Vulnerability Disclosure Policy

Objectif

Si vous découvrez une faille de sécurité dans l'un de nos produits ou systèmes, nous souhaitons en être informés. La présente politique explique comment la signaler, ce que vous êtes autorisé à faire et ce que vous ne devez pas faire pendant votre recherche, ainsi que ce que vous pouvez attendre de notre part.

Nous adhérons au principe de divulgation coordonnée des failles de sécurité : vous nous signalez d'abord la faille, nous la corrigeons, puis nous convenons ensemble de la manière et du moment où elle sera rendue publique.

Champ d'application

La présente politique s'applique:

aux produits de RoboJob, y compris les logiciels, micrologiciels et configurations que nous fournissons avec ceux-ci, pour toutes les versions couvertes par leur période de support
à nos propres systèmes informatiques et services en ligne, y compris tout ce qui relève des domaines dont nous sommes propriétaires :
- robojob.eu, robojob.be, robojob.de, robojob.nl
- robojob-usa.com, robojob.us
- robojob.cloud

Ne sont pas couverts : les réseaux et systèmes propres à nos clients, ainsi que les produits d'autres fabricants installés parallèlement aux nôtres. Si votre signalement concerne un composant tiers que nous utilisons, signalez-le-nous tout de même — nous le transmettrons au fabricant et continuerons à suivre le dossier.

Comment signaler un problème

Envoyez votre rapport à security@robojob.eu, en anglais, néerlandais, allemand ou français. Utilisez uniquement cette adresse ; les canaux d'assistance généraux ralentiraient le traitement de votre rapport.

Vous pouvez effectuer un signalement de manière anonyme. Dans ce cas, nous ne pourrons pas vous poser de questions complémentaires ni vous tenir informé. Nous n'exigeons pas de signature d'un accord de confidentialité ni d'aucun autre contrat avant que vous ne signaliez une vulnérabilité.

Veuillez inclure, dans la mesure du possible:

La nature de la vulnérabilité
Le produit et la version, ou le système, concernés
Comment la reproduire, avec des éléments probants tels qu'une preuve de concept, des journaux ou des captures d'écran
Ce qu'un attaquant pourrait en faire
Comment nous pouvons vous contacter

Règles relatives à vos recherches

Nous vous demandons de:

Agir de bonne foi, dans le but d'améliorer la sécurité
Ne pas aller au-delà de ce qui est nécessaire pour démontrer l'existence de la vulnérabilité, puis vous arrêter et la signaler
Ne pas accéder, copier ou modifier des données qui ne vous appartiennent pas ; si vous tombez sur des données à caractère personnel, arrêtez-vous et prévenez-nous
Ne perturber aucun système ni aucune machine — nos produits sont en environnement de production
Préserver la confidentialité de la vulnérabilité jusqu'à ce que nous ayons convenu de sa divulgation

Sont interdits : l'exploitation d'une vulnérabilité à votre profit ou à celui d'autrui, les attaques par déni de service, l'ingénierie sociale ou le phishing à l'encontre de notre personnel ou de nos clients, l'installation de logiciels malveillants, ainsi que l'accès physique à des machines dont vous n'êtes pas propriétaire.Si vous respectez ces règles, nous n'engagerons aucune poursuite judiciaire à votre encontre en lien avec votre signalement.

Notre démarche

Nous accusons réception de votre signalement dans un délai de 5 jours ouvrés.
Dans un délai de 10 jours ouvrés, nous vous communiquons les conclusions de notre première évaluation et la suite des opérations prévues.
Nous vous tenons informé tout au long de notre intervention.
Nous corrigeons la vulnérabilité dans un délai raisonnable, en fonction du risque qu'elle présente. La correction peut prendre la forme d'une mise à jour de sécurité, d'une solution de contournement ou d'une recommandation de configuration. Lorsqu'une modification d'un équipement installé est nécessaire, celle-ci est appliquée lors d'une fenêtre de maintenance planifiée.
Lorsqu'une correction ou une mesure d'atténuation est disponible, nous en informons les clients concernés. Nous nous mettons d'accord avec vous sur l'opportunité et le moment de rendre publique la vulnérabilité. Si sa publication exposerait les clients à un risque accru, nous pouvons la reporter et vous en expliquer les raisons.

Nous traitons votre signalement de manière confidentielle et ne communiquons vos données personnelles à personne sans votre consentement.Nous ne rémunérons pas les signalements de vulnérabilités et ne disposons pas de programme de prime aux bogues. Si vous souhaitez être cité comme auteur du signalement lorsque nous communiquons au sujet de la vulnérabilité, veuillez nous en informer.

Aspects juridiques

La législation belge protège les chercheurs en sécurité qui agissent de bonne foi. En vertu des articles 22 et 23 de la loi du 26 avril 2024 (loi belge NIS2), vous ne pouvez pas faire l'objet de poursuites pour des infractions telles que l'accès non autorisé si vous remplissez les conditions prévues par cette loi. Ces conditions sont les suivantes:

Agir sans intention frauduleuse ni intention de causer un préjudice
Ne pas aller au-delà de ce qui est nécessaire et proportionné
Avertir le Centre pour la cybersécurité de Belgique (CCB) : une notification simplifiée dans les 24 heures suivant la découverte et une notification complète dans les 72 heures, à l'adresse vulnerabilityreport@cert.be
Ne pas divulguer publiquement la vulnérabilité sans l'accord du CCB

Nous pouvons être légalement tenus de signaler une vulnérabilité dans nos produits au CSIRT belge et à l'ENISA en vertu du Cyber Resilience Act. Si cela s'applique à votre signalement, les autorités en seront informées. Cela ne signifie en aucun cas que l'on vous en tiendra rigueur.

À propos de la présente politique

Version 1, 21 octobre 2026. Publiée par RoboJob NV , Knotwilgenweg 19, 2220 Heist-op- den-Berg, Belgique. Questions concernant la présente politique : security@robojob.eu. security@robojob.eu.Il s'agit d'une traduction de l'original anglais. En cas de divergence entre les deux versions, c'est la version anglaise qui fait foi.