Confidentialité des rapports

DEFENZ traite des informations confidentielles de deux familles :

–les vulnérabilités signalées par les chercheurs (description, PoC, requêtes HTTP, captures) ;

–les informations fournies par les sociétés (périmètres, barèmes, documents internes, lettres d'autorisation).

Chaque rapport est traité comme une information sensible dès sa réception, pendant tout le cycle (triage, correction, paiement, divulgation éventuelle) et après clôture.

Le contenu d'un rapport n'est visible que de trois cercles :

–la partie qui l'a signalé (le chercheur) ;

–la société concernée et, le cas échéant, le prestataire d'hébergement qu'elle désigne ;

–l'équipe de triage DEFENZ habilitée.

Aucun contenu n'est publié, partagé ou réutilisé sans l'accord explicite des deux parties. Les extraits anonymisés éventuels (statistiques, tendances) ne contiennent jamais de détail technique permettant d'identifier la cible.

La divulgation publique est volontaire et coordonnée.

–Embargo par défaut de 90 jours à compter de la correction vérifiée ; les conditions du programme peuvent l'ajuster.

–La divulgation exige l'accord écrit du chercheur et de la société, via le rapport sur la plateforme.

–Le Hall of Fame mentionne le chercheur uniquement avec son accord, sous l'alias public qu'il a choisi.

–Toute divulgation prématurée enfreint les conditions de la plateforme et peut entraîner une suspension.

Les données suivantes ne sont jamais publiées : nom réel, documents KYC, téléphone, adresses, coordonnées bancaires.

–Les pages publiques (leaderboard, Hall of Fame, hacktivity) n'affichent que l'alias public du compte.

–L'équipe de paiement a accès au strict nécessaire pour verser la récompense.

–Le chercheur peut masquer son alias des pages publiques depuis son profil.

Les périmètres, barèmes et documents internes d'une société ne sont pas exportés vers d'autres comptes ou programmes.

–L'accès aux rapports côté société est journalisé pendant 3 ans (obligation légale).

–Les membres d'une organisation ne voient que les programmes qui les concernent.

–Les documents d'autorisation (lettres signées) sont conservés de façon chiffrée et supprimés à la clôture du programme.

Les mouvements de séquestre sont journalisés de façon inaltérable.

–Les montants engagés, versements et récépissés sont visibles par la société.

–Les récépissés de paiement mentionnent l'alias et l'identifiant du rapport, jamais le nom réel du chercheur.

–Le journal d'audit est conservé 3 ans (obligation fiscale) et n'est accessible qu'aux personnes habilitées.

–Accès aux rapports protégé par authentification à deux facteurs requise (les programmes peuvent l'imposer).

–Les sessions expirent ; les clés API sont révocables à tout moment.

–Téléphones et données de paiement sont chiffrés au repos.

–Toute accès anormal est journalisé et peut déclencher une alerte de sécurité.

–À la clôture d'un programme ou d'un compte, les PoC et traces HTTP attachés aux rapports sont anonymisés ou supprimés à la demande, sauf rétention légale (journal d'audit fiscal).

–La suppression est confirmée par e-mail et tracée dans le journal d'audit.

–Les données de paiement sont conservées le temps strict des obligations comptables.