Politique de Divulgation des Vulnérabilités (VDP)

Vulnerability Disclosure Policy (VDP)


Version	1.0
Dernière mise à jour	18 mai 2026
URL canonique	https://www.titane-intelligence.com/legal/vdp
Contact	`security@titane-intelligence.com`

1. Notre engagement

La sécurité des Services Titane Intelligence et des données qu'ils traitent est une priorité. Nous reconnaissons la contribution essentielle des chercheurs en sécurité, et nous nous engageons à les traiter avec respect, transparence et reconnaissance.

La présente Politique de Divulgation Coordonnée des Vulnérabilités (« VDP ») décrit comment signaler une vulnérabilité de sécurité présumée et les engagements réciproques entre Titane et les chercheurs.

2. Périmètre (scope)

Les éléments suivants sont dans le périmètre de la VDP :

les domaines titane-intelligence.com, *.titane-intelligence.com et leurs sous-domaines opérés par Titane ;
l'API publique Titane Intelligence ;
les Connecteurs Titane distribués officiellement (Shopify, Klaviyo, et autres Connecteurs publiés sur le site titane-intelligence.com) ;
les SDK et bibliothèques clientes publiés officiellement par Titane.

3. Hors périmètre (out of scope)

Les éléments suivants sont hors périmètre :

les services tiers utilisés par Titane (notamment AWS, Anthropic, OpenAI, Neon, Vercel) — adressez vos signalements directement à l'éditeur concerné ;
les profils Titane sur les réseaux sociaux et plateformes tierces ;
les attaques nécessitant un accès physique aux locaux de Titane ou aux postes des collaborateurs ;
les rapports relatifs aux versions de logiciels rendus publiquement obsolètes par leur éditeur sans démonstration d'exploitation effective sur les Services Titane ;
les rapports d'ingénierie sociale (phishing, vishing) ciblant des personnels Titane ;
les attaques par déni de service (DoS / DDoS) volumétrique ;
les rapports issus exclusivement de scanners automatisés sans validation manuelle.

4. Comment reporter une vulnérabilité

4.1 Canal de signalement

Adressez votre signalement à security@titane-intelligence.com.

Pour les signalements particulièrement sensibles, vous pouvez demander une clé PGP de chiffrement à cette même adresse.

4.2 Contenu attendu du signalement

Merci de fournir, dans la mesure du possible :

une description claire de la vulnérabilité ;
les composants affectés (URL, endpoint API, version de SDK) ;
les étapes de reproduction détaillées (preuve de concept) ;
l'impact potentiel ;
toute recommandation de remédiation que vous jugez utile ;
votre identité ou un pseudonyme et un moyen de vous recontacter (souhaité mais non obligatoire).

4.3 Langue

Signalements acceptés en français ou en anglais.

5. Engagements de Titane (SLA)

Étape	Délai d'engagement
Accusé de réception du signalement	48 heures à compter de la réception du signalement
Première analyse et qualification	5 jours ouvrés à compter de l'accusé de réception
Communication sur la mise en œuvre du correctif	Selon la criticité, en lien avec le chercheur
Notification au chercheur de la résolution	Dès la mise en production du correctif

Titane s'engage à maintenir une communication régulière et transparente avec le chercheur tout au long du traitement du signalement.

6. Engagements du chercheur

En participant à la présente VDP, le chercheur s'engage à :

a) effectuer ses tests sans porter atteinte à la confidentialité, à l'intégrité ou à la disponibilité des Services Titane et des données traitées ;
b) ne pas accéder, modifier, supprimer ou exfiltrer de données autres que celles strictement nécessaires à la démonstration de la vulnérabilité ;
c) stopper immédiatement les tests dès la confirmation d'une vulnérabilité et alerter Titane sans délai ;
d) respecter une période de divulgation coordonnée : ne pas divulguer publiquement la vulnérabilité avant que Titane ait pu mettre en œuvre un correctif, dans un délai raisonnable (généralement quatre-vingt-dix (90) jours, négociable selon la criticité) ;
e) ne pas utiliser la vulnérabilité à des fins d'extorsion, de chantage ou pour obtenir un avantage indu ;
f) respecter la confidentialité des informations partagées avec Titane dans le cadre du traitement du signalement.

7. Safe harbor

Titane s'engage à ne pas poursuivre en justice les chercheurs qui :

a) ont signalé une vulnérabilité de bonne foi conformément à la présente VDP ;
b) ont respecté l'ensemble des engagements de l'Article 6 ;
c) n'ont pas dépassé le périmètre défini à l'Article 2 ;
d) n'ont pas dégradé ni rendu indisponibles les Services ;
e) n'ont pas accédé à plus de données que strictement nécessaire pour démontrer la vulnérabilité.

Ce safe harbor n'a pas vocation à se substituer aux protections légales applicables aux signalements de bonne foi (notamment article L. 323-3-1 du Code pénal pour la France).

8. Reconnaissance

Titane peut, sous réserve de l'accord exprès du chercheur, mentionner sa contribution dans une page « Hall of Fame » publique ou dans la documentation de sécurité.

9. Bug bounty

Titane ne propose pas, à ce jour, de programme de bug bounty rémunéré en numéraire. L'évolution de cette position pourra faire l'objet d'une mise à jour ultérieure de la présente VDP.

10. Modifications de la VDP

La présente VDP est susceptible d'évoluer. Toute modification fera l'objet d'une publication sur la présente URL, accompagnée d'une nouvelle date de mise à jour.

Contact sécurité : security@titane-intelligence.com

Version 1.0 — Dernière mise à jour : 18 mai 2026