Paperless

Politique de signalement des vulnérabilités

Vous avez découvert une faille de sécurité dans l'application Paperless, ses serveurs ou ce site ? Merci de nous la signaler : cette page explique comment, et ce que nous nous engageons à faire. English version below.

Dernière modification le 19 octobre 2026

Comment nous signaler une vulnérabilité

Écrivez-nous à [email protected] avec pour objet « Signalement de vulnérabilité », en français ou en anglais. Cette adresse est aussi indiquée dans notre fichier security.txt, conforme à la RFC 9116.

Pour que nous puissions reproduire le problème rapidement, indiquez si possible :

  • le service concerné (application iPhone ou Android, serveurs, site) et la version de l'application ;
  • les étapes pour reproduire la faille ;
  • une preuve (capture d'écran, requête, journal), limitée au strict nécessaire ;
  • si vous souhaitez être cité une fois le problème corrigé.

Aucune clé de chiffrement n'est publiée pour le moment. Ne joignez pas de données personnelles d'autres utilisateurs à votre message : une description suffit.

Périmètre

Cette politique couvre les systèmes exploités par Paperless SAS : l'application mobile Paperless (iPhone et Android), ses serveurs et interfaces de programmation (API), et le site mypaperless.fr.

Les services de tiers que nous utilisons (paiement, hébergement, magasins d'applications, authentification) ne sont pas couverts : une faille qui leur est propre se signale directement à l'éditeur concerné.

Nos engagements

  • Nous accusons réception de votre signalement sous 5 jours ouvrés, et sous 24 heures si vous faites état d'une exploitation en cours.
  • Nous vous donnons un retour sur la qualification du problème sous 15 jours.
  • Nous vous tenons informé de la correction.
  • Nous n'engageons aucune poursuite contre une personne qui, de bonne foi, découvre et nous signale une vulnérabilité en respectant les règles ci-dessous.
  • Si vous le souhaitez, et avec votre accord, nous vous citons publiquement une fois le problème corrigé.

Ce que nous vous demandons

  • N'accédez pas aux données d'autres utilisateurs, ne les modifiez pas et ne les supprimez pas, au-delà de ce qui est strictement nécessaire pour démontrer la faille. Supprimez toute donnée obtenue dès que la preuve est établie.
  • N'effectuez aucune attaque par déni de service, ni aucune action qui dégrade le service pour les autres utilisateurs.
  • Ne divulguez pas publiquement la vulnérabilité avant sa correction, ou avant un délai de 90 jours à compter de votre signalement si elle n'est pas corrigée à cette échéance.

Le traitement des signalements de sécurité s'inscrit dans les obligations du règlement (UE) 2024/2847 sur la cyberrésilience. Les données que vous nous transmettez à cette occasion sont traitées conformément à notre politique de confidentialité.

Vulnerability disclosure policy

Found a security vulnerability in the Paperless app, its servers or this website? Please report it to us. This page explains how, and what we commit to.

How to report a vulnerability

Email [email protected] with the subject "Vulnerability report", in English or in French. This address is also listed in our security.txt file, compliant with RFC 9116.

To help us reproduce the issue quickly, please include where possible:

  • the affected service (iPhone or Android app, servers, website) and the app version;
  • the steps to reproduce the issue;
  • a proof of concept (screenshot, request, log), limited to what is strictly necessary;
  • whether you would like to be credited once the issue is fixed.

No encryption key is published at this time. Do not attach other users' personal data to your message: a description is enough.

Scope

This policy covers the systems operated by Paperless SAS: the Paperless mobile app (iPhone and Android), its servers and APIs, and the website mypaperless.fr.

Third-party services we rely on (payment, hosting, app stores, authentication) are out of scope: a vulnerability specific to one of them should be reported to that provider directly.

Our commitments

  • We acknowledge your report within 5 business days, or within 24 hours if you report active exploitation.
  • We give you feedback on the assessment of the issue within 15 days.
  • We keep you informed of the fix.
  • We will not take legal action against anyone who, in good faith, discovers and reports a vulnerability to us while following the rules below.
  • If you wish, and with your consent, we credit you publicly once the issue is fixed.

What we ask of you

  • Do not access, modify or delete other users' data beyond what is strictly necessary to demonstrate the vulnerability. Delete any data obtained as soon as the proof is established.
  • Do not perform any denial-of-service attack or any action that degrades the service for other users.
  • Do not publicly disclose the vulnerability before it is fixed, or before 90 days from your report if it is not fixed by then.

Security reports are handled under the obligations of Regulation (EU) 2024/2847 (Cyber Resilience Act). The data you send us in this context is processed in accordance with our privacy policy (in French).