Bug bounty-plattformens villkor för säkerhetsforskare

I dessa Villkor har följande begrepp följande betydelse:

1. (a)”Operatören” avser Osaühing Ida Portal, registreringskod 10970449, säte: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, som tillhandahåller sina tjänster under namnet Security Test Team;
2. (b)”Plattformen” avser den bug bounty-plattform som Operatören driver på webbplatsen securitytest.team;
3. (c)”Säkerhetsforskaren” avser den fysiska person som har accepterat dessa Villkor och vars registrering Operatören har bekräftat;
4. (d)”Ägare” avser en juridisk person, eller en fysisk person som handlar inom ramen för sin närings- eller yrkesverksamhet, som har publicerat ett Program på Plattformen;
5. (e)”Tillgång” avser en webbplats, en applikation, ett gränssnitt eller ett annat informationssystem som ett Program anger som föremål för undersökning;
6. (f)”Program” avser de villkor enligt vilka en Ägare inbjuder Säkerhetsforskare att söka efter sårbarheter i Ägarens Tillgångar: omfattningen, undantagen, belöningstabellen och de regler som Ägaren lägger till Plattformsreglerna;
7. (g)”Plattformsreglerna” avser de regler för säkerhetsforskning som anges i avsnitt 4;
8. (h)”Rapport” avser Säkerhetsforskarens meddelande om en sårbarhet i en Tillgång, som skickas via Plattformen;
9. (i)”Giltig rapport” avser en Rapport om en sårbarhet i en Tillgång inom omfattningen som Operatören har återskapat, som är den första Rapporten om den sårbarheten och som har tagits fram inom ramen för Programmet och Plattformsreglerna;
10. (j)”Allvarlighetsgrad” avser den kvalitativa bedömningen av en sårbarhet enligt Common Vulnerability Scoring System, version 4.0: låg, medelhög, hög eller kritisk;
11. (k)”Belöning” avser det belopp som Operatören betalar för en Giltig rapport som arvode för att hitta, verifiera och rapportera sårbarheten;
12. (l)”Betalningsmottagare” avser den person till vilken en Belöning betalas ut enligt avsnitt 8;
13. (m)”Avtalet” avser det avtal som har ingåtts mellan Operatören och Säkerhetsforskaren enligt dessa Villkor.

Enligt Avtalet ger Operatören Säkerhetsforskaren åtkomst till Programmen och förvärvar från Säkerhetsforskaren, i eget namn och för egen räkning, tjänsten att hitta, verifiera och rapportera sårbarheter i Tillgångarna, och Säkerhetsforskaren bedriver säkerhetsforskning inom ramen för Programmen och Plattformsreglerna. Operatören betalar Belöningen för varje Giltig rapport.

Operatören levererar de Giltiga rapporterna till Ägarna som sin egen tjänst. Operatörens skyldighet att betala en Belöning är inte beroende av att Ägaren betalar. Säkerhetsforskaren har inget anspråk på Belöning mot en Ägare, och en Ägare har ingen betalningsskyldighet gentemot Säkerhetsforskaren.

Den som vill delta skickar en ansökan via Plattformens formulär och accepterar dessa Villkor i formuläret. Operatören svarar inom 1 arbetsdag.

Avtalet ingås vid den tidpunkt då Operatören bekräftar Säkerhetsforskarens registrering. Operatören får avböja en ansökan utan att ange skäl.

Avtalet är ett ramavtal. Det medför ingen skyldighet för Säkerhetsforskaren att bedriva säkerhetsforskning eller att skicka Rapporter. Säkerhetsforskaren bestämmer själv om, när, var och hur säkerhetsforskningen ska bedrivas och i vilket Program Säkerhetsforskaren ska delta.

Säkerhetsforskaren agerar självständigt och på egen bekostnad, i eget namn eller för Betalningsmottagarens räkning enligt avsnitt 8. Avtalet skapar inget anställningsförhållande, agenturförhållande eller bolagsförhållande mellan Säkerhetsforskaren och Operatören eller en Ägare. Plattformsreglerna och ett Programs regler anger gränserna för Ägarens tillstånd; de är inte instruktioner om hur arbetet ska utföras.

Operatören fattar inga beslut om Säkerhetsforskaren enbart på automatiserad väg, inbegripet beslut om en Rapport, om en Belöning eller om Säkerhetsforskarens deltagande. Varje Rapport granskas av en människa.

En person får vara Säkerhetsforskare om personen:

1. (a)är minst 18 år gammal och har full rättshandlingsförmåga;
2. (b)inte är förtecknad enligt de internationella sanktioner som är bindande i Estland: Europeiska unionens restriktiva åtgärder och Republiken Estlands regerings sanktioner;
3. (c)inte kontrolleras av, och inte agerar för, en person som är förtecknad på det sättet;
4. (d)inte tillhör Operatörens personal.

En Säkerhetsforskare deltar inte i ett Program vars Ägare Säkerhetsforskaren arbetar för, eller har arbetat för under de tolv månader som föregick Rapporten, som anställd eller uppdragstagare, och rapporterar inte en sårbarhet som Säkerhetsforskaren har fått kännedom om i ett sådant arbete.

En Säkerhetsforskare har en registrering. Registreringen överlåts inte till en annan person.

En Säkerhetsforskare som deltar i ett Program:

1. (a)undersöker endast de Tillgångar som Programmet anger som inom omfattningen, och frågar Operatören innan Säkerhetsforskaren agerar om Programmet är otydligt;
2. (b)använder endast de konton och data som Säkerhetsforskaren har skapat, eller som Ägaren har tillhandahållit för säkerhetsforskningen;
3. (c)läser, ändrar, kopierar eller behåller inte data som inte tillhör Säkerhetsforskaren. En Säkerhetsforskare som har fått åtkomst till sådana data avbryter sitt arbete, kopierar dem inte, raderar de data som Säkerhetsforskaren har kvar, rapporterar omedelbart och bekräftar raderingen för Operatören;
4. (d)använder den minsta åtgärd som bevisar sårbarheten, lämnar inga åtkomstvägar efter sig och förflyttar sig inte från Tillgången till andra system;
5. (e)försämrar inte Tillgången: utför inga överbelastningsattacker, skickar inga massmeddelanden och skannar inte i en takt som påverkar tillgängligheten;
6. (f)använder inte social engineering, nätfiske eller fysisk åtkomst, såvida inte Programmet uttryckligen tillåter det;
7. (g)rapporterar en sårbarhet endast via Plattformen och utan dröjsmål, och varken delar, säljer eller offentliggör den;
8. (h)kräver ingen betalning och ställer inga villkor för en Rapport utöver Programmets Belöning;
9. (i)följer den lag som gäller för Säkerhetsforskaren och de regler som Ägaren har lagt till i Programmet.

Ett Programs regler får göra Plattformsreglerna strängare. Om de skiljer sig åt gäller den strängare regeln.

Genom att publicera ett Program ger Programmets Ägare de Säkerhetsforskare som Programmet är öppet för tillstånd att undersöka Tillgångarna inom omfattningen inom ramen för Programmet och Plattformsreglerna, och åtar sig att inte inleda eller stödja rättsliga förfaranden mot en Säkerhetsforskare för säkerhetsforskning som bedrivs i god tro inom dessa ramar.

Om en tredje part inleder ett förfarande mot Säkerhetsforskaren för sådan säkerhetsforskning bekräftar Operatören att säkerhetsforskningen bedrevs inom ramen för ett Program på Plattformen.

Tillståndet och åtagandena ges av Ägaren och binder Ägaren. De omfattar endast säkerhetsforskning som bedrivs i god tro inom ramen för Programmet och Plattformsreglerna. De omfattar inte tredje parts system, inbegripet systemen hos hostingleverantörer, molnleverantörer och andra leverantörer och de tjänster från tredje part som en Tillgång använder; de binder inte myndigheter och ersätter inte andra staters lag, inbegripet lagen i den stat där Säkerhetsforskaren bedriver säkerhetsforskningen.

En Rapport skickas via den kanal som Operatören har gett Säkerhetsforskaren vid registreringen. En Rapport innehåller:

1. (a)det Program och den Tillgång som berörs;
2. (b)den adress och den parameter eller komponent som berörs;
3. (c)stegen för att återskapa sårbarheten från ett rent utgångsläge;
4. (d)vad en angripare skulle kunna uppnå;
5. (e)bevisen, från vilka andra personers data har tagits bort.

En specialist hos Operatören granskar en Rapport inom 5 arbetsdagar efter mottagandet: specialisten återskapar sårbarheten, fastställer om Rapporten är en Giltig rapport och fastställer Allvarlighetsgraden. Operatören informerar Säkerhetsforskaren om resultatet och om skälen för det.

Om flera Rapporter beskriver samma sårbarhet är den första av dem den Giltiga rapporten.

Om Säkerhetsforskaren inte instämmer i resultatet anger Säkerhetsforskaren skälen skriftligen. Operatören granskar Rapporten på nytt; om möjligt görs det av en annan person än den som granskade den första gången. Resultatet av den granskningen är slutligt mellan parterna, utan att det påverkar rätten att vända sig till domstol.

För en Giltig rapport betalar Operatören Belöningen. Belöningen är arvodet för att hitta, verifiera och rapportera sårbarheten, och inte en tävlingsvinst.

Programmets Ägare beslutar om Belöningens belopp inom 10 arbetsdagar efter att ha fått rapporten, inom ramen för Programmets belöningstabell för den Allvarlighetsgrad som Operatören har fastställt. Om Ägaren inte har beslutat inom den tiden är Belöningen det lägsta beloppet i belöningstabellen för den Allvarlighetsgraden. Operatören informerar Säkerhetsforskaren om beloppet.

Operatörens skyldighet att betala Belöningen uppkommer den dag då beloppet har beslutats eller tiden för beslutet har löpt ut. Skyldigheten är inte beroende av att Ägaren betalar.

Säkerhetsforskaren får hela Belöningen. Operatören håller inte inne något av den; plattformens provision betalas av Ägaren utöver Belöningen. Belöningen inkluderar inte mervärdesskatt.

Operatören betalar ut Belöningen inom 10 arbetsdagar efter beslutet, i euro, genom banköverföring till Betalningsmottagarens konto. Om villkoren i avsnitt 9 inte är uppfyllda den dag då beslutet fattas löper tiden från den dag då de uppfylls. Varje part står för avgifterna i sin egen bank.

Ingen Belöning betalas för en Rapport:

1. (a)som inte är en Giltig rapport;
2. (b)som har tagits fram i strid med Programmet, Plattformsreglerna eller lag;
3. (c)från en Säkerhetsforskare som inte uppfyller villkoren i avsnitt 3;
4. (d)om en sårbarhet som Säkerhetsforskaren har lämnat ut till tredje part.

De skatter och socialavgifter som ska betalas på Belöningen betalas av Säkerhetsforskaren eller av Betalningsmottagaren i den stat där de ska betalas.

Operatören betalar ut Belöningar endast när estnisk lag varken kräver att Operatören gör skatteavdrag från Belöningen eller att Operatören betalar socialskatt på den. En Belöning betalas därför ut endast till en Betalningsmottagare, som är en av följande:

1. (a)Säkerhetsforskaren som privatperson, om Säkerhetsforskaren inte har skatterättslig hemvist i Estland och bedriver säkerhetsforskningen utanför Estland;
2. (b)Säkerhetsforskaren som enskild näringsidkare införd i handelsregistret i Estland eller i en annan stat inom Europeiska ekonomiska samarbetsområdet, om Belöningen är näringsinkomst för den enskilda näringsidkaren;
3. (c)en juridisk person som Säkerhetsforskaren har rätt att företräda: en estnisk juridisk person; eller, för säkerhetsforskning som bedrivs utanför Estland, en utländsk juridisk person som inte är belägen i en jurisdiktion som finns med på EU:s förteckning över icke samarbetsvilliga jurisdiktioner i skattehänseende.

En Säkerhetsforskare som har skatterättslig hemvist i Estland, eller som bedriver säkerhetsforskningen i Estland, får därför Belöningar endast som enskild näringsidkare eller genom en juridisk person.

Om Betalningsmottagaren är en enskild näringsidkare bedriver Säkerhetsforskaren säkerhetsforskningen inom ramen för den verksamheten. Om Betalningsmottagaren är en juridisk person bedriver Säkerhetsforskaren säkerhetsforskningen och skickar Rapporterna för den juridiska personens räkning, tjänsten tillhandahålls av den juridiska personen och Belöningen tillkommer den; genom att ange den juridiska personen som Betalningsmottagare accepterar Säkerhetsforskaren dessa Villkor även för dess räkning.

Belöningar betalas inte ut till ett företagarkonto (ettevõtluskonto) enligt Estlands lag om förenklad beskattning av näringsinkomst.

Före den första utbetalningen uppger Säkerhetsforskaren för Operatören den stat där Säkerhetsforskaren har skatterättslig hemvist, den stat där Säkerhetsforskaren bedriver säkerhetsforskningen samt Betalningsmottagaren. Säkerhetsforskaren informerar Operatören om en ändring utan dröjsmål, och under alla omständigheter innan en Belöning betalas ut för en Rapport som skickats efter ändringen.

Om en uppgift som Säkerhetsforskaren har lämnat visar sig vara osann ersätter Säkerhetsforskaren Operatören för de skatter, den ränta och de övriga avgifter som Operatören måste betala till följd av detta.

En Betalningsmottagare som är en enskild näringsidkare eller en juridisk person fakturerar Operatören för Belöningen. Mervärdesskatt tas ut av Betalningsmottagaren, eller redovisas av Operatören enligt reglerna om omvänd betalningsskyldighet, så som lagen kräver.

För en Betalningsmottagare som är en privatperson utfärdar Operatören ett dokument som anger Programmet, Rapporten och beloppet.

Före den första utbetalningen lämnar Säkerhetsforskaren följande uppgifter till Operatören och håller dem aktuella:

1. (a)Säkerhetsforskarens fullständiga namn, födelsedatum och huvudsakliga adress;
2. (b)Säkerhetsforskarens id-handling, för kontroll av identiteten;
3. (c)varje skatteregistreringsnummer för Säkerhetsforskaren och den stat som har utfärdat det, eller, om inget har utfärdats, födelseorten;
4. (d)Säkerhetsforskarens momsregistreringsnummer, om ett sådant har utfärdats;
5. (e)om Betalningsmottagaren är en enskild näringsidkare: det register där den enskilda näringsidkaren är införd och dess registreringskod;
6. (f)om Betalningsmottagaren är en juridisk person: dess registrerade namn, registrerade adress, registreringskod, skatteregistreringsnummer och momsregistreringsnummer, dess fasta driftställen i Europeiska unionen, de personer som äger 50 % eller mer av den eller kontrollerar den, samt den handling av vilken Säkerhetsforskarens rätt att företräda den framgår;
7. (g)identifieringsuppgiften för det bankkonto som Belöningen betalas ut till och namnet på kontohavaren.

Kontot innehas i Betalningsmottagarens namn i en bank som inte omfattas av Europeiska unionens restriktiva åtgärder som förbjuder transaktioner med den.

Operatören kontrollerar Säkerhetsforskarens identitet mot id-handlingen utan att behålla en kopia av den: Operatören registrerar handlingens typ, nummer, utfärdande stat och sista giltighetsdag samt datum, metod och resultat för kontrollen. Operatören kontrollerar övriga uppgifter mot offentliga register och mot de elektroniska gränssnitt som Europeiska unionen och medlemsstaterna tillhandahåller kostnadsfritt för kontroll av skatteregistreringsnummer och momsregistreringsnummer, och får kräva ytterligare handlingar.

Före varje utbetalning kontrollerar Operatören Säkerhetsforskaren, Betalningsmottagaren och den person till vilken betalningen görs mot förteckningarna enligt de internationella sanktioner som är bindande i Estland. En Betalningsmottagare som är en juridisk person får inte vara förtecknad, får inte till 50 % eller mer ägas eller kontrolleras av en förtecknad person och får inte agera för en sådan person.

Operatören betalar ut en Belöning först efter att ha kontrollerat Säkerhetsforskarens identitet, uppgifterna enligt avsnitt 8, Betalningsmottagaren och kontot, och efter att ha gjort kontrollen mot sanktionsförteckningarna.

Om internationella sanktioner förbjuder betalningen betalar Operatören inte ut Belöningen, fryser beloppet och underrättar Estlands finansunderrättelseenhet där lagen kräver det. Fordran på Belöningen förblir frusen och betalas inte ut till någon så länge sanktionen gäller. Operatören ansvarar inte för att Belöningen inte betalas ut i ett sådant fall.

Operatören är en rapporterande plattformsoperatör enligt rådets direktiv 2011/16/EU, ändrat genom rådets direktiv (EU) 2021/514, och enligt kapitel 2⁴ i Estlands lag om utbyte av skatteinformation.

Varje år, senast den 31 januari följande år, rapporterar Operatören till Estlands skatte- och tullmyndighet uppgifterna enligt avsnitt 9 om de Säkerhetsforskare och Betalningsmottagare som har hemvist i en medlemsstat i Europeiska unionen eller i en jurisdiktion som Estlands skatte- och tullmyndighet har förtecknat, de Belöningar som har betalats ut till dem under varje kvartal och antalet Giltiga rapporter för vilka Belöningarna betalades ut. Estlands skatte- och tullmyndighet utbyter uppgifterna med hemviststaten eller hemviststaterna.

Före rapporteringen, och senast den 31 januari, ger Operatören varje Säkerhetsforskare och varje Betalningsmottagare de uppgifter om dem som Operatören kommer att rapportera.

Om Säkerhetsforskaren inte lämnar de uppgifter som krävs för rapporteringen trots två påminnelser får Operatören hålla inne utbetalningen av Belöningar tills uppgifterna har lämnats, dock inte tidigare än 60 dagar efter den första begäran, så som § 8(1¹) i lagen om utbyte av skatteinformation tillåter.

Genom att skicka en Rapport ger Säkerhetsforskaren Operatören en icke-exklusiv licens, obegränsad i tid och territorium, att använda Rapporten för att granska sårbarheten och leverera den Giltiga rapporten till Ägaren, med rätt att ge Programmets Ägare en licens av samma slag att använda Rapporten för att åtgärda sårbarheten och skydda Tillgångarna.

Licensen ges utan särskild ersättning. Belöningen är arvodet för tjänsten att hitta, verifiera och rapportera sårbarheten, inte en betalning för licensen.

Säkerhetsforskaren förblir upphovsperson till Rapporten. Operatören och Ägaren anger Säkerhetsforskaren som upphovsperson endast med Säkerhetsforskarens samtycke och under det namn som Säkerhetsforskaren har valt.

Säkerhetsforskaren försäkrar att Rapporten är Säkerhetsforskarens eget verk och att det inte gör intrång i tredje parts rättigheter att skicka den.

Operatören lagrar Rapporterna, meddelandena och varje annan text eller fil som Säkerhetsforskaren skickar via Plattformen. De får inte innehålla:

1. (a)innehåll som är olagligt enligt Europeiska unionens eller en medlemsstats rätt;
2. (b)innehåll som gör intrång i andras rättigheter, inbegripet immateriella rättigheter;
3. (c)personuppgifter utöver vad som krävs för att bevisa sårbarheten;
4. (d)fungerande skadlig kod utöver en proof of concept som visar sårbarheten.

Varje granskning och varje beslut enligt detta avsnitt och enligt avsnitt 15 görs av en människa. Operatören fattar inga beslut om innehåll på automatiserad väg.

Om innehåll är olagligt eller oförenligt med dessa Villkor får Operatören vidta följande åtgärder, på ett omsorgsfullt, objektivt och proportionellt sätt och med vederbörlig hänsyn till de berörda parternas rättigheter och berättigade intressen:

1. (a)vägra ta emot innehållet eller ta bort det;
2. (b)tillfälligt avbryta eller avsluta Säkerhetsforskarens deltagande i ett Program eller på Plattformen;
3. (c)vägra eller hålla inne Belöningen för den berörda Rapporten.

Operatören underrättar Säkerhetsforskaren om varje sådan åtgärd, senast när den får verkan, med en motivering enligt artikel 17 i förordning (EU) 2022/2065. Motiveringen anger åtgärden, dess omfattning och varaktighet; de fakta och omständigheter som åtgärden grundas på, inbegripet om åtgärden vidtogs på grund av en anmälan; grunden: bestämmelsen i lagen för olagligt innehåll eller bestämmelsen i dessa Villkor för innehåll som är oförenligt med dem; att beslutet fattades av en människa; och möjligheterna till prövning.

Säkerhetsforskaren får begära omprövning av åtgärden per e-post till info@securitytest.team och ange skälen. Om möjligt prövas begäran av en annan person än den som vidtog åtgärden. Operatören informerar Säkerhetsforskaren om resultatet och om skälen för det utan onödigt dröjsmål. Säkerhetsforskarens rätt att vända sig till domstol påverkas inte.

Säkerhetsforskaren iakttar sekretess om sårbarheterna, Rapporterna, korrespondensen om dem och allt som inte är offentligt om ett Program och dess Ägare, inbegripet att ett privat Program finns.

En sårbarhet offentliggörs först efter att den har åtgärdats och med Ägarens skriftliga samtycke, som ges via Plattformen.

Skyldigheten att iaktta sekretess gäller även efter att Avtalet har upphört.

Operatören behandlar Säkerhetsforskarens personuppgifter i enlighet med sin integritetspolicy.

Operatören lämnar inte ut Säkerhetsforskarens identitet till en Ägare utan Säkerhetsforskarens samtycke, utom när Säkerhetsforskaren har agerat utanför Programmet eller Plattformsreglerna och Ägaren behöver identiteten för att fastställa, göra gällande eller försvara rättsliga anspråk, eller när lagen eller ett bindande beslut av en domstol eller en myndighet kräver att identiteten lämnas ut. I Rapporter och i offentliga tack förekommer Säkerhetsforskaren under det namn som Säkerhetsforskaren har valt.

Om Säkerhetsforskaren har brutit mot dessa Villkor eller mot ett Programs regler får Operatören tillfälligt avbryta eller avsluta Säkerhetsforskarens deltagande, vägra Belöningen för den Rapport som tagits fram i strid med dem och informera den berörda Ägaren. Operatören underrättar Säkerhetsforskaren om åtgärden med en motivering och informerar Säkerhetsforskaren om möjligheterna till prövning enligt avsnitt 12.

Säkerhetsforskaren ansvarar för den skada som Säkerhetsforskaren har orsakat genom handlingar utanför Programmet och Plattformsreglerna.

Operatören ansvarar gentemot Säkerhetsforskaren för utbetalningen av en Belöning från den dag då Belöningen har beslutats eller tiden för beslutet har löpt ut.

Operatören garanterar inte att Program är öppna vid varje tidpunkt, att ett Program förblir oförändrat eller att en Rapport kommer att belönas.

Operatören ansvarar utan begränsning för skada som Operatören har orsakat uppsåtligen eller genom grov vårdslöshet, samt för dödsfall, kroppsskada och skada på hälsan.

I alla andra fall är Operatörens sammanlagda ansvar begränsat till de Belöningar som Säkerhetsforskaren har rätt till.

Avtalet träder i kraft när det ingås och gäller tills vidare.

Var och en av parterna får när som helst säga upp Avtalet genom ett meddelande till den andra parten.

Belöningarna för de Giltiga rapporter som skickades innan Avtalet upphörde betalas ut enligt dessa Villkor.

På Avtalet tillämpas Republiken Estlands lag.

Parterna strävar efter att lösa en tvist genom förhandling. En tvist som inte löses genom förhandling avgörs av den domstol i Republiken Estland inom vars domkrets Operatörens säte är beläget.

Tvingande lagbestämmelser som skyddar Säkerhetsforskaren och som inte kan avtalas bort påverkas inte.

Operatören får ändra dessa Villkor. Operatören underrättar Säkerhetsforskaren om en ändring per e-post senast 30 dagar innan ändringen träder i kraft. Om Säkerhetsforskaren inte godtar ändringen får Säkerhetsforskaren säga upp Avtalet före den dagen.

Meddelanden enligt Avtalet skickas per e-post: till Operatören till info@securitytest.team, till Säkerhetsforskaren till den adress som anges i ansökan.

Säkerhetsforskaren överlåter inte Avtalet till tredje part utan Operatörens skriftliga samtycke. Detta begränsar inte överlåtelse av en penningfordran.

Om en bestämmelse i dessa Villkor är ogiltig påverkas inte giltigheten av övriga bestämmelser.

Dessa Villkor är upprättade på engelska och publiceras i översättning. Om en översättning avviker från den engelska versionen gäller den engelska versionen.