安全与漏洞报告

安全与漏洞披露

机器翻译。如有出入，以英文版和意大利文版为准。

1. 我们如何保护服务

数据托管在欧盟，传输和存储时均加密。上传的文档保存在私有存储桶中，使用我们管理的密钥加密。密码经过哈希处理，可使用双重验证登录，员工的访问权限按角色限制并有记录，登录会话可以撤销。我们保留审计日志、更新依赖项，并计划定期审查我们的配置。没有任何系统是绝对安全的，因此我们欢迎研究人员提交报告。我们如何处理个人数据，请见隐私政策。

2. 范围内的内容

范围内：位于 movitaly.ai 的网站、网页应用、iOS 和 Android 应用以及我们的公共 API。我们希望了解的问题示例：访问他人的账户或数据、绕过登录或支付、注入或脚本漏洞、暴露的密钥或存储、文档存储方式中的弱点，以及让 AI 伙伴泄露其他用户数据的方法。

范围外：拒绝服务或压力测试、对我们员工或用户的垃圾信息或社会工程攻击、物理攻击、我们所用第三方服务中的发现（请向该提供商报告，例如 Stripe、Apple 或 Google）、没有实际影响的缺失最佳实践响应头，以及没有可行示例的自动扫描器输出。

3. 如何报告

请写信至 待确认。请说明您的发现、复现步骤、出现问题的地址或屏幕，以及您认为的影响。请使用您自己创建的测试账户，切勿使用真实用户的数据测试。如果需要发送敏感细节，请先向我们索取加密渠道。您可以用英语或意大利语书写。

4. 我们会做什么

我们力争在 5 个工作日内确认收到您的报告，在调查期间随时向您通报进展，并按严重程度修复有效的问题。[OWNER: confirm these targets.] 如果问题涉及个人数据，我们会遵循数据泄露处理程序，并在法律要求时通知监管机构和相关人员。经您许可，修复上线后我们会署名致谢。在向他人披露之前，请给我们合理的修复时间。

5. 善意安全港

如果您出于善意并遵守本页要求，我们不会就您的研究对您提起法律诉讼，也不会因此向主管机关举报您。善意是指：您保持在上述范围之内，避免损害隐私，除展示问题所必需之外不读取、复制、修改或删除不属于您的数据，不干扰服务，并在披露前给我们修复的机会。此承诺仅对我们有效。我们无法代表第三方或主管机关发言，也不允许因您的研究以外的原因而违法的任何行为。[OWNER and counsel: confirm this wording.]

6. 联系方式

安全报告请发送至 待确认。隐私请求请发送至 待确认。公司为 Lodato Solutions LLC，待确认。安全邮箱启用后，我们还会在网站上以标准 security.txt 文件发布该地址，方便研究人员和自动化工具无需搜索即可找到正确的地址。