La sécurité de nos produits, de nos services numériques et de nos solutions connectées est une priorité absolue pour STIEBEL ELTRON. Nous développons et exploitons nos produits dans le but de garantir la confidentialité, l’intégrité, la disponibilité et la sécurité à nos clients.

Dans le même temps, nous sommes conscients que, malgré un développement, des tests et une assurance qualité rigoureux, il n'est pas possible d'exclure totalement l'existence de failles de sécurité. Les signalements émanant de chercheurs en sécurité, de clients, de partenaires et de tiers nous aident à détecter, évaluer et corriger rapidement les failles potentielles.

Nous encourageons donc les signalements responsables de failles potentielles dans le cadre de la présente politique de divulgation des vulnérabilités.

La présente politique décrit la procédure à suivre pour signaler d'éventuelles failles de sécurité à STIEBEL ELTRON, ainsi que la manière dont nous traitons ces signalements.

L'objectif est d'assurer une divulgation coordonnée des vulnérabilités. Cela signifie qu'une vulnérabilité potentielle doit d'abord nous être signalée de manière confidentielle afin que nous puissions l'examiner, l'évaluer et, le cas échéant, mettre en place des mesures correctives appropriées, telles que des mises à jour de sécurité, des consignes de configuration ou d'autres mesures de protection, avant que les détails techniques ne soient rendus publics. 

La présente politique s'applique aux éventuelles failles de sécurité dans les produits, logiciels, micrologiciels, applications, interfaces numériques et services associés de STIEBEL ELTRON, dans la mesure où ceux-ci sont fournis, exploités ou placés sous la responsabilité de STIEBEL ELTRON.

Le champ d'application comprend notamment :

• Appareils et systèmes connectés de STIEBEL ELTRON;
• Logiciels et firmwares, utilisés dans les produits de STIEBEL ELTRON;
• Applications mobiles et applications web, si elles sont fournies par STIEBEL ELTRON;
• Interfaces numériques, API et interfaces de communication;
• Fonctions cloud ou à distance, si elles font partie intégrante d’un produit ou service STIEBEL ELTRON;
• Composants tiers, s’ils sont intégrés dans les produits ou solutions numériques de STIEBEL ELTRON.

Ne sont pas concernés les systèmes ou services tiers dont STIEBEL ELTRON n’est pas responsable.

Les failles de sécurité peuvent être signalées par les moyens suivants :

• Formulaire de sécurité sur ce site web
• E-Mail à l’adresse: security@stiebel-eltron.com

Veuillez fournir, dans la mesure du possible, les informations suivantes :

• produits ou services concernés
• version du produit
• description de la faille de sécurité
• étapes permettant de reproduire le problème
• conséquences possibles
• captures d’écran, fichiers journaux ou preuves de concept disponibles

Dès réception d’un signalement, nous :

1. accuserons réception du signalement
2. évaluerons la faille signalée
3. mettrons en œuvre les mesures correctives nécessaires
4. informerons le signalant, dans la mesure du possible, de l’état d’avancement du traitement
5. informerons les utilisateurs concernés, si nécessaire, de la faille et des mesures de protection ou de correction appropriées

Le traitement dépend du niveau de risque et de la criticité de la vulnérabilité.

Nous demandons à toutes les personnes signalant des vulnérabilités potentielles de procéder de manière responsable, légale et prudente lors de l'analyse et du signalement de celles-ci. Veuillez notamment respecter les points suivants :

• N'effectuez des tests que sur des systèmes, des appareils ou des comptes que vous êtes autorisé(e) à utiliser.
• N’accédez pas aux données de tiers et ne modifiez, ne supprimez ni n’exfiltrez aucune donnée.
• Évitez toute atteinte à la disponibilité, à l’intégrité ou à la sécurité des produits, services ou réseaux.
• N’exploitez pas une faille potentielle au-delà de ce qui est nécessaire à sa vérification.
• Ne publiez aucun détail technique avant que nous ayons eu la possibilité de vérifier la faille et de prendre les mesures appropriées.
• Abstenez-vous de tout chantage, de toute menace ou de tout autre moyen de pression illicite.
• Respectez toutes les dispositions légales applicables.

Nous sommes favorables à une divulgation coordonnée des failles de sécurité. Nous vous demandons donc de nous accorder suffisamment de temps avant toute publication afin que nous puissions examiner, évaluer et, le cas échéant, corriger la faille.

La publication ne doit avoir lieu que lorsque :

• la faille a été évaluée par nos soins
• des mesures correctives appropriées sont disponibles ou qu’une date de publication raisonnable a été convenue
• les utilisateurs concernés ont pu être informés, dans la mesure où cela était nécessaire
• les obligations légales de déclaration ou d’information ont été respectées

Si une faille est déjà activement exploitée ou s’il existe un risque immédiat pour les utilisateurs, des mesures différentes peuvent s’avérer nécessaires, notamment une information accélérée des personnes concernées ou des autorités compétentes.

Les actions suivantes sont interdites :

• Accès aux données à caractère personnel ou aux informations confidentielles de tiers
• Modification ou suppression de données
• Atteinte à la disponibilité des systèmes ou des services
• Recours à des attaques par déni de service (DoS/DDoS)
• Installation de logiciels malveillants
• Ingénierie sociale à l’encontre de collaborateurs, de clients ou de partenaires
• Attaques physiques contre des installations ou des infrastructures

STIEBEL ELTRON s'engage à ne pas intenter d'action en justice à l'encontre des personnes qui agissent de bonne foi, en toute légalité et conformément à la présente politique, dans le cadre d'un signalement responsable d'une vulnérabilité.

Cette disposition ne s'applique toutefois que dans la mesure où la personne effectuant le signalement :

• respecte les limites de la présente politique
• ne collecte, ne modifie, ne supprime, ne publie ni ne transmet sans autorisation aucune donnée appartenant à des tiers
• ne porte pas atteinte aux systèmes, produits ou services
• n’exploite pas de vulnérabilité à des fins personnelles ou au détriment de tiers
• ne commet pas d’actes illicites
• collabore avec nous pour le traitement coordonné du signalement

La présente déclaration ne constitue en aucun cas une renonciation à des droits ou à des recours concernant des actions menées en dehors du champ d'application de la présente politique ou en violation de la législation applicable.

Les données à caractère personnel transmises dans le cadre d'un signalement de vulnérabilité sont utilisées exclusivement pour le traitement du signalement et la communication avec la personne qui l'a effectué.

Vous trouverez de plus amples informations dans notre politique de confidentialité.

La présente politique ne constitue ni un programme de prime aux bugs, ni un droit à une rémunération, une prime, un remboursement de frais ou toute autre contrepartie.

Si, dans certains cas particuliers, STIEBEL ELTRON prévoit une reconnaissance ou une mention, celle-ci est accordée à titre volontaire et après accord préalable avec la personne ayant signalé la faille.

Dans la mesure où une faille signalée est confirmée et que des mesures correctives s’avèrent nécessaires, STIEBEL ELTRON peut notamment prendre les mesures suivantes :

• Mise à disposition de mises à jour de sécurité ou de micrologiciels
• Publication d'avis de sécurité
• Mise à disposition de solutions de contournement ou de conseils de configuration
• Notification directe aux utilisateurs concernés
• Notification aux partenaires, revendeurs ou prestataires de services
• Déclarations obligatoires aux autorités compétentes

STIEBEL ELTRON se conformera aux obligations légales en matière de signalement et de divulgation, notamment lorsqu'une vulnérabilité signalée est classée comme une vulnérabilité activement exploitée ou comme un incident de sécurité grave au sens de la réglementation applicable en matière de cybersécurité.

Dans la mesure où cela s'avère nécessaire, les signalements seront effectués via les canaux ou plateformes de signalement appropriés, et les utilisateurs concernés seront informés des risques ainsi que des mesures de protection ou de remédiation éventuelles.

STIEBEL ELTRON Security Team

E-Mail: security@stiebel-eltron.com

Vous pouvez également utiliser notre formulaire de signalement de vulnérabilités. Veuillez utiliser ce contact exclusivement pour les signalements liés à la sécurité. Pour le service client général, les conseils sur les produits ou les demandes d'assistance technique, veuillez utiliser les moyens de contact habituels de STIEBEL ELTRON.