產品安全 / PSIRT

除非另有明確排除，本政策適用於 GRIMME 所有對外開放的系統、應用程式及服務。

不適用範圍：

• 拒絕服務（DoS）或負載測試
• 社會工程學
• 實體攻擊
• 針對第三方或供應商的攻擊 

GRIMME 產品安全事件應變小組（PSIRT）負責集中處理收到的漏洞通報。

PSIRT 的職責包括：

• 接收並記錄通報
• 對漏洞進行技術評估及優先級排序
• 協調內部分析與補救措施
• 協調對外溝通與安全相關資訊 

我們支持負責任的安全研究，並承諾不會對出於善意且遵守本指引的人士採取法律行動。

此承諾特別適用於以下情況：

不得查閱、修改或外洩任何第三方資料，除非此舉為展示該漏洞所不可避免且屬最低限度必要。
不得故意干擾任何系統（例如透過 DoS 攻擊、刪除資料或中斷服務）。
發現的漏洞須立即且保密地向我們通報，並在我們有充足時間進行修復之前，不得對外公開。 

在這些條款的範圍內，我們將視您的活動為經授權的行為，且不會採取任何民事或刑事法律行動。若無意中涉及敏感資料，我們期望您不要儲存、轉發或以其他方式使用該資料，並立即通知我們。

請注意，本安全港條款不適用於違反現行法律或超出上述條款範圍的活動。 

GRIMME 遵循協調處理漏洞的原則。所有收到的通報均會以保密方式處理，並由 PSIRT 進行審查、評估及優先級排序。與安全相關的資訊在向外公開前，將經過協調，且僅在完成評估並實施適當的補救措施後才會發布。 此舉旨在將客戶及營運商面臨的風險降至最低，並避免未經核實或未修補的漏洞資訊被公開。

若涉及須通報的漏洞或安全事件，我們保留依據現行法律要求，向主管機關及監管機構提供相關資訊的權利。  

請注意，基於法律規定、保密要求或正在進行的調查，我們可能無法公開所有關於已通報漏洞的細節，或無法提供完整的處理狀態。  

因此，我們可能會在完成最終評估後，或於發布安全資訊時，才向通報者提供回饋。