POLITICA DI GESTIONE E DIVULGAZIONE DELLE VULNERABILITÀ
Versione / Versión / Version 2026-10-26.1 · In vigore dal / Vigente desde / Effective from 2026-10-26
1. Ambito. La presente politica riguarda i prodotti software di INFOKRAUSE S.R.L. con Socio Unico, C.F. e P. IVA 04126260928 («INFOKRAUSE»): IKFace (Edge e Server), IKCount, IKVisitor, i relativi moduli, il Portale Clienti e i portali partner. Attua il Regolamento (UE) 2024/2847 (Cyber Resilience Act).
2. Come segnalare. Inviare le segnalazioni a security@infokrause.com indicando: prodotto e versione, descrizione e impatto, passi per riprodurre, eventuale prova di concetto e un contatto. Si accettano segnalazioni in italiano, spagnolo o inglese. Non includere dati personali di terzi oltre lo stretto necessario.
3. I nostri impegni. INFOKRAUSE conferma la ricezione entro 5 giorni lavorativi, valuta la segnalazione, informa il segnalante dell'esito e dei tempi previsti e corregge le vulnerabilità confermate senza ritardi ingiustificati, dando priorità a quelle sfruttate attivamente o di gravità elevata. Con il consenso del segnalante, lo riconosce pubblicamente nell'avviso di sicurezza.
4. Divulgazione coordinata. Chiediamo di non divulgare la vulnerabilità finché non sia disponibile una correzione o, al più tardi, 90 giorni dopo la segnalazione, salvo diverso accordo. Dopo la correzione INFOKRAUSE pubblica un avviso di sicurezza con prodotti e versioni interessati, gravità e misure da adottare.
5. Ricerca in buona fede. INFOKRAUSE non intraprenderà azioni legali contro chi, in buona fede: prova solo su installazioni proprie o sulla demo; non accede, modifica né conserva dati di clienti o di terzi oltre il minimo per dimostrare il problema e li cancella subito; non interrompe i servizi (niente negazione del servizio, spam o ingegneria sociale); e segnala tempestivamente rispettando il punto 4. Questa politica non autorizza a provare installazioni dei clienti, che appartengono a loro.
6. Aggiornamenti di sicurezza e clienti. Le correzioni si distribuiscono come aggiornamenti tramite il Portale Clienti di ikface.net, separate quando possibile dagli aggiornamenti funzionali, e restano disponibili per il periodo di assistenza previsto dall'EULA (clausola 10). INFOKRAUSE informa i clienti interessati e, tramite i distributori, quelli serviti da questi, delle vulnerabilità sfruttate attivamente e degli incidenti gravi e delle misure da adottare.
7. Notifiche alle autorità. Ai sensi dell'art. 14 del Regolamento (UE) 2024/2847, INFOKRAUSE notifica le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza dei propri prodotti tramite la piattaforma unica di segnalazione dell'ENISA, al CSIRT dello Stato di stabilimento principale (Italia).
8. Contatti. security@infokrause.com (sicurezza) · info@infokrause.com (altre richieste). INFOKRAUSE può aggiornare la presente politica; la versione vigente è pubblicata su ikface.net. Il testo è redatto in italiano, spagnolo e inglese; prevale l'italiano.