Certains de ces cookies sont essentiels, tandis que d'autres nous aident à améliorer votre expérience en vous fournissant des informations sur la manière dont le site est utilisé. Pour des informations plus détaillées sur les cookies que nous utilisons, veuillez consulter notre Politique en matière de cookies
VTech s’engage à contribuer à la protection de la sécurité, de la sûreté et de la vie privée des clients et des utilisateurs des produits VTech comportant des éléments numériques. La présente politique définit le processus coordonné de divulgation des vulnérabilités de VTech pour la réception, l’évaluation, la correction et, le cas échéant, la divulgation d’informations concernant des vulnérabilités potentielles signalées par des sources internes et externes.
La présente politique soutient les obligations de VTech en matière de gestion des vulnérabilités en vertu de la législation applicable, y compris le règlement (UE) 2024/2847 (la loi sur la cyber-résilience ou CRA), le cas échéant. Elle ne remplace pas les procédures internes de VTech relatives à la sécurité des produits, à la réponse aux incidents, à la notification aux autorités réglementaires, aux mises à jour logicielles, à la protection de la vie privée ou à la gestion des fournisseurs.
La présente politique s’applique aux vulnérabilités potentielles affectant les produits VTech comportant des éléments numériques et les services associés mis à disposition par VTech, y compris le matériel, les logiciels, les micrologiciels, les applications mobiles, les services en ligne et les solutions de traitement de données à distance concernés, qui sont conçus ou développés par ou pour le compte de VTech et qui sont nécessaires au bon fonctionnement de ces produits.
La présente politique n’autorise pas le test d’actifs détenus ou contrôlés exclusivement par des tiers. Toutefois, lorsqu’un rapport concerne un composant, une bibliothèque, un service ou un produit d’un fournisseur tiers intégré à un produit VTech ou nécessaire à celui-ci, VTech peut se coordonner avec le fournisseur concerné, le responsable de la maintenance, l’équipe d’intervention en cas d’incident de sécurité informatique (CSIRT), l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’autorité compétente ou toute autre partie appropriée afin de valider, corriger et divulguer la vulnérabilité.
Sous réserve de la présente politique et de la législation applicable, VTech autorise la recherche en matière de sécurité menée de bonne foi et visant exclusivement à identifier et à signaler des vulnérabilités potentielles dans les actifs concernés. VTech n’engagera pas sciemment de poursuites civiles ni ne transmettra les résultats d’une telle recherche de bonne foi et autorisée aux autorités chargées de l’application de la loi au seul motif de cette recherche.
Cette autorisation ne s’applique que si le chercheur se conforme à la présente politique, agit de manière proportionnée pour éviter tout préjudice et signale sans délai la vulnérabilité à VTech. Elle n’autorise pas les comportements illicites, causant ou risquant de causer un préjudice important, portant atteinte aux droits de tiers ou sortant du champ d’application défini. VTech ne peut renoncer aux droits détenus par des tiers ni passer outre aux exigences de la législation applicable.
Si un chercheur a des doutes quant à savoir si l’activité envisagée entre dans le champ d’application de la présente politique ou est autorisée, il doit contacter VTech avant de poursuivre ses recherches à l’adresse VulnerabilityReporting@vtech.com.
Pour participer au processus coordonné de divulgation des vulnérabilités, les chercheurs doivent :
Les signalements doivent être envoyés à l’adresse VulnerabilityReporting@vtech.com. Ils peuvent être effectués de manière anonyme.
Les chercheurs doivent indiquer en objet « URGENT — exploitation active présumée » lorsqu’ils ont des motifs raisonnables de croire qu’une vulnérabilité est activement exploitée ou qu’elle présente un risque concret et immédiat pour les utilisateurs.
Afin de permettre un triage rapide, les signalements doivent, dans la mesure du possible, inclure :
Dès réception d’un signalement, VTech s’engage à :
VTech s’efforce d’envoyer un accusé de réception dans les 24 heures suivant la réception d’un signalement, ainsi qu’un premier résultat de triage ou une mise à jour significative sur l’état d’avancement, lorsque cela est raisonnablement possible. Les délais réels de réponse et de remédiation dépendent de la gravité, de la complexité, de l’exploitabilité, des produits concernés, de la disponibilité des mesures d’atténuation et des informations fournies.
VTech demande aux auteurs de signalements de ne pas divulguer publiquement les détails de la vulnérabilité avant que VTech n’ait eu une occasion raisonnable de valider, d’évaluer et de corriger le problème. VTech collaborera de bonne foi avec l’auteur du signalement afin de convenir d’un calendrier de divulgation coordonnée, en tenant compte de l’exploitabilité, de l’exploitation active, des utilisateurs concernés, de la disponibilité de mesures d’atténuation, de la disponibilité d’une mise à jour de sécurité et de l’intérêt public.
Dès qu’une mise à jour de sécurité ou toute autre mesure corrective sera disponible, VTech partagera et divulguera publiquement les informations relatives à la vulnérabilité corrigée dans un avis de sécurité approprié, à moins que VTech ne détermine et ne documente de manière raisonnable que les risques de cybersécurité liés à une divulgation publique immédiate l’emportent sur les avantages en matière de sécurité. Dans ce cas, VTech pourra retarder la publication pendant une durée n’excédant pas le temps nécessaire pour gérer ces risques et, le cas échéant, donner aux utilisateurs concernés une possibilité raisonnable d’appliquer en premier lieu le correctif ou la mesure de mitigation pertinent(e).
Un avis de sécurité comprendra, le cas échéant :
VTech ne peut mentionner ou remercier un signalant dans un avis de sécurité qu'avec le consentement de ce dernier et sous réserve de la législation applicable, des considérations de sécurité et des préférences exprimées par le signalant.
VTech évaluera si un signalement concerne une vulnérabilité activement exploitée ou un incident grave affectant la sécurité d’un produit VTech comportant des éléments numériques. Le cas échéant, VTech effectuera les notifications via la plateforme unique de signalement de la CRA et auprès des destinataires concernés dans les délais requis par le règlement (UE) 2024/2847 et toute autre législation applicable.
Ce canal de signalement public ne remplace pas les processus de notification réglementaire de VTech. VTech envisagera, le cas échéant, de mettre en place une évaluation d’alerte précoce et une remontée hiérarchique permettant d’assurer une notification dans les 24 heures suivant la prise de connaissance, une notification complète dans les 72 heures et un rapport final dans les 14 jours pour une vulnérabilité activement exploitée, ou dans un délai d’un mois pour un incident grave, couvrant l’incident, sa cause première et les mesures d’atténuation prises.
VTech peut signaler ou partager des informations relatives à des vulnérabilités ou à des incidents avec les autorités compétentes, les CSIRT, l’ENISA, les fournisseurs, les responsables de la maintenance, les prestataires de services ou toute autre partie concernée lorsque la loi l’exige ou que cela est raisonnablement nécessaire pour enquêter, remédier au problème, coordonner la divulgation ou protéger les utilisateurs.
Outre la notification au CSIRT compétent et à l’ENISA, VTech informera sans délai les utilisateurs concernés qu’une vulnérabilité ou un incident susceptible d’affecter la sécurité de leur produit a été identifié, en leur indiquant les mesures d’atténuation qu’ils peuvent prendre, même lorsqu’aucune mise à jour de sécurité permanente n’est encore disponible.
Lorsqu’un problème signalé affecte un composant, une bibliothèque, un fournisseur ou un service tiers, VTech peut partager le minimum d’informations nécessaires avec cette partie ou un coordinateur approprié afin de faciliter la validation, la correction et la divulgation coordonnée. Dans la mesure du possible, VTech tiendra compte de la sensibilité du signalement et des préférences de contact de la personne ayant effectué le signalement. VTech peut procéder à de telles divulgations sans préavis lorsque cela est nécessaire pour protéger les utilisateurs, se conformer à la loi ou gérer un risque de cybersécurité important.
VTech traitera les données à caractère personnel contenues dans les rapports de vulnérabilité à des fins de gestion des vulnérabilités, de sécurité des produits, de réponse aux incidents, de conformité réglementaire, d’obligations légales et de protection de VTech, de ses utilisateurs et des autres personnes concernées. VTech traitera les rapports conformément à sa politique de confidentialité.
Les chercheurs ne doivent pas inclure de données à caractère personnel superflues, d’informations confidentielles, d’identifiants ou de données sensibles dans un rapport. VTech peut partager les informations contenues dans un rapport avec le personnel concerné de VTech, les sociétés du groupe, les prestataires de services, les fournisseurs ou responsables de maintenance concernés, les CSIRT, les autorités compétentes ou les forces de l’ordre lorsque la loi l’autorise ou l’exige et que cela est nécessaire aux fins décrites dans la présente Politique et dans la Déclaration de confidentialité.
VTech réexaminera régulièrement la présente Politique, notamment à la suite de modifications importantes apportées aux exigences applicables, aux produits VTech, aux opérations de sécurité ou aux enseignements tirés de la gestion des vulnérabilités.
VTech met en place des rôles internes, des procédures, des registres, des formations et des dispositifs de contrôle afin de soutenir la mise en œuvre et l’application de la présente Politique, la gestion des vulnérabilités tout au long des périodes de support concernées, ainsi que l’amélioration continue de la sécurité des produits.
Les questions concernant la présente Politique ou les incertitudes relatives à la recherche autorisée doivent être adressées à VulnerabilityReporting@vtech.com.
La présente Politique ne crée aucune obligation contractuelle, ne constitue pas une renonciation à un droit ou à un recours légal, ni n’autorise aucune activité sortant du champ d’application expressément défini dans la présente Politique. Aucune disposition de la présente Politique ne limite la capacité de VTech à prendre des mesures à l’encontre de tout comportement illégal, malveillant, imprudent, frauduleux, extorqueur, préjudiciable ou incompatible avec la présente Politique.
.png)
