Ce que nous nous engageons à faire
Accuser réception sous trois jours ouvrés, et vous donner une première évaluation sous dix jours ouvrés.
Vous tenir informé jusqu’à la correction. Ce qui touche à l’argent des restaurants, aux données des convives ou au registre fiscal est corrigé en priorité.
Vous remercier publiquement une fois la faille corrigée, si vous le souhaitez.
Ce que nous vous demandons
N’accédez qu’au strict nécessaire pour démontrer la faille. Ne consultez, ne copiez, ne modifiez ni ne supprimez jamais les données d’un restaurant ou d’un convive qui n’est pas vous ; testez sur vos propres comptes.
Pas de déni de service, pas d’envoi massif, pas d’ingénierie sociale envers notre personnel ou nos clients, pas d’accès physique. N’encaissez ni ne remboursez aucun paiement réel.
Laissez-nous 90 jours pour corriger avant toute publication, sauf accord entre nous.
Notre engagement envers vous
Si vous respectez ces règles et agissez de bonne foi, Alcess ne portera pas plainte contre vous et ne vous demandera aucune réparation pour votre recherche ; nous la considérerons comme autorisée par nous.
Nous ne pouvons pas engager le ministère public : la loi n° 09-04 et le code pénal (art. 394 bis et suivants) répriment l’accès frauduleux à un système. C’est pourquoi les règles ci-dessus comptent.
Périmètre
Inclus : www.alcess.com et les sous-domaines exploités par Alcess, l’application Android Alcess, l’API de caisse.
Exclus : les services de nos prestataires (paiement, base de données, hébergement), signalez-les-leur directement ; le contenu publié par les restaurants sur leur vitrine ; les constats sans impact démontré (en-tête absent sans exploitation, auto-XSS, numéros de version, limites de débit sans conséquence).
Récompense
Alcess n’a pas de programme de primes à ce jour. Nous remercions publiquement, avec votre accord.
Comment signaler
Écrivez à securite@alcess.com (à défaut, contact@alcess.com), en français, en arabe ou en anglais.
Décrivez la page ou l’adresse concernée, les étapes pour reproduire, et ce qu’un attaquant pourrait obtenir. Indiquez comment vous recontacter si vous le souhaitez.
Ne joignez aucune donnée personnelle de tiers : une capture qui montre ce qu’on PEUT lire suffit, ce qu’on a lu n’est pas nécessaire.