安全
最后更新：2026年11月5日
简而言之：如果你发现了漏洞，请写信至 info@planitude.app，我们会在 3 个工作日内回复。下文说明我们如何保护你的数据，以及发生安全事件时我们会怎么做。
报告漏洞
请发送邮件至 info@planitude.app，主题写“Security”。请告诉我们：你发现了什么、在哪里发现（页面、地址或功能）、复现步骤、攻击者可能利用它做什么，以及你使用了哪个账户或测试数据。截图或简短的概念验证会有帮助；请不要向我们发送真实的个人数据。我们会在 3 个工作日内确认收到每一份报告，并在问题修复前持续向你通报进展。你可以使用意大利语或英语撰写。
研究规则
请仅使用你自己的账户和数据进行测试。请勿访问、修改或删除其他用户的数据，请勿进行拒绝服务或压力测试，请勿对我们的团队或用户使用社会工程或网络钓鱼，也请勿发送垃圾信息。如果你接触到了他人的数据，请立即停止并告知我们。请在公开披露之前给我们合理的时间修复问题：我们希望自你报告之日起最多有 90 天。
善意原则
如果你出于善意并遵守这些规则，我们不会因你的研究而对你采取法律行动。本页面不授权任何违法行为，也不约束第三方，例如我们使用的服务提供商。我们不支付奖励。
不在范围内
通常无需我们回复的报告包括：缺少安全标头但没有证明有实际影响、self-XSS、对不处理敏感数据的端点的频率限制问题、仅影响过时或不受支持浏览器的问题，以及未证明该问题可被利用而直接发送的自动化扫描器结果。
我们如何保护你的数据
网站和应用仅通过 HTTPS 提供服务，使用 TLS 1.2 或更高版本以及 HSTS，流量经由 Cloudflare 传输。服务器是位于德国的 IONOS 服务器。异地备份经过加密，存储在欧盟境内，最多保留 30 天。密码仅以 bcrypt 哈希形式存储，API 密钥也仅以哈希形式存储。Jira、Azure DevOps 和 Slack 等集成提供给我们的访问令牌在静态存储时经过加密（AES-256-GCM）。只有需要的人员才能访问我们的系统，应用使用专用账户而非管理员账户连接数据库。
安全事件
如果我们发现安全事件或接到相关通知，我们会进行调查、控制并修复。如果涉及个人数据，我们会不无故拖延地通知受影响的客户；在 GDPR 要求的情况下，还会在 72 小时内通知有管辖权的监管机构（第 33 条和第 34 条）。对于 Jira 等集成，如果平台条款要求，我们还会通知平台提供方。作为客户，如需报告安全问题，请写信至 info@planitude.app。
联系方式
关于本页的问题请联系：info@planitude.app