Công bố có trách nhiệm

Cập nhật lần cuối: 20 tháng 10 năm 2026

1. Giới thiệu

Mọi người tin tưởng giao cho chúng tôi thông tin cá nhân của họ, chữ viết tay của họ, cùng tên và địa chỉ của những người họ viết thư cho. Nếu bạn cho rằng mình đã phát hiện một lỗ hổng bảo mật trong Snailgram, chúng tôi muốn được biết. Chính sách này giải thích cách báo cáo, những quy tắc chúng tôi đề nghị bạn tuân theo khi tìm kiếm, và những gì chúng tôi sẽ làm để đáp lại.

Chính sách này do AWS, CYY & Co. Pty Ltd (ACN 686 116 245) với tư cách người được ủy thác của Mumu, Lulu & Co. (ABN 54 837 123 965), đơn vị vận hành Snailgram, công bố.

Chúng tôi không có chương trình thưởng săn lỗi (bug bounty) trả tiền và không trả thưởng cho các báo cáo. Với sự cho phép của bạn, chúng tôi sẽ cảm ơn bạn bằng tên trên trang này sau khi sự cố được khắc phục.

2. Phạm vi

Chính sách này áp dụng cho:

• trang web của chúng tôi tại snailgram.com.au, bao gồm xưởng làm thiệp và trang thanh toán,
• các dịch vụ đằng sau trang web dùng để tạo bìa thiệp, lưu thiết kế và mẫu chữ viết tay, và nhận đơn hàng, và
• các email chúng tôi gửi về đơn hàng.

Chính sách không áp dụng cho các dịch vụ do bên khác vận hành mà chúng tôi sử dụng, chẳng hạn Square, Australia Post, Amazon Web Services, Fastmail hay Google. Vui lòng báo cáo các vấn đề ở những dịch vụ đó cho nhà cung cấp liên quan.

3. Cách báo cáo

Hãy gửi email tới support@snailgram.com.au với từ "Security" ở dòng tiêu đề. Vui lòng nêu rõ:

• mô tả sự cố và tác động mà bạn cho là nó gây ra,
• trang, điểm cuối (endpoint) hoặc tính năng bị ảnh hưởng,
• hướng dẫn từng bước để tái hiện sự cố, kèm mã chứng minh khái niệm, ảnh chụp màn hình hoặc yêu cầu (request) nếu có, và
• cách chúng tôi có thể liên hệ với bạn, và bạn có muốn được cảm ơn bằng tên hay không.

Nếu bạn phát hiện một khóa, mật khẩu hoặc bí mật khác bị lộ, hãy báo ngay cho chúng tôi và đừng sử dụng nó. Nếu có thể, vui lòng viết bằng tiếng Anh.

4. Chúng tôi đề nghị bạn

Khi tìm kiếm và báo cáo lỗ hổng, bạn phải:

• chỉ kiểm tra với các đơn hàng, thiết kế và mẫu chữ viết tay là của chính bạn, hoặc mà bạn có sự cho phép của chủ sở hữu để sử dụng,
• dừng lại ngay khi bạn chạm tới thông tin cá nhân, lời nhắn, địa chỉ hoặc chữ viết tay không phải của bạn, và cho chúng tôi biết bạn đã truy cập những gì. Không sao chép, giữ lại, thay đổi hay xóa chúng, hoặc chia sẻ chúng với bất kỳ ai,
• không làm suy giảm hay gián đoạn trang web, kể cả bằng các cuộc tấn công từ chối dịch vụ, kiểm tra tải hoặc quét tự động với khối lượng lớn,
• không đặt thiệp gửi cho bất kỳ ai khi chưa có sự đồng ý của họ, và không liên hệ với khách hàng của chúng tôi, những người họ viết thư cho hoặc đội ngũ của chúng tôi,
• không dùng kỹ thuật tấn công phi kỹ thuật (social engineering), lừa đảo (phishing) hay tấn công vật lý nhằm vào đội ngũ, cơ sở hoặc nhà cung cấp của chúng tôi,
• không sử dụng thẻ thanh toán hoặc thông tin của người khác,
• chỉ làm những gì cần thiết để chứng minh lỗ hổng tồn tại,
• giữ bí mật các chi tiết cho đến khi chúng tôi khắc phục xong sự cố, hoặc cho đến 90 ngày sau báo cáo của bạn, tùy thời điểm nào đến trước, trừ khi chúng tôi thỏa thuận khác với bạn, và
• tuân thủ pháp luật.

5. Chúng tôi sẽ làm gì

Khi bạn báo cáo một lỗ hổng theo chính sách này, chúng tôi sẽ:

• xác nhận đã nhận báo cáo của bạn trong vòng 2 ngày làm việc,
• cho bạn biết chúng tôi có thể tái hiện sự cố hay không, và cập nhật cho bạn về tiến độ,
• đặt mục tiêu khắc phục lỗ hổng đã được xác nhận trong vòng 90 ngày, và sớm hơn nếu nó khiến thông tin cá nhân gặp rủi ro, và
• cho bạn biết khi sự cố được khắc phục, và cảm ơn bạn bằng tên nếu bạn đã yêu cầu.

Nếu sự cố liên quan đến thông tin cá nhân, chúng tôi sẽ đánh giá và thông báo cho những người bị ảnh hưởng cũng như Văn phòng Ủy viên Thông tin Úc (Office of the Australian Information Commissioner), như mục 11 trong chính sách quyền riêng tư của chúng tôi mô tả.

6. Nơi trú ẩn an toàn

Nếu bạn hành động với thiện chí và tuân theo chính sách này, chúng tôi sẽ coi nghiên cứu của bạn là được ủy quyền, sẽ không khởi kiện bạn vì việc đó và sẽ không trình báo bạn với cơ quan thực thi pháp luật. Nếu người khác khởi kiện bạn vì nghiên cứu tuân theo chính sách này, chúng tôi sẽ công khai rằng chúng tôi đã cho phép.

Điều này không áp dụng nếu bạn đã vi phạm chính sách này, truy cập nhiều hơn mức cần thiết, hoặc đòi thanh toán để đổi lấy việc không tiết lộ sự cố. Nếu bạn không chắc một việc bạn định làm có được phép hay không, hãy hỏi chúng tôi trước tại support@snailgram.com.au.

7. Những gì chúng tôi không coi là lỗ hổng

Những điều sau đây nhìn chung nằm ngoài chính sách này, trừ khi bạn chứng minh được tác động thực sự đến an ninh của trang web hoặc những người sử dụng nó:

• báo cáo từ các công cụ quét tự động mà không có bằng chứng khái niệm hoạt động được,
• việc thiếu các tiêu đề bảo mật, cờ cookie hoặc bản ghi xác thực email (SPF, DKIM, DMARC) khi đứng riêng lẻ,
• clickjacking trên các trang không có hành động nào có thể gây hại,
• self-XSS, hoặc các vấn đề cần truy cập vật lý vào thiết bị đang mở khóa của ai đó,
• khiến trình tạo bìa thiệp tạo ra hình ảnh bất ngờ hoặc không phù hợp, trừ khi điều đó làm lộ dữ liệu của người khác hoặc bỏ qua thanh toán,
• việc lộ phiên bản phần mềm, hoặc thiếu giới hạn tần suất ở các hành động không có hậu quả bảo mật, và
• tấn công từ chối dịch vụ, và các lỗ hổng trong những dịch vụ của bên thứ ba nêu ở mục 2.

8. Thay đổi chính sách này

Chúng tôi có thể thay đổi chính sách này bằng cách đăng phiên bản mới trên trang này và cập nhật ngày ở đầu trang. Phiên bản được đăng tại thời điểm bạn gửi báo cáo sẽ áp dụng cho báo cáo đó.