Условия площадки bug bounty для владельцев

В настоящих Условиях используются следующие термины:

1. (а)«Оператор» — Osaühing Ida Portal, регистрационный код 10970449, юридический адрес: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, оказывающее услуги под наименованием Security Test Team;
2. (б)«Площадка» — площадка bug bounty, которую Оператор ведёт на сайте securitytest.team;
3. (в)«Владелец» — юридическое лицо либо физическое лицо, действующее в рамках своей предпринимательской или профессиональной деятельности, которое заключило Договор с Оператором;
4. (г)«Исследователь» — физическое лицо, которое зарегистрировано на Площадке в соответствии с Условиями площадки bug bounty для исследователей и участвует в Программах;
5. (д)«Объект» — сайт, приложение, интерфейс или иная информационная система, которую Программа называет предметом исследования;
6. (е)«Программа» — условия, на которых Владелец приглашает Исследователей искать уязвимости в его Объектах: объём, исключения, таблица Вознаграждений и правила, которые Владелец добавляет к Правилам площадки;
7. (ж)«Договор о программе» — документ, подписанный Владельцем и Оператором, в котором изложена Программа и содержится ссылка на настоящие Условия;
8. (з)«Правила площадки» — правила исследования, изложенные в Условиях площадки bug bounty для исследователей;
9. (и)«Сообщение» — сообщение Исследователя об уязвимости Объекта, направленное через Площадку;
10. (к)«Засчитанное сообщение» — Сообщение об уязвимости Объекта, входящего в объём, которую Оператор воспроизвёл, которое является первым Сообщением об этой уязвимости и которое получено в пределах Программы и Правил площадки;
11. (л)«Критичность» — качественная оценка уязвимости по системе Common Vulnerability Scoring System версии 4.0: низкая, средняя, высокая или критическая;
12. (м)«Вознаграждение» — сумма, определённая за Засчитанное сообщение в соответствии с разделом 8, которую Оператор выплачивает Исследователю в качестве платы за обнаружение и проверку уязвимости и сообщение о ней;
13. (н)«Комиссия» — плата Оператора, исчисляемая как доля Вознаграждения в соответствии с разделом 9;
14. (о)«Цена» — цена Засчитанного сообщения, которую Владелец уплачивает Оператору: Вознаграждение вместе с Комиссией;
15. (п)«Аванс» — предварительный платёж Владельца в соответствии с разделом 9 в счёт Цен, которые ещё не определены;
16. (р)«Договор» — договор, заключённый между Оператором и Владельцем на настоящих Условиях.

Настоящие Условия являются стандартными условиями, на которых Оператор заключает Договор. Они становятся частью Договора, когда Владелец подписывает Договор о программе, который на них ссылается.

По Договору Оператор проверяет Владельца, публикует Программу, принимает и рассматривает Сообщения и предоставляет Засчитанные сообщения Владельцу, а Владелец уплачивает Оператору Цену каждого Засчитанного сообщения.

Оператор приобретает у каждого Исследователя от своего имени и за свой счёт услугу по обнаружению и проверке уязвимости и сообщению о ней и предоставляет Владельцу собственную услугу — Засчитанное сообщение. Оператор выплачивает Вознаграждение Исследователю как собственный долг. Это обязательство Оператора не зависит от оплаты со стороны Владельца.

У Владельца нет платёжных обязательств перед Исследователями, а у Исследователей нет требований к Владельцу о выплате Вознаграждения. Все платежи по Договору Владелец производит Оператору.

Площадка предлагается предпринимателям: юридическим лицам и физическим лицам, действующим в рамках своей предпринимательской или профессиональной деятельности. С потребителями Оператор Договор не заключает. Направляя заявку и подписывая Договор о программе, Владелец подтверждает, что действует в рамках своей предпринимательской или профессиональной деятельности.

Лицо, желающее опубликовать Программу, направляет заявку через форму Площадки или по электронной почте info@securitytest.team. Оператор отвечает в течение 1 рабочего дня. Заявка не обязывает ни заявителя, ни Оператора заключить Договор.

После того как проверка, предусмотренная разделом 4, пройдена и Программа согласована, Оператор направляет Договор о программе на подпись.

Договор о программе подписывают Оператор и лицо, имеющее право представлять Владельца, — собственноручно либо квалифицированной электронной подписью в значении Регламента (ЕС) № 910/2014, например эстонской цифровой подписью, данной с помощью ID-карты, Mobile-ID или Smart-ID, либо подписью, данной с помощью европейского кошелька цифровой идентичности (European Digital Identity Wallet). Стороны соглашаются, что подпись, данная одним из этих способов, соответствует форме, согласованной ими для Договора.

Договор считается заключённым в момент, когда Договор о программе подписан обеими сторонами. Оператор подтверждает заключение Договора по электронной почте и направляет Владельцу копию подписанного Договора о программе и настоящих Условий в редакции, действующей в этот день. Оператор хранит подписанный Договор о программе в течение срока, указанного в Политике конфиденциальности.

Договор заключается на языке сайта Площадки, на котором Владелец направил заявку, либо на английском языке. Язык указывается в Договоре о программе.

До заключения Договора Оператор вправе отклонить заявку, в частности если:

1. (а)проверка, предусмотренная разделом 4, не пройдена;
2. (б)заявитель действует не в рамках своей предпринимательской или профессиональной деятельности;
3. (в)заявитель, лицо, которому принадлежит 50 % или более долей участия в заявителе, или лицо, которое его контролирует, включено в перечни международных санкций, обязательных в Эстонии: ограничительных мер Европейского союза и санкций Правительства Эстонской Республики;
4. (г)заявитель учреждён в России, в отношении которой статья 5n Регламента Совета (ЕС) № 833/2014 запрещает оказание услуг по техническим испытаниям и анализу и консультационных услуг в области информационных технологий;
5. (д)система, названная в заявке, используется для деятельности, запрещённой законом;
6. (е)публикация Программы нарушила бы закон.

Программа публикуется только после того, как Оператор проверил Владельца и принадлежность Объектов Владельцу. Для проверки Владелец предоставляет:

1. (а)юридическое лицо — выписку из коммерческого регистра или равнозначный документ государства своей регистрации; физическое лицо, действующее в рамках своей предпринимательской или профессиональной деятельности, — выписку из регистра, в котором оно зарегистрировано как предприниматель, и документ, удостоверяющий личность;
2. (б)документ, из которого следует право подписанта представлять Владельца, если это право не следует из регистра;
3. (в)имена или наименования лиц, которым принадлежит 50 % или более долей участия во Владельце или которые иным образом его контролируют, если они не следуют из регистра;
4. (г)по каждому Объекту — подтверждение контроля над ним: DNS-запись домена или файл с кодом, выданным Оператором;
5. (д)если контроль над Объектом нельзя подтвердить таким способом, — документы, из которых следует право Владельца на Объект: регистрацию доменного имени или договор с провайдером;
6. (е)если Объект размещён у поставщика услуг хостинга, облачных или иных услуг, правила которого требуют уведомлять о тестировании безопасности или получать на него согласие, — подтверждение того, что поставщик уведомлён или дал согласие.

Оператор сверяет документы с публичными регистрами, проверяет Владельца и лиц, которые им владеют или его контролируют, по перечням международных санкций, обязательных в Эстонии, и вправе потребовать дополнительные документы и объяснения.

Владелец заверяет и гарантирует, что предоставленные им документы и сведения достоверны, что он является владельцем Объектов либо уполномочен их владельцем и что исследование Объектов в пределах Программы не нарушает права третьих лиц.

Владелец незамедлительно сообщает Оператору, если он перестал контролировать Объект или если предоставленные им данные изменились. Оператор исключает такой Объект из Программы либо приостанавливает Программу.

Владелец возмещает Оператору и Исследователям ущерб, причинённый тем, что заверение или гарантия настоящего раздела оказались недостоверными, включая требования третьих лиц.

В Программе указываются:

1. (а)Объекты, которые можно исследовать, а также исключённые Объекты и приёмы;
2. (б)таблица Вознаграждений: сумма или диапазон сумм для каждого уровня Критичности;
3. (в)правила, которые Владелец добавляет к Правилам площадки;
4. (г)является ли Программа публичной, то есть открытой каждому Исследователю, или закрытой, то есть открытой Исследователям, которых одобрил Владелец.

Наименьшее Вознаграждение Программы составляет не менее 50 €.

Правила Программы могут делать Правила площадки строже. Правило Программы, которое делает их мягче, действительно, только если Правила площадки прямо это допускают.

Владелец вправе изменить Программу. Изменение применяется к Сообщениям, полученным после того, как Оператор его опубликовал. Изменение, которое уменьшает Вознаграждения или объём, не применяется к Сообщениям, полученным до его публикации.

Владелец вправе в любое время приостановить или закрыть Программу, уведомив Оператора. Сообщения, полученные до приостановления или закрытия Программы, рассматриваются по Программе, и Владелец уплачивает Цену тех из них, которые являются Засчитанными сообщениями.

Оператор вправе приостановить Программу, если Владелец нарушает Договор, если Аванса недостаточно в соответствии с разделом 9, если исследование Объекта стало противоправным, а также в качестве меры, предусмотренной разделом 10.

Публикуя Программу, Владелец разрешает каждому Исследователю, которому Программа открыта, исследовать Объекты, входящие в объём, в пределах Программы и Правил площадки.

В отношении исследования, проведённого добросовестно в пределах Программы и Правил площадки, Владелец не инициирует и не поддерживает судебные разбирательства против Исследователя и не утверждает, что Исследователь обошёл технические средства защиты.

Если третье лицо инициирует разбирательство против Исследователя в связи с таким исследованием, Владелец заявляет, что действия Исследователя были им разрешены.

Разрешение и обязательства, предусмотренные настоящим разделом, даются Владельцем и распространяются только на исследование, проведённое добросовестно в пределах Программы и Правил площадки. Они не распространяются на системы третьих лиц, в том числе поставщиков услуг хостинга, облачных и иных услуг, и на сервисы третьих лиц, которые использует Объект; они не связывают органы государственной власти и не заменяют право других государств.

Специалист Оператора рассматривает каждое Сообщение в течение 5 рабочих дней после получения: воспроизводит уязвимость, устанавливает, является ли Сообщение Засчитанным сообщением, и определяет Критичность.

Засчитанное сообщение Оператор передаёт Владельцу вместе с Критичностью, доказательствами и шагами воспроизведения уязвимости. На остальные Сообщения Оператор отвечает сам.

Если одну и ту же уязвимость описывают несколько Сообщений, Засчитанным сообщением является первое из них.

Если Владелец не согласен с Критичностью, он в письменной форме излагает причины в течение срока, установленного для решения о Вознаграждении. Оператор повторно рассматривает Сообщение. Определённая им после этого Критичность является для сторон окончательной, что не лишает их права обратиться в суд.

Владелец сообщает Оператору, когда уязвимость устранена. По просьбе Владельца Оператор проверяет устранение.

Владелец, являющийся изготовителем продуктов с цифровыми элементами, несёт собственную обязанность уведомлять об активно эксплуатируемых уязвимостях в соответствии со статьёй 14 Регламента (ЕС) 2024/2847, которая применяется с 11 сентября 2026 года. Сообщение, переданное Оператором, не освобождает Владельца от этой обязанности.

Владелец принимает решение о Вознаграждении за Засчитанное сообщение в течение 10 рабочих дней после получения сообщения в пределах таблицы Программы для уровня Критичности, который определил Оператор.

Если Владелец не принял решение в этот срок, Вознаграждением является наименьшая сумма таблицы Программы для этого уровня Критичности.

Владелец вправе назначить Вознаграждение выше предусмотренного таблицей Программы.

Засчитанное сообщение предоставляется Владельцу, а его Цена списывается с Аванса в соответствии с разделом 9 в день, когда Владелец принял решение о Вознаграждении, или в день истечения срока для такого решения.

Оператор выплачивает Вознаграждение Исследователю от своего имени и за свой счёт в течение 10 рабочих дней после решения. Исследователь получает Вознаграждение полностью; Комиссия из него не удерживается.

Если международные санкции запрещают Оператору выплатить Вознаграждение, Владелец уплачивает Цену этого Засчитанного сообщения только тогда и в той мере, когда и в какой Оператор выплачивает Вознаграждение. До этого Оператор не списывает эту Цену с Аванса и, насколько это допускает закон, сообщает об этом Владельцу.

Владелец уплачивает Оператору Цену каждого Засчитанного сообщения: Вознаграждение вместе с Комиссией в размере 20 % от Вознаграждения. Цена покрывает проверку Владельца, публикацию Программы, рассмотрение Сообщений и выплату Вознаграждений; иной платы по Договору Оператор не взимает.

До публикации Программы Владелец вносит Аванс по счёту на предоплату. Аванс не может быть меньше наибольшего Вознаграждения Программы вместе с Комиссией на него.

Аванс является предварительным платежом в счёт Цен, которые ещё не определены. Он не является оплатой конкретного Засчитанного сообщения. Аванс уплачивается на счёт Оператора и становится имуществом Оператора; в части Аванса, которая не израсходована, Владелец имеет к Оператору денежное требование. Проценты на Аванс не начисляются.

После предоставления Засчитанного сообщения в соответствии с разделом 8 Оператор списывает его Цену с Аванса и выставляет Владельцу счёт на каждое списание. Если Аванс не покрывает Цену, непокрытую часть Владелец оплачивает по этому счёту.

Когда Аванс становится меньше наибольшего Вознаграждения Программы вместе с Комиссией на него, Владелец пополняет его по счёту на предоплату. Пока Аванса недостаточно, Оператор вправе приостановить Программу.

После того как Программа закрыта, а расчёты по Сообщениям, полученным до её закрытия, завершены, Оператор незамедлительно возвращает неизрасходованную часть Аванса. Если международные санкции запрещают возврат, Оператор возвращает сумму тогда и в той мере, когда и в какой это допускают санкции.

Суммы в настоящих Условиях и в Программе указаны без налога на добавленную стоимость. Предметом поставки Оператора Владельцу является Засчитанное сообщение за всю Цену, то есть за Вознаграждение и Комиссию вместе. Налог на добавленную стоимость начисляется, если этого требует закон. Владелец, являющийся налогооблагаемым лицом в другом государстве — члене Европейского союза, сообщает Оператору свой номер плательщика НДС, который Оператор проверяет в системе обмена информацией об НДС (VIES); такой Владелец исчисляет налог в порядке обратного начисления, что указывается в счёте.

Платежи производятся в евро банковским переводом. Платёж считается произведённым, когда сумма зачислена на счёт Оператора. Каждая сторона несёт расходы своего банка.

Оператор хранит Программу и любой иной текст или файл, который Владелец предоставляет через Площадку, и публикует публичные Программы на Площадке. Программа и любой такой текст или файл не могут содержать:

1. (а)содержимое, противоправное по праву Европейского союза или государства-члена;
2. (б)содержимое, нарушающее права других лиц, в том числе права интеллектуальной собственности;
3. (в)персональные данные, кроме имён и контактных данных лиц, действующих от имени Владельца;
4. (г)приглашение исследовать систему, которая не является Объектом Владельца, или совершать действия, которые запрещены Правилами площадки;
5. (д)вредоносный код или ссылку на него.

Оператор проверяет каждую Программу до её публикации, а также содержимое, о котором он получил уведомление. Каждую проверку проводит и каждое решение по настоящему разделу принимает человек. Оператор не принимает решений о содержимом автоматизированными средствами.

Если содержимое противоправно или несовместимо с настоящими Условиями, Оператор вправе тщательно, объективно и соразмерно, с должным учётом прав и законных интересов затронутых сторон принять следующие меры:

1. (а)отказать в публикации содержимого или удалить его;
2. (б)приостановить или закрыть Программу;
3. (в)приостановить доступ Владельца к Площадке или расторгнуть Договор.

Оператор уведомляет Владельца о каждой такой мере не позднее момента её вступления в силу и прилагает обоснование в соответствии со статьёй 17 Регламента (ЕС) 2022/2065. В обосновании указываются мера, её объём и срок; факты и обстоятельства, на которых она основана, в том числе была ли мера принята на основании уведомления; основание — положение закона, если содержимое противоправно, или положение настоящих Условий, если содержимое с ними несовместимо; то, что решение принял человек; а также имеющиеся средства правовой защиты.

Владелец вправе потребовать пересмотра меры, направив письмо с изложением причин по адресу info@securitytest.team. По возможности такое требование рассматривает не то лицо, которое приняло меру. Оператор без неоправданной задержки сообщает Владельцу результат и его причины. Право Владельца обратиться в суд не затрагивается.

Оператор сохраняет в тайне Сообщения и все иные сведения о Владельце и Объектах, которые не являются общедоступными. Сообщение он раскрывает только Исследователю, который его составил, Владельцу и лицам, которых назвал Владелец.

Исследователи обязаны сохранять конфиденциальность в силу Правил площадки. Уязвимость раскрывается публично только после её устранения и с письменного согласия Владельца.

Владелец сохраняет в тайне Сообщения и сведения об Исследователях. Оператор не раскрывает Владельцу личность Исследователя без согласия Исследователя, за исключением случаев, когда Исследователь действовал за пределами Программы или Правил площадки и сведения о его личности нужны Владельцу для установления, осуществления или защиты правовых требований, а также случаев, когда раскрытия требует закон или обязательное решение суда или органа власти.

Обязанность сохранять конфиденциальность не распространяется на сведения, которые сторона обязана раскрыть по закону или по обязательному решению суда или органа власти.

Меры, которыми Оператор защищает сведения, изложены в Политике информационной безопасности.

Каждая сторона обрабатывает персональные данные представителей и контактных лиц другой стороны как самостоятельный контролёр. Оператор обрабатывает такие данные в соответствии со своей Политикой конфиденциальности.

Правила площадки запрещают Исследователям читать, копировать и хранить персональные данные. Если Сообщение тем не менее содержит персональные данные из Объекта, Оператор обрабатывает их по поручению Владельца как обработчик в значении статьи 28 Регламента (ЕС) 2016/679, а Владелец является их контролёром. В этом случае настоящий раздел является договором, которого требует названная статья.

Предмет и срок обработки — рассмотрение Сообщений в течение срока действия Договора; характер и цель обработки — подтверждение уязвимостей; персональные данные и субъекты данных — те, которые содержатся в Сообщении, как правило пользователи Объектов.

Как обработчик Оператор:

1. (а)обрабатывает персональные данные только по документально оформленным указаниям Владельца, которые содержатся в Договоре, и передаёт персональные данные за пределы Европейской экономической зоны только по таким указаниям и в соответствии с главой V Регламента (ЕС) 2016/679, если только этого не требует право Союза или государства-члена, которому подчиняется Оператор; в таком случае Оператор до начала обработки сообщает Владельцу об этом требовании закона, если только этот закон не запрещает такое сообщение;
2. (б)незамедлительно сообщает Владельцу, если, по его мнению, указание нарушает Регламент (ЕС) 2016/679 или иные положения о защите данных Союза или государства-члена;
3. (в)обеспечивает, чтобы лица, допущенные к обработке персональных данных, были обязаны сохранять конфиденциальность;
4. (г)принимает меры, которых требует статья 32 Регламента (ЕС) 2016/679;
5. (д)привлекает в качестве субобработчиков поставщиков, названных в Политике конфиденциальности, в настоящее время — Cloudflare, Inc. для хостинга и для хранения данных в Европейском союзе, на основании общего письменного разрешения, которое Владелец даёт, заключая Договор; до вступления в силу предполагаемого изменения состава субобработчиков сообщает о нём Владельцу по электронной почте, чтобы Владелец мог возразить против него, а если Оператор сохраняет изменение — расторгнуть Договор; и возлагает на каждого субобработчика те же обязанности по защите данных, которые настоящий раздел возлагает на Оператора;
6. (е)содействует Владельцу в ответах на обращения субъектов данных и в исполнении обязанностей, предусмотренных статьями 32–36 Регламента (ЕС) 2016/679;
7. (ж)без неоправданной задержки уведомляет Владельца после того, как ему стало известно о нарушении безопасности персональных данных;
8. (з)маскирует персональные данные в Сообщениях, которые передаёт;
9. (и)после закрытия Сообщения по выбору Владельца удаляет персональные данные или возвращает их Владельцу и удаляет существующие копии, если только право Союза или государства-члена не требует хранения персональных данных;
10. (к)предоставляет Владельцу сведения, необходимые для подтверждения соблюдения настоящего раздела, и допускает проверки (аудиты), которые проводит Владелец или уполномоченный им аудитор.

Если Сообщение показывает, что к персональным данным в Объекте был фактически получен доступ или они были скопированы, Оператор без неоправданной задержки сообщает об этом Владельцу, чтобы Владелец мог оценить, обязан ли он уведомить о нарушении безопасности персональных данных в соответствии со статьёй 33 Регламента (ЕС) 2016/679. Согласно Правилам площадки Исследователь, получивший доступ к персональным данным, прекращает свои действия, не копирует данные, удаляет всё, что из них у него имеется, и подтверждает удаление Оператору.

Оператор не гарантирует, что Сообщения будут получены, что Исследователи найдут все уязвимости Объектов или что в Объекте, о котором нет Сообщений, нет уязвимостей.

Исследователи являются независимыми лицами. Исследуя Объекты, они не являются работниками, агентами или субподрядчиками Оператора: они исследуют Объекты на основании разрешения, которое Владелец дал, опубликовав Программу.

Оператор не несёт ответственности за ущерб, который Исследователь причинил, действуя за пределами Программы и Правил площадки, если только Оператор не нарушил собственные обязательства по Договору. Оператор прекращает участие такого Исследователя, сообщает об этом Владельцу и раскрывает личность Исследователя в соответствии с разделом 11.

Оператор несёт ответственность без ограничения за ущерб, причинённый им умышленно или по грубой неосторожности, а также за причинение смерти, телесного повреждения и вреда здоровью.

Во всех остальных случаях действует следующее:

1. (а)совокупная ответственность Оператора ограничена суммой Комиссии, которую Владелец уплатил за двенадцать месяцев, предшествующих причинению ущерба;
2. (б)Оператор не несёт ответственности за упущенную выгоду и косвенный ущерб, а также за ущерб, причинённый третьими лицами, которые эксплуатируют уязвимость Объекта.

Сторона не несёт ответственности за нарушение, вызванное непреодолимой силой — обстоятельством, которое находится вне её контроля и которое она не могла разумно учесть, избежать или преодолеть.

Договор вступает в силу в момент его заключения и действует до закрытия Программы и исполнения сторонами своих обязательств.

Каждая сторона вправе в любое время расторгнуть Договор, уведомив другую сторону. Программа закрывается в день получения уведомления.

Расторжение не освобождает Владельца от уплаты Цены Засчитанных сообщений, полученных до закрытия Программы.

Положения о разрешении на исследование, конфиденциальности, персональных данных, ответственности, применимом праве и подсудности сохраняют силу после прекращения Договора.

К Договору применяется право Эстонской Республики.

Стороны стремятся разрешить спор путём переговоров. Претензия предъявляется в письменной форме, и получившая её сторона отвечает без неоправданной задержки.

Спор, не разрешённый путём переговоров, разрешается судом Эстонской Республики по месту нахождения Оператора.

Оператор вправе изменять настоящие Условия. Об изменении он уведомляет Владельца по электронной почте не позднее чем за 30 дней до его вступления в силу. Владелец, не согласный с изменением, вправе расторгнуть Договор до этого дня.

Договор состоит из Договора о программе и настоящих Условий. При расхождении между Договором о программе и настоящими Условиями применяется Договор о программе.

По Договору уведомления направляются по электронной почте: Оператору — по адресу, указанному в настоящих Условиях, Владельцу — по адресу, указанному в Договоре о программе.

Владелец не передаёт Договор третьему лицу без письменного согласия Оператора. Это не ограничивает уступку денежного требования.

Недействительность отдельного положения настоящих Условий не затрагивает действительность остальных положений.

Настоящие Условия составлены на английском языке и публикуются в переводе. Если перевод расходится с английским текстом, применяется английский текст.

Оператор:

Банковские реквизиты Оператора указываются в счёте.