Bezpieczeństwo

Zgłaszanie podatności

Jeśli znajdziesz podatność w produktach lub usługach CAPTiX, napisz na security@captix.eu. Dane kontaktowe publikujemy także w pliku security.txt (RFC 9116). Zgłoszenia przyjmujemy po polsku, angielsku i francusku.

Zgłoszenie dotyczy komponentów, które CAPTiX dostarcza lub eksploatuje: aplikacji klienckiej CAPTiX XR dla headsetów Meta Quest, backendu i API platformy, bazy danych i uwierzytelniania oraz bibliotek zewnętrznych użytych w tych komponentach.

W zgłoszeniu prosimy o:

• opis podatności i jej możliwego skutku,
• dotknięty komponent i jego wersję,
• kroki pozwalające odtworzyć problem, a jeśli to możliwe także dowód koncepcji (proof of concept),
• dane kontaktowe oraz informację, czy chcesz zostać wymieniony w podziękowaniach na tej stronie.

Nasze terminy odpowiedzi:

• potwierdzenie przyjęcia zgłoszenia: 2 dni robocze,
• wstępna ocena i klasyfikacja: 10 dni roboczych,
• informacja o usunięciu: niezwłocznie po wdrożeniu poprawki.

Polityka skoordynowanego ujawniania

CAPTiX stosuje skoordynowane ujawnianie podatności: nie podejmuje działań prawnych wobec osób zgłaszających w dobrej wierze, które nie naruszyły danych klientów, nie zakłóciły działania usługi i wstrzymały publikację do czasu wydania poprawki lub 90 dni od zgłoszenia.

Podczas testów prosimy o przestrzeganie tych granic:

• bez ataków typu DoS ani innych działań zakłócających dostępność usługi,
• bez dostępu do danych klientów — jeśli natrafisz na takie dane, przerwij test i zgłoś to nam,
• bez socjotechniki wobec pracowników CAPTiX.

Terminy usuwania podatności

Podatności klasyfikujemy według CVSS v3.1. Termin liczony jest od dnia, w którym poprawka stała się dostępna (publikacja patcha upstream), lub od potwierdzenia zgłoszenia, jeżeli podatność dotyczy własnego kodu CAPTiX.

• Krytyczny (CVSS 9,0–10,0): usunięcie w ciągu 30 dni; powiadomienie klientów niezwłocznie, nie później niż 72 h od potwierdzenia.
• Wysoki (CVSS 7,0–8,9): usunięcie w ciągu 90 dni; powiadomienie klientów w najbliższym biuletynie, nie później niż 30 dni.
• Średni (CVSS 4,0–6,9): usunięcie w ciągu 180 dni; powiadomienie klientów w biuletynie okresowym.
• Niski (CVSS 0,1–3,9): usunięcie w najbliższym planowym wydaniu; informacja na żądanie.

Podatność aktywnie wykorzystywana (exploit publiczny lub obserwowany atak) jest traktowana jako krytyczna niezależnie od punktacji CVSS i obsługiwana w trybie poza kolejnością.

Poprawki backendu i API wdrażamy w trybie ciągłym (CD) po przejściu testów automatycznych. Nowe wydanie aplikacji klienckiej publikujemy w odrębnym kanale dystrybucji Meta; o momencie wypchnięcia wersji na urządzenia decyduje administrator floty po stronie klienta. Przy poprawce krytycznej powiadamiamy klienta i rekomendujemy termin wdrożenia.

Jak zabezpieczamy platformę

Szyfrowanie w tranzycie: aplikacja na gogle i portal CAPTiX łączą się z API i bazą danych wyłącznie przez szyfrowane połączenia TLS (HTTPS).

Szyfrowanie w spoczynku (serwery): baza danych w Supabase jest szyfrowana w spoczynku przez dostawcę.

Treści zapisane na goglach: nagrania i instrukcje przechowywane w pamięci gogli nie są dodatkowo szyfrowane przez CAPTiX XR. Za fizyczny dostęp do gogli i zasady podłączania ich do komputerów odpowiada klient.

Wykaz komponentów (SBOM): dla każdego wydania produkcyjnego generujemy wykaz komponentów oprogramowania w formacie CycloneDX. Udostępniamy go klientom na żądanie, w ramach umowy o zachowaniu poufności.

Infrastruktura i dostawcy

Dane klientów i użytkowników przechowujemy wyłącznie w Unii Europejskiej. Poniżej dostawcy przetwarzający dane w ramach usługi wraz z niezależnymi certyfikatami, które zweryfikowaliśmy. Stan na 27 września 2026.

• Scalingo SAS — hosting aplikacji i API (PaaS). Przetwarzanie: Paryż, Francja (region osc-fr1, infrastruktura 3DS Outscale). Certyfikaty: NF EN ISO/IEC 27001:2022, certyfikat nr 38435 wydany przez BYCYB, ważny do 11 września 2028; HDS 2.0, certyfikat nr 38436, BYCYB.
• 3DS Outscale — warstwa infrastruktury i fizyczne centrum danych (poddostawca Scalingo). Przetwarzanie: Paryż, Francja. Kwalifikacja SecNumCloud 3.2 nadana przez ANSSI, a także ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, HDS oraz SOC 2 Type II.
• Supabase Inc. — baza danych i uwierzytelnianie. Przetwarzanie: Unia Europejska, region eu-central-1 (Frankfurt, Niemcy). Certyfikaty: SOC 2 Type II oraz ISO/IEC 27001. Raport i certyfikat udostępniamy klientom na żądanie, w zakresie dozwolonym przez dostawcę.
• Cloudflare, Inc. — ochrona formularzy logowania i rejestracji w portalu przed botami (Cloudflare Turnstile). Przetwarza adres IP i sygnały przeglądarki użytkowników portalu na globalnej sieci Cloudflare, także poza Europejskim Obszarem Gospodarczym.
• Meta Platforms Technologies Ireland Limited — headsety i kanał dystrybucji aplikacji. Meta nie przetwarza treści instrukcji CAPTiX.

Nagrania i instrukcje nie opuszczają gogli klienta: aplikacja przesyła do platformy wyłącznie dane potrzebne do aktywacji i weryfikacji licencji. Aktualna lista podprocesorów stanowi załącznik do umowy powierzenia przetwarzania i jest aktualizowana przy każdej zmianie.