安全与漏洞披露政策

生效日期： 待确认
最后更新：2026年8月3日

本中文文本是英文控制文本的完整翻译；在法律允许范围内如有冲突以英文版为准，但不可放弃的当地权利不受影响。

GTO Fisher 重视安全。本政策说明用户和安全研究人员如何报告疑似漏洞或事件，同时降低对账户、个人数据及可用性的风险。

1. 如何报告

请发送电子邮件至 support@gtofisher.com，主题注明 “Security Report”。如普通电子邮件会暴露漏洞利用方式、凭据或个人数据，请先发送简短消息，要求提供安全传输方式。

如账户遭入侵，请提供账户邮箱、大致时间、受影响设备或会话，以及您所观察到情况的说明。切勿通过电子邮件发送密码、认证代码或完整支付卡号。

如报告漏洞，请尽可能提供：

• 受影响的主机名、页面、功能、端点及版本或环境；
• 漏洞类型及潜在影响；
• 清晰、最少的复现步骤；
• 测试日期和时间、您选择提供时用于测试的 IP 地址，以及相关请求标识符；
• 已清理的截图、日志或概念验证；
• 是否有任何数据被访问、更改或暴露；以及
• 您希望使用的姓名及联系方式，或说明希望匿名。

一份清晰报告比反复自动提交更有帮助。

2. 当前范围

本政策涵盖我们控制的 gtofisher.com 及其子域名上的系统。第三方结账、电子邮件平台、内容分发网络或其他服务商可能有其自身披露计划。在适当时，也请向该服务商报告其特定问题。

私人测试及测试环境可能包含实验功能，但这不表示您有权未经授权访问。不能仅因主机名可被发现便绕过认证或访问控制页面。

3. 善意、低影响研究

我们欢迎基于合法、确认问题所必需且旨在尽量减少损害的研究所作出的报告。合理示例包括：

• 检查公开响应及客户端代码；
• 仅测试您拥有或获明确授权使用的账户和数据；
• 使用少量人工请求确认访问控制、验证或配置问题；以及
• 使用合成、已遮盖或最少必要数据展示影响。

如意外遇到他人数据、秘密信息、管理权限、更改正式环境数据的能力或可用性风险，请停止测试并立即报告。请勿为判断“究竟有多少”数据可访问而继续测试。

本政策不能替代法律要求的同意，也不是访问我们系统的一揽子授权。我们不能授权测试第三方系统，也不能承诺第三方不会采取行动。

4. 不允许的活动

请勿：

• 访问、复制、下载、更改、删除或披露其他用户的数据；
• 未经他人明确合法授权，使用其账户、凭据或会话测试；
• 实施拒绝服务、分布式拒绝服务、资源耗尽、洪泛或负载测试；
• 使用高流量自动扫描、抓取、凭据填充、密码喷洒或暴力破解；
• 部署恶意软件、勒索软件、持久代理、后门、Web shell 或破坏性载荷；
• 对用户、员工或服务商实施社会工程、网络钓鱼、假托身份、垃圾信息或骚扰；
• 对办公室、人员或设备进行物理入侵、监视或测试；
• 截取并非发给您的通信或网络流量；
• 绕过付款、创建欺诈交易、测试被盗卡片或触发退款拒付；
• 操纵或销毁日志、评分、订阅、权益或正式环境记录；
• 超出证明问题存在所需最低程度利用漏洞；
• 报告后继续保留敏感数据，或通过不安全渠道传输；
• 威胁披露、造成中断或发布数据以索要付款或其他利益；或者
• 违反法律、可接受使用与公平游戏政策或第三方条款。

不得利用漏洞获取您无权使用的扑克策略内容、求解器数据、模型信息或付费访问。内容访问问题通常可以通过已遮盖标题、状态码或最少样本证明。

5. 处理意外数据访问

如您无意中访问个人、机密或秘密信息：

1. 立即停止；
2. 不要复制、搜索、枚举、下载或分享；
3. 仅记录识别问题所需的最少信息；
4. 及时通知我们并要求提供安全传输方式；以及
5. 当我们确认不再需要时，安全删除任何留存副本，但法律要求保存的除外。

报告中请说明数据类别和大致数量，不要重现数据。除非我们或有权机关要求，否则请勿直接联系受影响用户。

6. 我们的响应流程

我们的目标是：

• 在 5 个工作日内确认收到可信报告；
• 确定严重程度并要求必要澄清；
• 视情况遏制紧急问题；
• 根据风险调查、补救并验证修复；以及
• 在遵守安全及法律限制的前提下，告知报告人问题已经解决或以其他方式结案。

这些是目标而非服务水平保证。复杂问题、服务商依赖、重复报告、法律审查或信息不完整可能需要更多时间。我们可能合并重复报告，并通常认可首份提供足够信息以复现问题的报告。

我们会调查疑似个人数据泄露，并按适用法律要求通知监管机构或受影响个人，详见隐私政策。

7. 善意报告与法律立场

如您善意行事、遵守本政策、避免损害并及时报告问题，我们无意仅因该项合规研究而提起法律行动。如第三方提起行动且我们认定您在实质上遵守本政策，我们可在合法且适当时确认该事实。

本声明说明我们目前的执行方式，不构成合同、豁免、法定安全港、权利放弃、违法授权，也不是约束政府或第三方的承诺。本声明不适用于敲诈、盗取数据、侵犯隐私、中断服务、持久访问、欺诈、明知违法或超出本政策的行为。

如不确定拟进行测试是否允许，请在开展前询问。

8. 保密与协调披露

公开披露前，请给予我们合理机会调查并降低风险。请勿发布漏洞利用详情、个人数据、凭据或会显著降低实际攻击难度的信息。

我们会尝试与善意报告人协调披露日期和准确说明。如用户仍面临风险或服务商修复尚未完成，我们可能要求推迟。我们不能要求无限期保持沉默，但本政策并不授予披露受保护个人数据、商业秘密或非法材料的权利。

未经我们书面同意，请勿使用我们的名称、标识或通信暗示我们认可报告或声明。

9. 认可与奖励

我们目前未运营有偿漏洞赏金计划，也不承诺付款、礼品、公开署名或就业机会。请勿以会提供奖励为假设进行测试。

如我们选择认可某项报告，具体形式及资格完全由我们酌情决定，并另行约定。除非法律要求披露，否则未经许可我们不会公开报告人的身份。

10. 最终用户账户安全

如怀疑有未经授权的账户访问：

• 使用可信设备更改密码；
• 在提供相关控件时撤销您不认识的会话；
• 保护关联邮箱账户；
• 不要在其他地方重复使用旧密码；以及
• 及时联系我们，主题注明 “Account Security”。

我们绝不会通过电子邮件索要密码或认证代码。支付卡问题也应向账单中所列发卡方或支付服务商报告。

11. 本政策的变更

随着服务变化，我们可能更新范围、联系方式或测试规则。开展新研究前，请查看当前版本。变更不会授权实施时已经违法或有害的行为。

12. 联系方式

电子邮箱：support@gtofisher.com
建议主题：Security Report 或 Account Security

ASTRA LOGIC TECHNOLOGY PTE. LTD.
36 Robinson Road, #21-01, City House
Singapore 068877