Условия площадки bug bounty для исследователей

В настоящих Условиях используются следующие термины:

1. (а)«Оператор» — Osaühing Ida Portal, регистрационный код 10970449, юридический адрес: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, оказывающее услуги под наименованием Security Test Team;
2. (б)«Площадка» — площадка bug bounty, которую Оператор ведёт на сайте securitytest.team;
3. (в)«Исследователь» — физическое лицо, которое приняло настоящие Условия и регистрацию которого подтвердил Оператор;
4. (г)«Владелец» — юридическое лицо либо физическое лицо, действующее в рамках своей предпринимательской или профессиональной деятельности, которое опубликовало Программу на Площадке;
5. (д)«Объект» — сайт, приложение, интерфейс или иная информационная система, которую Программа называет предметом исследования;
6. (е)«Программа» — условия, на которых Владелец приглашает Исследователей искать уязвимости в его Объектах: объём, исключения, таблица Вознаграждений и правила, которые Владелец добавляет к Правилам площадки;
7. (ж)«Правила площадки» — правила исследования, изложенные в разделе 4;
8. (з)«Сообщение» — сообщение Исследователя об уязвимости Объекта, направленное через Площадку;
9. (и)«Засчитанное сообщение» — Сообщение об уязвимости Объекта, входящего в объём, которую Оператор воспроизвёл, которое является первым Сообщением об этой уязвимости и которое получено в пределах Программы и Правил площадки;
10. (к)«Критичность» — качественная оценка уязвимости по системе Common Vulnerability Scoring System версии 4.0: низкая, средняя, высокая или критическая;
11. (л)«Вознаграждение» — сумма, которую Оператор выплачивает за Засчитанное сообщение в качестве платы за обнаружение и проверку уязвимости и сообщение о ней;
12. (м)«Получатель выплаты» — лицо, которому выплачивается Вознаграждение в соответствии с разделом 8;
13. (н)«Договор» — договор, заключённый между Оператором и Исследователем на настоящих Условиях.

По Договору Оператор предоставляет Исследователю доступ к Программам и приобретает у Исследователя от своего имени и за свой счёт услугу по обнаружению и проверке уязвимостей Объектов и сообщению о них, а Исследователь проводит исследование в пределах Программ и Правил площадки. За каждое Засчитанное сообщение Оператор выплачивает Вознаграждение.

Оператор предоставляет Засчитанные сообщения Владельцам как собственную услугу. Обязанность Оператора выплатить Вознаграждение не зависит от оплаты со стороны Владельца. У Исследователя нет требований к Владельцу о выплате Вознаграждения, а у Владельца нет платёжных обязательств перед Исследователем.

Лицо, желающее участвовать, направляет заявку через форму Площадки и принимает в ней настоящие Условия. Оператор отвечает в течение 1 рабочего дня.

Договор считается заключённым в момент, когда Оператор подтверждает регистрацию Исследователя. Оператор вправе отклонить заявку без объяснения причин.

Договор является рамочным. Он не создаёт для Исследователя обязанности проводить исследования или направлять Сообщения. Проводить ли исследование, когда, где и как, а также в какой Программе участвовать, Исследователь решает единолично.

Исследователь действует самостоятельно и за свой счёт, от своего имени или от имени Получателя выплаты в соответствии с разделом 8. Договор не создаёт между Исследователем и Оператором или Владельцем трудовых отношений, отношений представительства или товарищества. Правила площадки и правила Программы устанавливают пределы разрешения Владельца; они не являются указаниями о том, как выполнять работу.

Оператор не принимает решений в отношении Исследователя исключительно автоматизированными средствами, в том числе решений о Сообщении, о Вознаграждении или об участии Исследователя. Каждое Сообщение рассматривает человек.

Исследователем может быть лицо, которое:

1. (а)достигло возраста 18 лет и обладает полной дееспособностью;
2. (б)не включено в перечни международных санкций, обязательных в Эстонии: ограничительных мер Европейского союза и санкций Правительства Эстонской Республики;
3. (в)не контролируется лицом, включённым в такие перечни, и не действует от его имени;
4. (г)не входит в персонал Оператора.

Исследователь не участвует в Программе, на Владельца которой он работает или работал в течение двенадцати месяцев до Сообщения в качестве работника или подрядчика, и не сообщает об уязвимости, о которой узнал в ходе такой работы.

У Исследователя одна регистрация. Регистрация не передаётся другому лицу.

Исследователь, участвующий в Программе:

1. (а)исследует только Объекты, которые Программа называет входящими в объём, а если Программа неясна, — обращается к Оператору до того, как действовать;
2. (б)использует только учётные записи и данные, которые создал сам, либо те, которые Владелец предоставил для исследования;
3. (в)не читает, не изменяет, не копирует и не хранит данные, которые ему не принадлежат. Исследователь, получивший доступ к таким данным, прекращает свои действия, не копирует их, удаляет всё, что из них у него имеется, немедленно сообщает об этом и подтверждает удаление Оператору;
4. (г)применяет наименьшее действие, доказывающее уязвимость, не оставляет после себя средств доступа и не переходит с Объекта на другие системы;
5. (д)не ухудшает работу Объекта: не проводит атак на отказ в обслуживании, не рассылает массовых сообщений и не сканирует с частотой, влияющей на доступность;
6. (е)не применяет социальную инженерию, фишинг и физический доступ, если Программа прямо их не разрешает;
7. (ж)сообщает об уязвимости только через Площадку и без промедления, не передаёт, не продаёт и не публикует её;
8. (з)не требует оплаты и не ставит условий в связи с Сообщением, помимо Вознаграждения Программы;
9. (и)соблюдает право, которое к нему применяется, и правила, которые Владелец добавил к Программе.

Правила Программы могут делать Правила площадки строже. Если они расходятся, применяется более строгое правило.

Публикуя Программу, её Владелец разрешает Исследователям, которым Программа открыта, исследовать Объекты, входящие в объём, в пределах Программы и Правил площадки и обязуется не инициировать и не поддерживать судебные разбирательства против Исследователя в связи с исследованием, проведённым добросовестно в этих пределах.

Если третье лицо инициирует разбирательство против Исследователя в связи с таким исследованием, Оператор подтверждает, что исследование проведено в рамках Программы Площадки.

Разрешение и обязательства даются Владельцем и связывают Владельца. Они распространяются только на исследование, проведённое добросовестно в пределах Программы и Правил площадки. Они не распространяются на системы третьих лиц, в том числе поставщиков услуг хостинга, облачных и иных услуг, и на сервисы третьих лиц, которые использует Объект; они не связывают органы государственной власти и не заменяют право других государств, в том числе право государства, в котором Исследователь проводит исследование.

Сообщение направляется по каналу, который Оператор предоставил Исследователю при регистрации. Сообщение содержит:

1. (а)Программу и затронутый Объект;
2. (б)адрес и затронутый параметр или компонент;
3. (в)шаги воспроизведения уязвимости с чистого состояния;
4. (г)описание того, чего может добиться злоумышленник;
5. (д)доказательства, из которых удалены данные других лиц.

Специалист Оператора рассматривает Сообщение в течение 5 рабочих дней после получения: воспроизводит уязвимость, устанавливает, является ли Сообщение Засчитанным сообщением, и определяет Критичность. Оператор сообщает Исследователю результат и его причины.

Если одну и ту же уязвимость описывают несколько Сообщений, Засчитанным сообщением является первое из них.

Если Исследователь не согласен с результатом, он в письменной форме излагает причины. Оператор повторно рассматривает Сообщение; по возможности это делает не то лицо, которое рассматривало его впервые. Результат такого рассмотрения является для сторон окончательным, что не лишает их права обратиться в суд.

За Засчитанное сообщение Оператор выплачивает Вознаграждение. Вознаграждение является платой за обнаружение и проверку уязвимости и сообщение о ней, а не призом.

Владелец Программы принимает решение о размере Вознаграждения в течение 10 рабочих дней после получения сообщения в пределах таблицы Программы для уровня Критичности, который определил Оператор. Если Владелец не принял решение в этот срок, Вознаграждением является наименьшая сумма таблицы для этого уровня Критичности. Оператор сообщает Исследователю размер Вознаграждения.

Обязанность Оператора выплатить Вознаграждение возникает в день, когда принято решение о его размере или истёк срок для такого решения. Она не зависит от оплаты со стороны Владельца.

Исследователь получает Вознаграждение полностью. Оператор ничего из него не удерживает; комиссию Площадки уплачивает Владелец сверх Вознаграждения. Вознаграждение не включает налог на добавленную стоимость.

Оператор выплачивает Вознаграждение в течение 10 рабочих дней после решения в евро банковским переводом на счёт Получателя выплаты. Если в день решения условия раздела 9 не выполнены, срок исчисляется со дня их выполнения. Каждая сторона несёт расходы своего банка.

Вознаграждение не выплачивается за Сообщение:

1. (а)которое не является Засчитанным сообщением;
2. (б)которое получено с нарушением Программы, Правил площадки или закона;
3. (в)Исследователя, который не отвечает условиям раздела 3;
4. (г)об уязвимости, которую Исследователь раскрыл третьему лицу.

Налоги и взносы, причитающиеся с Вознаграждения, уплачивает Исследователь или Получатель выплаты в том государстве, в котором они подлежат уплате.

Оператор выплачивает Вознаграждения только в тех случаях, когда эстонское право не требует от него ни удерживать с Вознаграждения налог, ни уплачивать с него социальный налог. Поэтому Вознаграждение выплачивается только Получателю выплаты, которым является одно из следующих лиц:

1. (а)Исследователь как частное лицо, если Исследователь не является налоговым резидентом Эстонии и проводит исследование за пределами Эстонии;
2. (б)Исследователь как индивидуальный предприниматель, внесённый в коммерческий регистр Эстонии или другого государства Европейской экономической зоны, если Вознаграждение является предпринимательским доходом этого индивидуального предпринимателя;
3. (в)юридическое лицо, которое Исследователь вправе представлять: эстонское юридическое лицо либо — для исследования, проводимого за пределами Эстонии, — иностранное юридическое лицо, которое не находится в юрисдикции, включённой в перечень ЕС юрисдикций, не сотрудничающих в налоговых целях.

Поэтому Исследователь, который является налоговым резидентом Эстонии или проводит исследование в Эстонии, получает Вознаграждения только как индивидуальный предприниматель или через юридическое лицо.

Если Получателем выплаты является индивидуальный предприниматель, Исследователь проводит исследование в рамках этой предпринимательской деятельности. Если Получателем выплаты является юридическое лицо, Исследователь проводит исследование и направляет Сообщения от его имени, услугу оказывает это юридическое лицо и Вознаграждение причитается ему; называя его Получателем выплаты, Исследователь принимает настоящие Условия также от его имени.

Вознаграждения не выплачиваются на счёт предпринимателя (ettevõtluskonto), предусмотренный эстонским Законом об упрощённом налогообложении предпринимательского дохода.

До первой выплаты Исследователь заявляет Оператору государство, налоговым резидентом которого он является, государство, в котором он проводит исследование, и Получателя выплаты. Об изменении Исследователь сообщает Оператору незамедлительно и в любом случае до выплаты Вознаграждения за Сообщение, направленное после изменения.

Если заявление Исследователя оказывается недостоверным, Исследователь возмещает Оператору налоги, проценты и иные платежи, которые Оператор вследствие этого должен уплатить.

Получатель выплаты, являющийся индивидуальным предпринимателем или юридическим лицом, выставляет Оператору счёт на Вознаграждение. Налог на добавленную стоимость, как того требует закон, начисляет Получатель выплаты либо исчисляет Оператор в порядке обратного начисления.

Для Получателя выплаты, являющегося частным лицом, Оператор оформляет документ, в котором указаны Программа, Сообщение и сумма.

До первой выплаты Исследователь предоставляет Оператору следующие сведения и поддерживает их в актуальном состоянии:

1. (а)полное имя, дату рождения и основной адрес Исследователя;
2. (б)документ, удостоверяющий личность Исследователя, — для проверки личности;
3. (в)каждый идентификационный номер налогоплательщика Исследователя и государство, которое его выдало, а если такой номер не выдавался, — место рождения;
4. (г)номер плательщика НДС Исследователя, если он присвоен;
5. (д)если Получателем выплаты является индивидуальный предприниматель, — регистр, в который он внесён, и его регистрационный код;
6. (е)если Получателем выплаты является юридическое лицо, — его наименование, юридический адрес, регистрационный код, идентификационный номер налогоплательщика и номер плательщика НДС, его постоянные представительства в Европейском союзе, лиц, которым принадлежит 50 % или более долей участия в нём или которые его контролируют, и документ, из которого следует право Исследователя его представлять;
7. (ж)идентификатор банковского счёта, на который выплачивается Вознаграждение, и имя или наименование владельца счёта.

Счёт открыт на имя Получателя выплаты в банке, в отношении которого не действуют ограничительные меры Европейского союза, запрещающие операции с ним.

Оператор проверяет личность Исследователя по документу, удостоверяющему личность, не сохраняя его копии: он фиксирует вид, номер, государство выдачи и срок действия документа, а также дату, способ и результат проверки. Иные сведения Оператор проверяет по публичным регистрам и через электронные интерфейсы, которые Европейский союз и государства-члены бесплатно предоставляют для проверки идентификационных номеров налогоплательщика и номеров плательщика НДС, и вправе потребовать дополнительные документы.

Перед каждой выплатой Оператор проверяет Исследователя, Получателя выплаты и лицо, которому производится платёж, по перечням международных санкций, обязательных в Эстонии. Получатель выплаты, являющийся юридическим лицом, не может быть включён в эти перечни, не может на 50 % или более принадлежать лицу, включённому в них, или контролироваться таким лицом и не может действовать от его имени.

Оператор выплачивает Вознаграждение только после того, как проверил личность Исследователя, заявления, предусмотренные разделом 8, Получателя выплаты и счёт, а также провёл проверку по санкционным перечням.

Если международные санкции запрещают платёж, Оператор не выплачивает Вознаграждение, замораживает сумму и, если этого требует закон, уведомляет Бюро данных об отмывании денег. Требование о выплате Вознаграждения остаётся замороженным и никому не выплачивается, пока действует санкция. Оператор не несёт ответственности за невыплату Вознаграждения в таком случае.

Оператор является отчитывающимся оператором платформы в соответствии с Директивой Совета 2011/16/ЕС в редакции Директивы Совета (ЕС) 2021/514 и главой 2⁴ Закона Эстонии об обмене налоговой информацией.

Ежегодно, не позднее 31 января следующего года, Оператор сообщает Налогово-таможенному департаменту Эстонии сведения, предусмотренные разделом 9, об Исследователях и Получателях выплаты, которые являются резидентами государства — члена Европейского союза или юрисдикции, включённой Налогово-таможенным департаментом Эстонии в перечень, о Вознаграждениях, выплаченных им в каждом квартале, и о числе Засчитанных сообщений, за которые выплачены Вознаграждения. Налогово-таможенный департамент Эстонии обменивается этими сведениями с государством или государствами резидентства.

До подачи отчётности и не позднее 31 января Оператор предоставляет каждому Исследователю и каждому Получателю выплаты те сведения о нём, которые будут сообщены.

Если Исследователь, несмотря на два напоминания, не предоставляет сведения, необходимые для отчётности, Оператор вправе приостановить выплату Вознаграждений до их предоставления, но не ранее чем через 60 дней после первого запроса, как это допускает § 8(1¹) Закона об обмене налоговой информацией.

Направляя Сообщение, Исследователь предоставляет Оператору простую (неисключительную) лицензию, не ограниченную сроком и территорией, на использование Сообщения для рассмотрения уязвимости и предоставления Засчитанного сообщения Владельцу — с правом предоставить Владельцу Программы лицензию того же вида на использование Сообщения для устранения уязвимости и защиты Объектов.

Лицензия предоставляется без отдельной платы. Вознаграждение является платой за услугу по обнаружению и проверке уязвимости и сообщению о ней, а не платой за лицензию.

Исследователь остаётся автором Сообщения. Оператор и Владелец указывают Исследователя в качестве автора только с согласия Исследователя и под именем, которое он выбрал.

Исследователь заверяет, что Сообщение является результатом его собственного труда и что его направление не нарушает права третьих лиц.

Оператор хранит Сообщения, переписку и любой иной текст или файл, который Исследователь направляет через Площадку. Они не могут содержать:

1. (а)содержимое, противоправное по праву Европейского союза или государства-члена;
2. (б)содержимое, нарушающее права других лиц, в том числе права интеллектуальной собственности;
3. (в)персональные данные сверх необходимого для доказательства уязвимости;
4. (г)работающий вредоносный код сверх доказательства концепции (proof of concept), демонстрирующего уязвимость.

Каждую проверку проводит и каждое решение по настоящему разделу и по разделу 15 принимает человек. Оператор не принимает решений о содержимом автоматизированными средствами.

Если содержимое противоправно или несовместимо с настоящими Условиями, Оператор вправе тщательно, объективно и соразмерно, с должным учётом прав и законных интересов затронутых сторон принять следующие меры:

1. (а)отклонить содержимое или удалить его;
2. (б)приостановить или прекратить участие Исследователя в Программе или на Площадке;
3. (в)отказать в Вознаграждении за соответствующее Сообщение или приостановить его выплату.

Оператор уведомляет Исследователя о каждой такой мере не позднее момента её вступления в силу и прилагает обоснование в соответствии со статьёй 17 Регламента (ЕС) 2022/2065. В обосновании указываются мера, её объём и срок; факты и обстоятельства, на которых она основана, в том числе была ли мера принята на основании уведомления; основание — положение закона, если содержимое противоправно, или положение настоящих Условий, если содержимое с ними несовместимо; то, что решение принял человек; а также имеющиеся средства правовой защиты.

Исследователь вправе потребовать пересмотра меры, направив письмо с изложением причин по адресу info@securitytest.team. По возможности такое требование рассматривает не то лицо, которое приняло меру. Оператор без неоправданной задержки сообщает Исследователю результат и его причины. Право Исследователя обратиться в суд не затрагивается.

Исследователь сохраняет в тайне уязвимости, Сообщения, переписку о них и всё, что не является общедоступным о Программе и её Владельце, включая само существование закрытой Программы.

Уязвимость раскрывается публично только после её устранения и с письменного согласия Владельца, данного через Площадку.

Обязанность сохранять конфиденциальность сохраняет силу после прекращения Договора.

Оператор обрабатывает персональные данные Исследователя в соответствии со своей Политикой конфиденциальности.

Оператор не раскрывает Владельцу личность Исследователя без согласия Исследователя, за исключением случаев, когда Исследователь действовал за пределами Программы или Правил площадки и сведения о его личности нужны Владельцу для установления, осуществления или защиты правовых требований, а также случаев, когда раскрытия требует закон или обязательное решение суда или органа власти. В Сообщениях и благодарностях Исследователь указывается под именем, которое он выбрал.

Если Исследователь нарушил настоящие Условия или правила Программы, Оператор вправе приостановить или прекратить участие Исследователя, отказать в Вознаграждении за Сообщение, полученное с нарушением, и сообщить об этом затронутому Владельцу. Оператор уведомляет Исследователя о мере с обоснованием и сообщает ему об имеющихся средствах правовой защиты в соответствии с разделом 12.

Исследователь несёт ответственность за ущерб, причинённый им действиями за пределами Программы и Правил площадки.

Оператор несёт перед Исследователем ответственность за выплату Вознаграждения со дня, когда принято решение о Вознаграждении или истёк срок для такого решения.

Оператор не гарантирует, что Программы открыты в любое время, что Программа остаётся неизменной или что за Сообщение будет выплачено Вознаграждение.

Оператор несёт ответственность без ограничения за ущерб, причинённый им умышленно или по грубой неосторожности, а также за причинение смерти, телесного повреждения и вреда здоровью.

Во всех остальных случаях совокупная ответственность Оператора ограничена Вознаграждениями, причитающимися Исследователю.

Договор вступает в силу в момент его заключения и заключается на неопределённый срок.

Каждая сторона вправе в любое время расторгнуть Договор, уведомив другую сторону.

Вознаграждения за Засчитанные сообщения, направленные до прекращения Договора, выплачиваются в соответствии с настоящими Условиями.

К Договору применяется право Эстонской Республики.

Стороны стремятся разрешить спор путём переговоров. Спор, не разрешённый путём переговоров, разрешается судом Эстонской Республики по месту нахождения Оператора.

Императивные нормы закона, которые защищают Исследователя и от которых нельзя отступить по соглашению сторон, не затрагиваются.

Оператор вправе изменять настоящие Условия. Об изменении он уведомляет Исследователя по электронной почте не позднее чем за 30 дней до его вступления в силу. Исследователь, не согласный с изменением, вправе расторгнуть Договор до этого дня.

По Договору уведомления направляются по электронной почте: Оператору — по адресу info@securitytest.team, Исследователю — по адресу, указанному в заявке.

Исследователь не передаёт Договор третьему лицу без письменного согласия Оператора. Это не ограничивает уступку денежного требования.

Недействительность отдельного положения настоящих Условий не затрагивает действительность остальных положений.

Настоящие Условия составлены на английском языке и публикуются в переводе. Если перевод расходится с английским текстом, применяется английский текст.