Position juridique

Axya Inc. n’engagera pas de poursuites judiciaires contre les personnes qui soumettent des rapports de vulnérabilité par l’entremise de notre boîte de réception de signalement des vulnérabilités. Nous acceptons ouvertement les rapports concernant les produits Axya Inc. actuellement répertoriés.

Nous convenons de ne pas intenter de poursuites contre les personnes qui :

• Engagent des tests de systèmes/de recherche sans nuire à Axya Inc. ou à ses clients.

• Engagent des tests de vulnérabilité dans le cadre de notre programme de divulgation des vulnérabilités.

• Testent des produits sans affecter les clients, ou obtiennent l’autorisation/le consentement des clients avant d’effectuer des tests de vulnérabilité sur leurs appareils/logiciels, etc.

• Respectent les lois de leur lieu de résidence ainsi que celles du lieu d’Axya Inc. Par exemple, le fait de contrevenir à des lois qui ne donneraient lieu qu’à une réclamation d’Axya Inc. (et non à une poursuite criminelle) peut être acceptable, car Axya Inc. autorise l’activité (ingénierie inverse ou contournement de mesures de protection) afin d’améliorer son système.

• S’abstiennent de divulguer publiquement les détails de la vulnérabilité avant l’expiration d’un délai convenu mutuellement.

Politique

Signalement/divulgation des vulnérabilités

Comment soumettre une vulnérabilité

Pour soumettre un rapport de vulnérabilité à l’équipe de sécurité des produits d’Axya Inc., veuillez utiliser le courriel suivant security@axya.co.

Critères de préférence, de priorisation et d’acceptation

Nous utiliserons les critères suivants pour prioriser et trier les soumissions.

Ce que nous aimerions recevoir de votre part :

• Les rapports bien rédigés en anglais auront plus de chances d’être résolus.

• Les rapports qui incluent du code de preuve de concept nous aident à mieux les trier.

• Les rapports qui ne contiennent que des vidages de plantage ou d’autres sorties d’outils automatisés pourraient recevoir une priorité plus faible.

• Les rapports qui concernent des produits ne figurant pas sur la liste de portée initiale pourraient recevoir une priorité plus faible.

• Veuillez indiquer comment vous avez découvert le bogue, son impact et toute mesure corrective potentielle.

• Veuillez également indiquer tout plan ou intention de divulgation publique.

Ce que vous pouvez attendre d’Axya Inc. :

• Une réponse rapide à votre courriel (dans un délai de 2 jours ouvrables).

• Après le triage, nous vous enverrons un échéancier prévu et nous nous engageons à être aussi transparents que possible au sujet du délai de correction, ainsi que des enjeux ou défis qui pourraient le prolonger.

• Un dialogue ouvert pour discuter des enjeux.

• Avis lorsque l’analyse de la vulnérabilité aura franchi chaque étape de notre examen.

• Reconnaissance après validation et correction de la vulnérabilité.

Si nous ne parvenons pas à résoudre des problèmes de communication ou d’autres problèmes, Axya Inc. pourra faire appel à un tiers neutre afin de déterminer la meilleure façon de traiter la vulnérabilité.

Dénonciation

Comment soumettre un rapport

Pour signaler anonymement une violation du programme de sécurité de l’information ou une violation des lois et règlements connexes, veuillez envoyer un courriel à question@axya.co

Critères de préférence, de priorisation et d’acceptation

Nous utiliserons les critères suivants pour prioriser et examiner les soumissions.

Ce que nous attendons de votre part :

• Rapport détaillé soumis de bonne foi ou fondé sur une croyance raisonnable.

◦ La bonne foi signifie la déclaration véridique d’une violation liée à l’entreprise des politiques, procédures ou règlements en matière de sécurité de l’information, par opposition à un rapport fait avec une insouciance téméraire ou une ignorance volontaire des faits.

◦ La croyance raisonnable renvoie à la conviction subjective de la véracité de la divulgation ET au fait que toute personne raisonnable placée dans une situation similaire le croirait objectivement sur la base des faits.

• Détails de la violation (c.-à-d. quoi, comment, pourquoi).

• Détails de l’événement signalé, avec les faits (c.-à-d. qui, où, quand).

• Vous n’êtes PAS responsable d’enquêter sur la violation alléguée ni de déterminer la faute ou

les mesures correctives.

Ce que vous pouvez attendre d’Axya Inc. :

• Votre rapport sera soumis à l’équipe de sécurité pour examen.

• Protection de votre identité et de la confidentialité.

◦ MISE EN GARDE : Il peut être nécessaire que votre identité soit divulguée lorsqu’une enquête approfondie, le respect de la loi ou le respect des droits des membres accusés l’exigent.

• Protection contre toute forme de représailles et de harcèlement, comme un congédiement, une réduction de la rémunération, de mauvaises affectations de travail ou des menaces de préjudice physique.

◦ Si vous croyez faire l’objet de représailles, communiquez immédiatement avec les RH.

◦ Toute représaille ou tout harcèlement à votre endroit entraînera des mesures disciplinaires.

◦ MISE EN GARDE : Votre droit à la protection contre les représailles n’inclut pas l’immunité pour toute faute personnelle alléguée dans le rapport et faisant l’objet d’une enquête

• Un processus équitable pour vous et pour le ou les membres accusés.

• Des mesures correctives seront prises pour résoudre une violation vérifiée, ainsi qu’un examen et un renforcement des politiques et procédures applicables, au besoin ou s’il y a lieu.

• Formation continue de sensibilisation à la sécurité de l’information et compréhension de vos droits en tant que dénonciateur.