אבטחה ודיווח על ליקוי
Click Coupon מחזיק כסף — שוברים, כרטיסי מתנה וקודים. בנינו אותו מתוך ההנחה שהמכשיר עלול ללכת לאיבוד, ושאיננו רוצים להיות מסוגלים לקרוא את הארנק שלכם גם אם נרצה. העמוד הזה מסביר מה עשינו, ואיך לדווח לנו אם מצאתם פרצה.
עקרונות ההגנה
- מקומי כברירת מחדל — מה שקובע הוא מסד נתונים מוצפן על המכשיר עצמו. שום דבר מתוכן הארנק לא עוזב אותו אלא בפעולה שלכם: קוד, ברקוד, PIN, מספר כרטיס, CVV, יתרה, תמונה או הערה. שני דברים כן פועלים ברקע כברירת מחדל, ואף אחד מהם אינו נושא תוכן ארנק — עדכון רשימת הרשתות המכבדות, שהיא קובץ ציבורי, ומדידה עצמית של השימוש ודיווחי תקלה, שאפשר לכבות בכל רגע בהגדרות ← אנליטיקה. הפירוט המלא של שניהם במדיניות הפרטיות, סעיף 6.2.
- הצפנה בשכבות — המסד כולו מוצפן, ומעליו שדות הכסף מוצפנים בנפרד.
- מפתחות אצלכם — המפתחות נשמרים במכשיר ואינם עוזבים אותו. אין לנו עותק, ולכן איננו יכולים לפענח את הארנק — גם לא לבקשתכם ולא לבקשת אחר.
- שער ביומטרי — קוד שובר, PIN, מספר כרטיס ו-CVV נחשפים רק אחרי זיהוי ביומטרי, ורק לרגע השימוש.
- הגנה על המסך — במסכי הכסף פועלות הגנות נוספות על התצוגה ועל לוח ההעתקה.
- מילוי מוגבל למקור מאושר — מילוי אוטומטי בקופה מקוונת פועל רק במקור שאישרתם.
- שקט ביומנים — קודים ופרטי כסף אינם נכתבים ליומני מערכת בגרסאות ייצור.
- ללא סיסמאות — ההזדהות נעשית דרך ספק זהות — Apple, Google או Facebook — ולא באמצעות סיסמה שאנו מנהלים, ולכן אין אצלנו סיסמאות שיכולות לדלוף. הרשימה המלאה של ספקי ההזדהות מופיעה במדיניות הפרטיות.
מה תלוי בכם
חוזק ההגנה על הארנק אינו יכול לעלות על חוזק ההגנה על המכשיר. אנא הקפידו על קוד גישה למכשיר, על עדכניות מערכת ההפעלה, על הימנעות מפריצת המכשיר, ועל כך שרשומים בזיהוי הביומטרי רק אתם — שכן זיהוי ביומטרי רשום פותח את שדות הכסף. אחסון פרטי כרטיס באפליקציה הוא בחירה שלכם.
דיווח על ליקוי אבטחה
מצאתם משהו — נשמח לשמוע, ונתייחס לזה ברצינות ובכבוד. כתבו ל־processesplus1@gmail.com ותארו את הליקוי, את הצעדים לשחזורו ואת ההשפעה האפשרית.
- נאשר קבלה בתוך 3 ימי עסקים, ונעדכן על ההתקדמות עד לסגירה.
- לא ננקוט הליכים משפטיים נגד מי שדיווח בתום לב ופעל לפי הכללים שלהלן.
- נשמח לתת קרדיט למי שירצה בכך, לאחר התיקון.
הכללים למחקר בתום לב
- בדקו רק חשבונות ונתונים שלכם. אין לגשת למידע של משתמש אחר, להורידו או לשמרו.
- אין לבצע השבתת שירות, מתקפות עומס, דיוג נגד משתמשים או הנדסה חברתית של עובדים.
- אין לשנות, למחוק או לפגוע בנתונים.
- תנו לנו זמן סביר לתקן לפני פרסום — כברירת מחדל 90 יום, ובתיאום אפשר אחרת.
- אין לדרוש תשלום בתמורה לאי-פרסום. אין לנו כרגע תוכנית תגמול כספי.
דיווח שעומד בכללים אלה נחשב מורשה על ידינו לעניין הגישה למערכת. דיווח החורג מהם אינו מורשה, וכל הזכויות והסעדים שמורים.
אירוע אבטחה
אם יתרחש אירוע אבטחה חמור, נפעל לבלימתו, נדווח לרשות המוסמכת ולמשתמשים שנפגעו בהתאם לחובות שבדין ובלוחות הזמנים הקבועים בו, ונפרסם סיכום עובדתי לאחר הטיפול.
בדיקות
אנו מבצעים סקירות אבטחה תקופתיות של הקוד ושל תצורת השרת, ומתחזקים תיעוד ממצאים וטיפול. ממצאי סקירה אינם מתפרסמים כל עוד לא תוקנו.