Bug bounty platvormi tingimused uurijatele

Käesolevates tingimustes on allpool loetletud mõistetel järgmine tähendus:

1. (a)„Haldaja“ – Osaühing Ida Portal, registrikood 10970449, asukoht: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, mis osutab teenuseid nime Security Test Team all;
2. (b)„Platvorm“ – bug bounty platvorm, mida Haldaja haldab veebilehel securitytest.team;
3. (c)„Uurija“ – füüsiline isik, kes on käesolevate tingimustega nõustunud ja kelle registreerimise Haldaja on kinnitanud;
4. (d)„Omanik“ – juriidiline isik või oma majandus- või kutsetegevuses tegutsev füüsiline isik, kes on avaldanud Platvormil Programmi;
5. (e)„Vara“ – veebileht, rakendus, liides või muu infosüsteem, mis on Programmis nimetatud uuritavana;
6. (f)„Programm“ – tingimused, millel Omanik kutsub Uurijaid otsima turvanõrkusi oma Varades: ulatus, välistused, preemiatabel ja reeglid, mille Omanik lisab Platvormi reeglitele;
7. (g)„Platvormi reeglid“ – jaotises 4 sätestatud uurimise reeglid;
8. (h)„Raport“ – Uurija teade Vara turvanõrkuse kohta, mis on saadetud Platvormi kaudu;
9. (i)„Kehtiv raport“ – Raport ulatusse kuuluva Vara turvanõrkuse kohta, mille Haldaja on taasesitanud, mis on selle turvanõrkuse kohta esimene Raport ja mis on saadud Programmi ja Platvormi reeglite piires;
10. (j)„Raskusaste“ – turvanõrkuse kvalitatiivne hinnang Common Vulnerability Scoring System versiooni 4.0 järgi: madal, keskmine, kõrge või kriitiline;
11. (k)„Preemia“ – summa, mille Haldaja maksab Kehtiva raporti eest tasuna turvanõrkuse leidmise, kontrollimise ja sellest teatamise eest;
12. (l)„Väljamakse saaja“ – isik, kellele Preemia makstakse jaotise 8 kohaselt;
13. (m)„Leping“ – Haldaja ja Uurija vahel käesolevate tingimuste alusel sõlmitud leping.

Lepingu alusel annab Haldaja Uurijale juurdepääsu Programmidele ja omandab Uurijalt enda nimel ja enda arvel Varade turvanõrkuste leidmise, kontrollimise ja neist teatamise teenuse ning Uurija teeb uurimistööd Programmide ja Platvormi reeglite piires. Haldaja maksab iga Kehtiva raporti eest Preemia.

Haldaja annab Kehtivad raportid Omanikele üle oma teenusena. Haldaja kohustus Preemia maksta ei sõltu sellest, kas Omanik on maksnud. Uurijal ei ole Omaniku vastu Preemia nõuet ning Omanikul ei ole Uurija ees maksekohustust.

Isik, kes soovib osaleda, saadab taotluse Platvormi vormi kaudu ja nõustub selles käesolevate tingimustega. Haldaja vastab 1 tööpäeva jooksul.

Leping on sõlmitud hetkel, mil Haldaja kinnitab Uurija registreerimise. Haldaja võib taotlusest keelduda põhjusi esitamata.

Leping on raamleping. See ei pane Uurijale kohustust teha uurimistööd ega saata Raporteid. Uurija otsustab üksi, kas, millal, kus ja kuidas uurimistööd teha ning millises Programmis osaleda.

Uurija tegutseb iseseisvalt ja omal kulul, enda nimel või jaotise 8 kohase Väljamakse saaja nimel. Leping ei loo Uurija ja Haldaja ega Uurija ja Omaniku vahel töösuhet, esindussuhet ega seltsingut. Platvormi reeglid ja Programmi reeglid määravad kindlaks Omaniku loa piirid; need ei ole juhised selle kohta, kuidas tööd teha.

Haldaja ei tee Uurija kohta ühtki otsust üksnes automatiseeritud vahenditega, sealhulgas otsust Raporti, Preemia või Uurija osalemise kohta. Iga Raporti vaatab läbi inimene.

Uurija võib olla isik, kes:

1. (a)on vähemalt 18-aastane ja täielikult teovõimeline;
2. (b)ei ole kantud Eestis siduvate rahvusvaheliste sanktsioonide – Euroopa Liidu piiravate meetmete ja Eesti Vabariigi Valitsuse sanktsioonide – nimekirja;
3. (c)ei ole sellisesse nimekirja kantud isiku kontrolli all ega tegutse sellise isiku nimel;
4. (d)ei kuulu Haldaja personali.

Uurija ei osale Programmis, mille Omaniku heaks ta töötab või on Raportile eelnenud kaheteistkümne kuu jooksul töötanud töötaja või lepingupartnerina, ega teata turvanõrkusest, millest ta sai teada sellise töö käigus.

Uurijal on üks registreering. Registreeringut ei anta üle teisele isikule.

Programmis osalev Uurija:

1. (a)uurib üksnes Varasid, mille Programm nimetab ulatusse kuuluvaks, ja küsib Haldajalt enne tegutsemist, kui Programm on ebaselge;
2. (b)kasutab üksnes kontosid ja andmeid, mille ta on ise loonud või mille Omanik on uurimiseks andnud;
3. (c)ei loe, muuda, kopeeri ega säilita andmeid, mis ei kuulu talle. Uurija, kes on sellistele andmetele juurdepääsu saanud, lõpetab tegevuse, ei kopeeri andmeid, kustutab kõik tema valduses olevad andmed, teatab sellest kohe ja kinnitab kustutamist Haldajale;
4. (d)kasutab vähimat toimingut, mis turvanõrkuse tõendab, ei jäta maha juurdepääsuvahendeid ega liigu Varast edasi teistesse süsteemidesse;
5. (e)ei halvenda Vara toimimist: ei tee teenusetõkestusründeid, ei saada massilisi sõnumeid ega skanni kiirusega, mis mõjutab kättesaadavust;
6. (f)ei kasuta sotsiaalset manipulatsiooni, õngitsust ega füüsilist juurdepääsu, kui Programm neid sõnaselgelt ei luba;
7. (g)teatab turvanõrkusest viivitamata ja üksnes Platvormi kaudu ega jaga, müü ega avalikusta seda;
8. (h)ei nõua Raporti eest muud makset kui Programmi Preemia ega sea Raportile muid tingimusi;
9. (i)järgib talle kohaldatavat õigust ja reegleid, mille Omanik on Programmile lisanud.

Programmi reeglid võivad Platvormi reegleid rangemaks muuta. Kui need erinevad, kohaldatakse rangemat reeglit.

Programmi avaldamisega lubab selle Omanik Uurijatel, kellele Programm on avatud, uurida ulatusse kuuluvaid Varasid Programmi ja Platvormi reeglite piires ning kohustub mitte algatama ega toetama Uurija vastu õiguslikke menetlusi nende piires heauskselt tehtud uurimise pärast.

Kui kolmas isik algatab Uurija vastu sellise uurimise pärast menetluse, kinnitab Haldaja, et uurimine tehti Platvormi Programmi raames.

Loa ja kohustused annab Omanik ning need seovad Omanikku. Need hõlmavad üksnes Programmi ja Platvormi reeglite piires heauskselt tehtud uurimist. Need ei hõlma kolmandate isikute süsteeme, sealhulgas majutus-, pilve- ja muude teenuse pakkujate süsteeme ega kolmandate isikute teenuseid, mida Vara kasutab; need ei seo avaliku võimu asutusi ega asenda teiste riikide õigust, sealhulgas selle riigi õigust, kus Uurija uurimistööd teeb.

Raport saadetakse kanali kaudu, mille Haldaja on Uurijale registreerimisel andnud. Raport sisaldab:

1. (a)asjaomast Programmi ja Vara;
2. (b)asjaomast aadressi ja parameetrit või komponenti;
3. (c)turvanõrkuse taasesitamise samme alates puhtast olekust;
4. (d)seda, mida ründaja võiks saavutada;
5. (e)tõendeid, millest on eemaldatud teiste isikute andmed.

Haldaja spetsialist vaatab Raporti läbi 5 tööpäeva jooksul pärast kättesaamist: spetsialist taasesitab turvanõrkuse, teeb kindlaks, kas Raport on Kehtiv raport, ja määrab Raskusastme. Haldaja teatab Uurijale tulemuse ja selle põhjused.

Kui mitu Raportit kirjeldavad sama turvanõrkust, on Kehtiv raport neist esimene.

Kui Uurija ei ole tulemusega nõus, esitab ta põhjendused kirjalikult. Haldaja vaatab Raporti uuesti läbi; võimaluse korral teeb seda muu isik kui see, kes Raporti esimest korda läbi vaatas. Selle läbivaatamise tulemus on poolte vahel lõplik, ilma et see piiraks õigust pöörduda kohtusse.

Kehtiva raporti eest maksab Haldaja Preemia. Preemia on tasu turvanõrkuse leidmise, kontrollimise ja sellest teatamise eest, mitte auhind.

Programmi Omanik otsustab Preemia suuruse üle 10 tööpäeva jooksul pärast raporti kättesaamist Programmi preemiatabeli piires selle Raskusastme kohta, mille Haldaja on määranud. Kui Omanik ei ole selle tähtaja jooksul otsustanud, on Preemia selle Raskusastme kohta preemiatabelis märgitud väikseim summa. Haldaja teatab summa Uurijale.

Haldaja kohustus Preemia maksta tekib päeval, mil summa on otsustatud või otsustamise tähtaeg on lõppenud. See ei sõltu sellest, kas Omanik on maksnud.

Uurija saab kogu Preemia. Haldaja ei pea sellest midagi kinni; Platvormi komisjonitasu maksab Omanik Preemiale lisaks. Preemia ei sisalda käibemaksu.

Haldaja maksab Preemia välja 10 tööpäeva jooksul pärast otsust, eurodes ja pangaülekandega Väljamakse saaja kontole. Kui jaotise 9 tingimused ei ole otsuse päeval täidetud, hakkab tähtaeg kulgema päevast, mil need täidetakse. Kumbki pool kannab oma panga tasud.

Preemiat ei maksta Raporti eest:

1. (a)mis ei ole Kehtiv raport;
2. (b)mis on saadud Programmi, Platvormi reeglite või seaduse rikkumisega;
3. (c)mille on saatnud Uurija, kes ei vasta jaotise 3 tingimustele;
4. (d)mis käsitleb turvanõrkust, mille Uurija on avaldanud kolmandale isikule.

Preemialt tasumisele kuuluvad maksud ja muud kohustuslikud maksed tasub Uurija või Väljamakse saaja selles riigis, kus need tuleb tasuda.

Haldaja maksab Preemiaid üksnes juhul, kui Eesti õigus ei nõua Haldajalt Preemialt maksu kinnipidamist ega sotsiaalmaksu tasumist. Seetõttu makstakse Preemia üksnes Väljamakse saajale, kes on üks järgmistest:

1. (a)Uurija eraisikuna, kui Uurija ei ole maksustamise mõttes Eesti resident ja teeb uurimistööd väljaspool Eestit;
2. (b)Uurija füüsilisest isikust ettevõtjana, kes on kantud Eesti või mõne muu Euroopa Majanduspiirkonna riigi äriregistrisse, kui Preemia on selle füüsilisest isikust ettevõtja ettevõtlustulu;
3. (c)juriidiline isik, keda Uurija on volitatud esindama: Eesti juriidiline isik; või väljaspool Eestit tehtud uurimistöö puhul välismaa juriidiline isik, mille asukoht ei ole maksualases koostöös mitteosalevate jurisdiktsioonide ELi nimekirja kantud jurisdiktsioonis.

Uurija, kes on maksustamise mõttes Eesti resident või kes teeb uurimistööd Eestis, saab seetõttu Preemiaid üksnes füüsilisest isikust ettevõtjana või juriidilise isiku kaudu.

Kui Väljamakse saaja on füüsilisest isikust ettevõtja, teeb Uurija uurimistööd selle ettevõtluse raames. Kui Väljamakse saaja on juriidiline isik, teeb Uurija uurimistööd ja saadab Raportid selle juriidilise isiku nimel, teenust osutab see juriidiline isik ja Preemia kuulub maksmisele talle; nimetades juriidilise isiku Väljamakse saajaks, nõustub Uurija käesolevate tingimustega ka selle nimel.

Preemiaid ei maksta ettevõtlustulu lihtsustatud maksustamise seaduse kohasele ettevõtluskontole.

Enne esimest väljamakset teatab Uurija Haldajale riigi, mille maksuresident ta on, riigi, kus ta uurimistööd teeb, ning Väljamakse saaja. Uurija teavitab Haldajat muudatusest viivitamata ja igal juhul enne, kui makstakse Preemia pärast muudatust saadetud Raporti eest.

Kui Uurija teatatud andmed osutuvad valeks, hüvitab Uurija Haldajale maksud, intressid ja muud tasud, mida Haldaja peab selle tõttu maksma.

Väljamakse saaja, kes on füüsilisest isikust ettevõtja või juriidiline isik, esitab Haldajale Preemia kohta arve. Käibemaksu lisab Väljamakse saaja või arvestab Haldaja pöördmaksustamise korras, nagu seadus nõuab.

Väljamakse saajale, kes on eraisik, väljastab Haldaja dokumendi, milles on nimetatud Programm, Raport ja summa.

Enne esimest väljamakset annab Uurija Haldajale järgmise teabe ja hoiab selle ajakohasena:

1. (a)Uurija täisnimi, sünniaeg ja peamine aadress;
2. (b)Uurija isikut tõendav dokument isikusamasuse tuvastamiseks;
3. (c)Uurija iga maksukohustuslasena registreerimise number ja selle väljastanud riik või, kui sellist numbrit ei ole väljastatud, sünnikoht;
4. (d)Uurija käibemaksukohustuslasena registreerimise number, kui see on väljastatud;
5. (e)kui Väljamakse saaja on füüsilisest isikust ettevõtja: register, kuhu ta on kantud, ja tema registrikood;
6. (f)kui Väljamakse saaja on juriidiline isik: tema ärinimi, registrijärgne aadress, registrikood, maksukohustuslasena registreerimise number ja käibemaksukohustuslasena registreerimise number, tema püsivad tegevuskohad Euroopa Liidus, isikud, kellele kuulub temast 50% või rohkem või kes teda kontrollivad, ning dokument, millest tuleneb Uurija õigus teda esindada;
7. (g)selle pangakonto identifikaator, kuhu Preemia makstakse, ja kontoomaniku nimi.

Konto on Väljamakse saaja nimel pangas, mille suhtes ei kohaldata Euroopa Liidu piiravaid meetmeid, mis keelavad sellega tehinguid teha.

Haldaja tuvastab Uurija isikusamasuse isikut tõendava dokumendi alusel, säilitamata selle koopiat: Haldaja registreerib dokumendi liigi, numbri, väljaandnud riigi ja kehtivusaja lõpu ning tuvastamise kuupäeva, viisi ja tulemuse. Muud teavet kontrollib Haldaja avalike registrite ning nende elektrooniliste liideste abil, mille Euroopa Liit ja liikmesriigid teevad maksukohustuslasena registreerimise numbrite ja käibemaksukohustuslasena registreerimise numbrite kontrollimiseks tasuta kättesaadavaks, ning võib nõuda täiendavaid dokumente.

Enne iga väljamakset kontrollib Haldaja Uurijat, Väljamakse saajat ja isikut, kellele makse tehakse, Eestis siduvate rahvusvaheliste sanktsioonide nimekirjade alusel. Väljamakse saaja, kes on juriidiline isik, ei tohi olla nimekirja kantud, ei tohi olla 50% või rohkem ulatuses nimekirja kantud isiku omanduses ega tema kontrolli all ega tohi tegutseda sellise isiku nimel.

Haldaja maksab Preemia üksnes pärast seda, kui ta on tuvastanud Uurija isikusamasuse, kontrollinud jaotise 8 kohaseid teateid, Väljamakse saajat ja kontot ning teinud kontrolli sanktsioonide nimekirjade alusel.

Kui rahvusvahelised sanktsioonid keelavad makse, ei maksa Haldaja Preemiat, külmutab summa ja teavitab Rahapesu Andmebürood, kui seadus seda nõuab. Preemia nõue jääb külmutatuks ja seda ei maksta kellelegi seni, kuni sanktsioon kehtib. Haldaja ei vastuta sellisel juhul Preemia maksmata jätmise eest.

Haldaja on aruandekohustuslik platvormi haldaja nõukogu direktiivi 2011/16/EL, mida on muudetud nõukogu direktiiviga (EL) 2021/514, ja maksualase teabe vahetamise seaduse 2⁴. peatüki tähenduses.

Haldaja esitab igal aastal järgmise aasta 31. jaanuariks Maksu- ja Tolliametile jaotises 9 nimetatud teabe nende Uurijate ja Väljamakse saajate kohta, kes on Euroopa Liidu liikmesriigi või Maksu- ja Tolliameti loetletud jurisdiktsiooni residendid, neile igas kvartalis makstud Preemiad ja nende Kehtivate raportite arvu, mille eest Preemiad maksti. Maksu- ja Tolliamet vahetab teavet residentsusriigi või residentsusriikidega.

Enne teabe esitamist ja hiljemalt 31. jaanuariks annab Haldaja igale Uurijale ja igale Väljamakse saajale teada, millise teabe ta tema kohta esitab.

Kui Uurija ei anna aruande jaoks nõutavat teavet ka pärast kahte meeldetuletust, võib Haldaja Preemiate väljamaksed kinni pidada, kuni teave on antud, kuid mitte varem kui 60 päeva pärast esimest teabenõuet, nagu lubab maksualase teabe vahetamise seaduse § 8 lõige 1¹.

Raporti saatmisega annab Uurija Haldajale ajaliselt ja territoriaalselt piiramatu lihtlitsentsi kasutada Raportit turvanõrkuse läbivaatamiseks ja Kehtiva raporti Omanikule üleandmiseks koos õigusega anda Programmi Omanikule samasugune litsents kasutada Raportit turvanõrkuse kõrvaldamiseks ja Varade kaitsmiseks.

Litsents antakse ilma eraldi tasuta. Preemia on tasu turvanõrkuse leidmise, kontrollimise ja sellest teatamise teenuse eest, mitte litsentsitasu.

Uurija jääb Raporti autoriks. Haldaja ja Omanik nimetavad Uurijat Raporti autorina üksnes Uurija nõusolekul ja Uurija valitud nime all.

Uurija kinnitab, et Raport on tema enda looming ja et selle saatmine ei riku kolmandate isikute õigusi.

Haldaja salvestab Raportid, sõnumid ja iga muu teksti või faili, mille Uurija Platvormi kaudu saadab. Need ei tohi sisaldada:

1. (a)sisu, mis on Euroopa Liidu või liikmesriigi õiguse kohaselt ebaseaduslik;
2. (b)sisu, mis rikub teiste isikute õigusi, sealhulgas intellektuaalomandi õigusi;
3. (c)isikuandmeid üle selle, mis on vajalik turvanõrkuse tõendamiseks;
4. (d)toimivat pahatahtlikku koodi, mis läheb kaugemale turvanõrkust demonstreerivast kontseptsioonitõendusest.

Iga läbivaatamise ning iga käesoleva jaotise ja jaotise 15 kohase otsuse teeb inimene. Haldaja ei tee sisu kohta otsuseid automaatsete vahenditega.

Kui sisu on ebaseaduslik või käesolevate tingimustega vastuolus, võib Haldaja hoolsalt, objektiivselt ja proportsionaalselt ning asjaomaste poolte õigusi ja õigustatud huve nõuetekohaselt arvesse võttes võtta järgmisi meetmeid:

1. (a)sisust keelduda või sisu eemaldada;
2. (b)peatada või lõpetada Uurija osalemine Programmis või Platvormil;
3. (c)keelduda asjaomase Raporti eest Preemia maksmisest või Preemia kinni pidada.

Haldaja teavitab Uurijat igast sellisest meetmest hiljemalt selle jõustumisel ja esitab määruse (EL) 2022/2065 artikli 17 kohase põhjenduse. Põhjenduses märgitakse meede, selle ulatus ja kestus; faktid ja asjaolud, millele tuginetakse, sealhulgas see, kas meede võeti teate alusel; alus: ebaseadusliku sisu puhul õigusnorm ja käesolevate tingimustega vastuolus oleva sisu puhul käesolevate tingimuste säte; see, et otsuse tegi inimene; ning õiguskaitsevõimalused.

Uurija võib taotleda meetme läbivaatamist, saates oma põhjendused e-postiga aadressile info@securitytest.team. Võimaluse korral vaatab taotluse läbi muu isik kui see, kes meetme võttis. Haldaja teavitab Uurijat tulemusest ja selle põhjustest põhjendamatu viivituseta. See ei mõjuta Uurija õigust pöörduda kohtusse.

Uurija hoiab konfidentsiaalsena turvanõrkused, Raportid, nendega seotud kirjavahetuse ja kõik, mis ei ole Programmi ja selle Omaniku kohta avalik, sealhulgas privaatse Programmi olemasolu.

Turvanõrkus avalikustatakse üksnes pärast selle kõrvaldamist ja Omaniku kirjalikul nõusolekul, mis antakse Platvormi kaudu.

Konfidentsiaalsuskohustus kehtib ka pärast Lepingu lõppemist.

Haldaja töötleb Uurija isikuandmeid kooskõlas oma privaatsuspoliitikaga.

Haldaja ei avalda Omanikule Uurija isikut ilma Uurija nõusolekuta, välja arvatud juhul, kui Uurija on tegutsenud väljaspool Programmi või Platvormi reegleid ja Omanik vajab Uurija isikuandmeid õigusnõuete koostamiseks, esitamiseks või kaitsmiseks, või kui avaldamist nõuab seadus või kohtu või ametiasutuse siduv otsus. Raportites ja tänuavaldustes esineb Uurija enda valitud nime all.

Kui Uurija on rikkunud käesolevaid tingimusi või Programmi reegleid, võib Haldaja peatada või lõpetada Uurija osalemise, keelduda rikkumisega saadud Raporti eest Preemia maksmisest ja teavitada asjaomast Omanikku. Haldaja teavitab Uurijat meetmest koos põhjendusega ja jaotise 12 kohastest õiguskaitsevõimalustest.

Uurija vastutab kahju eest, mille ta on tekitanud, tegutsedes väljaspool Programmi ja Platvormi reegleid.

Haldaja vastutab Uurija ees Preemia maksmise eest alates päevast, mil Preemia on otsustatud või otsustamise tähtaeg on lõppenud.

Haldaja ei taga, et Programmid on igal ajal avatud, et Programm jääb muutmata ega et Raporti eest makstakse Preemia.

Haldaja vastutab piiramatult tahtlikult või raske hooletuse tõttu tekitatud kahju eest ning surma põhjustamise, kehavigastuse ja tervisekahjustuse eest.

Kõigil muudel juhtudel on Haldaja kogu vastutus piiratud Uurijale maksmisele kuuluvate Preemiatega.

Leping jõustub selle sõlmimise hetkel ja on sõlmitud tähtajatult.

Kumbki pool võib Lepingu igal ajal lõpetada, teatades sellest teisele poolele.

Enne Lepingu lõppemist saadetud Kehtivate raportite eest makstakse Preemiad käesolevate tingimuste kohaselt.

Lepingule kohaldatakse Eesti Vabariigi õigust.

Pooled püüavad vaidlused lahendada läbirääkimiste teel. Vaidlus, mida läbirääkimiste teel ei lahendata, lahendatakse Haldaja asukoha järgses Eesti Vabariigi kohtus.

Uurijat kaitsvad kohustuslikud õigusnormid, millest ei saa kokkuleppel kõrvale kalduda, jäävad kehtima.

Haldaja võib käesolevaid tingimusi muuta. Haldaja teavitab Uurijat muudatusest e-postiga hiljemalt 30 päeva enne muudatuse jõustumist. Uurija, kes muudatusega ei nõustu, võib Lepingu enne seda päeva lõpetada.

Lepingu kohased teated saadetakse e-postiga: Haldajale aadressile info@securitytest.team, Uurijale taotluses märgitud aadressile.

Uurija ei anna Lepingut üle kolmandale isikule ilma Haldaja kirjaliku nõusolekuta. See ei piira rahalise nõude loovutamist.

Kui mõni käesolevate tingimuste säte on kehtetu, ei mõjuta see ülejäänud sätete kehtivust.

Käesolevad tingimused on koostatud inglise keeles ja avaldatud tõlkes. Kui tõlge erineb ingliskeelsest tekstist, lähtutakse ingliskeelsest tekstist.