Seguridad en Bubble

Recientemente pasé por una prueba de penetración en mis aplicaciones de Bubble. Curiosamente, los resultados fueron preocupantes. No pudimos lograr el cumplimiento de GDPR o PCI debido a vulnerabilidades en el núcleo de la plataforma de Bubble. Después de registrar un ticket para entender si iban a ser resueltas, me dijeron que las 16 vulnerabilidades eran conocidas y la mayoría estaban en desarrollo como prioridades bajas y no se me proporcionó una solución para ninguna de ellas. En respuesta a mi sorpresa por este estado, me dijeron en Bubble que "el cumplimiento" es algo subjetivo para Bubble ya que depende de nosotros (el cliente de Bubble) determinar si queremos ser cumplidores o no. En realidad, creo que es un punto de vista justo, excepto que queremos ser cumplidores de GDPR y PCI pero no podemos ya que las vulnerabilidades que actualmente se conocen y no se han solucionado dentro de la plataforma lo impiden. ¿Alguien más ha intentado lograr tal resultado? Si es así, ¿cómo lo han manejado?