Hlášení bezpečnostních chyb

1. Na co se pravidla vztahují

• aplikace Ayva pro Android (Google Play, balíček com.ayva) včetně plovoucího okna, widgetu a hlasového rozhovoru,
• server Ayvy (api.ayvaai.com) a jeho rozhraní,
• web ayvaai.com včetně formulářů (čekací listina, smazání účtu, odstoupení od smlouvy) a stránek sdílených připomínek ayvaai.com/r/….

Mimo rozsah: služby třetích stran, které používáme (Google, Supabase, Fly.io, RevenueCat, Sentry, Vercel a další z tabulky příjemců) — chyby v nich hlaste přímo jejich provozovatelům; vaše vlastní MCP servery a propojené účty; sociální inženýrství, phishing a fyzické útoky; útoky na dostupnost a zátěžové testy; výstupy automatických skenerů bez ukázky skutečného dopadu.

Chybná nebo nevhodná odpověď umělé inteligence sama o sobě bezpečnostní chyba není — nahlaste ji přímo v aplikaci (jak na to). Pokud ale jde Ayvu nějakým textem (třeba ve zprávě, v oznámení nebo na webové stránce) přimět, aby prozradila cizí údaje nebo něco provedla bez pokynu uživatele, je to bezpečnostní chyba a patří sem.

2. Jak chybu nahlásit

Napište na veselyjan@ayvaai.com s předmětem „Bezpečnost“ — česky, slovensky nebo anglicky. Pomůže nám:

• co a kde: adresa, část aplikace a její verze (najdete ji v aplikaci v Nastavení → Nastavení účtu, úplně dole),
• postup, jak chybu zopakovat, a co jste přitom viděli,
• jaký má podle vás dopad (čí data, jaká akce),
• jak vás můžeme kontaktovat a zda chcete být uvedeni při zveřejnění opravy.

Šifrovaný kanál (PGP) zatím nemáme. Funkční útok nebo citlivé podrobnosti proto pošlete až po naší odpovědi — domluvíme bezpečnější cestu. Do hlášení nedávejte osobní údaje jiných lidí; když jste na ně narazili, napište jen, že a kde.

3. Jak při ověřování postupovat

• Zkoušejte jen na vlastním účtu nebo na účtech, které si pro to založíte. Nepoužívejte cizí účty ani uniklá hesla.
• K údajům jiných lidí nepřistupujte, neměňte je ani nemažte. Když na ně narazíte, přestaňte, nic si neukládejte a dejte nám vědět.
• Dopad ukažte co nejmenším zásahem: žádné hromadné stahování dat, žádné trvalé změny, žádné pokračování dál do systému.
• Nezahlcujte server ani formuláře, které posílají e-maily (čekací listina, odstoupení, smazání účtu) — e-maily dostávají skuteční lidé.
• Chybu nezveřejňujte, dokud ji neopravíme, nejdéle však 90 dní od nahlášení, pokud se nedomluvíme jinak. NÁVRH

4. Co od nás můžete čekat

• Příjem hlášení potvrdíme do 3 pracovních dnů a do 10 pracovních dnů vám napíšeme, zda chybu potvrzujeme a jak vážná je. NÁVRH
• Budeme vás průběžně informovat a dáme vědět, až bude oprava venku. Opravy serveru a webu nasazujeme hned, oprava aplikace přichází aktualizací přes Google Play.
• Vážné chyby opravujeme přednostně a o zveřejnění se s vámi domluvíme. Pokud chcete, uvedeme vás jménem nebo přezdívkou.
• Finanční odměny (bug bounty) nevyplácíme.

Pokud chyba ohrozila osobní údaje uživatelů, posoudíme ji jako porušení zabezpečení: bez zbytečného odkladu, a pokud možno do 72 hodin od zjištění, ho podle čl. 33 GDPR ohlásíme Úřadu pro ochranu osobních údajů (ledaže je nepravděpodobné, že by ohrozilo práva lidí) a při vysokém riziku dáme vědět i dotčeným uživatelům (čl. 34 GDPR). Aktivně zneužívanou zranitelnost a závažný incident ohlásíme také podle čl. 14 nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) příslušnému týmu CSIRT a agentuře ENISA. NÁVRH

5. Výzkum v dobré víře

Když budete hledat a hlásit chyby v dobré víře a podle těchto pravidel, nepodáme na vás kvůli tomu trestní oznámení ani žalobu a budeme vaše jednání považovat za oprávněné. Kdyby kvůli vašemu výzkumu podnikl kroky někdo jiný, potvrdíme, že jste postupovali podle těchto pravidel. Za třetí strany (například poskytovatele služeb z kapitoly 1) ani za orgány činné v trestním řízení slibovat nemůžeme. Pokud si nejste jisti, zda je něco v souladu s pravidly, zeptejte se nás předem. NÁVRH

6. Kontakt

Bezpečnostní hlášení posílejte na veselyjan@ayvaai.com. Kdo Ayvu provozuje, najdete na stránce Provozovatel. Stejný kontakt je strojově čitelně v souboru security.txt (RFC 9116).