Politique de divulgation de vulnérabilités de Kimoby

Dernière mise à jour : 6 novembre 2026

Nous apprécions le travail des chercheurs en sécurité qui nous aident à protéger nos utilisateurs et leurs clients. Si vous croyez avoir trouvé une vulnérabilité, dites-le-nous. Cette politique explique ce que vous pouvez tester, comment nous la signaler et à quoi vous attendre de notre part.

Autorisation

Si vous faites un effort de bonne foi pour respecter cette politique, nous considérons votre recherche comme autorisée. Cela vaut notamment aux fins des lois contre l'intrusion informatique et le contournement des mesures de protection, au Canada, aux États-Unis et dans les autres pays.

Nous n'intenterons ni n'appuierons aucune poursuite contre vous pour cette recherche. Nous pourrions toutefois devoir décrire un incident à une autorité de protection des renseignements personnels lorsque la loi l'exige.

Dans la mesure où nos conditions d'utilisation entrent en conflit avec cette politique, cette politique s'applique à la recherche menée selon ses termes.

Si vous nous le demandez, nous vous confirmerons que votre recherche respectait cette politique.

En cas de doute sur ce qui est permis, écrivez-nous à security@kimoby.com avant d'agir.

Règles

• Ne dégradez pas, n'interrompez pas et ne bloquez pas le service pour nos utilisateurs.
• N'accédez pas à plus de données que nécessaire pour démontrer le problème. Ne modifiez ni ne supprimez jamais des données qui ne sont pas les vôtres.
• Nous ne fournissons pas de comptes de test. Vous pouvez tester les pages accessibles sans connexion, ainsi que les liens ou comptes qui vous ont été remis personnellement, par exemple un lien de paiement ou d'estimation reçu à titre de client. N'utilisez pas le compte ou les données d'un de nos clients, même si vous travaillez pour lui, sauf avec la permission écrite du titulaire du compte.
• N'envoyez aucune communication, quelle qu'en soit la forme, à qui que ce soit d'autre que vous-même. Notre plateforme communique avec de vraies personnes au nom de nos clients.
• N'effectuez aucun paiement réel et n'utilisez pas de données de paiement qui ne sont pas les vôtres.
• N'utilisez pas d'outils automatisés de détection de vulnérabilités.
• Gardez la vulnérabilité confidentielle jusqu'à ce que nous confirmions sa correction, ou 90 jours après votre signalement, selon la première éventualité. Si nous avons besoin de plus de temps, nous vous expliquerons pourquoi et conviendrons d'une nouvelle date avec vous.

Renseignements personnels

Si vous tombez sur des renseignements personnels qui ne sont pas les vôtres, arrêtez-vous. N'en consultez pas plus que nécessaire pour confirmer le problème. Ne les téléchargez pas, ne les conservez pas et ne les partagez pas. Signalez-nous la situation sans délai. Décrivez ce que vous avez consulté, par exemple le nombre de dossiers ou l'écran visé, sans copier les données elles-mêmes. Supprimez toute copie en votre possession.

Les lois sur la protection des renseignements personnels nous obligent à consigner ces incidents. Un signalement rapide est donc important.

Portée

Systèmes visés

• app.kimoby.com
• admin.kimoby.com
• pay.kimoby.com
• estimate.kimoby.com
• review.kimoby.com
• portal.kimoby.com
• media.kimoby.com

Systèmes exclus

• www.kimoby.com et help.kimoby.com
• Les services tiers que nous utilisons, comme les processeurs de paiement, l'hébergement et les fournisseurs de courriel. Signalez-leur directement les problèmes.
• L'ingénierie sociale, l'hameçonnage et les attaques physiques contre notre personnel, nos bureaux ou nos clients
• Le déni de service
• Les constats sans impact démontré sur la sécurité, comme l'absence d'en-têtes de sécurité, les réglages SPF, DKIM ou DMARC, le clickjacking sur des pages sans action sensible, l'affichage de versions logicielles ou les résultats non validés d'outils d'analyse automatisés

Comment signaler

Écrivez à security@kimoby.com, en français ou en anglais. Incluez :

• L'URL ou la fonctionnalité touchée
• Une description de la vulnérabilité et de son impact
• Les étapes pour la reproduire
• Un moyen de vous joindre, sauf si vous préférez rester anonyme

N'incluez pas de renseignements personnels appartenant à d'autres personnes.

À quoi vous attendre

• Nous accusons réception de votre signalement dans un délai de 3 jours ouvrables.
• Nous vous confirmons si le signalement est fondé dans un délai de 10 jours ouvrables.
• Nous vous donnons des nouvelles au moins tous les 30 jours jusqu'à sa résolution.
• Nous vous avisons quand il est corrigé.

Récompenses

Nous n'offrons pas de programme de primes aux bogues pour le moment. Un signalement ne donne droit à aucun paiement.

Si vous le souhaitez, nous vous créditerons par votre nom une fois le problème corrigé.