Sécurité et support des produits

Les informations relatives aux périodes de support des produits actuels ainsi que les informations relatives à la fin de vie (End-of-Life) des produits plus anciens sont disponibles à l’adresse https://chipolo.net/regulatory.

Pour chaque produit concerné, la page réglementaire indique pendant combien de temps les utilisateurs peuvent s’attendre à recevoir les mises à jour de sécurité pertinentes.

Configuration et utilisation sécurisées

Pour contribuer à la sécurité de vos produits Chipolo, nous vous recommandons de :

• maintenir votre appareil Android ou iOS à jour avec les dernières mises à jour disponibles du système d’exploitation ;
• veiller à ce que le Bluetooth et toutes les autorisations requises pour l’application Chipolo soient activés sur votre appareil, afin que votre produit puisse communiquer avec l’application et recevoir les mises à jour disponibles ;
• installer l’application Chipolo depuis l’Apple App Store ou Google Play et la maintenir à jour dans sa dernière version ;
• vous assurer que votre produit Chipolo est ajouté à l’application Chipolo, car les mises à jour du micrologiciel sont fournies via l’application et peuvent, selon le produit, nécessiter une action de l’utilisateur ;
• vérifier régulièrement dans l’application Chipolo si des mises à jour du micrologiciel sont disponibles et les installer.

Les informations relatives à la réinitialisation, à la suppression d’un produit d’un compte et à la suppression des données utilisateur associées sont disponibles dans les informations de Chipolo relatives au support des produits et à la confidentialité.

Documents de conformité

Les informations réglementaires, les informations de sécurité et les informations relatives aux opérateurs économiques propres à chaque produit, y compris les avertissements applicables et les informations destinées aux consommateurs, sont disponibles à l’adresse https://chipolo.net/regulatory.

Mots de passe par défaut

Pour les produits relevant du champ d’application du régime britannique PSTI, Chipolo n’utilise pas de mots de passe par défaut universels. Lorsqu’une authentification est requise, les identifiants sont soit uniques pour chaque produit, soit définis par l’utilisateur.

Divulgation coordonnée des vulnérabilités

Nous appliquons un processus de divulgation coordonnée des vulnérabilités. Si vous pensez avoir identifié une vulnérabilité de sécurité dans un produit Chipolo, dans l’application Chipolo ou dans les services web ou infrastructures exploités par Chipolo, veuillez nous contacter à l’adresse security@chipolo.net.

Nous examinons tous les signalements de vulnérabilités de bonne foi. Notre équipe de sécurité lancera rapidement et sans retard indu l’évaluation initiale et la validation des signalements critiques. Pour les signalements non critiques, nous nous efforçons de fournir une première réponse dans un délai de 7 jours ouvrables. Lorsque la législation applicable l’exige, Chipolo respectera ses obligations de signalement des incidents de cybersécurité et des vulnérabilités.

Hors périmètre

Afin de nous concentrer sur les menaces concrètes et exploitables, les sujets suivants sont considérés comme hors périmètre. Bien que nous accueillions favorablement ces informations, vous ne devez pas vous attendre à une réponse rapide pour les signalements portant uniquement sur :

• des en-têtes ou indicateurs de sécurité HTTP manquants, par exemple Strict-Transport-Security ou X-Frame-Options, sans possibilité d’exploitation démontrable ;
• des problèmes de configuration de messagerie, par exemple des enregistrements SPF, DKIM ou DMARC manquants ou faiblement configurés ;
• des problèmes de configuration SSL/TLS, par exemple des suites de chiffrement faibles, sans possibilité d’exploitation démontrable ;
• des sorties d’outils automatisés d’analyse de vulnérabilités sans possibilité d’exploitation démontrable ou sans exemple approprié de la manière dont les résultats pourraient être exploités pour une attaque ;
• le détournement de clics (clickjacking) sur des pages ne comportant aucune action sensible ;
• des attaques physiques, des manipulations destructrices du matériel ou des techniques nécessitant un équipement de laboratoire spécialisé, sauf si le signalement démontre un impact pratique sur la cybersécurité dans le cadre d’une utilisation ou d’un mauvais usage raisonnablement prévisible ;
• des vulnérabilités présentes dans des plateformes tierces, des systèmes d’exploitation sous-jacents tels qu’iOS ou Android, ou des réseaux de localisation partenaires, y compris Apple Find My et Google Find Hub.

En outre, les signalements concernant l’utilisation abusive d’un appareil par ailleurs fonctionnel, sans vulnérabilité de cybersécurité identifiée, par exemple le suivi non souhaité, sont hors du périmètre de ce processus de divulgation des vulnérabilités. Si vous estimez être en danger immédiat ou susceptible d’être victime d’un acte illégal, contactez les services locaux chargés de l’application de la loi ou les services d’aide et de sécurité appropriés.

Que doit contenir un signalement

Afin de nous aider à valider et à traiter efficacement une vulnérabilité signalée, veuillez inclure autant de détails pertinents que possible, tels que le produit Chipolo, l’application ou le service concerné, la version du micrologiciel ou du logiciel, les étapes nécessaires pour reproduire le problème, l’impact potentiel sur la sécurité ainsi que tout proof of concept, journal, capture d’écran ou vidéo pouvant être partagé en toute sécurité. Veuillez également nous indiquer si la vulnérabilité semble être connue publiquement ou activement exploitée, et fournir un moyen fiable de vous contacter pour toute question complémentaire.

Avis de sécurité et notification des utilisateurs

Lorsque Chipolo corrige une vulnérabilité susceptible d’affecter les utilisateurs, nous fournirons les informations appropriées et des recommandations de correction ou de réduction du risque par les canaux de communication appropriés. Ceux-ci peuvent inclure les pages de support des produits, des avis de sécurité, des notifications dans l’application, des notes de mise à jour du micrologiciel ou du logiciel ou, le cas échéant, une communication directe. Les informations publiques peuvent inclure le produit ou le service concerné, une description de l’impact, le niveau de gravité le cas échéant, les mesures de réduction du risque ou mises à jour disponibles, ainsi que les actions recommandées aux utilisateurs, sauf si une divulgation différée est nécessaire pour réduire un risque de sécurité.

Confidentialité et traitement des données

Lorsque vous envoyez un signalement de vulnérabilité à security@chipolo.net, Chipolo d.o.o. collecte des données personnelles limitées, telles que votre nom ou pseudonyme, votre adresse e-mail et l’historique des communications, strictement aux fins de l’évaluation initiale du signalement, de la communication avec vous concernant la vulnérabilité et du respect de nos obligations réglementaires.

Nous traitons ces données sur la base juridique de l’intérêt légitime et de l’obligation légale. Vos données personnelles seront stockées de manière sécurisée, accessibles uniquement au personnel interne autorisé, et conservées uniquement aussi longtemps que nécessaire pour atténuer la vulnérabilité et respecter les délais légaux de signalement.

Nous pouvons divulguer les informations contenues dans un signalement lorsque la loi l’exige, y compris aux autorités compétentes, tout en limitant les données personnelles partagées à ce qui est nécessaire.

Pour plus d’informations sur la manière dont nous traitons les données personnelles, ou pour exercer vos droits d’accès, de rectification ou d’effacement de vos données, veuillez consulter notre politique de confidentialité complète à l’adresse https://chipolo.net/privacy.

Protection juridique des chercheurs en sécurité

Nous considérons les recherches en sécurité et les divulgations de vulnérabilités comme autorisées, à condition qu’elles soient menées de bonne foi et conformément aux présentes lignes directrices de divulgation.

Pour rester protégé au titre de cette protection juridique, vous devez :

• garder strictement confidentiels tous les détails relatifs à la vulnérabilité et ne divulguer publiquement aucune donnée utilisateur, financière ou propriétaire. Toute divulgation publique après la mise en place d’une mesure de réduction du risque ou d’un correctif doit être coordonnée avec nous ;
• éviter toute atteinte à la vie privée, toute destruction de données et toute interruption ou dégradation de nos services, par exemple les attaques par déni de service ;
• éviter l’ingénierie sociale, l’hameçonnage (phishing) ou les attaques physiques contre les employés de Chipolo, les bureaux de Chipolo ou notre chaîne d’approvisionnement.

Si vous suivez ces lignes directrices et agissez de bonne foi, Chipolo n’a pas l’intention d’engager de poursuites judiciaires contre vous en raison de vos recherches. Veuillez noter que cette protection juridique s’applique uniquement aux systèmes placés sous le contrôle direct de Chipolo et ne peut pas s’étendre aux réseaux ou plateformes de tiers, tels qu’Apple Find My ou Google Find Hub.