Dowody i przejrzystość

W październiku 2026 dwie rzeczy są potwierdzone przez inne podmioty niż my:

• Wydawca. TRASIMENE SAS jest wpisana do francuskiego krajowego rejestru przedsiębiorstw pod numerem SIREN 103 240 560: uproszczona spółka akcyjna (société par actions simplifiée) założona 30 marca 2026, z siedzibą pod adresem 61 rue de Lyon, 75012 Paryż, której prezesem jest Mohamed Essid. Apple identyfikuje tę samą spółkę numerem DUNS 286714569 na stronie aplikacji w App Store. Sprawdź w rejestrze: annuaire-entreprises.data.gouv.fr.
• Opublikowane aplikacje. Każda wersja aplikacji jest sprawdzana przez Apple przed publikacją w App Store i przez Google przed publikacją w Google Play. Aplikacja na Androida została wydana 9 lipca 2026, a aplikacja na iPhone'a 4 sierpnia 2026.

• Strona w App Store
• Strona w Google Play
• Francuski krajowy rejestr przedsiębiorstw

Niezależna ocena pojawia się na tej stronie wyłącznie wraz z nazwą instytucji, datą i pełnym raportem.

Trasimène działa bez naciskania żadnego przycisku. Twój telefon mierzy swoje ustawienia, swoją sieć oraz, na Androidzie, swoje aplikacje; nasze serwery porównują te pomiary z regułami i listami zagrożeń aktualizowanymi codziennie, a następnie odsyłają wynik zielony, czerwony lub szary, wyjaśniony w Twoim języku. Na Androidzie analiza odbywa się domyślnie co 30 minut. Na iPhonie odbywa się wtedy, gdy pozwala na to iOS.

W październiku 2026 aplikacja przeprowadza do 157 kontroli na Androidzie i 48 na iPhonie. Nasze kontrole opierają się na publicznych ramach MITRE ATT&CK Mobile, które opisują techniki ataku wymierzone w telefony (attack.mitre.org). Każdy alert mówi, co zostało wykryte i co należy zrobić.

Szary wynik oznacza, że pomiaru nie udało się przeprowadzić: brakuje uprawnienia, VPN jest wyłączony albo system na to nie pozwala. Szary wynik nigdy nie jest przedstawiany jako zielony.

Gdy reguła się myli, poprawiamy ją na serwerze. Poprawka zaczyna obowiązywać w ciągu kilku minut, a Twój telefon otrzymuje ją przy następnej analizie, bez aktualizacji aplikacji.

Nasze informacje o zagrożeniach pochodzą z publicznych i uznanych źródeł: URLhaus, ThreatFox, MalwareBazaar i Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal w ostateczności (który otrzymuje odcisk cyfrowy pliku lub nazwę strony, nigdy sam plik), Have I Been Pwned w przypadku wycieków adresów, lista wykorzystywanych podatności CISA oraz baza NVD. Pełna lista, z podziałem według zastosowania, znajduje się na stronie Jak działa Trasimène.

Uznane pliki testowe

Branża antywirusowa używa nieszkodliwych plików testowych, aby sprawdzić, czy ochrona reaguje: pliku EICAR, opublikowanego przez europejską organizację o tej samej nazwie, oraz plików AMTSO, stowarzyszenia producentów zabezpieczeń i laboratoriów testowych, w tym testowej aplikacji na Androida. Od 22 października 2026 nasze serwery rozpoznają odciski cyfrowe tych plików we wszystkich ich opublikowanych postaciach i traktują je jak każde znane zagrożenie. Pobierz te pliki: eicar.org i amtso.org.

• Trasimène skupia się na tym, co naprawdę naraża telefon: jego ustawieniach, sieci, linkach oraz, na Androidzie, aplikacjach.
• Gdy jakaś aplikacja stanowi problem, Trasimène mówi Ci, która, dlaczego i jak ją odinstalować. Decyzja należy do Ciebie.
• VPN ostrzega Cię o niebezpiecznych stronach, z którymi się łączysz, nie przerywając za Ciebie połączenia. Rozwiązywanie nazw jest powierzane Quad9, szwajcarskiej usłudze, która po swojej stronie odrzuca znane jej złośliwe domeny.
• Na iPhonie iOS izoluje każdą aplikację od pozostałych: żadna aplikacja nie widzi listy innych aplikacji, ich plików, Twoich SMS-ów ani ich powiadomień. Trasimène działa w tych ramach, z 48 kontrolami: jailbreak, wersja iOS, profile i zdalne zarządzanie, sieć i Wi-Fi, linki z kodów QR, wycieki Twojego adresu e-mail.

• VPN. Treść Twojego ruchu nie jest ani odczytywana, ani zapisywana. Nasze serwery przechowują historię Twoich połączeń z VPN (serwer, adres przydzielony w tunelu, godziny połączenia i rozłączenia), usuwaną 72 godziny po zakończeniu dostępu, oraz ilość danych przesłanych w każdym miesiącu, przechowywaną przez 13 miesięcy. Przez 48 godzin przechowują też strony z naszych list zagrożeń i reklam, z którymi się połączyłeś, wraz z liczbą połączeń, najczęściej wywoływane nieistniejące nazwy stron oraz liczby dotyczące Twoich połączeń i wywoływanych nazw (liczba, porty, czas trwania, długość), bez żadnego adresu ani nazwy strony.
• Sejf. Twoje hasła, notatki i pliki są szyfrowane na naszych serwerach algorytmem AES-256-GCM, kluczem unikalnym dla Twojego konta, przechowywanym w menedżerze sekretów z ograniczonym dostępem, w którym każdy odczyt klucza jest rejestrowany. Ten klucz nie jest wyprowadzany z Twojego hasła: odzyskujesz swój sejf, logując się na nowym telefonie, bez frazy odzyskiwania do przechowywania. Nasze serwery odszyfrowują zawartość, aby wyświetlić Ci ją w aplikacji. Pojemność: 5 GB, do 30 MB na plik, 10 000 haseł i 10 000 notatek. Klucz i sejf są niszczone 30 dni po usunięciu Twojego konta.
• Wyniki kontroli. Wynik każdej kontroli (zielony, czerwony lub szary, wraz z wyjaśnieniem) jest przechowywany przez 30 dni, aby wyświetlać historię i raporty. Szczegóły nieprawidłowości mogą wskazywać stronę lub aplikację; znikają one wraz z nieprawidłowością.
• Aplikacje na Androida. Aby ocenić Twoje aplikacje, nasze serwery przechowują dla każdej z nich nazwę techniczną, odcisk cyfrowy pliku, podpis wydawcy i pochodzenie, przez 30 dni od ostatniej analizy, która ją wykryła. Same pliki aplikacji nigdy nie opuszczają Twojego telefonu.
• Pomiar korzystania. Aplikacja wysyła pomiary korzystania (otwierane ekrany, etapy ścieżki) do Firebase Analytics i PostHog, aby ulepszać produkt. Są one domyślnie włączone i można je wyłączyć w ustawieniach aplikacji przełącznikiem „Analityka użytkowania”. Raporty o błędach trafiają do Sentry i Firebase Crashlytics.

Dane Twojego konta (adres e-mail, imię i nazwisko, preferencje) są przechowywane, dopóki istnieje Twoje konto. Szczegóły dotyczące każdej danej, okresu jej przechowywania i podstawy prawnej znajdziesz w polityce prywatności.

Twoje dane nie są nikomu sprzedawane. Aplikacja nie wyświetla żadnych reklam i nie zawiera żadnego narzędzia Meta, TikTok, Snapchat ani LinkedIn. Wszystkie funkcje bezpieczeństwa są bezpłatne, bez okresu próbnego i bez limitu czasu; płatny jest wyłącznie VPN: 3,99 €/miesiąc lub 39,99 €/rok.

Aby usługa działała, powierzamy dane dostawcom, każdemu do jednego, ściśle określonego zadania:

• Hosting: Google Cloud, region europe-west1 (Unia Europejska), dla API, strony internetowej, baz danych i plików sejfu; klucze sejfu znajdują się w menedżerze sekretów Google Cloud. 19 serwerów VPN to maszyny Google Cloud, po jednej na kraj, instalowane i administrowane przez Trasimène.
• Pomiar korzystania, z możliwością wyłączenia: Firebase Analytics (Google) i PostHog (serwery w Unii Europejskiej).
• Raporty o błędach: Sentry (serwery w Unii Europejskiej dla aplikacji i strony internetowej) i Firebase Crashlytics.
• Płatności: Apple w aplikacji na iPhone'a, Google w aplikacji na Androida; RevenueCat i Stripe na trasimene.com. Nie widzimy ani nie przechowujemy żadnych danych kart płatniczych.
• E-maile: Resend, do wiadomości z potwierdzeniami, alertami i rozliczeniami oraz do newslettera, jeśli się na niego zapisałeś.
• Monitorowanie wycieków: Have I Been Pwned otrzymuje każdy adres e-mail, który zdecydujesz się monitorować, i informuje nas, czy pojawia się on w znanym wycieku; sprawdzenie przy dodaniu, a następnie co 24 godziny.
• Reputacja linków i plików: Google Safe Browsing i VirusTotal, które otrzymują adres linku lub odcisk cyfrowy pliku, nigdy sam plik.

Pomiar naszych kampanii, za Twoją zgodą: gdy zakładasz konto przy użyciu adresu e-mail na Androidzie lub na trasimene.com, niezaznaczone pole proponuje Ci pomóc nam ustalić, które kampanie przyciągają prawdziwych użytkowników. Jeśli się zgodzisz, założenie konta i wykupienie subskrypcji są zgłaszane naszym platformom reklamowym (Meta, TikTok, Snapchat, LinkedIn) wraz ze skrótem Twojego adresu e-mail. Meta, TikTok i Snapchat otrzymują też przy rejestracji Twój adres IP oraz techniczny opis Twojej przeglądarki lub telefonu (user-agent). Google Analytics otrzymuje identyfikator konta, nigdy Twojego adresu. Bez Twojej zgody nic nie jest wysyłane, a z iPhone'a nigdy nic nie wychodzi. Możesz wycofać zgodę w dowolnym momencie w ustawieniach konta.

Nasze deklaracje w sklepach. Etykieta prywatności w App Store i sekcja „Bezpieczeństwo danych” w Google Play przedstawiają, w formacie wymaganym przez każdy sklep, co aplikacja zbiera i udostępnia. Sami je redagujemy i sprawdzamy przy każdej zmianie, aby były zgodne z naszą polityką prywatności i z tą stroną.

Każdy dostawca, przekazywanie danych poza Unię Europejską i Twoje prawa są szczegółowo opisane w polityce prywatności.

Znalazłeś podatność w aplikacji, na stronie internetowej lub w API? Napisz na contact@trasimene.com. Nasz plik security.txt, pod adresem /.well-known/security.txt, podaje ten kontakt i odsyła do tej polityki.

Potwierdzamy odbiór w ciągu 5 dni roboczych i przekazujemy Ci wstępną ocenę w ciągu 15 dni roboczych. Potwierdzone podatności usuwamy priorytetowo i informujemy Cię na bieżąco aż do opublikowania poprawki.

Nie podejmujemy żadnych kroków prawnych wobec osoby działającej w dobrej wierze: która nie odczytuje, nie modyfikuje ani nie przechowuje danych innych użytkowników, nie zakłóca działania usługi i daje nam czas na poprawkę przed publikacją.

Podziękowania

Za jej zgodą każda osoba, która zgłosiła nam potwierdzoną podatność, jest wymieniona tutaj wraz z datą.

• Jak działa Trasimène
• Bezpieczeństwo i szyfrowanie
• Polityka prywatności
• Firma i prasa
• Plik security.txt