Sicurezza e segnalazione delle vulnerabilità

Nella segnalazione aiutaci a includere, per quanto possibile:

• il prodotto e la versione interessati;
• una descrizione del problema e del suo possibile impatto;
• i passaggi per riprodurlo, con richieste, log o screenshot se utili;
• se ritieni che la vulnerabilità sia già sfruttata, indicalo in modo esplicito e in oggetto;
• come preferisci essere contattato, e se desideri essere citato o restare anonimo.

Accettiamo segnalazioni in italiano e in inglese.

Quando una vulnerabilità riguarda un prodotto installato presso i nostri clienti, informiamo i clienti interessati e rendiamo disponibile la correzione o una misura di mitigazione. Le segnalazioni che ricadono negli obblighi di notifica previsti dal Cyber Resilience Act vengono inoltrate alle autorità competenti nei termini di legge.

Chiediamo di non rendere pubblica una vulnerabilità prima che sia disponibile una correzione o che sia trascorso il termine concordato. In cambio ci impegniamo a lavorare sulla segnalazione in modo trasparente, a tenerti aggiornato e a riconoscerti pubblicamente il merito, se lo desideri.

Non intraprendiamo azioni legali nei confronti di chi segnala una vulnerabilità in buona fede, rispettando queste condizioni:

• non accedere, modificare, esfiltrare o conservare dati che non siano tuoi;
• non degradare né interrompere i servizi (nessun test di tipo denial of service, nessun attacco di forza bruta su sistemi in esercizio);
• non svolgere attività su installazioni dei nostri clienti senza la loro autorizzazione scritta;
• non usare ingegneria sociale, phishing o accesso fisico non autorizzato;
• lasciarci un tempo ragionevole per correggere prima di divulgare.

Questa dichiarazione non limita i diritti di terzi e non costituisce autorizzazione ad agire su sistemi gestiti da altri.

Rientrano in questa politica i prodotti software sviluppati da Contech e i servizi che li accompagnano. Non rientrano i sistemi di terze parti che ospitano o integrano i nostri prodotti, né le installazioni gestite direttamente dai clienti sulla loro infrastruttura: in quei casi segnala a noi e, in parallelo, al gestore del sistema.

Questa politica attua le pratiche di gestione e divulgazione delle vulnerabilità previste dal Regolamento (UE) 2024/2847 (Cyber Resilience Act). Gli obblighi di segnalazione alle autorità previsti dal regolamento si applicano dall'11 settembre 2026; i restanti requisiti dall'11 dicembre 2027. Stiamo adeguando progressivamente prodotti e processi a questo calendario.

Ultimo aggiornamento: 12 ottobre 2026