La présente politique définit la manière dont Syott Limited (« Syott ») traite et divulgue les problèmes de sécurité affectant notre site web, nos produits ou les services dont nous dépendons, qu'ils nous soient signalés ou que nous les découvrions nous-mêmes. Pour signaler une vulnérabilité, suivez notre Politique de divulgation des vulnérabilités.
Nos principes
- Protéger les personnes avant tout. Notre priorité est de corriger ou de contenir un problème avant que ses détails ne soient rendus publics.
- Informer les personnes concernées. Si un problème met en danger des clients ou leurs données, nous informons directement les clients concernés, dans les meilleurs délais.
- Collaborer avec les auteurs de signalements. Nous tenons informée la personne qui a signalé un problème et convenons avec elle du calendrier de toute divulgation publique.
- Être précis. Lorsque nous publions des informations sur un problème, nous le décrivons clairement, sans en dissimuler ni en exagérer l'impact.
- Reconnaître les contributions. Nous citons publiquement les auteurs de signalements, s'ils le souhaitent.
Délais
Nous accusons réception des signalements dans un délai de 3 jours ouvrés et tenons leurs auteurs informés jusqu'à la résolution du problème.
Par défaut, nous demandons aux auteurs de signalements d'attendre 90 jours après leur signalement, ou la mise à disposition d'un correctif si elle intervient plus tôt, avant de publier des détails. Nous pouvons convenir d'une publication anticipée si un problème est activement exploité, ou d'une date ultérieure avec l'auteur du signalement si un correctif nécessite davantage de temps et que nous progressons clairement.
Violations de données personnelles
Si un problème de sécurité entraîne une violation de données personnelles, nous respectons nos obligations légales. Pour les données personnelles dont nous sommes responsables du traitement, nous notifions la violation à la Data Protection Commission dans les 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes, et nous informons les personnes concernées lorsque le risque pour elles est élevé. Pour les données que nous traitons pour le compte de clients, nous informons les clients concernés dans les meilleurs délais afin qu'ils puissent remplir leurs propres obligations.
Problèmes que nous découvrons dans d'autres produits
Si nous découvrons une vulnérabilité dans un logiciel ou un service d'un autre éditeur, nous la lui signalons de manière confidentielle et lui laissons un délai raisonnable pour la corriger, en général 90 jours, avant toute publication de détails. Si un éditeur ne peut pas être joint ou ne répond pas, nous pouvons demander à une autorité nationale, comme le National Cyber Security Centre irlandais, de nous aider à coordonner la divulgation.
Protection juridique (safe harbour)
Si vous recherchez et signalez une vulnérabilité de bonne foi et conformément à notre Politique de divulgation des vulnérabilités, nous considérons que vos recherches sont autorisées. Nous n'engagerons pas de poursuites contre vous et ne demanderons pas aux autorités répressives d'enquêter sur vous pour ces recherches. Si un tiers engage une action contre vous au sujet de recherches conformes à notre politique, nous ferons savoir que vos recherches étaient autorisées par nous.
Cette protection ne couvre pas le fait d'accéder à davantage de données, ou d'en conserver davantage, que nécessaire pour démontrer un problème, de nuire à nos utilisateurs ou à nos services, ou d'utiliser un problème pour exiger un paiement. Nous ne pouvons pas autoriser de recherches sur des systèmes qui ne nous appartiennent pas, comme les plateformes de nos prestataires.
Contact
Questions sur la présente politique : disclosure@syott.co. Signalements de sécurité : security@syott.co. Nos coordonnées de sécurité sont également publiées sur /.well-known/security.txt.