產品資安漏洞通報與協調揭露政策
精拓科技股份有限公司
Version 1.0，November 10, 2026
1. 目的與適用範圍
本政策說明本公司如何接收、評估、處理並協調揭露其產品可能存在的資安漏洞。
本政策適用於本公司提供、維護或支援之硬體產品及相關必要軟體、驅動程式（如適用），並涵蓋屬於受控產品組成範圍內之第三方元件所涉及的潛在漏洞。
本政策同時適用於由客戶、代理商、系統整合商、第三方供應商及本公司內部來源提出的產品資安通報。
各產品是否屬於歐盟《網路韌性法》（CRA）適用範圍，仍依個別產品之受控法規評估判定。本政策不代表任何產品已完成CRA符合性評估。
2. 漏洞通報方式
如發現本公司產品可能存在資安漏洞，請優先透過下列產品資安通報窗口聯繫：
產品資安信箱：
如不便使用電子郵件，亦可透過本公司官網之「聯絡我們」管道提出通報，並明確註明「產品資安漏洞通報」，由受理人員協助轉交產品資安窗口。
建議通報內容包括：產品型號、硬體／軟體或驅動程式版本、問題描述、發現日期、發生環境、可重現步驟、可能的資安影響、必要技術證據及可供回覆的聯絡方式。
如涉及密碼、登入憑證、個人資料、客戶機密或未公開漏洞利用細節，請勿直接於初次通報中傳送完整敏感內容；應先提供摘要，再與本公司確認合適的安全資料傳送方式。
3. 負責任的漏洞研究
本公司歡迎基於善意且獲得適當授權的資安研究及漏洞通報。
通報者應將測試限制在自己擁有或取得授權的設備及環境，避免造成服務中斷、設備損壞、未經授權存取、取得或保存不必要的個人資料，以及擷取第三方機密資訊。
本政策不構成超出適用法律或權利人授權範圍的測試許可、法律豁免或漏洞懸賞承諾。
4. 本公司收到漏洞通報後的處理方式
本公司將依已核准之產品漏洞處理程序接收與登錄資安通報，並盡合理努力提供收件確認、識別受影響產品與版本、進行技術及風險評估，必要時向通報者要求補充資訊。
本公司將依個別案件狀態追蹤處理進度，並於合理可行範圍內向通報者提供必要的進度或處理結果資訊。涉及第三方元件之漏洞，將視產品責任範圍與必要性，協調相關元件供應商或維護者共同處理。
依產品特性，可能採取硬體使用限制、替代措施、設計或矽晶片版本修正、產品替換、安全公告，或軟體／驅動程式修正及受控版本更新。
實際修復時間取決於漏洞風險、工程驗證及處置方式。本政策不承諾所有漏洞均於固定日數內修復；惟此不影響適用法規所要求之及時處置或通報義務。
5. 協調揭露與保密
為降低漏洞在修正或緩解措施可取得前遭利用的風險，本公司建議通報者先以非公開方式通報，並與本公司協調適當的公開時點與內容。
本公司將在合理必要範圍內保護通報資訊及相關個人資料，並依適用法律、資訊敏感程度與實際處理需要進行必要分享。
協調揭露安排不得妨礙依法必須履行的主管機關通報、受影響使用者通知或其他法定揭露義務。對已確認及完成修正的資安漏洞，本公司將依適用要求提供必要安全資訊與處置建議。
6. 安全公告及產品支援
本公司將依適用法規及受控產品漏洞處理程序，向相關使用者提供必要的資安風險、緩解措施、修正方式及安全更新資訊。如發生CRA Article 14(8)規定之已遭主動利用漏洞或對產品資安造成影響之嚴重事件，本公司應通知受影響使用者，並於適當情況下通知所有使用者，必要時提供使用者可採取之風險緩解及矯正措施。
如產品適用CRA且已提供用於處理資安漏洞的安全更新，本公司將依適用要求及時提供安全更新及相關建議，並揭露依法應公開之已修復漏洞資訊，包括受影響產品與版本、漏洞影響、嚴重程度及適用修正或緩解措施；依法得合理延後揭露者除外。
依產品特性，無嵌入式軟體的硬體元件可能需要透過硬體修正、使用限制、替代措施或產品更換方式處理。具有必要Windows／Linux主機端驅動程式的產品，則可能需要安裝經受控發布的新版驅動程式。
各產品之支援期間、版本維護及更新方式，以正式受控產品資訊為準。
7. 緊急事件及法定通報
如通報資訊顯示可能涉及已遭主動利用的漏洞，或對產品安全造成影響的嚴重事件，本公司將依適用法律及內部CRA Article 14通報指引進行獨立研判、升級及必要通報。
當法定通報條件成立時，本公司應依規定不得無故延遲，並遵守適用之法定通報期限。通報者協調、內部流程或公開揭露安排，不得被用來不當延後法定知悉時間或通報義務。
對通報者的回覆及協調揭露，不取代依法向主管機關、指定事件應變單位或使用者履行的通報及通知義務。
8. 政策版本及聯絡方式
本政策由本公司維護，得因產品、法規或漏洞處理程序變更而更新。
正式發佈版本應標示文件版本與生效日期，並透過經本公司核准之網站提供，讓使用者能實際取得本政策。
正式發佈之政策取得位置應由本公司進行登錄管理並維護。
產品資安通報窗口為：