La sécurité de nos produits, services numériques et solutions interconnectées constitue un enjeu prioritaire pour STIEBEL ELTRON. Nous développons et exploitons nos produits dans le but de garantir la confidentialité, l'intégrité, la disponibilité et la sécurité vis-à-vis de nos client(e)s.

Dans le même temps, malgré un développement, des tests et une assurance qualité rigoureux, nous sommes conscients que les vulnérabilités ne peuvent pas être totalement exclues. Les remontées d'informations de chercheurs(ses) en sécurité, de nos client(e)s, partenaires et tiers nous permettent d’identifier, d’évaluer et de corriger rapidement d'éventuelles vulnérabilités.

Nous encourageons donc les signalements responsables sur de potentielles vulnérabilités dans le cadre de cette «Vulnerability Disclosure Policy».

Cette politique décrit comment signaler à STIEBEL ELTRON d'éventuelles failles de sécurité et comment nous traitons ces signalements.

L'objectif vise une divulgation coordonnée des failles. Cela signifie qu'une éventuelle vulnérabilité devrait d'abord nous être signalée de manière confidentielle, afin que nous puissions l'examiner, l'évaluer et, le cas échéant, mettre en place des mesures correctives appropriées, telles que des mises à jour de sécurité, des recommandations de configuration ou d'autres mesures de protection, avant que les détails techniques ne soient rendus publics.

Cette politique s'applique aux éventuelles failles de sécurité concernant les produits, logiciels, firmwares, applications, interfaces numériques et services connectés de STIEBEL ELTRON, dans la mesure où ceux-ci sont fournis, exploités par, ou placés sous la responsabilité de, STIEBEL ELTRON.

Le champ d’application s’étend notamment à ce qui suit:

• Appareils et systèmes connectés de STIEBEL ELTRON;
• Logiciels et firmwares, utilisés dans les produits de STIEBEL ELTRON;
• Applications mobiles et applications web, si elles sont fournies par STIEBEL ELTRON;
• Interfaces numériques, API et interfaces de communication;
• Fonctions cloud ou à distance, si elles font partie intégrante d’un produit ou service STIEBEL ELTRON;
• Composants tiers, s’ils sont intégrés dans les produits ou solutions numériques de STIEBEL ELTRON.

Sont exclus les systèmes ou services de tiers ne relevant pas de la responsabilité de STIEBEL ELTRON.

Des failles de sécurité peuvent être signalées comme suit:

• Formulaire de sécurité sur ce site Internet
• E-Mail à l’adresse: security@stiebel-eltron.com

Veuillez fournir, dans la mesure du possible, les informations suivantes:

• Produits ou services concernés
• Version de produit
• Description de la vulnérabilité
• Étapes de reproduction
• Impacts potentiels
• Captures d’écran, fichiers journaux ou preuves de concept (Proof-of-Concept) disponibles

Dès réception d'un signalement, nous:

1. confirmons la réception du signalement,

2. évaluons la vulnérabilité signalée,

3. mettons en œuvre les mesures correctives nécessaires,

4. informons l’auteur du signalement, dans la mesure du possible, de l’état d’avancement du traitement,

5. informons les utilisateurs concernés, si nécessaire, de la vulnérabilité ainsi que des mesures de protection ou correctives appropriées.

Le traitement s'effectue en fonction du risque et du niveau critique de la vulnérabilité.

Nous demandons à tous(toutes) les déclarants(tes) d'agir de manière responsable, légale et mesurée lors de l'examen et du signalement d'éventuelles vulnérabilités. Veuillez noter en particulier:

• N'effectuez des tests que sur des systèmes, appareils ou comptes que vous êtes autorisé(e) à utiliser.
• N'accédez pas aux données de tiers et ne modifiez, supprimez ni n'exfiltrez aucune donnée.
• Évitez toute atteinte à la disponibilité, à l'intégrité ou à la sécurité des produits, services ou réseaux.
• N'exploitez pas une éventuelle vulnérabilité au-delà de ce qui est nécessaire à sa vérification.
• Ne publiez aucun détail technique avant que nous ayons eu la possibilité d'examiner la vulnérabilité et de prendre les mesures appropriées.
• Abstenez-vous de tout chantage, menace ou autre moyen de pression illégitime.
• Respectez toutes les dispositions légales applicables.

Nous soutenons une divulgation coordonnée des failles de sécurité. Nous vous demandons donc de nous accorder, avant toute publication, un délai suffisant pour l'examen, l'évaluation et, le cas échéant, la correction de la vulnérabilité.

Toute publication ne devrait intervenir qu’une fois que:

• nous avons procédé à l’évaluation de la vulnérabilité;
• des mesures correctives appropriées sont disponibles, ou qu'une date de publication raisonnable a été convenue;
• les utilisatrices et utilisateurs concerné(e)s ont pu être informé(e)s, si nécessaire;
• les obligations légales de notification ou d'information ont été prises en compte.

Si une vulnérabilité est déjà activement exploitée ou s'il existe un risque immédiat pour les utilisateurs(trices), d’autres mesures peuvent s'avérer nécessaires, notamment une information accélérée des personnes concernées ou des autorités compétentes.

Les actions suivantes ne sont pas autorisées:

• Accès à des données personnelles ou à des informations confidentielles de tiers
• Modification ou suppression de données
• Atteinte à la disponibilité des systèmes ou services
• Recours à des attaques par déni de service (DoS/DDoS)
• Installation de logiciels malveillants
• Ingénierie sociale à l'encontre des collaborateurs(trices), client(e)s ou partenaires
• Attaques physiques contre des installations ou des infrastructures

STIEBEL ELTRON n’engagera en principe aucune action en justice à l’encontre des personnes agissant de bonne foi, légalement et conformément à cette politique, suite au signalement responsable d’une vulnérabilité.

Toutefois, ceci s’applique uniquement si l’auteur du signalement:

• respecte les limites de cette politique;
• ne collecte, ne modifie, ne supprime, ne publie ni ne transmet de manière non autorisée des données de tiers;
• ne porte pas atteinte aux systèmes, produits ou services;
• n'exploite aucune vulnérabilité à des fins personnelles ou au détriment de tiers;
• ne commet aucun acte illégal;
• collabore avec nous dans le cadre du traitement coordonné du signalement.

Cette déclaration ne constitue pas une renonciation à des droits ou à des prétentions dans la mesure où des actions sont réalisées en dehors du cadre de cette politique ou contrairement au droit applicable.

Les données personnelles transmises dans le cadre d'un signalement de vulnérabilité sont utilisées exclusivement pour le traitement du signalement et la communication avec l'auteur du signalement.

Pour plus d’informations, consultez notre politique de confidentialité.

Cette politique ne constitue pas un programme de bug bounty et ne donne droit à aucune rémunération, prime, remboursement de frais ou autre contrepartie.

Si STIEBEL ELTRON prévoit, dans certains cas, une reconnaissance ou une mention, celle-ci intervient sur une base volontaire et après concertation préalable avec le déclarant.

Dans la mesure où une vulnérabilité signalée est confirmée et où des mesures correctives s'avèrent nécessaires, STIEBEL ELTRON peut notamment prendre les mesures suivantes:

• Mise à disposition de mises à jour de sécurité ou de firmware;
• Publication d'avis de sécurité (Security Advisories);
• Mise à disposition de solutions de contournement (workarounds) ou de recommandations de configuration;
• Information directe des utilisatrices et utilisateurs concerné(e)s;
• Information des partenaires, revendeurs ou prestataires de services;
• Notifications légalement requises aux autorités compétentes.

STIEBEL ELTRON tiendra compte des obligations légales de notification et d'information, notamment si une vulnérabilité signalée est considérée comme activement exploitée ou comme un incident de sécurité grave au sens des dispositions applicables en matière de cybersécurité.

Si nécessaire, les signalements sont effectués via les voies ou plateformes de signalement compétents, et les utilisatrices et utilisateurs concerné(e)s sont informé(e)s des risques ainsi que des mesures de protection ou correctives possibles.

STIEBEL ELTRON Security Team

E-Mail: security@stiebel-eltron.com

Vous pouvez également utiliser notre formulaire de signalement de vulnérabilités. Veuillez utiliser ce contact exclusivement pour les signalements liés à la sécurité. Pour le service après-vente général, les conseils sur les produits ou les demandes de service technique, veuillez utiliser les moyens de contact habituels de STIEBEL ELTRON.