Politique de divulgation responsable

Transatel s’emploie à préserver la disponibilité, l’intégrité, la confidentialité et la traçabilité des informations qui lui sont confiées.

Toutefois, dans l’éventualité où une faille de sécurité, une vulnérabilité ou une fuite de données liée à Transatel serait constatée, cette page décrit notre politique de divulgation responsable relative au traitement des rapports de vulnérabilités afin de nous signaler toute anomalie.

Tous les rapports sont les bienvenus, que vous soyez spécialiste de la sécurité, développeur, client ou particulier, sous réserve de respecter les conditions suivantes :

• Garder confidentielles les informations relatives aux vulnérabilités découvertes.
• Ne pas utiliser d’outils automatisés ou d’attaques tels que l’ingénierie sociale (phishing, fraude…), les dénis de service (DoS, D-DoS), le pourriel (spam, scam) ou les atteintes à la sécurité physique.
• Ne pas tirer avantage des vulnérabilités au-delà de ce qui est strictement nécessaire, par exemple en téléchargeant plus de données que requis ou en portant atteinte à l’intégrité des données d’autres personnes.
• Nous transmettre un moyen de vous contacter si vous souhaitez être informé des suites données.
• Envoyer les résultats par e-mail à security-disclosure@transatel.com (cette adresse est exclusivement destinée au signalement des vulnérabilités. Les autres sollicitations ne seront pas traitées).
• Ou, dans le cadre de l’article 47 de la Loi pour une République numérique, signaler la vulnérabilité au CERT-FR en tant qu’autorité compétente : cert-fr@ssi.gouv.fr.
• Ne pas enfreindre une loi ou une réglementation au-delà de ce qu’encadre la présente politique.
• Accepter sans réserve notre politique de confidentialité, permettant le traitement de votre rapport.

Dans votre rapport

• Anonymiser les données à caractère personnel.
• Fournir toutes les informations nécessaires pour reproduire ou constater la faille de sécurité (IP, URL, description de la vulnérabilité, référence OWASP, CVE ou ATT&CK), captures d’écran ainsi que la liste des produits et services concernés.
• Le cas échéant, préciser les références de l’ensemble des comptes de test que vous avez créés.

Après réception, votre rapport sera analysé par l’équipe sécurité dans les meilleurs délais. Nous nous engageons à traiter votre signalement de manière confidentielle, sous réserve des exigences réglementaires et légales.

La participation au processus de signalement ne confère aucun droit de propriété intellectuelle.

Si des vulnérabilités sont découvertes et signalées conformément à notre politique de divulgation responsable, aucune action en justice ne sera engagée à l’encontre des rapporteurs. En cas de non-respect, nous nous réservons l’ensemble de nos droits légaux.

Enfin, à ce jour, nous n’offrons pas et ne participons pas à un programme de Bug Bounty.