

To obećanje prestaje ondje gdje prestaje istraživanje. Iznuda, prijetnje, prodaja nalaza, mijenjanje ili brisanje tuđih podataka i upotreba računa u koji ste provalili nisu istraživanje i tretiramo ih kao prijevaru. Osim toga, ne možemo govoriti u ime drugih. Ako Vaše testiranje zahvati uslugu kojom ne upravljamo, primjenjuju se pravila tog pružatelja. Ipak nam javite i proslijedit ćemo ono što možemo.

Opseg

Koje su aplikacije, domene i API-ji obuhvaćeni, a koji nisu.

Obuhvaćeno: afer.app i stranice koje se poslužuju pod tom domenom, aplikacija Afër za iOS i Android, aplikacija za trgovce, aplikacija za vozače i javni API na kojem se sve one temelje. Ako to može dosegnuti običan korisnik, trgovac ili vozač, želimo znati. To uključuje dijelove web-mjesta koji primaju Vaš unos, primjerice obrazac za zahtjev za podršku, obavijest o privoli i kolačić za jezik.

• socijalni inženjering usmjeren na naše osoblje, trgovce, vozače, dostavljače ili korisnike
• fizički napadi na urede, vozila, uređaje ili osobe
• uskraćivanje usluge, testiranje opterećenja i sve što narušava rad usluge uživo
• prijave koje su samo rezultat automatiziranog skeniranja, bez dokazanog učinka
• usluge kojima ne upravljamo, uključujući trgovine aplikacijama i našeg pružatelja usluga plaćanja

Testirajte na vlastitim računima i vlastitim podacima. Ne izvršavajte stvarnu narudžbu, ne zatražite stvarnu vožnju i ne rezervirajte pregled kako biste nešto dokazali te ne tjerajte aktivnog trgovca na posao koji ga stoji novca. Ne čitajte tuđe razgovore, potvrde o plaćanju ni zapise o vožnji; maskirani brojevi telefona ostaju maskirani. Ako se nalaz može prikazati samo pomoću tuđih podataka, zaustavite se na tome i opišite ga, a mi ćemo zajedno s Vama postaviti testni račun.

Rokovi odgovora

Ciljani rokovi za potvrdu primitka, trijažu i ispravak.

Primitak svake prijave poslane na security@afer.app potvrđujemo u roku od dva radna dana, a trijažu završavamo u roku od pet. Trijaža Vam daje tri stvari: razinu ozbiljnosti, odluku o tome je li nalaz obuhvaćen opsegom i ime osobe koja ga obrađuje. Ako problem ne možemo reproducirati, to ćemo Vam reći i pitati što smo propustili, umjesto da ga prešutno zatvorimo. Potvrđujemo i primitak duplikata te Vam javljamo koja je prijava stigla prva. Rokovi u nastavku ciljevi su kojima težimo, a ne jamstva.

• kritično, primjerice preuzimanje računa ili kretanje novca bez privole: odmah se ograničava, ispravlja se u roku od sedam dana
• visoko: ispravlja se u roku od trideset dana
• srednje: ispravlja se u roku od devedeset dana
• nisko: ispravlja se u redovitom izdanju, a mi Vam javljamo u kojem
• svaki rok koji nećemo ispuniti: javljamo Vam prije nego što istekne, uz novi datum

Ti su rokovi odvojeni od onih po kojima radi podrška. Podrška nastoji na prijave u vezi sa sigurnošću odgovoriti u roku od sat vremena, danju i noću, na pitanja o plaćanjima i povratu novca istog radnog dana, a na sve ostalo u roku od jednog radnog dana. Ako ono što ste otkrili upravo sada ugrožava određenu osobu, ne čekajte u redu za sigurnosne prijave. Upotrijebite funkciju SOS u aplikaciji ili pišite na support@afer.app i navedite da je hitno.

Sigurnost računa

Provjera telefonom, upravljanje sesijama i ono što od Vas nikada nećemo tražiti.

Vaš je račun povezan s Vašim brojem telefona. Pri prijavi se na taj broj šalje jednokratni kod, a novi uređaj mora dobiti novi kod prije nego što se na njemu išta prikaže. Sesije ostaju otvorene na uređajima koje ste već odobrili, pa je dobro znati koji su to telefoni. Brisanjem računa u Postavkama zatvaraju se i te sesije te se uklanjaju Vaš profil i osobni podaci.

• jednokratni kod poslan na Vaš telefon, nikada i ni iz kojeg razloga
• lozinku, jer se za račun ne upotrebljava
• puni broj Vaše kartice, u razgovoru, e-poruci ili telefonskom pozivu
• plaćanje kako bi se oslobodio povrat novca, isplata ili saldo novčanika
• daljinski pristup Vašem telefonu ili dijeljenje zaslona Vašeg novčanika

Tko god traži nešto od navedenoga, to nismo mi, bez obzira na to što pokazuju broj pozivatelja ili logotip. Prava podrška javlja Vam se putem Pomoći u aplikaciji, s adrese support@afer.app ili kao odgovor na zahtjev koji ste otvorili na web-mjestu, uz referentni kod koji ste dobili. Ako Vas netko nazove predstavljajući se kao Afër i zatraži Vaš kod, prekinite poziv i javite nam.

Brzo nam javite ako izgubite telefon, izgubite broj ili uočite plaćanje koje niste izvršili. Račun možemo suspendirati dok istražujemo, a na probleme s plaćanjem odgovaramo istog radnog dana. Utvrđena prijevara postavlja ocjenu povjerenja tog profila na nulu i dovodi do zatvaranja računa. Ocjena se izračunava na temelju provjere, dovršenih transakcija, ocjena korisnika, starosti računa i pregleda s pozitivnim nalazom, a imatelj računa ne može je mijenjati.

Sigurnost plaćanja

Kako se postupa sa saldom novčanika i nadoplatama karticom te kako funkcionira jednokratni QR kod.

Novčanik je unaprijed uplaćen i svaka se usluga naplaćuje s istog salda. To je namjerno ograničenje: najviše što itko može dosegnuti putem aplikacije jest iznos koji ste uplatili, a ne bankovni račun iza njega. Nadoplate karticom obrađuje naš pružatelj usluga plaćanja. Uplaćeni novac može se vratiti samo na karticu s koje je došao, nikada na bankovni račun ni na drugu karticu, a zarada se isplaćuje samo na registrirani bankovni račun osobe koja ju je zaradila, nikada na račun koji Vam netko pošalje u razgovoru.

Za osobno plaćanje na blagajni upotrebljava se jednokratni QR kod prikazan u aplikaciji za trgovce. Kod se odnosi na jedno plaćanje, na točno taj iznos, i nakon upotrebe više ne vrijedi, pa fotografija zaslona nakon toga nema nikakvu vrijednost. Nitko tko radi putem platforme Afër ne smije od Vas tražiti novac izvan aplikacije: ondje gdje se prihvaća gotovina na vratima, predajete točno iznos koji aplikacija prikazuje, i ništa više.

Svako plaćanje ostavlja specificiranu potvrdu u novčaniku, s naknadom iskazanom zasebno, pa je lako uočiti naplatu koju ne prepoznajete. Za otvaranje spora imate 14 dana od narudžbe, vožnje ili kupnje, a za prijavu u vezi sa sigurnošću ili za novac koji još zadržavamo nema nikakvog roka. Dok je slučaj otvoren, iznos se zadržava, a ne isplaćuje, a povrati se vraćaju na saldo novčanika s kojeg je plaćeno, obično u roku od nekoliko minuta od odluke.

Zaštita podataka

Šifriranje tijekom prijenosa i u pohrani, kontrola pristupa i revizijski zapisi.

Promet između Vašeg uređaja i platforme Afër šifriran je tijekom prijenosa, a ono što čuvamo šifrirano je ondje gdje je pohranjeno: podaci o računu, evidencija transakcija, podaci o uređaju, poruke podršci i lokacija koju prikupljamo dok je usluga u tijeku. Prikupljanje lokacije prestaje kada usluga završi. Osobne podatke ne stavljamo u web-adrese ni u išta što bi inače završilo u rutinskom zapisniku.

Unutar platforme Afër pristup se dodjeljuje prema ulozi i potrebi. Djelatnik podrške koji rješava Vaš slučaj vidi priloženu narudžbu, vožnju ili oglas, ali ne i podatke o Vašoj kartici ni slučajeve svojih kolega. Pristup sustavima u kojima se nalaze osobni podaci bilježi se, a zapisi se pregledavaju. Kada zaposlenik otvori zapis za koji nije imao razloga, to se tretira kao sigurnosni incident, a ne kao propust.

• izvezite sve što ste nam dali, u strojno čitljivoj datoteci
• izbrišite račun u Postavkama, a s njim i profil i osobne podatke
• evidencija transakcija koju smo po zakonu dužni čuvati ostaje, bez Vaših kontaktnih podataka
• analitički kolačići na afer.app postavljaju se tek nakon što odaberete Prihvati
• afer_lang pohranjuje dvoslovnu oznaku jezika i ne upotrebljava se za analitiku

Podaci poslani putem web-obrasca pohranjuju se s referentnim kodom, vremenom, približnom zemljom iz koje su poslani i IP adresom, koju upotrebljavamo radi sprječavanja zlouporabe. Ispred obrasca možemo postaviti Cloudflare Turnstile kako bismo razlikovali ljude od botova. Podaci se čuvaju onoliko dugo koliko nam je potrebno za obradu Vašeg zahtjeva i najviše 24 mjeseca nakon toga.

Popis zahvala

Istraživači koji su ranjivosti prijavili odgovorno.

Istraživačima koji odgovorno prijave ranjivost javno zahvaljujemo, uz njihovu privolu i nikada bez nje. U prijavi nam navedite kako želite biti navedeni: imenom, korisničkim imenom, nazivom tvrtke ili nikako. Kasnije se možete predomisliti i uklonit ćemo unos. Ne obećavamo plaćanje za prijavu i nećemo uskratiti zahvalu zato što je nalaz za nas bio neugodan.

• ime ili korisničko ime koje je istraživač odabrao
• mjesec u kojem smo primili prijavu
• vrsta problema, opisana bez uputa za njegovo ponavljanje

Popis je otvoren i zasad je prazan. Popunjava se kako ljudi šalju prijave, a unos se objavljuje nakon što je ispravak uveden i istraživač pristao na tekst. Ako ste nešto prijavili, a nema Vas na popisu, ili ste na njemu i želite biti uklonjeni, pišite na security@afer.app i ispravit ćemo to u roku od jednog radnog dana.