Introduction
Chez Comoo, la sécurité de nos systèmes est une priorité essentielle. Malgré l’attention constante que nous portons à la sécurisation de nos systèmes, il est toujours possible qu’une vulnérabilité soit présente dans nos plateformes ou systèmes.
Si vous soupçonnez ou découvrez une vulnérabilité ou une faille de sécurité dans l’un de nos systèmes, qu’elle soit physique ou numérique, nous vous invitons à nous en informer afin que nous puissions prendre des mesures de sécurité dans les plus brefs délais. Nous souhaitons collaborer avec vous afin de mieux protéger nos systèmes, nos clients et notre écosystème.
Champ d’application
Public concerné
- Les visiteurs du site web,
- Les visiteurs physiques sur les sites de Comoo,
- Les employés et collaborateurs,
- Les clients,
- Les sous-traitants et partenaires,
- Les prospects,
- …
Protocole
Nous vous demandons de :
- Fournir suffisamment d’informations pour permettre la reproduction du problème afin que nous puissions le résoudre le plus rapidement possible. En général, l’adresse IP ou l’URL du système concerné ainsi qu’une description de la vulnérabilité suffisent, mais des vulnérabilités plus complexes peuvent nécessiter des informations complémentaires.
- Chiffrer vos constatations à l’aide de notre clé PGP afin d’éviter que les informations ne tombent entre de mauvaises mains,
- Envoyer vos constatations par e-mail à security@Comoo.be.
Merci de vous abstenir de :
- Exploiter la vulnérabilité, par exemple en téléchargeant plus de données que nécessaire pour démontrer la fuite, ou en consultant, supprimant ou modifiant des données de tiers,
- Partager le problème avec des tiers tant qu’il n’est pas résolu, et de supprimer immédiatement toutes les données confidentielles obtenues via la fuite après sa clôture,
- Mener des attaques contre la sécurité physique, pratiquer l’ingénierie sociale, des attaques par déni de service distribué, du spam ou l’utilisation d’applications tierces, ainsi que toute action susceptible d’endommager nos plateformes ou d’en affecter les performances.
Attention :
Un protocole légal doit être respecté (voir référence juridique ci-dessous).
Tout accès illégal à nos systèmes peut et sera poursuivi dans toute la mesure permise par la loi si ce protocole réglementaire n’est pas respecté.
Wat wij beloven :
- Nous répondrons à votre signalement dans les plus brefs délais, au plus tard dans les cinq jours ouvrables, avec une première évaluation du rapport et une date estimée de résolution,
- Si vous avez respecté les conditions ci-dessus ainsi que les dispositions légales en matière de cyberdroit, aucune action judiciaire ne sera engagée à votre encontre concernant le signalement,
- Nous traiterons votre signalement de manière confidentielle et ne partagerons pas vos données personnelles avec des tiers sans votre accord, sauf si cela est requis par une obligation légale. Un signalement sous pseudonyme est possible,
- Nous vous tiendrons informé de l’avancement de la résolution du problème,
- Lors de la communication relative au problème signalé, nous mentionnerons, si vous le souhaitez, votre nom en tant que découvreur, et
- Selon la gravité, Comoo pourra envisager une récompense. Celle-ci sera évaluée au cas par cas et à la seule discrétion de Comoo. Aucune négociation ne sera possible concernant l’attribution de la récompense.
Publication de la résolution :
- Seule Comoo décide de toute communication ou publication publique ou officielle concernant ces vulnérabilités.
- Aucune publication n’est autorisée sans l’accord et la validation de Comoo.
Courtoisie :
Cette politique de responsible disclosure est basée sur le projet open source sous licence Creative Commons v3: https://responsibledisclosure.nl/.
Référence juridique :
Veuillez noter que le signalement de toute vulnérabilité numérique est soumis à la législation.
Le siège de Comoo étant situé en Belgique, la législation belge relative à la divulgation des vulnérabilités est d’application.
En résumé (citation du site du CCB) :
- Vous devez vous limiter strictement aux faits nécessaires pour signaler une vulnérabilité. Vous ne pouvez donc pas agir au-delà de ce qui est nécessaire et proportionné pour vérifier l’existence d’une vulnérabilité.
- Vous devez agir sans intention frauduleuse ni volonté de nuire.
- Dès que possible après la découverte de la vulnérabilité potentielle, et au plus tard lors du signalement au CSIRT national, vous devez informer l’organisation responsable du système, du processus ou du contrôle concerné.
- Vous devez signaler la vulnérabilité découverte au CCB dans les plus brefs délais, en l’absence d’une CVDP, par écrit et conformément aux procédures décrites au point D de la politique du CCB.
- Vous ne pouvez pas divulguer publiquement des informations concernant la vulnérabilité découverte sans l’accord du CSIRT national (CCB).
Plus d’informations : https://ccb.belgium.be/en/vulnerability-reporting-ccb.
Informations générales sur l’entreprise
Contact : https://www.Comoo.be/contactus
Enregistrement de l’entreprise (HQ, Belgique) : BE725.425.683
Comoo HQ
Adresse administrative : Avenue de Waterloo 77 / W6.03, 1000 Bruxelles
Siège opérationnel : Schaarbeeklei 485, 1800 Vilvorde
Téléphone : +32 2 255 82 20
E-mail : security@comoo.be