Безбедност

Пријава рањивости

Где да је пошаљете, шта да наведете и наша обавеза да не покрећемо поступке против истраживања у доброј вери.

Безбедносне пријаве шаљите на security@afer.app. То је једна адреса коју читају људи који могу да реше проблем. Пишите једноставним језиком; доказ који функционише вреди више од дугог описа. Добићете одговор којим потврђујемо пријем и једну особу за контакт док се проблем не затвори. Ако Вам имејл није доступан, можете користити и образац за захтеве подршци на овом сајту.

• шта сте пронашли и шта би неко могао да уради са тим
• где се налази: адреса, апликација и њена верзија, платформа
• кораке за репродукцију, редом
• снимке екрана, кратак видео-запис или захтеве и одговоре
• име или надимак под којим желите да будете наведени, или ниједно

Ако истражујете у доброј вери и остајете у оквиру обухвата наведеног у наставку, нећемо покретати правне поступке против Вас због тестирања, нећемо тражити од других да то учине нити ћемо Вас због тога пријавити. Ако Вам је потребно, то ћемо Вам потврдити писаним путем. Добра вера значи да користите сопствене налоге, узимате само податке неопходне да докажете налаз, престајете чим имате доказ и дајете нам време да проблем отклонимо пре него што га објавите.

То обећање престаје тамо где престаје истраживање. Изнуда, претње, продаја налаза, мењање или брисање туђих података и коришћење налога у који сте неовлашћено ушли нису истраживање и третирамо их као превару. Такође, не можемо да говоримо у име других. Ако Ваше тестирање захвата услугу којом не управљамо, примењују се правила тог пружаоца услуге. Ипак нам јавите, а ми ћемо проследити оно што можемо.

Обухват

Које апликације, домени и API-ји су обухваћени, а шта није обухваћено.

Обухваћено: afer.app и странице које се на њему налазе, Afër апликација за iOS и Android, апликација за трговце, апликација за возаче и јавни API који стоји иза свих њих. Ако томе може да приступи обичан корисник, трговац или возач, желимо да знамо. То обухвата и делове сајта који примају Ваш унос, као што су образац за захтеве подршци, банер за сагласност и колачић за језик.

• социјални инжењеринг усмерен на наше запослене, трговце, возаче, достављаче или кориснике
• физички напади на канцеларије, возила, уређаје или људе
• ускраћивање услуге, тестирање оптерећења или било шта што нарушава рад услуге уживо
• пријаве које су само излаз аутоматског скенера, без доказаног утицаја
• услуге којима не управљамо, укључујући продавнице апликација и нашег платног процесора

Тестирајте на сопственим налозима и сопственим подацима. Немојте да правите стварну поруџбину, захтевате стварну вожњу нити наручујете преглед да бисте нешто доказали, и немојте да наводите трговца који ради уживо на посао који га кошта новца. Не читајте туђа ћаскања, рачуне или евиденцију вожњи; маскирани бројеви телефона остају маскирани. Ако се налаз може показати само помоћу туђих података, ту се зауставите и опишите га, а ми ћемо са Вама припремити тест налог.

Рокови одговора

Циљни рокови за потврду пријема, тријажу и исправку.

Пријем сваке пријаве послате на security@afer.app потврђујемо у року од два радна дана, а тријажу завршавамо у року од пет. Тријажа Вам даје три ствари: степен озбиљности, одлуку о томе да ли је налаз обухваћен и име особе која га обрађује. Ако не можемо да репродукујемо проблем, то Вам кажемо и питамо шта смо превидели, уместо да пријаву прећутно затворимо. И за дупликате потврђујемо пријем и кажемо Вам која је пријава стигла прва. Рокови у наставку су циљеви којима тежимо, а не гаранције.

• критичан, као што је преузимање налога или кретање новца без сагласности: штета се ограничава одмах, исправка у року од седам дана
• висок: исправка у року од тридесет дана
• средњи: исправка у року од деведесет дана
• низак: исправка у редовном издању, уз обавештење о којем је издању реч
• сваки циљни рок који нећемо испунити: обавештавамо Вас пре него што истекне, уз нови датум

Ови рокови су одвојени од рокова по којима ради подршка. Подршка настоји да на безбедносне пријаве одговори у року од сат времена, дању и ноћу, на питања о плаћањима и повраћају новца истог радног дана, а на све остало у року од једног радног дана. Ако оно што сте пронашли управо сада угрожава одређену особу, не чекајте у реду за безбедносне пријаве. Користите SOS у апликацији или пишите на support@afer.app и нагласите да је хитно.

Безбедност налога

Верификација телефона, управљање сесијама и шта од Вас никада нећемо тражити.

Ваш налог је везан за Ваш број телефона. Приликом пријављивања на тај број се шаље једнократни код, а нови уређај мора да добије нови код пре него што било шта види. Сесије остају отворене на уређајима које сте већ одобрили, па је корисно знати који су то телефони. Брисање налога у Подешавањима затвара и те сесије и уклања Ваш профил и податке о личности.

• једнократни код послат на Ваш телефон, никада и ни из ког разлога
• лозинку, јер се за налог не користи лозинка
• пун број Ваше картице, у ћаскању, имејлом или телефоном
• уплату као услов за ослобађање повраћаја новца, исплате или стања у новчанику
• даљински приступ Вашем телефону или дељење екрана са Вашим новчаником

Ко год тражи нешто од тога, нисмо ми, шта год да пише на приказу позиваоца или на логотипу. Права подршка Вам се обраћа преко Помоћи у апликацији, са адресе support@afer.app или као одговор на захтев који сте отворили на сајту, уз референтни број који сте добили. Ако Вас неко позове представљајући се као Afër и затражи Ваш код, прекините позив и обавестите нас.

Обавестите нас што пре ако изгубите телефон, изгубите број или видите плаћање које нисте извршили. Можемо суспендовати налог док проверавамо, а на проблеме са плаћањем одговарамо истог радног дана. Утврђена превара своди оцену поверења тог профила на нулу и гаси налог. Оцена се заснива на верификацији, завршеним трансакцијама, оценама, старости налога и прегледима са позитивним налазом, и власник налога не може да је мења.

Безбедност плаћања

Како се поступа са стањем у новчанику и допунама картицом, и концепт једнократног QR кода.

Новчаник је претплаћен и свака услуга се измирује са истог стања. То је намерно ограничење: највише што неко може да дохвати преко апликације је износ који сте уплатили, а не банковни рачун иза њега. Допуне картицом обављају се преко нашег платног процесора. Уплаћени новац може да се врати само на картицу са које је дошао, никада на банковни рачун нити на другу картицу, а зарада се исплаћује само на регистровани банковни рачун особе која ју је зарадила, никада на рачун који Вам неко пошаље у ћаскању.

Лично плаћање на каси обавља се једнократним QR кодом који се приказује у апликацији за трговце. Код носи једно плаћање, на тачно тај износ, и престаје да важи чим се искористи, тако да фотографија екрана после тога не вреди ништа. Нико ко ради преко платформе Afër не сме да од Вас тражи новац ван апликације: тамо где се прихвата готовина на вратима, предајете тачно износ који апликација приказује, и ништа више.

Свако плаћање оставља рачун са ставкама у новчанику, са посебно исказаном накнадом, тако да је наплату коју не препознајете лако уочити. Имате 14 дана од поруџбине, вожње или куповине да отворите спор, а за безбедносну пријаву или новац који још задржавамо рок уопште не постоји. Док је пријава отворена, износ се задржава, а не исплаћује, а повраћај новца стиже на стање новчаника са кога је плаћено, обично у року од неколико минута од одлуке.

Заштита података

Шифровање током преноса и у складишту, контрола приступа и евидентирање приступа.

Саобраћај између Вашег уређаја и платформе Afër шифрује се током преноса, а оно што чувамо шифровано је на месту складиштења: подаци о налогу, евиденција трансакција, подаци о уређају, поруке подршци и локација коју прикупљамо док је услуга у току. Прикупљање локације престаје када се услуга заврши. Податке о личности не стављамо у веб-адресе нити у било шта што би иначе завршило у уобичајеним логовима.

Унутар платформе Afër приступ се одобрава према улози и потреби. Агент подршке који обрађује Вашу пријаву види поруџбину, вожњу или оглас који су јој придружени, али не и податке о Вашој картици нити пријаве својих колега. Приступ системима у којима се налазе подаци о личности евидентира се, а евиденције се прегледају. Запослени који отвори запис без разлога третира се као безбедносни инцидент, а не као пропуст.

• извоз свега што сте нам дали, у машински читљивој датотеци
• брисање налога у Подешавањима, а са њим и профила и података о личности
• евиденција трансакција коју смо по закону дужни да чувамо остаје, без Ваших контакт података
• аналитички колачићи на сајту afer.app постављају се тек када изаберете Прихвати
• afer_lang чува двословни код језика и не користи се за аналитику

Поднесак из веб-обрасца чува се са референтним бројем, временом слања, приближном земљом из које је послат и IP адресом, коју користимо ради спречавања злоупотреба. Испред обрасца можемо поставити Cloudflare Turnstile да бисмо разликовали људе од ботова. Поднесак се чува онолико дуго колико нам је потребан за обраду Вашег захтева и највише 24 месеца након тога.

Листа захвалности

Истраживачи који су одговорно пријавили рањивости.

Истраживаче који одговорно пријаве рањивост наводимо уз њихову сагласност, а никада без ње. У пријави нам реците како желите да будете наведени: именом, надимком, називом компаније или никако. Касније се можете предомислити, а ми ћемо уклонити унос. Не обећавамо новчану награду за пријаву и нећемо ускратити навођење зато што је налаз за нас био непријатан.

• име или надимак који је истраживач изабрао
• месец у коме је пријава стигла до нас
• врста проблема, описана без упутства за понављање

Листа је отворена и почиње празна. Попуњава се како људи пријављују, а унос се објављује када исправка буде објављена и када се истраживач сагласи са текстом. Ако сте нешто пријавили, а нема Вас на листи, или сте на њој и желите да будете уклоњени, пишите на security@afer.app и исправићемо то у року од једног радног дана.