Dowody i przejrzystość

W październiku 2026 dwie rzeczy są potwierdzone przez inne podmioty niż my:

• Wydawca. TRASIMENE SAS jest wpisana do francuskiego krajowego rejestru przedsiębiorstw pod numerem SIREN 103 240 560: uproszczona spółka akcyjna (société par actions simplifiée) założona 30 marca 2026, z siedzibą pod adresem 61 rue de Lyon, 75012 Paryż, której prezesem jest Mohamed Essid. Apple identyfikuje tę samą spółkę numerem DUNS 286714569 na stronie aplikacji w App Store. Sprawdź w rejestrze: annuaire-entreprises.data.gouv.fr.
• Opublikowane aplikacje. Każda wersja aplikacji jest sprawdzana przez Apple przed publikacją w App Store i przez Google przed publikacją w Google Play. Aplikacja na Androida została wydana 9 lipca 2026, a aplikacja na iPhone'a 4 sierpnia 2026.

• Strona w App Store
• Strona w Google Play
• Francuski krajowy rejestr przedsiębiorstw

Niezależna ocena pojawia się na tej stronie wyłącznie wraz z nazwą instytucji, datą i pełnym raportem.

Trasimène działa bez naciskania żadnego przycisku. Twój telefon mierzy swoje ustawienia, swoją sieć oraz, na Androidzie, swoje aplikacje; nasze serwery porównują te pomiary z regułami i listami zagrożeń aktualizowanymi codziennie, a następnie odsyłają wynik zielony, czerwony lub szary, wyjaśniony w Twoim języku. Na Androidzie analiza odbywa się domyślnie co 30 minut. Na iPhonie odbywa się wtedy, gdy pozwala na to iOS.

W październiku 2026 aplikacja przeprowadza do 157 kontroli na Androidzie i 48 na iPhonie. Nasze kontrole opierają się na publicznych ramach MITRE ATT&CK Mobile, które opisują techniki ataku wymierzone w telefony (attack.mitre.org). Każdy alert mówi, co zostało wykryte i co należy zrobić.

Szary wynik oznacza, że pomiaru nie udało się przeprowadzić: brakuje uprawnienia, VPN jest wyłączony albo system na to nie pozwala. Szary wynik nigdy nie jest przedstawiany jako zielony.

Gdy reguła się myli, poprawiamy ją na serwerze. Poprawka zaczyna obowiązywać w ciągu kilku minut, a Twój telefon otrzymuje ją przy następnej analizie, bez aktualizacji aplikacji.

Nasze informacje o zagrożeniach pochodzą z publicznych i uznanych źródeł: URLhaus, ThreatFox, MalwareBazaar i Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal w ostateczności (który otrzymuje odcisk cyfrowy pliku lub nazwę strony, nigdy sam plik), Have I Been Pwned w przypadku wycieków adresów, lista wykorzystywanych podatności CISA oraz baza NVD. Pełna lista, z podziałem według zastosowania, znajduje się na stronie Jak działa Trasimène.

Uznane pliki testowe

Branża antywirusowa używa nieszkodliwych plików testowych, aby sprawdzić, czy ochrona reaguje: pliku EICAR, opublikowanego przez europejską organizację o tej samej nazwie, oraz plików AMTSO, stowarzyszenia producentów zabezpieczeń i laboratoriów testowych, w tym testowej aplikacji na Androida. Od 22 października 2026 nasze serwery rozpoznają odciski cyfrowe tych plików we wszystkich ich opublikowanych postaciach i traktują je jak każde znane zagrożenie. Pobierz te pliki: eicar.org i amtso.org.

• Trasimène skupia się na tym, co naprawdę naraża telefon: jego ustawieniach, sieci, linkach oraz, na Androidzie, aplikacjach.
• Gdy jakaś aplikacja stanowi problem, Trasimène mówi Ci, która, dlaczego i jak ją odinstalować. Decyzja należy do Ciebie.
• VPN ostrzega Cię o niebezpiecznych stronach, z którymi się łączysz, nie przerywając za Ciebie połączenia. Rozwiązywanie nazw jest powierzane Quad9, szwajcarskiej usłudze, która po swojej stronie odrzuca znane jej złośliwe domeny.
• Na iPhonie iOS izoluje każdą aplikację od pozostałych: żadna aplikacja nie widzi listy innych aplikacji, ich plików, Twoich SMS-ów ani ich powiadomień. Trasimène działa w tych ramach, z 48 kontrolami: jailbreak, wersja iOS, profile i zdalne zarządzanie, sieć i Wi-Fi, linki z kodów QR, wycieki Twojego adresu e-mail.

• VPN. Treść Twojego ruchu nie jest ani odczytywana, ani zapisywana. Nasze serwery przechowują historię Twoich połączeń z VPN (serwer, adres przydzielony w tunelu, godziny połączenia i rozłączenia), usuwaną 72 godziny po zakończeniu dostępu, oraz ilość danych przesłanych w każdym miesiącu, przechowywaną przez 13 miesięcy. Przez 48 godzin przechowują też strony z naszych list zagrożeń i reklam, z którymi się połączyłeś, wraz z liczbą połączeń, najczęściej wywoływane nieistniejące nazwy stron oraz liczby dotyczące Twoich połączeń i wywoływanych nazw (liczba, porty, czas trwania, długość), bez żadnego adresu ani nazwy strony.
• Sejf. Twoje hasła, notatki i pliki są szyfrowane na naszych serwerach algorytmem AES-256-GCM, kluczem unikalnym dla Twojego konta, przechowywanym w menedżerze sekretów z ograniczonym dostępem, w którym każdy odczyt klucza jest rejestrowany. Ten klucz nie jest wyprowadzany z Twojego hasła: odzyskujesz swój sejf, logując się na nowym telefonie, bez frazy odzyskiwania do przechowywania. Nasze serwery odszyfrowują zawartość, aby wyświetlić Ci ją w aplikacji. Pojemność: 5 GB, do 30 MB na plik, 10 000 haseł i 10 000 notatek. Klucz i sejf są niszczone 30 dni po usunięciu Twojego konta.
• Wyniki kontroli. Wynik każdej kontroli (zielony, czerwony lub szary, wraz z wyjaśnieniem) jest przechowywany przez 30 dni, aby wyświetlać historię i raporty. Szczegóły nieprawidłowości mogą wskazywać stronę lub aplikację; znikają one wraz z nieprawidłowością.
• Aplikacje na Androida. Aby ocenić Twoje aplikacje, nasze serwery przechowują dla każdej z nich nazwę techniczną, odcisk cyfrowy pliku, podpis wydawcy i pochodzenie, przez 30 dni od ostatniej analizy, która ją wykryła. Same pliki aplikacji nigdy nie opuszczają Twojego telefonu.
• Pomiar korzystania. Aplikacja wysyła pomiary korzystania (otwierane ekrany, etapy ścieżki) do Firebase Analytics, aby ulepszać produkt. Są one domyślnie włączone i można je wyłączyć w ustawieniach aplikacji przełącznikiem „Analityka użytkowania”. Raporty o błędach trafiają do Sentry i Firebase Crashlytics.

Dane Twojego konta (adres e-mail, imię i nazwisko, preferencje) są przechowywane, dopóki istnieje Twoje konto. Szczegóły dotyczące każdej danej, okresu jej przechowywania i podstawy prawnej znajdziesz w polityce prywatności.

Twoje dane nie są nikomu sprzedawane. Aplikacja nie wyświetla żadnych reklam i nie zawiera żadnego narzędzia Meta, TikTok, Snapchat ani LinkedIn. Pierwsze skanowanie jest gratis; potem Trasimène działa w ramach subskrypcji, bez okresu próbnego: 17,99 €/miesiąc lub 199 €/rok, wszystko w cenie.

Aby usługa działała, powierzamy dane dostawcom, każdemu do jednego, ściśle określonego zadania:

• Hosting: Google Cloud, region europe-west1 (Unia Europejska), dla API, strony internetowej, baz danych i plików sejfu; klucze sejfu znajdują się w menedżerze sekretów Google Cloud. 19 serwerów VPN to maszyny Google Cloud, po jednej na kraj, instalowane i administrowane przez Trasimène.
• Pomiar korzystania, z możliwością wyłączenia: Firebase Analytics (Google).
• Raporty o błędach: Sentry (serwery w Unii Europejskiej dla aplikacji i strony internetowej) i Firebase Crashlytics.
• Płatności: Apple w aplikacji na iPhone'a, Google w aplikacji na Androida; RevenueCat i Stripe na trasimene.com. Nie widzimy ani nie przechowujemy żadnych danych kart płatniczych.
• E-maile: Resend, do wiadomości z potwierdzeniami, alertami i rozliczeniami oraz do newslettera, jeśli się na niego zapisałeś.
• Monitorowanie wycieków: Have I Been Pwned otrzymuje każdy adres e-mail, który zdecydujesz się monitorować, i informuje nas, czy pojawia się on w znanym wycieku; sprawdzenie przy dodaniu, a następnie co 24 godziny.
• Reputacja linków i plików: Google Safe Browsing i VirusTotal, które otrzymują adres linku lub odcisk cyfrowy pliku, nigdy sam plik.

Pomiar naszych kampanii, za Twoją zgodą: gdy zakładasz konto przy użyciu adresu e-mail na Androidzie lub na trasimene.com, niezaznaczone pole proponuje Ci pomóc nam ustalić, które kampanie przyciągają prawdziwych użytkowników. Jeśli się zgodzisz, założenie konta i wykupienie subskrypcji są zgłaszane naszym platformom reklamowym (Meta, TikTok, Snapchat, LinkedIn) wraz ze skrótem Twojego adresu e-mail. Meta, TikTok i Snapchat otrzymują też przy rejestracji Twój adres IP oraz techniczny opis Twojej przeglądarki lub telefonu (user-agent). Google Analytics otrzymuje identyfikator konta, nigdy Twojego adresu. Bez Twojej zgody nic nie jest wysyłane, a z iPhone'a nigdy nic nie wychodzi. Możesz wycofać zgodę w dowolnym momencie w ustawieniach konta.

Nasze deklaracje w sklepach. Etykieta prywatności w App Store i sekcja „Bezpieczeństwo danych” w Google Play przedstawiają, w formacie wymaganym przez każdy sklep, co aplikacja zbiera i udostępnia. Sami je redagujemy i sprawdzamy przy każdej zmianie, aby były zgodne z naszą polityką prywatności i z tą stroną.

Każdy dostawca, przekazywanie danych poza Unię Europejską i Twoje prawa są szczegółowo opisane w polityce prywatności.

Od uruchomienia aplikacji w lipcu 2026 nie otrzymaliśmy żadnego wniosku organu władzy publicznej dotyczącego użytkownika. Ten licznik jest aktualizowany, gdy tylko się zmieni.

Ważny wniosek, skierowany do TRASIMENE SAS przez właściwy organ, jest przez nas analizowany przed udzieleniem jakiejkolwiek odpowiedzi. Możemy przekazać wyłącznie to, co przechowujemy: dane Twojego konta (adres e-mail, historia logowań) oraz to, co opisano w sekcji „Co przechowują nasze serwery”. Treść Twojego ruchu i lista stron, które odwiedzasz, do nich nie należą: nie mamy ich. Przechowywane są wyłącznie strony z naszych list zagrożeń i reklam, z którymi się łączyłeś, przez 48 godzin.

Znalazłeś podatność w aplikacji, na stronie internetowej lub w API? Napisz na contact@trasimene.com. Nasz plik security.txt, pod adresem /.well-known/security.txt, podaje ten kontakt i odsyła do tej polityki.

Potwierdzamy odbiór w ciągu 5 dni roboczych i przekazujemy Ci wstępną ocenę w ciągu 15 dni roboczych. Potwierdzone podatności usuwamy priorytetowo i informujemy Cię na bieżąco aż do opublikowania poprawki.

Nie podejmujemy żadnych kroków prawnych wobec osoby działającej w dobrej wierze: która nie odczytuje, nie modyfikuje ani nie przechowuje danych innych użytkowników, nie zakłóca działania usługi i daje nam czas na poprawkę przed publikacją.

Podziękowania

Za jej zgodą każda osoba, która zgłosiła nam potwierdzoną podatność, jest wymieniona tutaj wraz z datą.

• Jak działa Trasimène
• Bezpieczeństwo i szyfrowanie
• Polityka prywatności
• Firma i prasa
• Plik security.txt