Divulgation des vulnérabilités

Chez Vacation Tracker Inc., nous accordons une grande importance à votre vie privée et nous mettons un point d’honneur à prendre soin de toutes les données que vous choisissez de partager avec nous. Si vous avez des questions sur la façon dont nous utilisons ou traitons les données des utilisateurs, posez-nous simplement la question et nous vous répondrons dans les plus brefs délais.

Introduction

Vacation Tracker accueille favorablement les retours des chercheurs en sécurité et du grand public qui l’aident à améliorer sa sécurité. Si vous pensez avoir découvert une vulnérabilité, un problème de confidentialité, des données exposées ou tout autre problème de sécurité dans l’un de nos actifs, nous voulons en être informés. Cette politique décrit les étapes à suivre pour nous signaler des vulnérabilités, ce que nous attendons de vous et ce que vous pouvez attendre de nous.

Systèmes concernés

Cette politique s’applique aux systèmes de la plateforme Vacation Tracker accessibles au public et aux actifs numériques détenus, exploités ou maintenus par Vacation Tracker Technologies Inc. Les systèmes Vacation Tracker concernés se trouvent aux adresses suivantes :

• https://app.vacationtracker.io/– plateforme Vacation Tracker
• https://vacationtracker.io/ – site web de Vacation Tracker

Hors périmètre

• Tout actif ou autre équipement n’appartenant pas aux parties participant à cette politique.

Les vulnérabilités découvertes ou suspectées dans des systèmes hors périmètre doivent être signalées au fournisseur concerné ou à l’autorité compétente.

Règles de test

Vacation Tracker ne considérera vos signalements comme valides que si vous respectez les conditions suivantes :

1. Vos activités se limitent exclusivement à :
   1. Effectuer des tests pour détecter une vulnérabilité ou identifier un indicateur lié à une vulnérabilité
   2. Partager les informations sur les vulnérabilités identifiées ou les indicateurs liés à une vulnérabilité uniquement avec Vacation Tracker, via les canaux de communication définis (voir la section « Comment signaler » de ce document)
2. Vous ne causerez aucun dommage et n’exploiterez aucune vulnérabilité au-delà du minimum de tests nécessaire pour prouver l’existence d’une vulnérabilité ou identifier un indicateur lié à une vulnérabilité.
3. Vous éviterez d’accéder intentionnellement au contenu des données stockées sur les systèmes de Vacation Tracker – sauf dans la mesure où ces informations sont directement liées à une vulnérabilité et où cet accès est nécessaire pour prouver l’existence de la vulnérabilité – dès lors que vous accédez à vos propres données sur notre plateforme.
4. Vous n’exfiltrerez aucune donnée, en aucune circonstance.
5. Vous ne porterez pas intentionnellement atteinte à la vie privée du personnel de Vacation Tracker ou de tiers.
6. Vous ne porterez pas intentionnellement atteinte à la propriété intellectuelle ni aux autres intérêts commerciaux ou financiers du personnel ou des entités de Vacation Tracker, ou de tiers.
7. Vous ne divulguerez publiquement aucun détail de la vulnérabilité, de l’indicateur de vulnérabilité ou du contenu des informations rendues accessibles par une vulnérabilité, sauf autorisation écrite expresse de Vacation Tracker.
8. Si, au cours de vos recherches, vous accédez par inadvertance à des informations auxquelles le public n’est pas autorisé à accéder, vous effacerez de manière effective et définitive toutes les informations identifiées en votre possession, selon les instructions de Vacation Tracker, et vous informerez Vacation Tracker que vous l’avez fait.
9. Vous ne réaliserez aucun test de déni de service.

10. Vous ne réaliserez aucun test physique (par exemple accès aux bureaux, portes ouvertes, talonnage) ni aucune action d’ingénierie sociale, y compris des campagnes d’hameçonnage, visant le personnel ou les clients de Vacation Tracker.
11. Si, à un moment quelconque, vous ne savez pas si vous devez poursuivre vos tests, contactez notre équipe via les canaux appropriés décrits dans la section « Comment signaler » de ce document.

Veillez à réaliser vos tests conformément aux bonnes pratiques décrites :

• Assurez-vous que les scanners ont un périmètre restreint, limité aux seuls systèmes concernés. Les analyses agressives, trop larges ou susceptibles de compromettre le fonctionnement de la plateforme Vacation Tracker sans autorisation seront considérées comme non valides.
• N’effectuez aucune action susceptible d’affecter négativement le fonctionnement de la plateforme Vacation Tracker ou ses utilisateurs (par exemple spam, force brute, déni de service…)
• N’accédez pas et ne tentez pas d’accéder à des données ou informations qui ne vous appartiennent pas
• Ne détruisez pas et n’altérez pas des données ou informations qui ne vous appartiennent pas
• Ne menez aucune attaque physique ou électronique contre le personnel, les biens ou les données de Vacation Tracker
• N’envoyez pas de messages en masse non sollicités (spam) ni de messages non autorisés.
• Ne publiez, ne transmettez, ne téléversez, ne liez et n’envoyez sciemment aucun logiciel malveillant.
• N’attaquez pas les clients, partenaires ou fournisseurs de Vacation Tracker

Notre engagement

Lorsque vous collaborez avec nous dans le cadre de cette politique, vous pouvez compter sur nous pour :

• Répondre rapidement à votre signalement et travailler avec vous pour le comprendre et le valider.
• Nous efforcer de vous tenir informé de l’avancement du traitement de la vulnérabilité.
• Œuvrer à corriger les vulnérabilités découvertes dans des délais raisonnables, dans la limite de nos contraintes opérationnelles.
• Vous accorder la protection Safe Harbor pour vos recherches de vulnérabilités liées à cette politique.

Nos attentes

En participant de bonne foi à notre programme de divulgation des vulnérabilités, nous vous demandons de :

• Respecter les règles, notamment cette politique et tout autre accord pertinent. En cas d’incohérence entre cette politique et toute autre condition applicable, les conditions de cette politique prévaudront.
• Signaler rapidement toute vulnérabilité que vous avez découverte.
• Éviter de porter atteinte à la vie privée d’autrui, de perturber nos systèmes, de détruire des données et/ou de nuire à l’expérience utilisateur.
• Utiliser uniquement les canaux officiels pour échanger avec nous des informations sur les vulnérabilités.
• Nous accorder un délai raisonnable (au moins 180 jours à compter du signalement initial) pour résoudre le problème avant que nous ne le divulguions publiquement.
• Si une vulnérabilité donne un accès involontaire à des données : limiter la quantité de données consultées au minimum nécessaire pour démontrer efficacement une preuve de concept (Proof of Concept) ; et cesser les tests et soumettre immédiatement un signalement si vous rencontrez des données d’utilisateurs pendant les tests, telles que des informations personnelles identifiables (PII), des informations personnelles de santé (PHI), des données de carte bancaire ou des informations exclusives.
• N’interagir qu’avec des comptes de test qui vous appartiennent ou avec l’autorisation explicite du titulaire du compte.
• Ne pas vous livrer à l’extorsion.

Comment signaler

Pour en savoir plus, consultez notre fichier security.txt.

Veuillez signaler les problèmes de sécurité à security@vacationtracker.io en fournissant toutes les informations pertinentes. Plus vous fournissez de détails, plus il nous sera facile de trier et de corriger le problème.

Déclaration Safe Harbor

Lorsque des recherches de vulnérabilités sont menées conformément à cette politique, nous considérons que ces recherches sont :

• Autorisées au regard de toute loi anti-piratage applicable, et nous n’engagerons ni ne soutiendrons aucune action en justice contre vous pour des tests réalisés de bonne foi et conformément à cette politique.
• Autorisées au regard de toute loi anti-contournement pertinente, et nous n’intenterons aucune action contre vous pour contournement de mesures de contrôle technologiques.
• Exemptées des restrictions de nos conditions d’utilisation (TOS) et/ou de notre politique d’utilisation acceptable (AUP) qui entraveraient la réalisation de recherches de sécurité, et nous renonçons à ces restrictions de manière limitée.
• Licites, utiles à la sécurité globale d’Internet et menées de bonne foi.

Comme toujours, vous êtes tenu de respecter toutes les lois applicables. Si un tiers engage une action en justice contre vous et que vous avez respecté cette politique, nous prendrons des mesures pour faire savoir que vos actions ont été menées conformément à cette politique.

Si, à tout moment, vous avez des inquiétudes ou ne savez pas si vos recherches de sécurité sont conformes à cette politique, veuillez soumettre un signalement via nos canaux officiels avant d’aller plus loin.

Veuillez noter que le Safe Harbor s’applique uniquement aux réclamations juridiques relevant du contrôle de l’organisation participant à cette politique, et que la politique ne lie pas les tiers indépendants.