喺範圍內：任何 SPCY App 網頁應用同共用平台嘅安全漏洞，包括 AI Studio、Drink Record（MT）、SmartSpend AI（Expense）、Score Editor、Mindmap PPT / AI Slides、Transcribe、Notebook，以及共用嘅登入（Auth）、點數與付費（Billing）同 API（spcy.hk）。

唔喺範圍內：

• 第三方服務嘅漏洞（Google、Stripe、Cloudflare、各 AI 供應商等）——請直接向佢哋回報。
• 拒絕服務（DoS / DDoS）或令服務降級嘅攻擊。
• 社交工程、釣魚或針對我哋員工 / 用戶嘅物理攻擊。
• 只影響你自己帳號嘅自我 XSS 或 CSRF。
• 已經過時嘅瀏覽器或第三方插件嘅漏洞。
• 點列出可枚舉嘅資訊（例如版本號、用戶 ID 存在與否）而冇實際安全影響嘅情況。

請用電郵回報至 [email protected]。回報之前請先聯絡我哋，唔好公開披露。

為咗令我哋可以快速處理，請盡量提供以下資訊：

• 受影響嘅應用同確實 URL / 端點。
• 重現步驟（越詳細越好，最好附上概念驗證）。
• 漏洞嘅影響，同攻擊者可以做到咩。
• 你嘅聯絡資料，以及你想唔想喺致謝名單留名。

收到我哋確認同修復之後，歡迎你公開披露。

本服務由單人創辦者營運，所以時間係盡力而為，但我哋會保持溝通：

• 72 小時內確認收到你嘅回報。
• 7 日內完成初步評估同分級。
• 嚴重漏洞目標 14 日內修復；其他級別按實際情況盡快處理。
• 如果修復需時較長，我哋會話俾你知進度同預計時間。

對於善意而且遵守本政策嘅回報，我哋承諾：

• 唔會就回報本身向你採取法律行動。
• 將你對該漏洞嘅測試視為經授權嘅行為。
• 與你合作，喺合適嘅時間協調披露。

作為回報者，你必須：

• 避免存取或修改其他人嘅資料；如果你意外存取到，請立即刪除並話俾我哋知。
• 唔好令服務降級或影響其他用戶。
• 一旦展示到個問題就停止測試。
• 喺我哋有合理時間修復之前，唔好公開披露。

違反以上任何一點嘅回報唔受安全港保障。

本服務目前未有正式嘅漏洞懸賞計劃（Bug Bounty），亦未產生收入。但凡係有效嘅回報，我哋會喺你嘅同意之下喺致謝名單留名；如果你想匿名，我哋亦會尊重。呢個政策可能會喺將來更新。

本政策唔構成合約，亦唔賦予除「安全港」以外嘅任何權利。本政策以英文版本為準；如各語言版本有任何差異，以英文版本為準。本政策嘅最終解釋權歸本服務所有。