1.Comment nous signaler une faille

Écrivez-nous à administration@delexan.fr, avec un objet commençant par [Sécurité]. Merci d’indiquer, autant que possible :

• le produit ou l’adresse concernés (site, application hébergée, édition Essentiel ou auto-hébergée, avec le numéro de version) ;
• la nature de la faille et son impact possible ;
• les étapes pour la reproduire, ou une preuve de concept ;
• vos coordonnées, si vous souhaitez que nous vous tenions informé ou que nous vous remerciions publiquement.

Ne joignez aucune donnée personnelle de nos clients à votre message. Si vous en avez vu, décrivez-les sans les copier.

2.Nos engagements

Nous ne communiquons pas sur une faille avant sa correction. Nous vous demandons de faire de même et de convenir avec nous d’une date de publication, en principe au plus tard 90 jours après votre signalement.

3.Règles de bonne conduite

Lorsque vous recherchez une faille de bonne foi, dans le respect des règles ci-dessous, nous ne porterons pas plainte contre vous et nous vous remercierons de votre aide.

• Testez uniquement avec votre propre compte ou un compte de test, jamais avec les données d’autres clients.
• Arrêtez-vous dès que la faille est démontrée : ne consultez, ne modifiez et ne supprimez aucune donnée au-delà du strict nécessaire.
• Pas d’attaque par déni de service, d’envoi massif de requêtes, d’hameçonnage ou de manipulation de nos équipes.
• Pas d’intrusion physique ni de test sur les services de nos prestataires (Stripe, IONOS, Hostinger), qui ont leurs propres programmes.
• Gardez la faille confidentielle jusqu’à sa correction.

4.Périmètre

Cette politique couvre :

• le site app.delexan.fr ;
• l’application Delexan en version hébergée ;
• les éditions installées par nos clients : édition Essentiel (logiciel pour ordinateur) et édition auto-hébergée.

Les failles des logiciels tiers que nous utilisons peuvent aussi nous être signalées : nous transmettrons à l’éditeur concerné.

5.Mises à jour de sécurité

Les correctifs de sécurité sont inclus dans tous les abonnements, sans frais supplémentaires, pendant toute la durée de l’abonnement. La version hébergée est mise à jour par nos soins. Les éditions Essentiel et auto-hébergée récupèrent les mises à jour automatiquement lors de leur vérification de licence.

Lorsqu’une faille touche nos clients, nous les informons directement par e-mail, avec les mesures à prendre le cas échéant.

6.Signalement aux autorités

Conformément au règlement européen sur la cyberrésilience (Cyber Resilience Act), nous signalons toute vulnérabilité activement exploitée et tout incident grave touchant nos logiciels à l’autorité compétente, via la plateforme de signalement de l’ENISA, dans les délais prévus par ce règlement.

En cas de violation de données personnelles, nous suivons la procédure prévue par le RGPD et notre politique de confidentialité, et prévenons nos clients concernés.

7.Contact

Sécurité : administration@delexan.fr, objet [Sécurité].

Ces informations sont aussi publiées au format standard security.txt.