Politique de sécurité et de divulgation responsable

Éditeur de Halyx : Morgan Sanchez EI (entrepreneur individuel), dénomination « MONSIEUR MORGAN SANCHEZ », nom commercial Halyx. SIREN 852 341 536, SIRET 852 341 536 00021. Immatriculé au Registre national des entreprises (RNE). Adresse : 142 rue de Rivoli, 75001 Paris, France. N° de TVA intracommunautaire : FR54852341536.

Contact sécurité : contact@halyxapp.com

1. Objet

1.1. Ce document explique comment nous signaler une faille de sécurité dans Halyx, et ce que nous faisons ensuite.

1.2. Il décrit aussi nos engagements de sécurité envers les utilisateurs : correction des failles, mises à jour de sécurité, durée de support et signalement aux autorités.

1.3. Dans ce document, « nous » désigne l'éditeur ci-dessus. « Vous » désigne la personne qui signale une faille ou qui utilise Halyx.

2. Périmètre

2.1. Ce qui est couvert

• Le logiciel Halyx installé sur un ordinateur, dans une version que nous avons publiée : aujourd’hui pour Windows ; d’autres versions peuvent être publiées.
• L'interface de Halyx ouverte dans un navigateur, sur l’ordinateur où Halyx est installé ou sur un autre appareil du réseau local (tablette, téléphone, autre ordinateur), y compris quand elle est installée comme application.
• L'accès des appareils à Halyx : codes d’accès, rôles donnés aux appareils, connexion en HTTPS.
• Le système de licence : vérification de la licence sur la machine, y compris hors ligne, empreinte de la machine, comptage des univers, rattachement de la licence au compte connecté.
• Les fonctions en ligne de Halyx : création et gestion du compte, licences, machines, codes cadeaux, accès au paiement et à l’espace de gestion de l’abonnement.

2.2. Ce qui n’est pas couvert

• Les failles des services tiers eux-mêmes (par exemple Stripe, Supabase, Sentry, Google, Anthropic ou GDTF Share). Signalez-les directement à ces services. Si la faille vient de la façon dont Halyx les utilise, elle est couverte.
• Les protocoles d'éclairage Art-Net, sACN et DMX. Ils n’ont pas d’authentification par conception : tout appareil du réseau d'éclairage peut émettre ou lire ces données. Un signalement n’est retenu que si Halyx aggrave ce risque.
• Les attaques par déni de service et les tests de charge.
• L'ingénierie sociale (hameçonnage, appels, usurpation) visant nous, nos clients ou nos prestataires.
• Les attaques qui supposent un accès physique à la machine, ou des droits d’administrateur déjà obtenus sur celle-ci.
• Les rapports d’outils automatiques sans démonstration d’un impact réel (par exemple un en-tête HTTP manquant sans conséquence exploitable).
• Les versions de Halyx qui ne sont plus supportées (voir la section 9), et les versions modifiées par un tiers.

3. Signaler une faille

3.1. Comment nous joindre

3.1.1. Écrivez à contact@halyxapp.com, en indiquant « Sécurité » dans l’objet du message.

3.1.2. Vous pouvez écrire en français ou en anglais.

3.1.3. Pour une information très sensible, demandez-nous d’abord un moyen d'échange chiffré, sans joindre de détail technique à votre premier message.

3.1.4. Ne signalez pas une faille non corrigée par un avis public, sur les réseaux sociaux ou sur un forum.

3.2. Ce qu’il faut nous envoyer

• La version de Halyx (à défaut, la date de téléchargement) et le système (par exemple Windows 11).
• La description de la faille et son impact possible.
• Les étapes pour la reproduire, et, si possible, une preuve de concept minimale.
• La date de découverte.
• Votre nom ou pseudonyme, si vous souhaitez être remercié (section 13).

3.3. Autre voie possible : l’ANSSI

En France, vous pouvez aussi signaler une faille à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui protège l’identité de la personne qui signale. Ce dispositif est prévu par l’article L. 2321-4 du code de la défense. Informations : cyber.gouv.fr.

4. Règles d’une recherche de bonne foi

Pour que votre recherche soit considérée de bonne foi, nous vous demandons de :

• tester uniquement sur votre propre installation et avec votre propre compte ;
• ne pas accéder aux données d’un autre utilisateur, ne pas les modifier et ne pas les supprimer ;
• vous arrêter dès que vous rencontrez des données personnelles d’un tiers, ne pas les conserver, et nous le dire dans votre signalement ;
• ne pas perturber un spectacle, une installation en exploitation ou le service d’un autre utilisateur ;
• ne pas tester les services tiers au-delà de ce qui est nécessaire pour montrer la faille de Halyx ;
• ne pas contourner la licence pour en tirer un usage gratuit ou le diffuser ;
• n’utiliser une faille que dans la mesure nécessaire pour la démontrer ;
• garder la faille confidentielle jusqu'à sa correction, dans les conditions de la section 8 ;
• ne rien exiger en échange de votre signalement.

5. Pas de poursuites pour une recherche de bonne foi

5.1. Si vous respectez les sections 2 à 4, nous n’engagerons aucune action en justice et ne déposerons aucune plainte contre vous au titre de votre recherche.

5.2. Dans ce cadre, nous considérons votre recherche comme autorisée au regard de la licence d’utilisation de Halyx, notamment de l’interdiction de rétro-ingénierie, de contournement de la licence et d’accès non autorisé aux services en ligne. La licence d’utilisation (article 9) le prévoit expressément.

5.3. Cet engagement ne lie que nous. Il ne lie ni le procureur de la République, ni les autorités, ni les services tiers (section 2.2), ni les autres utilisateurs. Il ne vous autorise pas à enfreindre la loi.

5.4. Si une autre personne engage une action contre vous pour une recherche conforme à cette politique, nous indiquerons, si vous le demandez, que votre recherche respectait cette politique.

5.5. En cas de doute sur une méthode de test, écrivez-nous avant de la mettre en œuvre.

6. Nos délais de réponse

Halyx est édité par une seule personne. Les délais ci-dessous sont des objectifs que nous nous engageons à viser, en jours ouvrés en France.

Si nous ne pouvons pas tenir un délai, nous vous le disons et nous vous expliquons pourquoi.

7. Évaluation et correction

7.1. Nous évaluons la gravité de chaque faille confirmée selon son impact réel sur les utilisateurs et sur les spectacles, en nous appuyant sur une échelle reconnue (CVSS).

7.2. Nous corrigeons sans retard injustifié. Nos objectifs de correction sont les suivants :

7.3. Une faille activement exploitée est traitée en priorité absolue, quelle que soit sa gravité estimée.

7.4. Lorsque c’est techniquement possible, nous publions les correctifs de sécurité séparément des nouvelles fonctionnalités.

7.5. Nous vous tenons informé de la correction et vous invitons à vérifier le correctif avant sa publication si vous le souhaitez.

8. Divulgation coordonnée et avis de sécurité

8.1. Nous vous demandons de ne pas rendre la faille publique avant la publication du correctif, ou avant un délai de 90 jours à compter de votre signalement si aucun correctif n’est publié. Ce délai peut être ajusté d’un commun accord, par exemple si la faille est déjà exploitée ou si la correction est particulièrement complexe.

8.2. Quand un correctif est disponible, nous diffusons un avis de sécurité. Il accompagne la mise à jour qui corrige la faille et il est porté à la connaissance des utilisateurs comme indiqué à la section 9.4. Il indique :

• la description de la faille ;
• les versions concernées ;
• l’impact et la gravité ;
• la version corrigée et ce que l’utilisateur doit faire.

8.3. Dans des cas justifiés, quand la publication des détails ferait courir plus de risques qu’elle n’apporte de protection, nous pouvons retarder les détails techniques jusqu'à ce que les utilisateurs aient pu installer le correctif.

8.4. Quand c’est pertinent, nous demandons un identifiant CVE pour la faille.

9. Mises à jour de sécurité et durée de support

9.1. Durée de support. Nous fournissons des mises à jour de sécurité pour Halyx pendant toute sa période de support. Cette période couvre au moins la durée de votre abonnement et, en tout état de cause, la durée minimale imposée par la loi, notamment par le code de la consommation et par le règlement (UE) 2024/2847 sur la cyber-résilience dans les conditions où il s’applique. Si nous fixons une date de fin de support, nous l’indiquons dans le logiciel et au moment de l’achat, et elle ne peut pas être antérieure à ces durées.

9.2. Gratuité. Les mises à jour de sécurité sont gratuites et fournies à tous les utilisateurs, avec ou sans abonnement en cours, pendant toute la période de support.

9.3. Disponibilité. Chaque mise à jour de sécurité reste disponible au moins 10 ans après sa publication, ou jusqu'à la fin de la période de support si elle est plus longue. Elle vous est fournie sur simple demande à contact@halyxapp.com.

9.4. Information. Nous vous informons de chaque mise à jour de sécurité disponible, dans le logiciel ou par e-mail à l’adresse de votre compte. Le message explique ce qu’elle corrige, ce que vous devez faire et les conséquences si vous ne l’installez pas.

9.5. Installation. Vous choisissez le moment de l’installation : vous pouvez la reporter, par exemple pendant un spectacle. Si vous n’installez pas dans un délai raisonnable une mise à jour dont vous avez été informé, avec ses conséquences, nous ne sommes pas responsables d’un défaut qui résulte uniquement de cette absence d’installation, sauf si elle est due à des instructions d’installation incorrectes (article L. 224-25-25 du code de la consommation).

10. Composants tiers

10.1. Halyx utilise des bibliothèques libres. Nous suivons les failles publiées qui les concernent.

10.2. Si nous découvrons une faille dans un composant tiers, nous la signalons à la personne ou à l’organisation qui le maintient. Si nous écrivons un correctif, nous le lui transmettons.

10.3. Pour chaque version publiée, nous établissons la liste des composants logiciels qu’elle intègre, au moins ses dépendances directes. Elle est consultable dans le logiciel (Réglages › Documents légaux › Licences tierces). Nous la remettons aux autorités de surveillance du marché sur demande, dans un format courant et lisible par machine.

11. Signalements aux autorités

11.1. Règlement (UE) 2024/2847 sur la cyber-résilience

11.1.1. Depuis le 11 septembre 2026, nous signalons toute vulnérabilité activement exploitée de Halyx et tout incident grave ayant un impact sur sa sécurité. Le signalement est adressé simultanément au centre de réponse aux incidents (CSIRT) désigné comme coordinateur en France, où l'éditeur est établi, et à l’Agence de l’Union européenne pour la cybersécurité (ENISA), par la plateforme unique de signalement.

11.1.2. Les délais sont comptés à partir du moment où nous en avons connaissance :

11.1.3. Nous informons sans retard injustifié les utilisateurs concernés, et si nécessaire tous les utilisateurs, de la vulnérabilité ou de l’incident, et des mesures qu’ils peuvent prendre.

11.2. Données personnelles (RGPD)

11.2.1. Si une faille entraîne une violation de données personnelles présentant un risque pour les personnes, nous la notifions à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du RGPD).

11.2.2. Si le risque est élevé, nous en informons aussi les personnes concernées dans les meilleurs délais (article 34 du RGPD).

11.2.3. Le traitement des données personnelles est décrit dans la politique de confidentialité de Halyx, accessible dans le logiciel (Réglages › Documents légaux).

11.3. Autres obligations

Nous respectons les autres obligations de signalement applicables. En particulier, lorsque l’article L. 2321-4-1 du code de la défense s’applique, nous notifions à l’ANSSI toute vulnérabilité significative ou tout incident compromettant la sécurité de Halyx, et nous informons les utilisateurs concernés dans les conditions et délais qu’elle fixe.

12. Mesures de sécurité en place

Cette section décrit des mesures réelles de Halyx. Elle n’est pas une garantie d’absence de faille.

• Données du show : le contenu des shows reste sur la machine de l’utilisateur. Il n’est pas envoyé à nos services.
• Paiement : les paiements sont traités par Stripe. Nous ne voyons ni ne stockons les numéros de carte.
• Compte : les mots de passe sont gérés par notre prestataire d’authentification (Supabase) ; nous ne les connaissons pas. Les codes de confirmation envoyés par e-mail sont valables une heure. Les essais de connexion et les demandes de codes par e-mail sont limités.
• Connexion au compte : les informations de connexion sont enregistrées chiffrées sur l’ordinateur où Halyx est installé (sous Windows, liées à la session Windows qui fait fonctionner Halyx). Elles ne sont jamais transmises aux autres appareils connectés à Halyx. Changer l’adresse e-mail du compte demande son mot de passe ; depuis un autre appareil que l’ordinateur où Halyx est installé, gérer l’abonnement, télécharger ses données ou libérer une machine le demandent aussi.
• Licence : la licence est vérifiée sur la machine par une signature électronique. L’identifiant de la machine n’est jamais envoyé en clair.
• Réseau local : Halyx peut servir son interface en HTTPS. Le mot de passe de votre compte Halyx, les codes reçus par e-mail et les codes cadeaux ne sont acceptés sans HTTPS que sur l’ordinateur où Halyx est installé ; depuis un autre appareil, il faut passer en HTTPS. Les codes d’accès des appareils peuvent circuler sans HTTPS : utilisez HTTPS sur un réseau partagé.
• Rapports d’erreur : activés par défaut pour nous aider à corriger Halyx. Au premier lancement, Halyx vous en informe et vous propose de les désactiver ; vous pouvez aussi le faire à tout moment dans Réglages. Un rapport contient notamment la description technique de l’erreur, la version de Halyx et le système. Le logiciel en retire votre adresse e-mail, les jetons et les adresses IP ; il n’y joint ni votre mot de passe ni le contenu de vos shows. Les rapports sont conservés 90 jours au plus. Le détail, et ses limites, figurent dans la politique de confidentialité.

Nos recommandations aux utilisateurs :

• installez les mises à jour de sécurité dès que possible ;
• ne rendez jamais Halyx accessible directement depuis Internet ;
• utilisez un réseau d'éclairage séparé du réseau public ou du réseau des spectateurs ;
• utilisez l’accès en HTTPS quand des appareils se connectent à Halyx ;
• choisissez un mot de passe de compte unique et solide.

13. Remerciements

13.1. Nous ne proposons pas de récompense financière (pas de programme de « bug bounty »).

13.2. Avec votre accord, nous vous remercions publiquement dans l’avis de sécurité, sous le nom ou le pseudonyme de votre choix.

14. Modification de cette politique

14.1. Nous pouvons modifier cette politique, notamment pour suivre l'évolution de la loi. Une modification ne réduit jamais la durée de support ni les engagements de mise à jour annoncés au moment de votre achat.

14.2. La version en vigueur est celle affichée dans le logiciel (Réglages › Documents légaux), avec son numéro et sa date. Elle vous est aussi envoyée sur simple demande à contact@halyxapp.com.

14.3. Un signalement est traité selon la version en vigueur au jour de son envoi.

15. Historique