Безопасность

Как сообщить об уязвимости

Напишите на support@scanchess.com, указав «Security» в теме. Опишите, как воспроизвести проблему и что она позволяет сделать. Мы отвечаем в течение 3 рабочих дней и сообщаем результат после исправления.

Мы не станем преследовать добросовестное исследование по закону — при условии, что вы не получаете доступ к чужим данным, не изменяете и не выгружаете их, не проводите тесты на отказ в обслуживании и рассылку спама и даёте нам возможность исправить проблему до публикации. Платной программы вознаграждений нет, но по вашему желанию мы укажем ваше имя.

Как защищены ваши данные

• Весь трафик идёт по HTTPS; сайт и API стоят за Cloudflare.
• Пароли хранятся как bcrypt-хеши с солью — ваш мы прочитать не можем.
• Веб-сессии используют подписанные JWT в cookie HttpOnly; смена пароля отзывает выданные ранее сессии и токены сброса пароля.
• Платёжные данные мы не видим никогда: веб-оплату проводит Waffo, наш продавец-оператор, а нам приходят только номер заказа и статус подписки.
• Удаление аккаунта действительно удаляет его — профиль, партии и загруженные изображения исчезают и восстановлению не подлежат.

Изображения, которые вы загружаете

Фотографии бланков передаются стороннему поставщику ИИ-моделей, которого мы используем для распознавания; в Политике конфиденциальности точно указано, что именно передаётся. Изображения принадлежат вашему аккаунту: удалите отдельную партию в любой момент или удалите аккаунт, чтобы стереть их все.

Чего у нас нет

Прямо: ни SOC 2, ни ISO 27001, ни внешнего аудита, ни платной программы вознаграждений. ScanChess делает небольшая команда. Если вашей школе, федерации или работодателю нужны документы о соответствии, напишите нам — мы честно скажем, что можем предоставить, а что нет.