Vulnerability Disclosure Policy

Doel

Indien u een beveiligingslek ontdekt in een van onze producten of systemen, willen wij dat graag vernemen. In dit beleid wordt uitgelegd hoe u dit kunt melden, wat u wel en niet mag doen tijdens uw onderzoek, en wat u van ons kunt verwachten.

Wij hanteren het principe van gecoördineerde openbaarmaking van kwetsbaarheden: u meldt het eerst aan ons, wij lossen het op, en wij spreken gezamenlijk af hoe en wanneer het openbaar wordt gemaakt.

Toepassingsgebied

Dit beleid heeft betrekking op:

• Producten van RoboJob, met inbegrip van de software, firmware en configuratie die wij daarbij leveren, voor alle versies binnen hun ondersteuningsperiode.
• Onze eigen IT-systemen en online diensten, met inbegrip van alles onder de domeinen die wij bezitten:
  • robojob.eu, robojob.be, robojob.de, robojob.nl
  • robojob-usa.com, robojob.us
  • robojob.cloud

Niet onder dit beleid vallend: de eigen netwerken en systemen van onze klanten, en producten van andere fabrikanten die naast die van ons zijn geïnstalleerd. Indien uw bevinding betrekking heeft op een component van een derde partij die wij gebruiken,meldt u dit dan toch aan ons — wij zullen het doorgeven aan de fabrikant en blijven betrokken.

Hoe kunt u een melding doen

Stuur uw melding naar security@robojob.eu, in het Engels, Nederlands, Duits of Frans. Gebruik uitsluitend dit adres; via algemene ondersteuningskanalen wordt de verwerking van uw melding vertraagd.

U kunt anoniem melden. Als u dat doet, kunnen wij geen vervolgvragen stellen of u op de hoogte houden. Wij vereisen geen geheimhoudingsovereenkomst of enig ander contract voordat u een melding indient.

Vermeld alstublieft, voor zover mogelijk:

• Wat de kwetsbaarheid is
• Welk product en welke versie, of welk systeem, is getroffen
• Hoe het kan worden gereproduceerd, met bewijsmateriaal zoals een proof of concept,logbestanden of schermafbeeldingen
• Wat een aanvaller hiermee zou kunnen doen
• Hoe wij contact met u kunnen opnemen

Regels voor uw onderzoek

Wij vragen u om:

• Te goeder trouw te handelen, met als doel de beveiliging te verbeteren
• Niet meer te doen dan nodig is om aan te tonen dat de kwetsbaarheid bestaat; stop daarna en meld deze
• Geen toegang te verkrijgen tot, te kopiëren of te wijzigen van gegevens die niet van u zijn; indien u persoonlijke gegevens tegenkomt, stop dan en breng ons hiervan op de hoogte
• Geen enkel systeem of apparaat te verstoren - onze producten draaien in een productieomgeving
• De kwetsbaarheid vertrouwelijk te houden totdat wij overeenstemming hebben bereikt over openbaarmaking

Niet toegestaan: het misbruiken van een kwetsbaarheid voor uw eigen voordeel of dat van anderen, denial-of-service-aanvallen, social engineering of phishing gericht op onze medewerkers of klanten, het installeren van schadelijke software en fysieke toegang tot apparaten die niet uw eigendom zijn.Indien u zich aan deze regels houdt, zullen wij geen juridische stappen tegen u ondernemen in verband met uw melding.

Wat wij doen

• Wij bevestigen de ontvangst van uw melding binnen 5 werkdagen.
• Binnen 10 werkdagen delen wij u de uitkomst van onze eerste beoordeling mee en wat wij vervolgens van plan zijn te doen.
• Wij houden u op de hoogte terwijl wij hieraan werken.
• Wij verhelpen de kwetsbaarheid binnen een redelijke termijn, afhankelijk van het risico ervan. De oplossing kan bestaan uit een beveiligingsupdate, een tijdelijke oplossing of een configuratierichtlijn. Indien een wijziging aan een geïnstalleerde machine nodig is, wordt deze doorgevoerd tijdens een gepland onderhoudsvenster.
• Zodra er een oplossing of risicobeperkende maatregel beschikbaar is, informeren wij de getroffen klanten. Wij overleggen met u of en wanneer de kwetsbaarheid openbaar wordt gemaakt. Indien openbaarmaking klanten aan een groter risico zou blootstellen, kunnen wij dit uitstellen en u uitleggen waarom.

Wij behandelen uw melding vertrouwelijk en delen uw persoonsgegevens met niemand zonder uw toestemming. Wij betalen niet voor kwetsbaarheidsmeldingen en hebben geen bug bounty-programma. Indien u als melder genoemd wilt worden wanneer wij over de kwetsbaarheid communiceren, laat het ons dan weten.

Juridisch

De Belgische wetgeving beschermt beveiligingsonderzoekers die te goeder trouw handelen. Op grond van de artikelen 22 en 23 van de wet van 26 april 2024 (de Belgische NIS2-wet) kunt u niet worden vervolgd voor strafbare feiten zoals ongeoorloofde toegang, mits u voldoet aan de voorwaarden van die wet. Deze voorwaarden omvatten:

• Handelen zonder frauduleuze opzet of de intentie om schade te veroorzaken
• Niet meer doen dan noodzakelijk en evenredig is
• Het Centrum voor Cyberveiligheid België (CCB) op de hoogte stellen: een vereenvoudigde melding binnen 24 uur na ontdekking en een volledige melding binnen vulnerabilityreport@cert.be
• De kwetsbaarheid niet openbaar maken zonder toestemming van het CCB

Het is mogelijk dat wij wettelijk verplicht zijn om een kwetsbaarheid in onze producten te melden aan het Belgische CSIRT en ENISA op grond van de Cyber Resilience Act. Indien dit van toepassing is op uw melding, zullen de autoriteiten hiervan op de hoogte worden gesteld. Dit betekent niet dat u hierdoor op enigerlei wijze wordt benadeeld.

Over dit beleid

Versie 1, 21 oktober 2026. Uitgegeven door RoboJob NV , Knotwilgenweg 19, 2220 Heist-op-den-Berg, België. Vragen over dit beleid: security@robojob.eu.Dit is een vertaling van het Engelse origineel. Indien er verschillen bestaan tussen beide versies, is de Engelse versie doorslaggevend.