Alcuni di questi cookies sono essenziali, mentre altri ci aiutano a migliorare la tua esperienza, fornendo informazioni su come il sito viene utilizzato. Per maggiori Informazioni sui cookies che utilizziamo, guardate la nostra Policy sui Cookies
VTech si impegna a contribuire alla protezione della sicurezza e della privacy dei clienti e degli utenti dei prodotti VTech dotati di elementi digitali. La presente Politica definisce il processo coordinato di divulgazione delle vulnerabilità di VTech per la ricezione, la valutazione, la correzione e, ove opportuno, la divulgazione delle informazioni relative a potenziali vulnerabilità segnalate da fonti interne ed esterne.
La presente Politica supporta gli obblighi di VTech in materia di gestione delle vulnerabilità ai sensi della normativa applicabile, compreso il Regolamento (UE) 2024/2847 (il Cyber Resilience Act o CRA), ove applicabile. Essa non sostituisce le procedure interne di VTech relative alla sicurezza dei prodotti, alla risposta agli incidenti, alla notifica alle autorità di regolamentazione, agli aggiornamenti software, alla privacy o alla gestione dei fornitori.
La presente Politica si applica alle potenziali vulnerabilità che interessano i prodotti VTech dotati di elementi digitali e i servizi correlati messi a disposizione da VTech, inclusi hardware, software, firmware, applicazioni mobili, servizi online e soluzioni di elaborazione dati remota pertinenti, progettati o sviluppati da o per conto di VTech e necessari affinché tali prodotti svolgano le loro funzioni.
La presente Politica non autorizza il test di risorse di proprietà o controllate esclusivamente da terze parti. Tuttavia, qualora una segnalazione riguardi un componente, una libreria, un servizio o un prodotto di un fornitore di terze parti incorporato in un prodotto VTech o necessario per il funzionamento dello stesso, VTech potrà coordinarsi con il fornitore, il responsabile della manutenzione, il team di risposta agli incidenti di sicurezza informatica (CSIRT), l’Agenzia dell’Unione Europea per la sicurezza informatica (ENISA), l’autorità competente o altra parte appropriata per convalidare, correggere e divulgare la vulnerabilità.
Fatte salve la presente Politica e la normativa applicabile, VTech autorizza la ricerca in materia di sicurezza in buona fede volta esclusivamente a identificare e segnalare potenziali vulnerabilità nelle risorse rientranti nell’ambito di applicazione. VTech non avvierà consapevolmente azioni civili né segnalerà tale ricerca in buona fede e autorizzata alle forze dell’ordine esclusivamente a causa di tale ricerca.
La presente autorizzazione si applica solo qualora il ricercatore rispetti la presente Politica, agisca in modo proporzionato per evitare danni e segnali tempestivamente la vulnerabilità a VTech. Essa non autorizza comportamenti illegali, che causino o rischino di causare danni rilevanti, che violino i diritti di terzi o che esulino dall’ambito di applicazione indicato. VTech non può rinunciare ai diritti detenuti da terzi né prevalere sui requisiti della normativa applicabile.
Se un ricercatore non è sicuro che l’attività proposta rientri nell’ambito di applicazione o sia autorizzata, deve contattare VTech all’indirizzo VulnerabilityReporting@vtech.com prima di procedere.
Per partecipare al processo coordinato di segnalazione delle vulnerabilità, i ricercatori devono:
Le segnalazioni devono essere inviate all’indirizzo VulnerabilityReporting@vtech.com. Le segnalazioni possono essere inviate in forma anonima.
I ricercatori devono utilizzare l’oggetto “URGENTE — sospetto sfruttamento attivo” qualora abbiano fondati motivi per ritenere che una vulnerabilità sia attivamente sfruttata o crei un rischio concreto e immediato per gli utenti.
Per consentire una valutazione tempestiva, le segnalazioni dovrebbero, ove disponibili, includere:
Al ricevimento di una segnalazione, VTech provvederà a:
VTech si impegna a fornire una conferma di ricezione entro 24 ore dal ricevimento di una segnalazione e, ove ragionevolmente fattibile, un esito iniziale della valutazione o un aggiornamento significativo sullo stato della questione. I tempi effettivi di risposta e di rimedio dipendono dalla gravità, dalla complessità, dalla possibilità di sfruttamento, dai prodotti interessati, dalla disponibilità di misure di mitigazione e dalle informazioni fornite.
VTech chiede a chi segnala la vulnerabilità di non divulgarne pubblicamente i dettagli prima che VTech abbia avuto una ragionevole opportunità di convalidare, valutare e risolvere il problema. VTech collaborerà in buona fede con chi ha segnalato la vulnerabilità per concordare un calendario di divulgazione coordinata, tenendo conto della sfruttabilità, dello sfruttamento attivo, degli utenti interessati, della disponibilità di misure di mitigazione, della disponibilità di un aggiornamento di sicurezza e dell’interesse pubblico.
Una volta reso disponibile un aggiornamento di sicurezza o altra misura correttiva, VTech condividerà e divulgherà pubblicamente le informazioni relative alla vulnerabilità risolta in un avviso di sicurezza appropriato, a meno che VTech non determini e documenti ragionevolmente che i rischi per la sicurezza informatica derivanti da una divulgazione pubblica immediata superino i benefici in termini di sicurezza. In tal caso, VTech potrà ritardare la pubblicazione per un periodo non superiore a quello necessario a gestire tali rischi e, ove opportuno, fornire agli utenti interessati una ragionevole opportunità di applicare per primi la patch o la misura di mitigazione pertinente.
Un avviso di sicurezza includerà, a seconda dei casi:
VTech potrà menzionare o attribuire il merito a chi ha segnalato il problema in un avviso di sicurezza solo previo consenso di quest’ultimo e nel rispetto della normativa applicabile, delle considerazioni di sicurezza e delle preferenze espresse da chi ha segnalato il problema.
VTech valuterà se una segnalazione riguardi una vulnerabilità attivamente sfruttata o un incidente grave che comprometta la sicurezza di un prodotto VTech dotato di elementi digitali. Ove applicabile, VTech effettuerà le notifiche tramite la Piattaforma Unica di Segnalazione CRA e ai destinatari competenti entro i termini previsti dal Regolamento (UE) 2024/2847 e dalle altre leggi applicabili.
Questo canale di segnalazione pubblico non sostituisce i processi di notifica normativa di VTech. VTech valuterà, ove applicabile, la possibilità di predisporre una valutazione di allerta precoce e un’escalation in grado di supportare una notifica entro 24 ore dalla presa di conoscenza, una notifica completa entro 72 ore e una relazione finale entro 14 giorni per una vulnerabilità attivamente sfruttata, o entro un mese per un incidente grave, che copra l’incidente, la sua causa principale e le misure di mitigazione adottate.
VTech potrà segnalare o condividere informazioni relative a vulnerabilità o incidenti con le autorità competenti, i CSIRT, l’ENISA, i fornitori, i responsabili della manutenzione, i fornitori di servizi o altre parti appropriate, laddove richiesto dalla legge o ragionevolmente necessario per indagare, porre rimedio, coordinare la divulgazione o proteggere gli utenti.
Oltre a notificare il CSIRT competente e l’ENISA, VTech informerà gli utenti interessati, senza indebito ritardo, dell’individuazione di una vulnerabilità o di un incidente che possa compromettere la sicurezza del loro prodotto, indicando le misure di mitigazione che gli utenti possono adottare, anche qualora non sia ancora disponibile un aggiornamento di sicurezza permanente.
Qualora un problema segnalato riguardi un componente, una libreria, un fornitore o un servizio di terze parti, VTech potrà condividere le informazioni minime necessarie con tale soggetto o con un coordinatore appropriato per supportare la convalida, la risoluzione e la divulgazione coordinata. Ove ragionevolmente praticabile, VTech terrà conto della sensibilità della segnalazione e delle preferenze di contatto del segnalante. VTech potrà effettuare tali divulgazioni senza preavviso qualora ciò sia necessario per proteggere gli utenti, ottemperare alla legge o gestire rischi significativi per la sicurezza informatica.
VTech tratterà i dati personali contenuti nelle segnalazioni di vulnerabilità ai fini della gestione delle vulnerabilità, della sicurezza dei prodotti, della risposta agli incidenti, della conformità normativa, degli obblighi legali e della protezione di VTech, dei suoi utenti e di altre persone interessate. VTech gestirà le segnalazioni in conformità con la propria informativa sulla privacy.
I ricercatori non devono includere nella segnalazione dati personali non necessari, informazioni riservate, credenziali o dati sensibili. VTech potrà condividere le informazioni contenute in una segnalazione con il personale VTech competente, le società del gruppo, i fornitori di servizi, i fornitori o i responsabili della manutenzione interessati, i CSIRT, le autorità competenti o gli organismi preposti all’applicazione della legge, laddove consentito o richiesto dalla legge e necessario per le finalità descritte nella presente Politica e nell’Informativa sulla privacy.
VTech riesaminerà periodicamente la presente Politica e in seguito a modifiche sostanziali dei requisiti applicabili, dei prodotti VTech, delle operazioni di sicurezza o delle lezioni apprese dalla gestione delle vulnerabilità.
VTech dispone di ruoli interni, procedure, registri, formazione e meccanismi di supervisione a supporto dell’attuazione e dell’applicazione della presente Politica, della gestione delle vulnerabilità durante i relativi periodi di supporto e del miglioramento continuo della sicurezza dei prodotti.
Eventuali domande relative alla presente Politica o dubbi in merito alla ricerca autorizzata devono essere inviati all’indirizzo VulnerabilityReporting@vtech.com.
La presente Politica non crea alcun obbligo contrattuale, non comporta la rinuncia ad alcun diritto o rimedio legale, né autorizza alcuna attività al di fuori dell’ambito espressamente indicato nella presente Politica. Nessuna disposizione della presente Politica limita la facoltà di VTech di intraprendere azioni in relazione a comportamenti illegali, dolosi, imprudenti, fraudolenti, estorsivi, dannosi o non conformi alla presente Politica.
.png)
