Sécurité & divulgation responsable

Nous prenons la sécurité de Perimea au sérieux. Si vous pensez avoir découvert une vulnérabilité dans nos produits ou services, nous vous remercions de nous la signaler. Cette page décrit notre canal de divulgation coordonnée des vulnérabilités (notamment au sens du règlement (UE) 2024/2847, Cyber Resilience Act).

Fabricant

Comment signaler

Veuillez envoyer votre signalement par e-mail à security@perimea.app. Ces informations sont également disponibles sous forme lisible par machine à l'adresse /.well-known/security.txt (RFC 9116). Nous traitons les signalements en allemand et en anglais.

Éléments utiles :

• produit et version concernés (p. ex. Perimea iOS 2.3, Perimea Desk 1.0.1) ou URL,
• une description de la vulnérabilité et de son impact potentiel,
• les étapes de reproduction ou une preuve de concept,
• comment vous joindre et si vous souhaitez être cité.

Merci de ne pas joindre de données réelles de clients. Si vous avez besoin d'un canal chiffré, nous le mettrons en place après votre premier contact.

Nos engagements

• Accusé de réception sous 72 heures.
• Une première évaluation et un suivi régulier de la correction.
• Divulgation coordonnée : merci de ne publier les détails qu'une fois un correctif disponible, et au plus tard 90 jours après votre signalement — sauf accord contraire.
• Sur demande, nous vous citons dans les notes de version ou l'avis de sécurité.
• Aucune poursuite contre les chercheurs de bonne foi : si vous agissez de bonne foi dans le cadre de cette politique, nous n'engagerons aucune action civile ou pénale contre vous.

Périmètre

• applications Perimea pour iOS, iPadOS et macOS,
• application Perimea pour Android,
• Perimea Desk (Windows/macOS),
• le site perimea.app, y compris nos services de licence et de téléchargement.

Hors périmètre : déni de service et tests de charge, ingénierie sociale, hameçonnage, attaques physiques et services tiers (p. ex. App Store, Google Play, prestataires de paiement et d'hébergement) — veuillez les signaler directement au prestataire concerné.

Règles

• N'accédez aux données que dans la mesure nécessaire à la démonstration, puis supprimez-les.
• Ne perturbez pas la disponibilité de nos services ni les données d'autres utilisateurs.
• Laissez-nous un délai raisonnable de correction avant toute communication.

Nous ne proposons pas actuellement de programme de bug bounty rémunéré.