Politique de divulgation des vulnérabilités

Dernière mise à jour : 25 octobre 2026 (version 1.1).

1. Objet

GlobeID Limited (« GlobeID ») exploite la plateforme PassportScan, qui traite les données d'identité des clients d'hôtels pour le compte de prestataires d'hébergement. Nous apprécions le travail des chercheurs en sécurité et souhaitons être informés de toute vulnérabilité susceptible de mettre en danger ces données, nos clients ou nos utilisateurs.

La présente politique explique comment nous signaler une vulnérabilité de sécurité, ce que vous pouvez attendre de nous, ainsi que les règles applicables pendant les tests. Elle s'inscrit dans le cadre du système de management de la sécurité de l'information de GlobeID (mesures de la norme ISO/IEC 27001:2022 A.5.7 Renseignements sur les menaces et A.8.8 Gestion des vulnérabilités techniques).

2. Champ d'application

Dans le champ d'application

• Les applications web et les API PassportScan Cloud publiées à l'adresse app.passportscan.net, api.passportscan.net, workspace.passportscan.net, distributor.passportscan.net et selfcheckin.passportscan.net
• Les applications mobiles PassportScan publiées par GlobeID sur l'Apple App Store et Google Play
• Le parcours web d'enregistrement autonome (self check-in) PassportScan utilisé par les clients
• Le site web public https://www.passportscan.net

Hors champ d'application

• Les systèmes exploités par des tiers (consoles de fournisseurs cloud, prestataire de paiement, fournisseur d'identité, systèmes de gestion hôtelière intégrés par les clients)
• L'infrastructure VPN (y compris vpn.passportscan.net) et tout nom d'hôte à usage exclusivement interne sous passportscan.net ne figurant pas dans le champ d'application
• Les appareils, réseaux et installations sur site appartenant aux clients
• L'ingénierie sociale, l'hameçonnage ou les attaques physiques contre le personnel, les sous-traitants ou les clients de GlobeID
• Les tests de déni de service ou d'épuisement des ressources, de quelque nature que ce soit
• Les analyses automatisées générant des volumes de trafic élevés (notre infrastructure périphérique limite le débit et bloque les sources abusives)
• Les constats n'affectant que des navigateurs obsolètes ou nécessitant un appareil compromis
• Les signalements concernant l'absence d'en-têtes de bonnes pratiques, la configuration SPF/DMARC ou la divulgation de versions sans impact démontré

3. Comment effectuer un signalement

Envoyez votre signalement à security@passportscan.net. Veuillez inclure :

• une description de la vulnérabilité et du composant concerné (URL, version de l'application, point de terminaison)
• des instructions pas à pas permettant de la reproduire, avec les requêtes/réponses ou des captures d'écran si utile
• votre évaluation de l'impact
• la manière dont nous pouvons vous contacter pour le suivi (les signalements anonymes sont acceptés)

Si le signalement contient des données personnelles de clients d'hôtels ou de clients, n'envoyez que le minimum nécessaire pour démontrer le problème et supprimez toute copie dès que nous confirmons la réception.

Un pointeur lisible par machine vers la présente politique est publié à l'adresse https://www.passportscan.net/.well-known/security.txt (RFC 9116).

4. Ce que vous pouvez attendre de nous

Lorsqu'une vulnérabilité entraîne, ou est susceptible d'entraîner, une violation de données à caractère personnel, GlobeID applique sa procédure de réponse aux incidents et de violation de données, y compris la notification des clients concernés (responsables du traitement) dans les meilleurs délais et celle de l'autorité de contrôle dans les 72 heures lorsque l'article 33 du RGPD l'exige.

5. Règles d'engagement (sphère de sécurité)

Nous n'engagerons aucune action en justice, et ne vous signalerons pas aux autorités répressives, pour des recherches en sécurité conformes à la présente politique. En contrepartie, nous vous demandons de :

• agir de bonne foi et éviter les atteintes à la vie privée, la destruction de données et la perturbation des services
• cesser les tests et effectuer un signalement immédiatement dès que vous rencontrez des données personnelles (documents d'identité, dossiers de clients) — ne pas les télécharger, les stocker ni les partager
• utiliser uniquement des comptes qui vous appartiennent ou que vous êtes explicitement autorisé à utiliser ; ne pas tenter d'accéder aux données d'autres clients
• ne pas exploiter une vulnérabilité au-delà de ce qui est nécessaire pour la démontrer (pas de pivotement, de persistance ni de mouvement latéral)
• ne pas effectuer de tests de déni de service, de force brute ou d'envoi de courriers indésirables
• garder les détails de la vulnérabilité confidentiels jusqu'à ce que nous l'ayons corrigée et que nous ayons convenu d'une divulgation

L'environnement de production de GlobeID est surveillé (pare-feu applicatif web, journalisation des requêtes et alertes). Les tests enfreignant ces règles peuvent être bloqués automatiquement et traités comme une attaque.

6. Divulgation coordonnée

Nous demandons un délai de 90 jours à compter de l'accusé de réception avant toute divulgation publique, prorogeable d'un commun accord lorsqu'un correctif nécessite une coordination avec un tiers (par exemple, une publication sur une boutique d'applications mobiles ou une intégration client). Nous serons heureux de mentionner les chercheurs dans nos notes de version sur demande.

7. Reconnaissance

GlobeID ne gère pas actuellement de programme payant de prime aux bogues (« bug bounty »). Nous reconnaissons publiquement les signalements valides (avec votre consentement) et pouvons, à notre discrétion, offrir un témoignage de reconnaissance pour les découvertes à fort impact.

8. Notre propre gestion des vulnérabilités

Indépendamment des signalements externes, GlobeID :

• analyse chaque image de conteneur à la recherche de vulnérabilités connues lors de son envoi vers le registre d'images, et examine les dépendances tierces dans le cadre du processus de publication
• applique une politique de correctifs fondée sur les risques, avec les objectifs de remédiation indiqués à la section 4
• commande des tests d'intrusion indépendants périodiques de la plateforme
• consigne toutes les découvertes dans son registre des vulnérabilités, examiné par le Responsable de la sécurité de l'information

9. Contact

Signalements de sécurité : security@passportscan.net Questions relatives à la vie privée : privacy@passportscan.net Entité juridique : GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irlande (CRO 559612)