安全與漏洞披露政策

生效日期： 待確認
最後更新：2026年8月3日

本中文文字是英文控制文字的完整翻譯；在法律允許範圍內如有衝突以英文版為準，但不可放棄的當地權利不受影響。

GTO Fisher 重視安全。本政策說明使用者和安全研究人員如何報告疑似漏洞或事件，同時降低對帳戶、個人資料及可用性的風險。

1. 如何報告

請傳送電子郵件至 support@gtofisher.com，主題註明 “Security Report”。如普通電子郵件會暴露漏洞利用方式、憑據或個人資料，請先傳送簡短訊息，要求提供安全傳輸方式。

如帳戶遭入侵，請提供帳戶電子郵件、大致時間、受影響裝置或會話，以及您所觀察到情況的說明。切勿透過電子郵件傳送密碼、認證程式碼或完整支付卡號。

如報告漏洞，請儘可能提供：

• 受影響的主機名、頁面、功能、端點及版本或環境；
• 漏洞型別及潛在影響；
• 清晰、最少的復現步驟；
• 測試日期和時間、您選擇提供時用於測試的 IP 地址，以及相關請求識別符號；
• 已清理的截圖、日誌或概念驗證；
• 是否有任何資料被訪問、更改或暴露；以及
• 您希望使用的姓名及聯絡方式，或說明希望匿名。

一份清晰報告比反覆自動提交更有幫助。

2. 目前範圍

本政策涵蓋我們控制的 gtofisher.com 及其子域名上的系統。第三方結賬、電子郵件平臺、內容分發網路或其他服務商可能有其自身披露計劃。在適當時，也請向該服務商報告其特定問題。

私人測試及測試環境可能包含實驗功能，但這不表示您有權未經授權訪問。不能僅因主機名可被發現便繞過認證或訪問控制頁面。

3. 善意、低影響研究

我們歡迎基於合法、確認問題所必需且旨在儘量減少損害的研究所作出的報告。合理示例包括：

• 檢查公開響應及客戶端程式碼；
• 僅測試您擁有或獲明確授權使用的帳戶和資料；
• 使用少量人工請求確認訪問控制、驗證或配置問題；以及
• 使用合成、已遮蓋或最少必要資料展示影響。

如意外遇到他人資料、秘密資訊、管理許可權、更改正式環境資料的能力或可用性風險，請停止測試並立即報告。請勿為判斷“究竟有多少”資料可訪問而繼續測試。

本政策不能替代法律要求的同意，也不是訪問我們系統的一攬子授權。我們不能授權測試第三方系統，也不能承諾第三方不會採取行動。

4. 不允許的活動

請勿：

• 訪問、複製、下載、更改、刪除或披露其他使用者的資料；
• 未經他人明確合法授權，使用其帳戶、憑據或會話測試；
• 實施拒絕服務、分散式拒絕服務、資源耗盡、洪泛或負載測試；
• 使用高流量自動掃描、抓取、憑據填充、密碼噴灑或暴力破解；
• 部署惡意軟體、勒索軟體、持久代理、後門、Web shell 或破壞性載荷；
• 對使用者、員工或服務商實施社會工程、網路釣魚、假託身份、垃圾資訊或騷擾；
• 對辦公室、人員或裝置進行物理入侵、監視或測試；
• 擷取並非發給您的通訊或網路流量；
• 繞過付款、建立欺詐交易、測試被盜卡片或觸發退款拒付；
• 操縱或銷燬日誌、評分、訂閱、權益或正式環境記錄；
• 超出證明問題存在所需最低程度利用漏洞；
• 報告後繼續保留敏感資料，或透過不安全渠道傳輸；
• 威脅披露、造成中斷或釋出資料以索要付款或其他利益；或者
• 違反法律、可接受使用與公平遊戲政策或第三方條款。

不得利用漏洞獲取您無權使用的撲克策略內容、求解器資料、模型資訊或付費訪問。內容訪問問題通常可以透過已遮蓋標題、狀態碼或最少樣本證明。

5. 處理意外資料訪問

如您無意中訪問個人、機密或秘密資訊：

1. 立即停止；
2. 不要複製、搜尋、列舉、下載或分享；
3. 僅記錄識別問題所需的最少資訊；
4. 及時通知我們並要求提供安全傳輸方式；以及
5. 當我們確認不再需要時，安全刪除任何留存副本，但法律要求儲存的除外。

報告中請說明資料類別和大致數量，不要重現資料。除非我們或有權機關要求，否則請勿直接聯絡受影響使用者。

6. 我們的響應流程

我們的目標是：

• 在 5 個工作日內確認收到可信報告；
• 確定嚴重程度並要求必要澄清；
• 視情況遏制緊急問題；
• 根據風險調查、補救並驗證修復；以及
• 在遵守安全及法律限制的前提下，告知報告人問題已經解決或以其他方式結案。

這些是目標而非服務水平保證。複雜問題、服務商依賴、重複報告、法律審查或資訊不完整可能需要更多時間。我們可能合併重複報告，並通常認可首份提供足夠資訊以復現問題的報告。

我們會調查疑似個人資料洩露，並按適用法律要求通知監管機構或受影響個人，詳見隱私政策。

7. 善意報告與法律立場

如您善意行事、遵守本政策、避免損害並及時報告問題，我們無意僅因該項合規研究而提起法律行動。如第三方提起行動且我們認定您在實質上遵守本政策，我們可在合法且適當時確認該事實。

本宣告說明我們目前的執行方式，不構成合同、豁免、法定安全港、權利放棄、違法授權，也不是約束政府或第三方的承諾。本宣告不適用於敲詐、盜取資料、侵犯隱私、中斷服務、持久訪問、欺詐、明知違法或超出本政策的行為。

如不確定擬進行測試是否允許，請在開展前詢問。

8. 保密與協調披露

公開披露前，請給予我們合理機會調查並降低風險。請勿釋出漏洞利用詳情、個人資料、憑據或會顯著降低實際攻擊難度的資訊。

我們會嘗試與善意報告人協調披露日期和準確說明。如使用者仍面臨風險或服務商修復尚未完成，我們可能要求推遲。我們不能要求無限期保持沉默，但本政策並不授予披露受保護個人資料、商業秘密或非法材料的權利。

未經我們書面同意，請勿使用我們的名稱、標識或通訊暗示我們認可報告或宣告。

9. 認可與獎勵

我們目前未運營有償漏洞賞金計劃，也不承諾付款、禮品、公開署名或就業機會。請勿以會提供獎勵為假設進行測試。

如我們選擇認可某項報告，具體形式及資格完全由我們酌情決定，並另行約定。除非法律要求披露，否則未經許可我們不會公開報告人的身份。

10. 終端使用者帳戶安全

如懷疑有未經授權的帳戶訪問：

• 使用可信裝置更改密碼；
• 在提供相關控制元件時撤銷您不認識的會話；
• 保護關聯電子郵件帳戶；
• 不要在其他地方重複使用舊密碼；以及
• 及時聯絡我們，主題註明 “Account Security”。

我們絕不會透過電子郵件索要密碼或認證程式碼。支付卡問題也應向帳單中所列髮卡方或支付服務商報告。

11. 本政策的變更

隨著服務變化，我們可能更新範圍、聯絡方式或測試規則。開展新研究前，請檢視目前版本。變更不會授權實施時已經違法或有害的行為。

12. 聯絡方式

電子電子郵件：support@gtofisher.com
建議主題：Security Report 或 Account Security

ASTRA LOGIC TECHNOLOGY PTE. LTD.
36 Robinson Road, #21-01, City House
Singapore 068877