אבטחה ודיווח על ליקוי
Click Coupon מחזיק כסף — שוברים, כרטיסי מתנה וקודים. בנינו אותו מתוך ההנחה שהמכשיר עלול ללכת לאיבוד, ושאיננו רוצים להיות מסוגלים לקרוא את הארנק שלכם גם אם נרצה. העמוד הזה מסביר מה עשינו, ואיך לדווח לנו אם מצאתם פרצה.
עקרונות ההגנה
- מקומי כברירת מחדל — הארנק נשמר מוצפן על המכשיר עצמו. שום דבר מהארנק השמור לא עוזב אותו בצורה שאפשר לקרוא: קוד, ברקוד, PIN, מספר כרטיס, CVV או הערה. מה שכן יוצא: תמונה, הודעה או קבלה שאתם מוסיפים נשלחת לקריאה מדויקת — בפעם הראשונה אחרי אישור שלכם, ואפשר לכבות זאת בכל רגע בהגדרות ← פרטיות; מה שאתם בוחרים לפרסם בלוח; ושובר שאתם מוסרים או משתפים בארנק משותף — נעול במפתח שאין לנו. הפירוט המלא במדיניות הפרטיות, סעיפים 4 ו-6.2.
- הצפנה בשכבות — הארנק כולו מוצפן, ופרטי הכסף מוצפנים בנפרד, פעם נוספת.
- מפתחות אצלכם — מפתח ההצפנה של המסד נשמר במכשיר ואינו עוזב אותו; מפתח שדות הכסף ומפתח התמונות של הגיבוי יוצאים ממנו רק בתוך העותק האוטומטי — חתומים למפתח השחזור — שגיבוי המכשיר נושא, וב-iCloud Drive או בתיקייה שבחרתם באנדרואיד. מפתח השחזור, שפותח את הגיבוי האוטומטי בלבד, מועתק ב-iOS כברירת מחדל ל-iCloud Keychain של Apple כדי שטלפון חדש יוכל לשחזר — וניתן לכבות זאת בהגדרות ← גיבוי ושחזור. לנו אין עותק של אף מפתח, ולכן איננו יכולים לפענח את הארנק או את הגיבוי — גם לא לבקשתכם ולא לבקשת אחר.
- שער ביומטרי — קוד שובר, PIN, מספר כרטיס ו-CVV נחשפים כברירת מחדל רק אחרי זיהוי ביומטרי או קוד המכשיר, ורק לרגע השימוש; אפשר לכבות זאת בהגדרות ← פרטיות.
- הגנה על המסך — במסכי הכסף פועלות הגנות נוספות על התצוגה ועל לוח ההעתקה.
- מילוי מוגבל למקור מאושר — מילוי אוטומטי בקופה מקוונת — בתוך האפליקציה או דרך התוסף ל-Safari — פועל רק במקור שאישרתם, אחרי זיהוי ביומטרי, ולדומיין הזה בלבד.
- שקט ביומנים — קודים ופרטי כסף לא נרשמים בשום יומן.
- ללא סיסמאות — ההזדהות נעשית דרך ספק זהות — Apple, Google או Facebook — ולא באמצעות סיסמה שאנו מנהלים, ולכן אין אצלנו סיסמאות שיכולות לדלוף. הרשימה המלאה של ספקי ההזדהות מופיעה במדיניות הפרטיות.
מה תלוי בכם
חוזק ההגנה על הארנק אינו יכול לעלות על חוזק ההגנה על המכשיר. אנא הקפידו על קוד גישה למכשיר, על עדכניות מערכת ההפעלה, על הימנעות מפריצת המכשיר, ועל כך שרשומים בזיהוי הביומטרי רק אתם — שכן זיהוי ביומטרי רשום פותח את שדות הכסף. אחסון פרטי כרטיס באפליקציה הוא בחירה שלכם.
דיווח על ליקוי אבטחה
מצאתם משהו — נשמח לשמוע, ונתייחס לזה ברצינות ובכבוד. כתבו ל־processesplus1@gmail.com, או בטופס הפנייה, clickcoupon.co.il/contact, ותארו את הליקוי, את הצעדים לשחזורו ואת ההשפעה האפשרית.
- נאשר קבלה בתוך 3 ימי עסקים, ונעדכן על ההתקדמות עד לסגירה.
- לא ננקוט הליכים משפטיים נגד מי שדיווח בתום לב ופעל לפי הכללים שלהלן.
- נשמח לתת קרדיט למי שירצה בכך, לאחר התיקון.
הכללים למחקר בתום לב
- בדקו רק חשבונות ונתונים שלכם. אין לגשת למידע של משתמש אחר, להורידו או לשמרו.
- אין לבצע השבתת שירות, מתקפות עומס, דיוג נגד משתמשים או הנדסה חברתית של עובדים.
- אין לשנות, למחוק או לפגוע בנתונים.
- תנו לנו זמן סביר לתקן לפני פרסום — כברירת מחדל 90 יום, ובתיאום אפשר אחרת.
- אין לדרוש תשלום בתמורה לאי-פרסום. אין לנו כרגע תוכנית תגמול כספי.
דיווח שעומד בכללים אלה נחשב מורשה על ידינו לעניין הגישה למערכת. דיווח החורג מהם אינו מורשה, וכל הזכויות והסעדים שמורים.
אירוע אבטחה
אם יתרחש אירוע אבטחה חמור, נפעל לבלימתו, נדווח לרשות המוסמכת ולמשתמשים שנפגעו בהתאם לחובות שבדין ובלוחות הזמנים הקבועים בו, ונשקול לפרסם סיכום עובדתי לאחר הטיפול.
בדיקות
אנו מבצעים סקירות אבטחה תקופתיות של הקוד ושל תצורת השרת, ומתחזקים תיעוד ממצאים וטיפול. ממצאי סקירה אינם מתפרסמים כל עוד לא תוקנו.