Condizioni della piattaforma di bug bounty per i ricercatori

Nelle presenti Condizioni i seguenti termini hanno il significato indicato di seguito:

1. (a)«Gestore»: Osaühing Ida Portal, codice di registro 10970449, sede legale: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, che presta i propri servizi con il nome Security Test Team;
2. (b)«Piattaforma»: la piattaforma di bug bounty gestita dal Gestore sul sito web securitytest.team;
3. (c)«Ricercatore»: la persona fisica che ha accettato le presenti Condizioni e la cui registrazione è stata confermata dal Gestore;
4. (d)«Proprietario»: la persona giuridica, o la persona fisica che agisce nell’esercizio della propria attività imprenditoriale o professionale, che ha pubblicato un Programma sulla Piattaforma;
5. (e)«Asset»: un sito web, un’applicazione, un’interfaccia o un altro sistema informativo che un Programma indica come oggetto di ricerca;
6. (f)«Programma»: le condizioni alle quali un Proprietario invita i Ricercatori a cercare vulnerabilità nei propri Asset: il perimetro, le esclusioni, la tabella delle Ricompense e le regole che il Proprietario aggiunge alle Regole della Piattaforma;
7. (g)«Regole della Piattaforma»: le regole di ricerca stabilite nella sezione 4;
8. (h)«Segnalazione»: il messaggio del Ricercatore su una vulnerabilità di un Asset, inviato tramite la Piattaforma;
9. (i)«Segnalazione Valida»: una Segnalazione relativa a una vulnerabilità di un Asset compreso nel perimetro, che il Gestore ha riprodotto, che è la prima Segnalazione di tale vulnerabilità e che è stata ottenuta nel rispetto del Programma e delle Regole della Piattaforma;
10. (j)«Gravità»: la valutazione qualitativa di una vulnerabilità secondo il Common Vulnerability Scoring System, versione 4.0: bassa, media, alta o critica;
11. (k)«Ricompensa»: l’importo che il Gestore paga per una Segnalazione Valida come compenso per l’individuazione, la verifica e la segnalazione della vulnerabilità;
12. (l)«Beneficiario»: la persona a cui è pagata una Ricompensa ai sensi della sezione 8;
13. (m)«Contratto»: il contratto concluso tra il Gestore e il Ricercatore alle presenti Condizioni.

In forza del Contratto il Gestore dà al Ricercatore accesso ai Programmi e acquisisce dal Ricercatore, in nome proprio e per proprio conto, il servizio di individuazione, verifica e segnalazione delle vulnerabilità degli Asset, e il Ricercatore svolge ricerche nel rispetto dei Programmi e delle Regole della Piattaforma. Il Gestore paga la Ricompensa per ogni Segnalazione Valida.

Il Gestore fornisce le Segnalazioni Valide ai Proprietari come servizio proprio. L’obbligo del Gestore di pagare una Ricompensa non dipende dal pagamento da parte del Proprietario. Il Ricercatore non vanta alcun credito nei confronti di un Proprietario per una Ricompensa, e un Proprietario non ha alcun obbligo di pagamento nei confronti del Ricercatore.

Chi desidera partecipare invia una candidatura tramite il modulo della Piattaforma e vi accetta le presenti Condizioni. Il Gestore risponde entro 1 giorno lavorativo.

Il Contratto è concluso nel momento in cui il Gestore conferma la registrazione del Ricercatore. Il Gestore può rifiutare una candidatura senza indicarne i motivi.

Il Contratto è un contratto quadro. Non crea alcun obbligo del Ricercatore di svolgere ricerche o di inviare Segnalazioni. Il Ricercatore decide da solo se, quando, dove e come svolgere ricerche e a quale Programma partecipare.

Il Ricercatore agisce in modo indipendente e a proprie spese, in nome proprio o per conto del Beneficiario di cui alla sezione 8. Il Contratto non crea alcun rapporto di lavoro subordinato, di agenzia o di società tra il Ricercatore e il Gestore o un Proprietario. Le Regole della Piattaforma e le regole di un Programma stabiliscono i limiti dell’autorizzazione del Proprietario; non sono istruzioni sulle modalità di esecuzione del lavoro.

Il Gestore non adotta alcuna decisione riguardante il Ricercatore basata unicamente su mezzi automatizzati, comprese le decisioni su una Segnalazione, su una Ricompensa o sulla partecipazione del Ricercatore. Ogni Segnalazione è esaminata da una persona.

Può essere Ricercatore la persona che:

1. (a)ha almeno 18 anni e piena capacità di agire;
2. (b)non figura negli elenchi delle sanzioni internazionali vincolanti in Estonia: le misure restrittive dell’Unione europea e le sanzioni del Governo della Repubblica di Estonia;
3. (c)non è controllata da una persona che figura in tali elenchi né agisce per suo conto;
4. (d)non fa parte del personale del Gestore.

Il Ricercatore non partecipa a un Programma il cui Proprietario è suo datore di lavoro o committente, o lo è stato nei dodici mesi precedenti la Segnalazione, e non segnala una vulnerabilità di cui è venuto a conoscenza nello svolgimento di tale lavoro.

Il Ricercatore ha una sola registrazione. La registrazione non è trasferibile ad altre persone.

Il Ricercatore che partecipa a un Programma:

1. (a)svolge ricerche soltanto sugli Asset che il Programma indica come compresi nel perimetro e, se il Programma non è chiaro, chiede al Gestore prima di agire;
2. (b)utilizza soltanto gli account e i dati che ha creato egli stesso o quelli forniti dal Proprietario per la ricerca;
3. (c)non legge, non modifica, non copia né conserva dati che non gli appartengono. Il Ricercatore che ha ottenuto accesso a tali dati si interrompe, non li copia, cancella quelli in suo possesso, lo segnala immediatamente e conferma la cancellazione al Gestore;
4. (d)adotta l’azione minima che dimostra la vulnerabilità, non lascia mezzi di accesso e non si sposta dall’Asset verso altri sistemi;
5. (e)non degrada l’Asset: non esegue attacchi di tipo denial of service, non invia messaggi di massa e non esegue scansioni a una velocità che incide sulla disponibilità;
6. (f)non ricorre all’ingegneria sociale, al phishing o all’accesso fisico, salvo che il Programma lo consenta espressamente;
7. (g)segnala una vulnerabilità soltanto tramite la Piattaforma e senza indugio, e non la condivide, non la vende né la pubblica;
8. (h)non chiede alcun pagamento e non pone condizioni per una Segnalazione diverse dalla Ricompensa del Programma;
9. (i)rispetta la legge che gli si applica e le regole che il Proprietario ha aggiunto al Programma.

Le regole di un Programma possono rendere più rigorose le Regole della Piattaforma. In caso di divergenza si applica la regola più rigorosa.

Pubblicando un Programma il suo Proprietario autorizza i Ricercatori a cui il Programma è aperto a svolgere ricerche sugli Asset compresi nel perimetro nel rispetto del Programma e delle Regole della Piattaforma, e si impegna a non avviare né sostenere azioni legali contro un Ricercatore per ricerche svolte in buona fede nel rispetto di essi.

Se un terzo avvia un procedimento contro il Ricercatore per tali ricerche, il Gestore conferma che la ricerca è stata svolta nell’ambito di un Programma della Piattaforma.

L’autorizzazione e gli impegni sono dati dal Proprietario e vincolano il Proprietario. Riguardano soltanto le ricerche svolte in buona fede nel rispetto del Programma e delle Regole della Piattaforma. Non riguardano i sistemi di terzi, compresi quelli dei fornitori di hosting, cloud e altri fornitori e i servizi di terzi utilizzati da un Asset; non vincolano le autorità pubbliche e non sostituiscono la legge di altri Stati, compresa la legge dello Stato in cui il Ricercatore svolge la ricerca.

Una Segnalazione è inviata tramite il canale che il Gestore ha indicato al Ricercatore al momento della registrazione. Una Segnalazione contiene:

1. (a)il Programma e l’Asset interessati;
2. (b)l’indirizzo e il parametro o il componente interessati;
3. (c)i passaggi per riprodurre la vulnerabilità a partire da uno stato pulito;
4. (d)che cosa potrebbe ottenere un attaccante;
5. (e)le prove, dalle quali sono stati rimossi i dati di altre persone.

Uno specialista del Gestore esamina una Segnalazione entro 5 giorni lavorativi dalla ricezione: lo specialista riproduce la vulnerabilità, accerta se la Segnalazione è una Segnalazione Valida e determina la Gravità. Il Gestore comunica al Ricercatore l’esito e i relativi motivi.

Se più Segnalazioni descrivono la stessa vulnerabilità, la Segnalazione Valida è la prima di esse.

Se il Ricercatore non concorda con l’esito, ne indica per iscritto i motivi. Il Gestore esamina nuovamente la Segnalazione; ove possibile, lo fa una persona diversa da quella che l’ha esaminata la prima volta. L’esito di tale esame è definitivo tra le parti, fatto salvo il ricorso all’autorità giudiziaria.

Per una Segnalazione Valida il Gestore paga la Ricompensa. La Ricompensa è il compenso per l’individuazione, la verifica e la segnalazione della vulnerabilità, e non un premio.

Il Proprietario del Programma decide l’importo della Ricompensa entro 10 giorni lavorativi dalla ricezione della segnalazione, nei limiti della tabella del Programma per la Gravità determinata dal Gestore. Se il Proprietario non ha deciso entro tale termine, la Ricompensa è pari all’importo minimo della tabella per tale Gravità. Il Gestore comunica l’importo al Ricercatore.

L’obbligo del Gestore di pagare la Ricompensa sorge il giorno in cui l’importo è stato deciso o è scaduto il termine per la decisione. Non dipende dal pagamento da parte del Proprietario.

Il Ricercatore riceve l’intera Ricompensa. Il Gestore non ne trattiene nulla; la commissione della Piattaforma è pagata dal Proprietario in aggiunta alla Ricompensa. La Ricompensa non comprende l’imposta sul valore aggiunto.

Il Gestore paga la Ricompensa entro 10 giorni lavorativi dalla decisione, in euro, mediante bonifico bancario sul conto del Beneficiario. Se il giorno della decisione le condizioni di cui alla sezione 9 non sono soddisfatte, il termine decorre dal giorno in cui lo sono. Ciascuna parte sostiene le spese della propria banca.

Nessuna Ricompensa è pagata per una Segnalazione:

1. (a)che non è una Segnalazione Valida;
2. (b)ottenuta in violazione del Programma, delle Regole della Piattaforma o della legge;
3. (c)di un Ricercatore che non soddisfa le condizioni di cui alla sezione 3;
4. (d)relativa a una vulnerabilità che il Ricercatore ha comunicato a un terzo.

Le imposte e i contributi dovuti sulla Ricompensa sono pagati dal Ricercatore o dal Beneficiario nello Stato in cui sono dovuti.

Il Gestore paga le Ricompense soltanto se la legge estone non gli impone né di operare una ritenuta d’imposta sulla Ricompensa né di pagare su di essa l’imposta sociale. Una Ricompensa è pertanto pagata soltanto a un Beneficiario, che è uno dei seguenti:

1. (a)il Ricercatore come privato, se il Ricercatore non è residente in Estonia ai fini fiscali e svolge la ricerca al di fuori dell’Estonia;
2. (b)il Ricercatore come imprenditore individuale iscritto nel registro commerciale dell’Estonia o di un altro Stato dello Spazio economico europeo, se la Ricompensa costituisce reddito d’impresa di tale imprenditore individuale;
3. (c)una persona giuridica che il Ricercatore è autorizzato a rappresentare: una persona giuridica estone; oppure, per ricerche svolte al di fuori dell’Estonia, una persona giuridica straniera che non si trovi in una giurisdizione compresa nell’elenco UE delle giurisdizioni non cooperative a fini fiscali.

Il Ricercatore residente in Estonia ai fini fiscali, o che svolge la ricerca in Estonia, riceve pertanto le Ricompense soltanto come imprenditore individuale o tramite una persona giuridica.

Se il Beneficiario è un imprenditore individuale, il Ricercatore svolge la ricerca nell’esercizio di tale attività. Se il Beneficiario è una persona giuridica, il Ricercatore svolge la ricerca e invia le Segnalazioni per suo conto, il servizio è prestato da tale persona giuridica e la Ricompensa è dovuta a essa; indicandola come Beneficiario, il Ricercatore accetta le presenti Condizioni anche per suo conto.

Le Ricompense non sono pagate su un conto per imprenditori (ettevõtluskonto) ai sensi della legge estone sulla tassazione semplificata dei redditi d’impresa.

Prima del primo pagamento il Ricercatore dichiara al Gestore lo Stato in cui è residente ai fini fiscali, lo Stato in cui svolge la ricerca e il Beneficiario. Il Ricercatore comunica senza indugio al Gestore ogni modifica, e in ogni caso prima che sia pagata una Ricompensa per una Segnalazione inviata dopo la modifica.

Se una dichiarazione del Ricercatore risulta non veritiera, il Ricercatore tiene indenne il Gestore dalle imposte, dagli interessi e dagli altri oneri che il Gestore deve pagare di conseguenza.

Il Beneficiario che è un imprenditore individuale o una persona giuridica emette fattura al Gestore per la Ricompensa. L’imposta sul valore aggiunto è addebitata dal Beneficiario, o assolta dal Gestore mediante inversione contabile, secondo quanto richiesto dalla legge.

Per il Beneficiario che è un privato il Gestore emette un documento che indica il Programma, la Segnalazione e l’importo.

Prima del primo pagamento il Ricercatore fornisce al Gestore le seguenti informazioni e le mantiene aggiornate:

1. (a)il nome e cognome, la data di nascita e l’indirizzo principale del Ricercatore;
2. (b)il documento d’identità del Ricercatore, per il controllo dell’identità;
3. (c)ogni numero di identificazione fiscale del Ricercatore e lo Stato che lo ha rilasciato oppure, se non ne è stato rilasciato alcuno, il luogo di nascita;
4. (d)il numero di identificazione IVA del Ricercatore, se ne è stato rilasciato uno;
5. (e)se il Beneficiario è un imprenditore individuale: il registro in cui è iscritto e il suo codice di registro;
6. (f)se il Beneficiario è una persona giuridica: la denominazione, la sede legale, il codice di registro, il numero di identificazione fiscale e il numero di identificazione IVA, le sue stabili organizzazioni nell’Unione europea, le persone che ne detengono il 50% o più o la controllano, e il documento da cui risulta il potere del Ricercatore di rappresentarla;
7. (g)l’identificativo del conto bancario su cui è pagata la Ricompensa e il nome del suo titolare.

Il conto è intestato al Beneficiario presso una banca che non è soggetta a misure restrittive dell’Unione europea che vietano le operazioni con essa.

Il Gestore controlla l’identità del Ricercatore sulla base del documento d’identità senza conservarne copia: registra il tipo, il numero, lo Stato di rilascio e la data di scadenza del documento, nonché la data, il metodo e l’esito del controllo. Il Gestore controlla le altre informazioni rispetto ai registri pubblici e alle interfacce elettroniche che l’Unione europea e gli Stati membri mettono gratuitamente a disposizione per il controllo dei numeri di identificazione fiscale e dei numeri di identificazione IVA, e può chiedere ulteriori documenti.

Prima di ogni pagamento il Gestore controlla il Ricercatore, il Beneficiario e la persona a cui è effettuato il pagamento rispetto agli elenchi delle sanzioni internazionali vincolanti in Estonia. Il Beneficiario che è una persona giuridica non può figurare in tali elenchi, non può essere detenuto per il 50% o più o controllato da una persona che vi figura e non può agire per conto di essa.

Il Gestore paga una Ricompensa soltanto dopo aver controllato l’identità del Ricercatore, le dichiarazioni di cui alla sezione 8, il Beneficiario e il conto, e dopo aver eseguito il controllo rispetto agli elenchi delle sanzioni.

Se sanzioni internazionali vietano il pagamento, il Gestore non paga la Ricompensa, congela l’importo e, ove la legge lo richieda, ne dà notifica all’Unità di informazione finanziaria estone. Il credito relativo alla Ricompensa resta congelato e non è pagato ad alcuno finché la sanzione si applica. In tal caso il Gestore non risponde del mancato pagamento della Ricompensa.

Il Gestore è un gestore di piattaforma con obbligo di comunicazione ai sensi della direttiva 2011/16/UE del Consiglio, come modificata dalla direttiva (UE) 2021/514 del Consiglio, e del capo 2⁴ della legge estone sullo scambio di informazioni fiscali.

Ogni anno, entro il 31 gennaio dell’anno successivo, il Gestore comunica all’Amministrazione fiscale e doganale estone le informazioni di cui alla sezione 9 relative ai Ricercatori e ai Beneficiari residenti in uno Stato membro dell’Unione europea o in una giurisdizione indicata dall’Amministrazione fiscale e doganale estone, le Ricompense pagate loro in ciascun trimestre e il numero delle Segnalazioni Valide per le quali le Ricompense sono state pagate. L’Amministrazione fiscale e doganale estone scambia le informazioni con lo Stato o gli Stati di residenza.

Prima della comunicazione, e al più tardi entro il 31 gennaio, il Gestore fornisce a ciascun Ricercatore e a ciascun Beneficiario le informazioni che lo riguardano e che comunicherà.

Se il Ricercatore non fornisce le informazioni necessarie per la comunicazione nonostante due solleciti, il Gestore può trattenere il pagamento delle Ricompense fino a quando le informazioni non sono fornite, ma non prima di 60 giorni dalla prima richiesta, come consentito dal § 8, comma 1¹, della legge sullo scambio di informazioni fiscali.

Inviando una Segnalazione il Ricercatore concede al Gestore una licenza non esclusiva, illimitata nel tempo e nello spazio, per utilizzare la Segnalazione al fine di esaminare la vulnerabilità e di fornire la Segnalazione Valida al Proprietario, con il diritto di concedere al Proprietario del Programma una licenza dello stesso tipo per utilizzare la Segnalazione al fine di correggere la vulnerabilità e di proteggere gli Asset.

La licenza è concessa senza un corrispettivo separato. La Ricompensa è il compenso per il servizio di individuazione, verifica e segnalazione della vulnerabilità, non un pagamento per la licenza.

Il Ricercatore resta l’autore della Segnalazione. Il Gestore e il Proprietario indicano il Ricercatore come suo autore soltanto con il consenso del Ricercatore e con il nome da lui scelto.

Il Ricercatore dichiara che la Segnalazione è opera propria e che il suo invio non viola i diritti di terzi.

Il Gestore memorizza le Segnalazioni, i messaggi e ogni altro testo o file che il Ricercatore invia tramite la Piattaforma. Essi non possono contenere:

1. (a)contenuti illegali ai sensi del diritto dell’Unione europea o di uno Stato membro;
2. (b)contenuti che violano i diritti altrui, compresi i diritti di proprietà intellettuale;
3. (c)dati personali oltre quanto necessario per dimostrare la vulnerabilità;
4. (d)codice malevolo funzionante oltre una proof of concept che dimostra la vulnerabilità.

Ogni esame e ogni decisione ai sensi della presente sezione e della sezione 15 sono effettuati da una persona. Il Gestore non adotta decisioni sui contenuti con mezzi automatizzati.

Se un contenuto è illegale o incompatibile con le presenti Condizioni, il Gestore può adottare le seguenti misure, in modo diligente, obiettivo e proporzionato e tenendo debitamente conto dei diritti e degli interessi legittimi delle parti coinvolte:

1. (a)rifiutare il contenuto o rimuoverlo;
2. (b)sospendere la partecipazione del Ricercatore a un Programma o alla Piattaforma, o porvi fine;
3. (c)rifiutare o trattenere la Ricompensa per la Segnalazione interessata.

Il Gestore comunica al Ricercatore ogni misura di questo tipo, al più tardi nel momento in cui ha effetto, con una motivazione ai sensi dell’articolo 17 del regolamento (UE) 2022/2065. La motivazione indica la misura, la sua portata e la sua durata; i fatti e le circostanze su cui si fonda, compreso se la misura è stata adottata a seguito di una notifica; il fondamento giuridico: la disposizione di legge per i contenuti illegali o la disposizione delle presenti Condizioni per i contenuti con esse incompatibili; il fatto che la decisione è stata presa da una persona; e i mezzi di ricorso disponibili.

Il Ricercatore può chiedere il riesame della misura per email a info@securitytest.team, indicandone i motivi. Ove possibile, la richiesta è esaminata da una persona diversa da quella che ha adottato la misura. Il Gestore comunica al Ricercatore l’esito e i relativi motivi senza ingiustificato ritardo. Resta salvo il diritto del Ricercatore di ricorrere all’autorità giudiziaria.

Il Ricercatore mantiene riservati le vulnerabilità, le Segnalazioni, la corrispondenza che le riguarda e tutto ciò che non è pubblico su un Programma e sul suo Proprietario, compresa l’esistenza di un Programma privato.

Una vulnerabilità è divulgata al pubblico soltanto dopo la sua correzione e con il consenso scritto del Proprietario, dato tramite la Piattaforma.

L’obbligo di riservatezza resta in vigore anche dopo la cessazione del Contratto.

Il Gestore tratta i dati personali del Ricercatore in conformità alla propria informativa sulla privacy.

Il Gestore non comunica a un Proprietario l’identità del Ricercatore senza il consenso del Ricercatore, salvo che il Ricercatore abbia agito al di fuori del Programma o delle Regole della Piattaforma e il Proprietario abbia bisogno dell’identità per accertare, esercitare o difendere un diritto in sede giudiziaria, oppure che la comunicazione sia richiesta dalla legge o da una decisione vincolante di un giudice o di un’autorità. Nelle Segnalazioni e nei riconoscimenti il Ricercatore compare con il nome da lui scelto.

Se il Ricercatore ha violato le presenti Condizioni o le regole di un Programma, il Gestore può sospendere la partecipazione del Ricercatore o porvi fine, rifiutare la Ricompensa per la Segnalazione ottenuta in violazione e informarne il Proprietario interessato. Il Gestore comunica al Ricercatore la misura con una motivazione e lo informa dei mezzi di ricorso di cui alla sezione 12.

Il Ricercatore risponde dei danni che ha causato con azioni al di fuori del Programma e delle Regole della Piattaforma.

Il Gestore risponde nei confronti del Ricercatore del pagamento di una Ricompensa dal giorno in cui la Ricompensa è stata decisa o è scaduto il termine per la decisione.

Il Gestore non garantisce che i Programmi siano aperti in ogni momento, che un Programma resti invariato né che una Segnalazione sia ricompensata.

Il Gestore risponde senza limitazioni dei danni che ha causato con dolo o colpa grave, nonché dei danni derivanti da morte, lesioni personali e pregiudizio alla salute.

In tutti gli altri casi la responsabilità complessiva del Gestore è limitata alle Ricompense dovute al Ricercatore.

Il Contratto entra in vigore al momento della sua conclusione ed è concluso a tempo indeterminato.

Ciascuna parte può recedere dal Contratto in qualsiasi momento mediante comunicazione all’altra parte.

Le Ricompense per le Segnalazioni Valide inviate prima della cessazione del Contratto sono pagate in base alle presenti Condizioni.

Il Contratto è regolato dalla legge della Repubblica di Estonia.

Le parti cercano di risolvere le controversie in via negoziale. Una controversia non risolta in via negoziale è decisa dal tribunale della Repubblica di Estonia nella cui circoscrizione si trova la sede legale del Gestore.

Restano salve le disposizioni imperative di legge che tutelano il Ricercatore e alle quali non si può derogare per accordo.

Il Gestore può modificare le presenti Condizioni. Comunica la modifica al Ricercatore per email almeno 30 giorni prima della sua entrata in vigore. Il Ricercatore che non accetta la modifica può recedere dal Contratto prima di tale data.

Le comunicazioni previste dal Contratto sono inviate per email: al Gestore a info@securitytest.team, al Ricercatore all’indirizzo indicato nella candidatura.

Il Ricercatore non cede il Contratto a terzi senza il consenso scritto del Gestore. Ciò non limita la cessione di un credito pecuniario.

L’invalidità di una disposizione delle presenti Condizioni non pregiudica la validità delle restanti disposizioni.

Le presenti Condizioni sono redatte in inglese e pubblicate in traduzione. Se una traduzione differisce dal testo inglese, prevale il testo inglese.