Divulgation responsable

Nos logiciels sont utilisés dans le secteur de la santé, où la protection des données des patients et la continuité des systèmes sont cruciales. C'est pourquoi nous prenons les rapports de sécurité très au sérieux. Si vous découvrez une vulnérabilité dans l'un de nos systèmes, nous vous demandons de nous la signaler de manière confidentielle afin que nous puissions résoudre le problème avant qu'il ne soit exploité.

Afin de permettre un suivi rigoureux, nous vous demandons de :

• Signaler la vulnérabilité le plus rapidement possible et exclusivement à nous via l'adresse e-mail ci-dessous.
• Fournir suffisamment d'informations pour reproduire le problème — une description claire, les étapes pour activer la vulnérabilité et (le cas échéant) des captures d'écran ou une preuve de concept (PoC).
• Ne pas abuser de la vulnérabilité, par exemple en consultant, modifiant ou supprimant des données, ou en affectant la disponibilité des systèmes.
• Ne partager aucune information avec des tiers tant que le problème n'a pas été résolu par nos soins.
• Agir avec prudence afin que les patients, les prestataires de soins ou les autres parties prenantes ne subissent aucun désagrément.

Nous vous enverrons un accusé de réception sous 1 jour ouvré.

• Nous traitons votre signalement de manière confidentielle et ne partageons pas vos données avec des tiers sans votre autorisation.
• Nous vous tiendrons informé de l'avancement de la résolution.
• Nous nous efforçons de résoudre le problème dans un délai raisonnable, en fonction de sa gravité et de sa complexité.
• Si vous respectez les directives ci-dessus, nous n'engagerons aucune poursuite judiciaire suite à votre signalement.
• En cas de vulnérabilité grave signalée de manière responsable, nous mentionnerons votre nom dans notre « Hall of Thanks » — sauf si vous souhaitez rester anonyme.

Les éléments suivants ne relèvent pas de cette politique :

• Les attaques nécessitant un accès physique à l'équipement.
• L'ingénierie sociale ou le phishing d'employés ou de clients.
• Les attaques par déni de service (DoS/DDoS).
• Les vulnérabilités dans des logiciels tiers que nous ne gérons pas.
• Les constatations concernant uniquement des navigateurs ou systèmes d'exploitation obsolètes qui ne sont plus supportés.

Envoyez vos conclusions à : security@themedguidecompany.com