Responsible disclosure policy

Responsible Disclosure Policy · Gecoördineerde openbaarmaking van kwetsbaarheden

Valtech Group en haar bedrijven nemen de beveiliging van onze machines, software, diensten en websites ernstig. Denkt u een kwetsbaarheid in de beveiliging te hebben gevonden, dan horen we dat graag. We verwelkomen meldingen van beveiligingsonderzoekers, klanten, partners en iedereen anders, en we werken met u samen om het probleem op te lossen.

Toepassingsgebied

Dit beleid is van toepassing op:

Websites, portalen en onlinediensten van Valtech Group en haar bedrijven (vermeld op onze groep), waaronder valtechgroup.eu en de eigen domeinen van de bedrijven.
Machines, installaties, besturingssoftware, HMI’s, visionsystemen en verbindingen voor service op afstand die wij leveren.
Componenten van derden of opensourcecomponenten in onze producten of systemen, wanneer een kwetsbaarheid gevolgen kan hebben voor onze klanten of onze activiteiten.

Buiten het toepassingsgebied

Het volgende valt niet onder dit beleid:

Meldingen van geautomatiseerde scanners zonder aangetoonde, misbruikbare impact.
Ontbrekende security headers, cookie flags of SPF/DKIM/DMARC-instellingen zonder aangetoonde impact.
Clickjacking op pagina’s zonder gevoelige acties, self-XSS en ontbrekende rate limits op niet-gevoelige functies.
Kwetsbaarheden in diensten van derden die wij gebruiken maar niet beheren. Meld deze aan de leverancier.
Fysieke aanvallen en tests op machines die bij klanten geïnstalleerd zijn. Merkt u een kwetsbaarheid op in een van onze machines, meld ze ons dan zonder ze ter plaatse te testen.

Hoe meldt u een kwetsbaarheid?

Stuur uw melding naar security@valtechgroup.eu. Bevat uw melding gevoelige informatie, mail ons dan eerst zonder de details. We spreken dan een veilige manier af om ze te delen.

Vermeld in uw melding:

Een beschrijving van de kwetsbaarheid en de mogelijke impact.
De betrokken website, URL, systeem, product, model of softwareversie.
Stapsgewijze instructies om de kwetsbaarheid te reproduceren.
Ondersteunend bewijs, zoals screenshots, logs of een proof of concept.
Hoe we u kunnen bereiken, als u een opvolging wenst.

U kunt uw melding indienen in het Engels, Nederlands of Frans.

Wat u van ons mag verwachten

Ontvangstbevestiging: we bevestigen de ontvangst binnen een redelijke termijn.
Beoordeling: we laten u binnen een redelijke termijn weten of we de kwetsbaarheid bevestigd hebben en hoe we ze willen aanpakken.
Updates: we houden u op de hoogte van belangrijke vorderingen tot het probleem opgelost is.
Vertrouwelijkheid: we behandelen uw melding vertrouwelijk. We delen uw persoonsgegevens niet buiten onze organisatie zonder uw toestemming, tenzij we daartoe wettelijk verplicht zijn.
Herstel: we verhelpen bevestigde kwetsbaarheden zo snel als hun ernst vereist.
Openbaarmaking: we spreken met u af wanneer en hoe de kwetsbaarheid openbaar gemaakt wordt. We streven ernaar dit te doen binnen 90 dagen na uw melding.

Regels voor onderzoekers

We vragen u om:

Te goeder trouw te handelen en niet meer te doen dan nodig is om de kwetsbaarheid aan te tonen.
Geen gegevens te raadplegen, te kopiëren, te wijzigen of te verwijderen die niet van u zijn. Stuit u op persoonsgegevens of vertrouwelijke gegevens, stop dan, meld het en verwijder alle kopieën.
Geen denial-of-serviceaanvallen, phishing, social engineering, malware of brute-forceaanvallen te gebruiken.
Onze diensten, productiesystemen of installaties bij klanten niet te verstoren.
De kwetsbaarheid niet met anderen te delen tot we ze opgelost hebben en de openbaarmaking afgesproken is, of tot 90 dagen na uw melding, tenzij we iets anders afspreken.

Safe harbour

Meldt u een kwetsbaarheid te goeder trouw en volgt u dit beleid, dan zullen Valtech Group en haar bedrijven geen juridische stappen tegen u ondernemen en de autoriteiten ook niet vragen dat te doen. Onderzoek op onze eigen systemen dat dit beleid volgt, beschouwen we als toegestaan. Let op: we kunnen dit engagement alleen in eigen naam aangaan, niet voor onze klanten of andere derden.

Twijfelt u of uw geplande onderzoek binnen dit beleid valt, neem dan eerst contact met ons op.

Productbeveiliging

Bij kwetsbaarheden in onze machines en software brengen we de betrokken klanten op de hoogte en, waar nodig, de bevoegde autoriteiten. Waar gepast publiceren we ook een beveiligingsadvies (security advisory).

Erkenning

We bieden geen financiële bug bounty aan. Met uw toestemming bedanken we u graag publiek, bijvoorbeeld in het bijbehorende beveiligingsadvies.

Contact

Voor vragen over dit beleid: security@valtechgroup.eu

Valtech NV, Krommebeekstraat 41, 8930 Menen, België, btw BE 0466.148.445

Laatst bijgewerkt: 28 oktober 2026