Condiciones de la plataforma de bug bounty para investigadores

En las presentes Condiciones, los términos siguientes tienen el significado que se indica:

1. (a)«Operador»: Osaühing Ida Portal, número de registro 10970449, domicilio social: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, que presta sus servicios bajo el nombre Security Test Team;
2. (b)«Plataforma»: la plataforma de bug bounty que el Operador gestiona en el sitio web securitytest.team;
3. (c)«Investigador»: la persona física que ha aceptado las presentes Condiciones y cuyo registro ha confirmado el Operador;
4. (d)«Propietario»: la persona jurídica, o la persona física que actúa en el ejercicio de su actividad empresarial o profesional, que ha publicado un Programa en la Plataforma;
5. (e)«Activo»: un sitio web, una aplicación, una interfaz u otro sistema de información que un Programa designa como objeto de investigación;
6. (f)«Programa»: las condiciones con arreglo a las cuales un Propietario invita a los Investigadores a buscar vulnerabilidades en sus Activos: el alcance, las exclusiones, la tabla de Recompensas y las reglas que el Propietario añade a las Reglas de la Plataforma;
7. (g)«Reglas de la Plataforma»: las reglas de investigación establecidas en la sección 4;
8. (h)«Informe»: el mensaje del Investigador sobre una vulnerabilidad de un Activo, enviado a través de la Plataforma;
9. (i)«Informe Válido»: un Informe sobre una vulnerabilidad de un Activo incluido en el alcance que el Operador ha reproducido, que es el primer Informe de esa vulnerabilidad y que se ha obtenido dentro del Programa y de las Reglas de la Plataforma;
10. (j)«Gravedad»: la valoración cualitativa de una vulnerabilidad conforme al Common Vulnerability Scoring System, versión 4.0: baja, media, alta o crítica;
11. (k)«Recompensa»: el importe que el Operador paga por un Informe Válido como retribución por encontrar, verificar y notificar la vulnerabilidad;
12. (l)«Beneficiario»: la persona a la que se paga una Recompensa conforme a la sección 8;
13. (m)«Contrato»: el contrato celebrado entre el Operador y el Investigador con arreglo a las presentes Condiciones.

En virtud del Contrato, el Operador da al Investigador acceso a los Programas y adquiere del Investigador, en nombre propio y por cuenta propia, el servicio de encontrar, verificar y notificar vulnerabilidades de los Activos, y el Investigador realiza investigaciones dentro de los Programas y de las Reglas de la Plataforma. El Operador paga la Recompensa por cada Informe Válido.

El Operador entrega los Informes Válidos a los Propietarios como servicio propio. La obligación del Operador de pagar una Recompensa no depende del pago por parte del Propietario. El Investigador no tiene frente a un Propietario ningún derecho a una Recompensa, y un Propietario no tiene ninguna obligación de pago frente al Investigador.

La persona que desee participar envía una solicitud a través del formulario de la Plataforma y acepta en él las presentes Condiciones. El Operador responde en el plazo de 1 día hábil.

El Contrato se celebra en el momento en que el Operador confirma el registro del Investigador. El Operador puede rechazar una solicitud sin indicar los motivos.

El Contrato es un contrato marco. No crea ninguna obligación del Investigador de realizar investigaciones ni de enviar Informes. El Investigador decide por sí solo si investiga, cuándo, dónde y cómo, y en qué Programa participa.

El Investigador actúa de forma independiente y a su propia costa, en nombre propio o en nombre del Beneficiario conforme a la sección 8. El Contrato no crea ninguna relación laboral, de agencia ni de sociedad entre el Investigador y el Operador o un Propietario. Las Reglas de la Plataforma y las reglas de un Programa fijan los límites de la autorización del Propietario; no son instrucciones sobre cómo realizar el trabajo.

El Operador no toma ninguna decisión sobre el Investigador basada únicamente en medios automatizados, incluidas las decisiones sobre un Informe, sobre una Recompensa o sobre la participación del Investigador. Cada Informe lo examina una persona.

Puede ser Investigador la persona que:

1. (a)tenga al menos 18 años y plena capacidad de obrar;
2. (b)no figure en las listas de las sanciones internacionales vinculantes en Estonia: las medidas restrictivas de la Unión Europea y las sanciones del Gobierno de la República de Estonia;
3. (c)no esté controlada por una persona que figure en dichas listas ni actúe en nombre de ella;
4. (d)no forme parte del personal del Operador.

El Investigador no participa en un Programa de un Propietario para el que trabaje, o para el que haya trabajado en los doce meses anteriores al Informe, como empleado o contratista, y no notifica una vulnerabilidad de la que haya tenido conocimiento en el ejercicio de dicho trabajo.

Cada Investigador tiene un único registro. El registro no se transmite a otra persona.

El Investigador que participa en un Programa:

1. (a)investiga únicamente los Activos que el Programa indica como incluidos en el alcance, y consulta al Operador antes de actuar cuando el Programa no sea claro;
2. (b)utiliza únicamente las cuentas y los datos que ha creado él mismo o los que el Propietario ha facilitado para la investigación;
3. (c)no lee, altera, copia ni conserva datos que no le pertenezcan. El Investigador que haya obtenido acceso a tales datos se detiene, no los copia, suprime los que conserve, informa de inmediato y confirma la supresión al Operador;
4. (d)utiliza la actuación mínima que demuestre la vulnerabilidad, no deja ningún medio de acceso y no pasa del Activo a otros sistemas;
5. (e)no degrada el Activo: no realiza ataques de denegación de servicio, no envía mensajes masivos y no realiza escaneos a un ritmo que afecte a la disponibilidad;
6. (f)no recurre a la ingeniería social, al phishing ni al acceso físico, salvo que el Programa lo permita expresamente;
7. (g)notifica las vulnerabilidades únicamente a través de la Plataforma y sin demora, y no las comparte, vende ni publica;
8. (h)no exige ningún pago ni impone condiciones por un Informe distintos de la Recompensa del Programa;
9. (i)cumple la ley que le sea aplicable y las reglas que el Propietario haya añadido al Programa.

Las reglas de un Programa pueden hacer más estrictas las Reglas de la Plataforma. Cuando difieran, se aplica la regla más estricta.

Al publicar un Programa, su Propietario autoriza a los Investigadores para los que el Programa esté abierto a investigar los Activos incluidos en el alcance dentro del Programa y de las Reglas de la Plataforma, y se compromete a no emprender ni apoyar acciones legales contra un Investigador por la investigación realizada de buena fe dentro de ellos.

Si un tercero emprende acciones legales contra el Investigador por dicha investigación, el Operador confirma que la investigación se realizó dentro de un Programa de la Plataforma.

La autorización y los compromisos los otorga el Propietario y vinculan al Propietario. Solo abarcan la investigación realizada de buena fe dentro del Programa y de las Reglas de la Plataforma. No abarcan los sistemas de terceros, incluidos los de los proveedores de alojamiento, de nube y de otro tipo y los servicios de terceros que utiliza un Activo; no vinculan a las autoridades públicas y no sustituyen a la ley de otros Estados, incluida la ley del Estado en el que el Investigador realiza la investigación.

El Informe se envía a través del canal que el Operador ha facilitado al Investigador en el registro. El Informe contiene:

1. (a)el Programa y el Activo afectados;
2. (b)la dirección y el parámetro o el componente afectados;
3. (c)los pasos para reproducir la vulnerabilidad desde un estado limpio;
4. (d)lo que podría conseguir un atacante;
5. (e)las evidencias, de las que se han eliminado los datos de otras personas.

Un especialista del Operador examina el Informe en el plazo de 5 días hábiles desde su recepción: reproduce la vulnerabilidad, establece si el Informe es un Informe Válido y determina la Gravedad. El Operador informa al Investigador del resultado y de sus motivos.

Cuando varios Informes describan la misma vulnerabilidad, el primero de ellos es el Informe Válido.

Si el Investigador no está de acuerdo con el resultado, expone los motivos por escrito. El Operador vuelve a examinar el Informe; cuando sea posible, lo hace una persona distinta de la que lo examinó en primer lugar. El resultado de ese examen es definitivo entre las partes, sin perjuicio del derecho a acudir a los tribunales.

Por un Informe Válido, el Operador paga la Recompensa. La Recompensa es la retribución por encontrar, verificar y notificar la vulnerabilidad, y no un premio.

El Propietario del Programa decide el importe de la Recompensa en el plazo de 10 días hábiles desde la recepción del informe, dentro de la tabla del Programa para la Gravedad que ha determinado el Operador. Si el Propietario no ha decidido dentro de ese plazo, la Recompensa es el importe mínimo de la tabla para esa Gravedad. El Operador informa al Investigador del importe.

La obligación del Operador de pagar la Recompensa nace el día en que se ha decidido el importe o ha vencido el plazo para la decisión. No depende del pago por parte del Propietario.

El Investigador recibe la Recompensa íntegra. El Operador no retiene nada de ella; la comisión de la Plataforma la paga el Propietario además de la Recompensa. La Recompensa no incluye el impuesto sobre el valor añadido.

El Operador paga la Recompensa en el plazo de 10 días hábiles desde la decisión, en euros, mediante transferencia bancaria a la cuenta del Beneficiario. Cuando el día de la decisión no se cumplan las condiciones de la sección 9, el plazo corre desde el día en que se cumplan. Cada parte asume los gastos de su propio banco.

No se paga ninguna Recompensa por un Informe:

1. (a)que no sea un Informe Válido;
2. (b)que se haya obtenido incumpliendo el Programa, las Reglas de la Plataforma o la ley;
3. (c)de un Investigador que no cumpla las condiciones de la sección 3;
4. (d)sobre una vulnerabilidad que el Investigador haya revelado a un tercero.

Los impuestos y las cotizaciones que se adeuden por la Recompensa los paga el Investigador o el Beneficiario en el Estado en el que se adeuden.

El Operador solo paga Recompensas cuando la ley estonia no le exige ni retener impuestos de la Recompensa ni pagar por ella el impuesto social. Por ello, la Recompensa solo se paga a un Beneficiario, que es uno de los siguientes:

1. (a)el Investigador como particular, si no es residente en Estonia a efectos fiscales y realiza la investigación fuera de Estonia;
2. (b)el Investigador como empresario individual inscrito en el registro mercantil de Estonia o de otro Estado del Espacio Económico Europeo, cuando la Recompensa sea un ingreso de la actividad empresarial de dicho empresario individual;
3. (c)una persona jurídica a la que el Investigador esté facultado para representar: una persona jurídica de Estonia; o, para la investigación realizada fuera de Estonia, una persona jurídica extranjera que no esté ubicada en una jurisdicción incluida en la lista de la UE de países y territorios no cooperadores a efectos fiscales.

Por ello, el Investigador que sea residente en Estonia a efectos fiscales, o que realice la investigación en Estonia, solo recibe Recompensas como empresario individual o a través de una persona jurídica.

Cuando el Beneficiario sea un empresario individual, el Investigador realiza la investigación en el ejercicio de esa actividad empresarial. Cuando el Beneficiario sea una persona jurídica, el Investigador realiza la investigación y envía los Informes en su nombre, el servicio lo presta dicha persona jurídica y la Recompensa se le adeuda a ella; al designarla como Beneficiario, el Investigador acepta las presentes Condiciones también en su nombre.

Las Recompensas no se pagan en una cuenta de empresario (ettevõtluskonto) conforme a la Ley de Tributación Simplificada de los Rendimientos Empresariales de Estonia.

Antes del primer pago, el Investigador declara al Operador el Estado en el que es residente a efectos fiscales, el Estado en el que realiza la investigación y el Beneficiario. El Investigador informa al Operador de cualquier cambio sin demora y, en todo caso, antes de que se pague una Recompensa por un Informe enviado después del cambio.

Si una declaración del Investigador resulta ser falsa, el Investigador indemniza al Operador por los impuestos, los intereses y los demás cargos que el Operador tenga que pagar como consecuencia de ello.

El Beneficiario que sea un empresario individual o una persona jurídica factura la Recompensa al Operador. El impuesto sobre el valor añadido lo repercute el Beneficiario o lo liquida el Operador por inversión del sujeto pasivo, según exija la ley.

Para un Beneficiario que sea un particular, el Operador emite un documento en el que se indican el Programa, el Informe y el importe.

Antes del primer pago, el Investigador facilita al Operador la información siguiente y la mantiene actualizada:

1. (a)el nombre completo, la fecha de nacimiento y la dirección principal del Investigador;
2. (b)el documento de identidad del Investigador, para la comprobación de la identidad;
3. (c)cada número de identificación fiscal del Investigador y el Estado que lo expidió o, si no se ha expedido ninguno, el lugar de nacimiento;
4. (d)el número de identificación a efectos del IVA del Investigador, si se ha expedido;
5. (e)si el Beneficiario es un empresario individual: el registro en el que está inscrito y su número de registro;
6. (f)si el Beneficiario es una persona jurídica: su denominación social, domicilio social, número de registro, número de identificación fiscal y número de identificación a efectos del IVA, sus establecimientos permanentes en la Unión Europea, las personas que poseen el 50 % o más de ella o la controlan y el documento del que se deriva el derecho del Investigador a representarla;
7. (g)el identificador de la cuenta bancaria en la que se paga la Recompensa y el nombre de su titular.

La cuenta está a nombre del Beneficiario en un banco que no esté sujeto a medidas restrictivas de la Unión Europea que prohíban realizar operaciones con él.

El Operador comprueba la identidad del Investigador con el documento de identidad sin conservar una copia: registra el tipo, el número, el Estado de expedición y la fecha de caducidad del documento, así como la fecha, el método y el resultado de la comprobación. El Operador coteja el resto de la información con los registros públicos y con las interfaces electrónicas que la Unión Europea y los Estados miembros ponen a disposición gratuitamente para comprobar los números de identificación fiscal y los números de identificación a efectos del IVA, y puede exigir documentos adicionales.

Antes de cada pago, el Operador contrasta al Investigador, al Beneficiario y a la persona a la que se efectúa el pago con las listas de las sanciones internacionales vinculantes en Estonia. Un Beneficiario que sea una persona jurídica no puede figurar en dichas listas, ni pertenecer en un 50 % o más a una persona que figure en ellas o estar controlado por ella, ni actuar en su nombre.

El Operador solo paga una Recompensa después de haber comprobado la identidad del Investigador, las declaraciones de la sección 8, el Beneficiario y la cuenta, y de haber realizado la comprobación en las listas de sanciones.

Cuando las sanciones internacionales prohíban el pago, el Operador no paga la Recompensa, congela el importe y lo comunica a la Unidad de Inteligencia Financiera cuando la ley lo exija. El derecho a la Recompensa permanece congelado y no se paga a nadie mientras se aplique la sanción. En tal caso, el Operador no responde de no haber pagado la Recompensa.

El Operador es un operador de plataforma obligado a comunicar información conforme a la Directiva 2011/16/UE del Consejo, modificada por la Directiva (UE) 2021/514 del Consejo, y al capítulo 2⁴ de la Ley de Intercambio de Información Tributaria de Estonia.

Cada año, a más tardar el 31 de enero del año siguiente, el Operador comunica a la Administración de Impuestos y Aduanas de Estonia la información de la sección 9 sobre los Investigadores y los Beneficiarios residentes en un Estado miembro de la Unión Europea o en una jurisdicción incluida en la lista de la Administración de Impuestos y Aduanas de Estonia, las Recompensas que se les han pagado en cada trimestre y el número de Informes Válidos por los que se han pagado. La Administración de Impuestos y Aduanas de Estonia intercambia la información con el Estado o los Estados de residencia.

Antes de comunicarla, y a más tardar el 31 de enero, el Operador facilita a cada Investigador y a cada Beneficiario la información sobre ellos que va a comunicar.

Si el Investigador no facilita la información necesaria para la comunicación pese a dos recordatorios, el Operador puede retener el pago de las Recompensas hasta que se facilite la información, pero no antes de que transcurran 60 días desde la primera solicitud, tal como permite el artículo 8, apartado 1¹, de la Ley de Intercambio de Información Tributaria.

Al enviar un Informe, el Investigador concede al Operador una licencia no exclusiva, sin límite temporal ni territorial, para utilizar el Informe con el fin de examinar la vulnerabilidad y entregar el Informe Válido al Propietario, con el derecho de conceder al Propietario del Programa una licencia de la misma naturaleza para utilizar el Informe con el fin de corregir la vulnerabilidad y proteger los Activos.

La licencia se concede sin contraprestación separada. La Recompensa es la retribución por el servicio de encontrar, verificar y notificar la vulnerabilidad, no un pago por la licencia.

El Investigador sigue siendo el autor del Informe. El Operador y el Propietario solo mencionan al Investigador como autor del Informe con su consentimiento y con el nombre que el Investigador haya elegido.

El Investigador declara que el Informe es obra suya y que su envío no vulnera los derechos de terceros.

El Operador almacena los Informes, los mensajes y cualquier otro texto o archivo que el Investigador envíe a través de la Plataforma. No pueden contener:

1. (a)contenido ilícito conforme al Derecho de la Unión Europea o de un Estado miembro;
2. (b)contenido que vulnere los derechos de otras personas, incluidos los derechos de propiedad intelectual;
3. (c)datos personales más allá de lo necesario para demostrar la vulnerabilidad;
4. (d)código malicioso operativo más allá de una prueba de concepto que demuestre la vulnerabilidad.

Toda revisión y toda decisión conforme a la presente sección y a la sección 15 la realiza una persona. El Operador no toma ninguna decisión sobre el contenido por medios automatizados.

Cuando un contenido sea ilícito o incompatible con las presentes Condiciones, el Operador puede adoptar las medidas siguientes, de manera diligente, objetiva y proporcionada y teniendo debidamente en cuenta los derechos y los intereses legítimos de las partes afectadas:

1. (a)rechazar el contenido o retirarlo;
2. (b)suspender la participación del Investigador en un Programa o en la Plataforma o ponerle fin;
3. (c)denegar o retener la Recompensa por el Informe afectado.

El Operador comunica al Investigador cada una de dichas medidas, a más tardar cuando surta efecto, con una declaración de motivos conforme al artículo 17 del Reglamento (UE) 2022/2065. La declaración indica la medida, su alcance y su duración; los hechos y las circunstancias en que se basa, incluido si la medida se adoptó a raíz de una notificación; el fundamento: la disposición legal, en el caso de contenido ilícito, o la disposición de las presentes Condiciones, en el caso de contenido incompatible con ellas; que la decisión la tomó una persona; y las posibilidades de recurso.

El Investigador puede solicitar la revisión de la medida por correo electrónico a info@securitytest.team, indicando los motivos. Cuando sea posible, la solicitud la examina una persona distinta de la que adoptó la medida. El Operador informa al Investigador del resultado y de sus motivos sin dilación indebida. El derecho del Investigador a acudir a los tribunales no se ve afectado.

El Investigador mantiene la confidencialidad de las vulnerabilidades, de los Informes, de la correspondencia sobre ellos y de todo lo que no sea público sobre un Programa y su Propietario, incluida la existencia de un Programa privado.

Una vulnerabilidad solo se divulga al público después de haber sido corregida y con el consentimiento por escrito del Propietario, otorgado a través de la Plataforma.

La obligación de confidencialidad permanece en vigor tras la extinción del Contrato.

El Operador trata los datos personales del Investigador de conformidad con su Política de privacidad.

El Operador no revela la identidad del Investigador a un Propietario sin el consentimiento del Investigador, salvo cuando el Investigador haya actuado fuera del Programa o de las Reglas de la Plataforma y el Propietario necesite la identidad para la formulación, el ejercicio o la defensa de reclamaciones, o cuando la ley o una resolución vinculante de un tribunal o de una autoridad exija revelarla. En los Informes y en los agradecimientos, el Investigador figura con el nombre que haya elegido.

Si el Investigador ha incumplido las presentes Condiciones o las reglas de un Programa, el Operador puede suspender la participación del Investigador o ponerle fin, denegar la Recompensa por el Informe obtenido con dicho incumplimiento e informar al Propietario afectado. El Operador comunica la medida al Investigador con una declaración de motivos y le informa de las posibilidades de recurso conforme a la sección 12.

El Investigador responde de los daños que haya causado con actuaciones fuera del Programa y de las Reglas de la Plataforma.

El Operador responde frente al Investigador del pago de una Recompensa desde el día en que se ha decidido la Recompensa o ha vencido el plazo para la decisión.

El Operador no garantiza que haya Programas abiertos en todo momento, que un Programa permanezca sin cambios ni que un Informe vaya a ser recompensado.

El Operador responde sin limitación de los daños que haya causado de forma dolosa o por negligencia grave, así como de la muerte, las lesiones corporales y los daños a la salud.

En todos los demás casos, la responsabilidad total del Operador se limita a las Recompensas que se adeuden al Investigador.

El Contrato entra en vigor en el momento de su celebración y se celebra por tiempo indefinido.

Cada parte puede resolver el Contrato en cualquier momento mediante una comunicación a la otra parte.

Las Recompensas por los Informes Válidos enviados antes de la extinción del Contrato se pagan con arreglo a las presentes Condiciones.

El Contrato se rige por la ley de la República de Estonia.

Las partes procuran resolver los litigios mediante negociación. El litigio que no se resuelva mediante negociación lo resuelve el tribunal de la República de Estonia en cuya circunscripción se encuentra el domicilio social del Operador.

Quedan a salvo las disposiciones imperativas de la ley que protegen al Investigador y que no pueden excluirse mediante acuerdo.

El Operador puede modificar las presentes Condiciones. Comunica la modificación al Investigador por correo electrónico a más tardar 30 días antes de que surta efecto. El Investigador que no esté de acuerdo con la modificación puede resolver el Contrato antes de esa fecha.

Las comunicaciones en virtud del Contrato se envían por correo electrónico: al Operador, a info@securitytest.team; al Investigador, a la dirección indicada en la solicitud.

El Investigador no cede el Contrato a un tercero sin el consentimiento por escrito del Operador. Esto no restringe la cesión de un crédito dinerario.

Si una disposición de las presentes Condiciones es nula, ello no afecta a la validez de las demás disposiciones.

Las presentes Condiciones se redactan en inglés y se publican traducidas. Si una traducción difiere del texto en inglés, prevalece el texto en inglés.