La sécurité, la confidentialité et l'intégrité de nos produits sont une priorité absolue pour Maven Clinic. C'est pourquoi nous apprécions le travail des chercheurs qui contribuent à améliorer notre niveau de sécurité et de confidentialité. Nous nous engageons à créer un environnement sûr et transparent pour le signalement des vulnérabilités.
‍
Si vous pensez avoir découvert une faille de sécurité ou de confidentialité susceptible d'affecter Maven Clinic ou nos utilisateurs, nous vous encourageons à la signaler immédiatement. Nous examinerons tous les signalements légitimes et corrigerons le problème dans les meilleurs délais. Cette politique décrit les considérations et les engagements relatifs à la divulgation responsable des failles de sécurité potentielles à Maven Clinic.

But

Notre politique de divulgation des vulnérabilités a pour principal objectif de garantir leur correction rapide, afin de protéger les informations de nos clients et utilisateurs. Elle vise à fournir des directives claires pour le signalement des vulnérabilités de sécurité potentiellement inconnues ou dangereuses.

Chercheurs en sécurité

Maven Clinic reconnaît la contribution essentielle des chercheurs en sécurité et encourage la divulgation responsable et directe des vulnérabilités potentielles. Nous acceptons les rapports de vulnérabilité de toutes sources.

Nos engagements envers les chercheurs

• Nous maintiendrons la confidentialité habituelle dans nos communications avec vous.
• Nous collaborerons avec vous pour valider vos informations et y répondre.
• Nous enquêterons et mettrons en œuvre tous les efforts raisonnables pour remédier aux problèmes validés, d'une manière compatible avec la protection de la sécurité des personnes potentiellement affectées par une vulnérabilité signalée.
• Maven Clinic se réserve tous ses droits légaux en cas de non-respect de la présente politique, mais elle n'entend pas engager de poursuites judiciaires contre toute partie qui effectue des recherches en matière de sécurité et nous divulgue des informations de bonne foi et conformément aux dispositions de la présente politique.

Ce que nous demandons aux chercheurs

• Nous vous demandons de communiquer les informations relatives aux failles de sécurité potentielles de manière responsable. Cela implique de respecter toutes les lois applicables et la vie privée des personnes. Vos recherches en matière de sécurité doivent également veiller à ne pas dégrader l'expérience utilisateur, perturber les systèmes ni détruire les données.
• Nous demandons aux chercheurs de fournir suffisamment de détails techniques et de contexte pour permettre à notre équipe d'identifier et de valider les problèmes signalés.
• Nous demandons aux chercheurs d'agir dans l'intérêt général, en protégeant la vie privée et la sécurité des utilisateurs et en s'abstenant de divulguer publiquement les vulnérabilités.

Portée

Cette politique s'applique aux systèmes et services suivants :

• mavenclinic.com, et les noms d'hôte suivants :

  • www.mavenclinic.com
  • Tout autre sous-domaine de mavenclinic.com et toutes les applications clientes sont exclus de cette politique.

• mavenpractitioners.com, et les noms d'hôte suivants :

  • www.mavenpractitioners.com
  • Tout autre sous-domaine de mavenclinic.com et toutes les applications clientes sont exclus de cette politique.
• Applications mobiles pour iOS et Android

Les services non expressément mentionnés ci-dessus, tels que les services connectés, sont exclus du champ d'application et ne sont pas autorisés pour les tests. De plus, les vulnérabilités découvertes dans les systèmes de nos fournisseurs ne relèvent pas du champ d'application de cette politique et doivent être signalées directement au fournisseur conformément à sa politique de divulgation (le cas échéant). En cas de doute quant à l'inclusion ou non d'un système dans le champ d'application, veuillez nous contacter. sécurité@mavenclinic.com avant de commencer vos recherches.
‍
Les activités suivantes sont explicitement exclues du champ d'application de cette politique.

• Compromettre l’intégrité, la disponibilité ou la confidentialité des informations non publiques en possession de la clinique Maven.
• Ne pas supprimer/détruire immédiatement les informations sensibles ou les données personnelles auxquelles vous pourriez accéder par inadvertance.
• Divulguer publiquement toute vulnérabilité potentielle sans le consentement écrit exprès de Maven Clinic.
• Provoquer intentionnellement ou par négligence une interruption de service pour tout utilisateur autre que le chercheur.
• Exploitation de toute vulnérabilité permettant l'envoi massif de messages non sollicités ou non autorisés (spam).
• Publier, transmettre, télécharger ou créer des liens vers des logiciels malveillants, des virus ou tout autre logiciel nuisible susceptible d'affecter nos services, nos produits, nos clients ou tout autre tiers.
• Tester les sites web, applications ou services tiers qui s'intègrent à nos services ou produits.
• Recourir à l'ingénierie sociale (y compris le phishing) des employés, des sous-traitants, des clients ou de toute autre partie de Maven Clinic.

Nous demandons aux chercheurs de nous contacter avant d'entreprendre des recherches susceptibles d'être incompatibles avec la présente politique ou non couvertes par celle-ci. En cas de doute, veuillez nous consulter avant toute action qui pourrait, selon vous, enfreindre cette politique.

Signalement des vulnérabilités de sécurité potentielles

Si vous pensez avoir découvert une faille de sécurité potentielle dans un actif numérique détenu, exploité ou maintenu par Maven Clinic, ou une circonstance susceptible d'affecter la sécurité de notre entreprise ou de nos utilisateurs, nous vous encourageons à nous le signaler. Vous pouvez nous signaler les failles de sécurité potentielles en envoyant un courriel à l'adresse suivante : sécurité@mavenclinic.com Veuillez utiliser notre clé PGP facultative ci-dessous. Veuillez fournir toutes les informations connues concernant la faille de sécurité suspectée que vous signalez.

Dès réception de chaque signalement de vulnérabilité, nous accuserons réception, mènerons une enquête approfondie et prendrons ensuite les mesures appropriées pour le résoudre, le cas échéant.
‍
Bien qu'aucun type de vulnérabilité ne soit explicitement exclu du champ d'application de cette politique, les chercheurs sont invités à prendre en compte le scénario d'attaque et l'exploitabilité associés à toute vulnérabilité de sécurité potentielle soumise.

Clé publique GPG

Si vous souhaitez chiffrer vos communications avec Maven Clinic, veuillez utiliser notre clé PGP ci-dessous. Tous les courriels relatifs à la sécurité provenant de Maven Clinic seront signés avec cette clé.

Historique des modifications du document