ZAPP, S.L. · Version 1 · 12 novembre 2026
ZAPP remercie toute personne qui lui signale une vulnérabilité dans ses produits et services. Cette politique suit la norme ISO/IEC 29147 et le règlement européen sur la cyberrésilience (règlement (UE) 2024/2847).
Périmètre
- La plateforme Ecaldima et son socle WebBase, en mode SaaS et on-premise.
- Le portail MyZapp et les sites web de ZAPP.
Sont exclus : les tests de déni de service, l'ingénierie sociale, l'accès physique, et tout test visant l'infrastructure de nos hébergeurs ou les instances d'autres clients.
Comment signaler une vulnérabilité
Écrivez à security@zappsl.com en décrivant la vulnérabilité, les étapes pour la reproduire, la version concernée et son impact. N'incluez pas de données personnelles de tiers.
Nos engagements
| Étape | Délai |
|---|---|
| Accusé de réception | 3 jours ouvrés |
| Première évaluation et gravité | 10 jours ouvrés |
| Correction d'une vulnérabilité critique | 7 jours |
| Correction des autres vulnérabilités | 30 jours |
| Publication de l'avis de sécurité | Après la correction, en accord avec la personne qui l'a signalée |
Nous vous tenons informé de l'avancement et vous citons dans l'avis si vous le souhaitez.
Règles pour les chercheurs
- Agissez de bonne foi : n'accédez pas à plus de données que nécessaire pour démontrer la vulnérabilité, sans les modifier ni les conserver.
- Ne divulguez pas la vulnérabilité avant sa correction ou, au plus tard, avant 90 jours à compter de votre signalement, sauf accord contraire.
- Ne testez que votre propre compte ou votre propre instance.
ZAPP n'engagera aucune poursuite contre une personne qui respecte ces règles.
Avis et mises à jour
Nous publions nos avis de sécurité dans la catégorie Avis de sécurité de MyZapp et prévenons directement les clients on-premise concernés. Les mises à jour de sécurité sont fournies sans frais pendant toute la période de support de chaque version.