1. Consentement et préparation sûre du test
L'enquête ne commence qu'après que l'autorité ou la permission ont été confirmées et que le domaine exact, les environnements, l'accès, les fenêtres de test sécurisées et les limites avec des systèmes tiers ont été établis par écrit. Ces accords protègent le fonctionnement de l'entreprise et déterminent à quoi le certificat se rapporte ; ils ne réduisent pas le cadre permanent de contrôle.
2. Cadre de contrôle fixe et résultat
Chaque audit de site web comprend l'audit complet de sécurité et l'audit de confidentialité RGPD/GDPR lié au site web selon la version-cadre applicable. Chaque contrôle obtient un résultat ; seules les fonctionnalités manifestement absentes sont justifiées et enregistrées comme non applicables. Le certificat confirme le dernier nouveau test réussi pour le domaine mentionné et la période de validité publiée.
3. Modifications et corrections
La mission définit les corrections que Charter Nine effectue et leur prix. Un travail supplémentaire nécessite un accord distinct. Un audit ou une mission de correction ne donne pas automatiquement droit à C9 Verified ; tous les critères de certification applicables doivent être satisfaits de manière démontrable.
Pour chaque constatation, nous enregistrons qui effectue les corrections et leur date limite. Lorsque votre développeur ou fournisseur réalise les corrections, notre nouveau test technique reste nécessaire à la certification. Les travaux et nouveaux tests supplémentaires sont chiffrés et convenus au préalable.
Le travail de réparation est délimité, testé et exécuté de manière réversible lorsque cela est possible. Le client reste responsable des sauvegardes valides, des décisions concernant le fonctionnement de l'entreprise et de l'accès aux systèmes, sauf accord écrit contraire.
4. Droit d'utilisation et période de validité
C9 Verified est la certification propre à Charter Nine. Elle confirme l’enquête au moment indiqué et dans le périmètre de contrôle enregistré. Elle ne garantit pas la sécurité future ni la conformité légale générale et n’est pas une certification gouvernementale, européenne, ISO ou OWASP.
Le badge reste la propriété de Charter Nine. Le client obtient le droit d'utilisation pour le domaine mentionné tant que le certificat public est valide et que les règles de publication sont respectées.
5. Recontrôle et nouvelles constatations
Le certificat est valable un an. Le propriétaire reçoit un rappel onze mois civils après le début de la période de validité du certificat. Une nouvelle vérification ne commence qu'après une nouvelle commande. Signalez les modifications pertinentes, les nouvelles vulnérabilités et incidents dès qu'ils sont connus via le canal de contact convenu. C9 Verified ne comprend pas de surveillance continue.
Pour une nouvelle constatation non critique, nous enregistrons le statut « Corrections requises ». Les corrections et un nouveau test réussi doivent intervenir dans le délai indiqué : au maximum 30 jours calendaires à compter de l'enregistrement et jamais après la date d'expiration. Pendant ce statut, le badge hébergé n'est pas affiché. Sans nouveau test réussi dans les délais, le certificat est suspendu ou expire à la fin de la période de validité. Les situations critiques ou autres situations bloquant le badge entraînent une suspension immédiate.
6. Statut actuel et cessation
Le registre affiche le statut actuellement enregistré. Outre les délais ci-dessus, une utilisation trompeuse du badge, la fin de la coopération ou une modification importante peuvent entraîner une suspension, un retrait ou une expiration. Après la fin du droit d'utilisation, le badge est retiré.
7. Confidentialité et données
Les deux parties traitent les informations techniques non publiques avec soin. Les secrets ne sont partagés que via l’environnement client sécurisé, pas via le formulaire de contact ordinaire. Les données personnelles sont traitées conformément aux accords de confidentialité applicables.
8. Accords de mission
Les services externes sont évalués dans la mesure où leur utilisation et leur connexion font partie du site web examiné ; leur infrastructure complète n’est donc pas certifiée. L’accès manquant pour un contrôle obligatoire reste une limite et bloque l’émission.
La proposition signée peut fixer le prix, le calendrier, l'accès, les fenêtres de test et les travaux de correction. Elle ne peut pas restreindre le cadre de contrôle fixe ni les critères de certification. L'accord écrit contient les conditions applicables et, si nécessaire, les accords de sous-traitance. Ce résumé public ne remplace pas ces accords de mission.