Zasady Programu

1. Kwalifikacja uczestnika

• Musisz mieć co najmniej 18 lat.
• Nie możesz być obecnym pracownikiem, współpracownikiem, kontraktorem, konsultantem ani personelem agencyjnym Operatora lub podmiotu z jego grupy ani pełnić takiej roli w ciągu ostatnich 6 miesięcy.
• Nie możesz podlegać sankcjom lub środkom ograniczającym Unii Europejskiej ani działać na rzecz lub w imieniu osoby lub podmiotu nimi objętego. Udział, dostęp i ewentualna płatność muszą być zgodne z obowiązującymi sankcjami UE.
• Zaproszenie jest indywidualne, niezbywalne i może zostać cofnięte zgodnie z Terms.

2. Zakres autoryzacji

Testy są dozwolone dopiero po aktywacji ważnego zaproszenia i tylko wobec pozycji oraz technik oznaczonych jako in-scope w aktualnym prywatnym panelu. Brak pozycji na tej liście oznacza out-of-scope. Autoryzacja wygasa po zawieszeniu, cofnięciu albo wygaśnięciu dostępu.

3. Bezpieczne testowanie

• Używaj własnych kont, danych testowych i środowisk, chyba że prywatny scope wyraźnie zezwala inaczej.
• Wykonuj najmniejszą liczbę działań potrzebną do potwierdzenia podatności i jej rzeczywistego wpływu.
• Po uzyskaniu wystarczającego dowodu przerwij dalszą eksploatację. Nie utrzymuj dostępu i nie twórz persistence.
• Jeżeli przypadkowo uzyskasz dostęp do danych osobowych, sekretów, kluczy, danych płatniczych lub innych danych produkcyjnych, nie przeglądaj ich ponad minimum dowodowe, nie kopiuj ich masowo i niezwłocznie zgłoś zdarzenie.

4. Działania zabronione

• DoS, DDoS, testy wolumetryczne, celowe wywoływanie niedostępności lub degradacji usług.
• Phishing, vishing, smishing, pretexting, inne formy social engineeringu i testy fizyczne.
• Malware, ransomware, destrukcja lub nieodwracalna modyfikacja danych, persistence i działania utrudniające odtworzenie systemu.
• Masowa automatyzacja lub skanowanie powodujące nadmierne obciążenie albo naruszające ograniczenia prywatnego scope.
• Testowanie systemów, kont lub danych osób trzecich poza wyraźnie wskazaną autoryzacją.
• Wykorzystywanie podatności w celu uzyskania korzyści innej niż przewidziana przez Program, wymuszenia, szantażu lub wyrządzenia szkody.

5. Raportowanie i duplikaty

Raport powinien zawierać jasne kroki reprodukcji, opis rzeczywistego wpływu, minimalne dowody i informacje potrzebne do bezpiecznej weryfikacji. Jeden raport powinien opisywać jeden spójny problem, chyba że połączenie kilku elementów jest konieczne do wykazania wpływu.

Co do zasady pierwsze kompletne, ważne i niezależnie reprodukowalne zgłoszenie ma pierwszeństwo. Późniejsze zgłoszenia tego samego problemu mogą zostać oznaczone jako duplikat i zamknięte bez nagrody. Operator może również zamknąć bez nagrody problemy już znane, zaakceptowane ryzyka, przypadki informacyjne i out-of-scope.

6. NDA i poufność

Akceptując udział w Programie, zobowiązujesz się zachować w poufności prywatny scope, nazwy i dane targetów, szczegóły środowiska, raporty i załączniki, odpowiedzi i statusy triage, niepubliczne komunikaty Operatora oraz inne informacje oznaczone lub rozsądnie rozumiane jako poufne. Informacji tych nie wolno przekazywać osobom trzecim ani publikować, z wyjątkiem przypadków dozwolonych przez Terms, niniejsze Rules lub pisemną zgodę Operatora.

Obowiązek poufności dotyczący samego prywatnego scope i innych niepublicznych informacji Programu trwa także po zakończeniu 90-dniowego okresu disclosure, chyba że Operator wyraźnie zwolni daną informację z poufności na piśmie.

7. Disclosure po 90 dniach

Standardowy okres poufnego remediation wynosi 90 dni od chwili otrzymania przez Operatora kompletnego, reprodukowalnego raportu. Przed upływem tego terminu nie publikuj szczegółów podatności bez uprzedniej pisemnej zgody Operatora.

Po 90 dniach możesz opublikować techniczne informacje o zgłoszonej podatności, o ile nie ujawniasz nadal poufnego prywatnego scope, danych osobowych, sekretów, informacji osób trzecich ani innych informacji objętych NDA, oraz o ile Operator nie uzgodnił z Tobą na piśmie innego terminu z uzasadnionych przyczyn związanych z aktywną remediacją. Strony powinny działać rozsądnie i w dobrej wierze przy uzgadnianiu ewentualnego krótkiego przedłużenia.

8. Nagrody, podatki i prawa do raportu

Nagrody są uznaniowe. Zgłoszenie, jego akceptacja do triage ani klasyfikacja podatności nie tworzą automatycznego prawa do wypłaty. Operator samodzielnie ustala kwalifikację, wysokość i formę ewentualnej nagrody zgodnie z prywatną tabelą i Terms.

Badacz ponosi odpowiedzialność za własne podatki i obowiązki publicznoprawne związane z nagrodą, z wyjątkiem obowiązków, które prawo nakłada bezpośrednio na Operatora.

Z chwilą wypłaty nagrody majątkowe prawa autorskie do raportu oraz objętych wypłatą oryginalnych materiałów Badacza przechodzą na Operatora na zasadach i polach eksploatacji opisanych w Terms.