Dane i bezpieczeństwo w BHPAlfa
Aktualizacja informacji: 6 września 2026 r.
Sprawdź, jak działa ochrona konta, gdzie znaleźć zasady przetwarzania danych i jak zgłosić problem.
Konto, dokumenty i dane klientów
- Hasło: aplikacja przechowuje hash hasła, a nie jego jawną treść.
- Dostęp: dokumenty i klienci są przypisani do użytkownika. Rejestracja obejmuje potwierdzenie adresu e-mail.
- Sesja: logowanie korzysta z ciasteczka HttpOnly. Na współdzielonym komputerze zakończ pracę przyciskiem wylogowania.
- Zarządzanie kontem: w panelu konta dostępne są eksport danych i usunięcie konta.
Zakres przetwarzania, okresy przechowywania i dostawców usług opisuje polityka prywatności. Zasady powierzenia danych klientów znajdziesz w umowie powierzenia (DPA).
1. Jak zgłosić podatność
Napisz na adres kontakt@bhpalfa.pl, najlepiej z dopiskiem [SECURITY] w temacie.
W zgłoszeniu pomocne będą:
- opis podatności i jej potencjalnego wpływu,
- kroki pozwalające ją odtworzyć,
- adres URL lub element systemu, którego dotyczy,
- Twoje dane kontaktowe, jeśli chcesz otrzymać odpowiedź.
Nie przesyłaj haseł, tokenów dostępu ani pełnych dokumentów klientów. Opis i zrzuty ekranu przygotuj bez danych osobowych oraz informacji poufnych.
Dane kontaktowe w formacie maszynowym: /.well-known/security.txt (RFC 9116).
2. Co obiecujemy
- Potwierdzimy odbiór zgłoszenia w ciągu 3 dni roboczych.
- Poinformujemy Cię o wyniku analizy oraz o usunięciu podatności.
- Nie podejmiemy kroków prawnych wobec osób, które działały w dobrej wierze i zgodnie z zasadami opisanymi w §3.
- Na życzenie wymienimy Cię z podziękowaniem po usunięciu podatności.
Nie prowadzimy płatnego programu bug bounty i nie oferujemy wynagrodzenia za zgłoszenia.
3. O co prosimy
- Nie uzyskuj dostępu do danych innych użytkowników ani ich nie modyfikuj. Do testów użyj wyłącznie własnego konta.
- Nie przeprowadzaj ataków odmowy usługi (DoS/DDoS), spamu ani testów obciążeniowych.
- Nie stosuj socjotechniki wobec nas, naszych użytkowników ani dostawców.
- Daj nam rozsądny czas na naprawę, zanim ujawnisz podatność publicznie.
- Jeżeli przypadkowo uzyskasz dostęp do danych osobowych — przerwij testy i niezwłocznie nas poinformuj.
4. Zakres
Objęte: serwis bhpalfa.pl wraz z jego API.
Nieobjęte: systemy naszych dostawców zewnętrznych (m.in. Stripe, Render, Neon, Google, Resend, Cloudflare, Sentry). Podatności w tych usługach prosimy zgłaszać bezpośrednio do nich.
5. Jak chronimy dane
Zastosowane środki techniczne i organizacyjne — szyfrowanie transmisji, sposób przechowywania haseł, kontrola dostępu, lokalizacja danych oraz lista podmiotów przetwarzających — są opisane w Polityce Prywatności oraz w Umowie Powierzenia Przetwarzania Danych (DPA).
6. Zgłaszanie innych problemów
Sprawy niezwiązane z bezpieczeństwem — błędy w działaniu, pytania o dokumenty, rozliczenia — prosimy kierować na kontakt@bhpalfa.pl bez dopisku [SECURITY].