GEOLINE, spol. s r.o. — software Groma a související služby
Bezpečnostních hlášení si vážíme. Pokud jste v Gromě nebo v našich službách našli zranitelnost, dejte nám prosím vědět dřív, než ji zveřejníte — dohodneme se na postupu, který uživatele nevystaví riziku.
Komunikujeme česky a anglicky. Tato adresa je určena výhradně pro bezpečnostní hlášení.
Nepoužívejte veřejný formulář pro hlášení chyb. Formulář pro běžné chyby a náměty je veřejně dohledatelný a není určen pro citlivé informace. Bezpečnostní zranitelnosti posílejte vždy e-mailem na adresu výše.
Co nám prosím pošlete
Popis zranitelnosti a jejího dopadu — co jde díky ní udělat.
Dotčený produkt a verzi (v Gromě: Nápověda → O programu, čtyřdílné číslo, např. 15.0.1.600), nebo adresu dotčené služby.
Postup reprodukce — kroky, ukázkový soubor, snímky obrazovky nebo krátké video.
Vaše kontaktní údaje.
Hlášení přijímáme i bez těchto detailů — neúplné hlášení je pořád lepší než žádné. Zpracování jen bývá delší.
Co můžete očekávat od nás
Krok
Lhůta
Potvrzení přijetí hlášení
do 5 pracovních dnů
Prvotní posouzení a informace, jak budeme postupovat
do 15 pracovních dnů
Průběžné informování o stavu
alespoň jednou za 30 dnů, dokud není uzavřeno
Cíl pro vydání opravy
podle závažnosti, u vysoce závažných zranitelností přednostně
Opravu vydáváme jako bezpečnostní aktualizaci v rámci každé podporované řady produktu, bezplatně. Po vydání zveřejníme informace o opravené zranitelnosti.
Rozsah
V rozsahu
Desktopová aplikace Groma — podporované verze a jejich moduly.
Mechanismus automatických aktualizací a jeho distribuční kanál.
Informační kanál aplikace.
Webové stránky a služby na groma.cz, včetně služby pro příjem chybových hlášení.
Licenční a ochranné mechanismy — pokud jde o zranitelnost, ne o obcházení licence samo o sobě.
Mimo rozsah
Služby třetích stran, které Groma pouze používá a neprovozujeme je (například webové služby ČÚZK). Ty hlaste jejich provozovateli; rádi pomůžeme s nasměrováním.
Instalace u konkrétních zákazníků a jejich data či databázové servery.
Chybějící bezpečnostní hlavičky nebo zastaralé verze knihoven bez prokázaného dopadu.
Výstupy automatických skenerů bez ověření, že jde o skutečně zneužitelnou zranitelnost.
Sociotechnické útoky na naše zaměstnance nebo zákazníky a fyzické útoky.
Pravidla testování
Pokud se při hledání zranitelnosti držíte pravidel níže, považujeme vaše jednání za výzkum v dobré víře a nebudeme proti vám činit právní kroky ani ho hlásit jako útok.
Testujte na vlastní licencované instalaci nebo na demoverzi, ne u zákazníků.
Nepoškozujte a neznepřístupňujte služby — žádné zátěžové testy ani odepření služby.
Nepřistupujte k datům jiných osob, neměňte je a nekopírujte je. Pokud na cizí data narazíte, testování ukončete a napište nám.
Nezveřejňujte zranitelnost, dokud se nedohodneme na termínu (viz níže).
Dodržujte právní předpisy. Tato pravidla nemohou zbavit odpovědnosti za jednání, které je samo o sobě protiprávní.
Koordinované zveřejnění
Výchozí lhůta pro zveřejnění je 90 dnů od nahlášení. Po dohodě ji lze zkrátit i prodloužit.
Ideálně zveřejníme informace současně — vy svůj popis, my advisory a opravu.
Pokud je zranitelnost aktivně zneužívána, můžeme zveřejnit dřív, i bez úplné opravy, aby uživatelé mohli riziko zmírnit.
Anonymní hlášení respektujeme stejně jako ostatní.
Za bezpečnostní hlášení nevyplácíme finanční odměnu. Nemáme program bug bounty. Co nabízíme, je řádné vyřešení hlášení.
Zákonný rámec
Tyto zásady jsou politikou koordinovaného zveřejňování zranitelností podle přílohy I části II bodu 5 nařízení (EU) 2024/2847 (akt o kybernetické odolnosti). Adresa security@groma.cz je zároveň jednotným kontaktním místem podle čl. 13 odst. 17 téhož nařízení.
Upozorňujeme na jednu souvislost, která se vás jako nahlašovatele může dotknout: je-li zranitelnost aktivně zneužívána, jsme podle čl. 14 nařízení povinni ji do 24 hodin od zjištění oznámit koordinačnímu týmu CSIRT a agentuře ENISA. To je právní povinnost, kterou nemůžeme odložit ani na vaši žádost. Nejde o zveřejnění — oznámení míří orgánům, ne veřejnosti — a nemá vliv na dohodnutý termín veřejného zveřejnění.
GEOLINE, spol. s r.o. — Groma software and related services
We value security reports. If you have found a vulnerability in Groma or in our services, please tell us before you publish it — we will agree on an approach that does not leave users exposed.
We correspond in Czech and English. This address is solely for security reports.
Do not use the public bug report form. The form for ordinary bugs and suggestions is publicly discoverable and is not intended for sensitive information. Always e-mail security vulnerabilities to the address above.
What to include
A description of the vulnerability and its impact — what it allows someone to do.
The affected product and version (in Groma: Help → About, a four-part number such as 15.0.1.600), or the address of the affected service.
Reproduction steps — the sequence, a sample file, screenshots or a short video.
Your contact details.
We accept reports without these details too — an incomplete report is still far better than none. It simply takes longer to process.
What to expect from us
Step
Timeframe
Acknowledgement of your report
within 5 working days
Initial assessment and how we intend to proceed
within 15 working days
Status updates
at least every 30 days until closed
Target for releasing a fix
by severity; high-severity issues take priority
Fixes are released as security updates within every supported product line, free of charge. Once released, we publish information about the fixed vulnerability.
Scope
In scope
The Groma desktop application — supported versions and their modules.
The automatic update mechanism and its distribution channel.
The in-application information channel.
Websites and services on groma.cz, including the error-report intake service.
Licensing and protection mechanisms — where the issue is a vulnerability, not licence circumvention as such.
Out of scope
Third-party services that Groma merely consumes and that we do not operate (for example the web services of the Czech cadastral office, ČÚZK). Report those to their operator; we are happy to help direct you.
Individual customer installations, their data and their database servers.
Missing security headers or outdated library versions without demonstrated impact.
Automated scanner output without verification that the issue is genuinely exploitable.
Social engineering of our staff or customers, and physical attacks.
Rules for testing
If you stay within the rules below while looking for vulnerabilities, we will treat your work as good-faith research and will not pursue legal action against you or report it as an attack.
Test against your own licensed installation or the demo version, not against customers.
Do not damage or disrupt services — no load testing, no denial of service.
Do not access, modify or copy other people's data. If you encounter third-party data, stop testing and contact us.
Do not publish the vulnerability until we have agreed on a date (see below).
Comply with the law. These rules cannot waive liability for conduct that is unlawful in itself.
Coordinated disclosure
The default disclosure period is 90 days from the report. It can be shortened or extended by agreement.
Ideally we publish simultaneously — your write-up, our advisory and the fix.
If a vulnerability is being actively exploited, we may publish sooner, even without a complete fix, so that users can mitigate.
Anonymous reports are treated exactly like any other.
We do not pay monetary rewards for security reports. We run no bug bounty programme. What we offer is a properly resolved report.
Legal framework
This policy is the coordinated vulnerability disclosure policy required by Annex I Part II point 5 of Regulation (EU) 2024/2847 (the Cyber Resilience Act). The address security@groma.cz is also the single point of contact required by Art. 13(17) of the same Regulation.
One consequence may affect you as a reporter: where a vulnerability is actively exploited, Art. 14 of the Regulation obliges us to notify the coordinating CSIRT and ENISA within 24 hours of becoming aware of it. That is a legal duty we cannot defer, even at your request. It is not publication — the notification goes to authorities, not to the public — and it does not affect the agreed public disclosure date.