資訊安全與弱點回報政策

平台應依服務規模、資料敏感度及風險採取適當之權限管理、安全傳輸與保存、系統更新、監控、備份及事件應變措施，並管理受託服務提供者。安全措施應按實際實施情形對外說明，不宣稱未取得之認證或絕對無風險。平台依法就自身服務、安全維護及資料處理負責，不因使用者負帳號保管義務而概括免責。

使用者應妥善保管密碼及驗證資訊，使用本人或合法授權之帳號流程，對異常登入、出價、付款或帳戶變更儘速通知平台。平台應查明操作紀錄、驗證及可歸責性，必要時限制相關功能或平台保管款項之處理；不能只因操作顯示在帳號內就一律認定所有行為均由本人完成。合法退款、解除及個資權利仍依其規則辦理。

疑似弱點請寄至 dongfengauction@gmail.com，主旨標示「資安回報」。建議提供可聯絡方式、受影響網址或功能、發現時間、問題描述、可能影響、最小重現步驟及已去除敏感資訊之畫面或紀錄。可匿名回報，但缺乏聯絡方式可能無法進行追問或回覆。若涉及實際損失或進行中之帳號冒用，請清楚標示急迫情形，以利優先處理。

證據以確認問題所必要為限；不要為證明影響擴大存取他人資料、下載大量資料、建立持續存取機制或操作真實交易。意外見到個資、憑證或付款資訊時應停止進一步存取，僅描述存在與位置並通知平台，不以一般郵件附上完整證件、帳號密碼、登入權杖或大量未遮蔽資料。平台如需敏感證據，應另安排適當安全提交方式。

公開頁面之正常使用及回報觀察結果，依一般使用規則辦理。主動安全測試須事先取得平台明確書面授權，載明系統、帳號、方法、時間、負載及資料界限，並優先使用指定測試環境。第三方銀行、驗證、雲端及其他服務不因平台授權自動納入，須另具該權利人之授權。本政策及回報受理本身不作超出範圍測試之許可。

未經合法授權不得進行阻斷服務、大量掃描或暴力嘗試、惡意程式植入、社交工程、實體侵入、資料更改或刪除、他人帳號操作、假出價、扣款、提款或其他可能干擾正式交易之行為。即使目的是驗證弱點，亦須遵守授權範圍及法律；發現超出授權之問題應停止並改以最小資訊回報。

平台應對回報進行風險分級、核對影響與必要止損，記錄處理情形，於可行之合理期間確認受理並以提供之聯絡方式回覆；重大或進行中事件優先處理。修復時間依問題、影響與相依服務評估，不對尚未查明之問題保證固定完成日。需要補充資料、延長處理或認定不屬弱點時，應在可回覆範圍說明。

平台與回報者得協調修復、驗證及公開時點，避免公開可立即利用之步驟、未修復之敏感細節或他人個資。公開內容與署名應確認合法權利及回報者意願；不因回報自動取得其研究內容之無限制商業使用權。平台亦不得以一般回報要求無期限保密，另有保密約定者須合法且範圍明確。

如未另公告獎勵方案或作成明確約定，回報本身不構成平台給付獎金、聘用或費用補償之承諾。平台可依法律及事實處理善意、符合授權之回報，但不能代替第三人或有權機關作全面免責承諾。回報者權利及責任依實際行為、有效約定及法律認定。

確認事件後，平台應採必要之隔離、止損、證據保存、修復及受影響服務處理措施。依法須查明後通知當事人、通報機關或採其他措施者，依當時已生效之規定辦理，說明事件、影響與合理可行之因應方式；不得以等待全部修復完成為由拖延法定義務。回報及事件資料僅供安全處理、必要法遵及爭議證據使用，依法與依必要期限保存。

本政策補充平台服務條款、隱私權政策及交易爭議申訴程序。一般修訂至少提前15日公告，重大修訂至少提前30日公告；緊急安全措施及法令要求從其規定。新增測試計畫須另提供具體授權條件，不能只以本政策更新推定回報者已取得測試權限。涉及交易取消、退款或權利救濟者，仍依相應規則及法律處理。