Warunki uczestnictwa w Programie

1. Operator i definicje

Operatorem Programu BountyVault jest BountyVault z siedzibą pod adresem [ADRES DO UZUPEŁNIENIA], dalej „Operator”. „Badacz” oznacza osobę fizyczną, która spełnia warunki kwalifikacji i aktywowała indywidualne zaproszenie. „Scope” oznacza aktualną prywatną listę zasobów i technik dostępnych Badaczowi po zalogowaniu. „Raport” oznacza zgłoszenie podatności wraz z dowodami i załącznikami przekazanymi przez Badacza.

2. Kwalifikacja i sankcje

W Programie mogą uczestniczyć wyłącznie osoby, które ukończyły 18 lat i mają zdolność prawną wymaganą do zawarcia oraz wykonania niniejszych Terms.

Z udziału wyłączone są osoby będące obecnie pracownikami, współpracownikami, kontraktorami, konsultantami lub personelem agencyjnym Operatora albo podmiotu z jego grupy, a także osoby, które pełniły którąkolwiek z tych ról w ciągu 6 miesięcy poprzedzających aplikację lub zgłoszenie.

Z udziału wyłączone są osoby i podmioty objęte sankcjami lub środkami ograniczającymi Unii Europejskiej oraz osoby działające na ich rzecz lub w ich imieniu. Operator może odmówić dostępu lub wypłaty, jeżeli udział albo płatność mogłyby naruszać obowiązujące sankcje UE, przepisy o przeciwdziałaniu obchodzeniu sankcji lub inne bezwzględnie obowiązujące ograniczenia prawne.

3. Zaproszenie i konto

Aplikacja nie gwarantuje zaproszenia. Operator może przyznawać, odmawiać, zawieszać i cofać zaproszenia według własnego uznania, z uwzględnieniem obowiązującego prawa.

Zaproszenie jest indywidualne i niezbywalne. Nie wolno go sprzedawać, przekazywać, współdzielić ani używać do umożliwienia dostępu innej osobie. Badacz odpowiada za ochronę kodu zaproszenia, magic linków, sesji i innych danych uwierzytelniających oraz powinien niezwłocznie zgłosić podejrzenie ich przejęcia.

4. Ograniczona autoryzacja do testów

Na czas aktywnego uczestnictwa Operator udziela Badaczowi ograniczonej, osobistej, odwołalnej i niewyłącznej autoryzacji do prowadzenia testów wyłącznie wobec aktualnego Scope i wyłącznie przy użyciu technik dozwolonych przez Rules oraz prywatne instrukcje Programu. Autoryzacja nie obejmuje innych aktywów, podmiotów trzecich ani działań zabronionych.

Badacz musi przerwać lub ograniczyć testy po otrzymaniu uzasadnionego polecenia Operatora. Zawieszenie lub cofnięcie dostępu kończy autoryzację ze skutkiem natychmiastowym.

5. NDA i informacje poufne

Badacz zobowiązuje się zachować w poufności prywatny Scope, tożsamość i szczegóły targetów, niepubliczną architekturę i konfigurację, Raporty i ich załączniki, materiały i statusy triage, korespondencję dotyczącą podatności oraz inne informacje Programu oznaczone jako poufne albo takie, których poufny charakter wynika rozsądnie z okoliczności.

Badacz może używać informacji poufnych wyłącznie do dozwolonych testów, przygotowania Raportu, współpracy przy triage i disclosure dozwolonego poniżej. Nie może udostępniać ich innym osobom ani publikować bez podstawy wynikającej z tych Terms, Rules albo uprzedniej pisemnej zgody Operatora.

Obowiązek poufności dotyczący prywatnego Scope, danych uwierzytelniających, danych osobowych, sekretów, informacji osób trzecich i innych niepublicznych informacji, których ujawnienie nie zostało wyraźnie dopuszczone, trwa po zakończeniu uczestnictwa i po upływie 90-dniowego okresu disclosure.

6. Koordynowane disclosure — 90 dni

Badacz zobowiązuje się nie publikować technicznych szczegółów Raportu przez 90 dni od otrzymania przez Operatora kompletnego i reprodukowalnego zgłoszenia. Operator może wcześniej wyrazić pisemną zgodę na disclosure.

Po upływie 90 dni Badacz może ujawnić techniczne informacje o konkretnej podatności w zakresie koniecznym do rzetelnego opisu badań, pod warunkiem że nie ujawni prywatnego Scope ani innych informacji nadal objętych NDA, danych osobowych, sekretów lub informacji osób trzecich. Jeżeli aktywna remediacja wymaga krótkiego przedłużenia, Operator może zaproponować nowy termin; każde przedłużenie powinno być uzgodnione na piśmie i mieć rozsądne uzasadnienie.

7. Nagrody i duplikaty

Nagrody mają charakter całkowicie uznaniowy w granicach obowiązującego prawa. Ani wysłanie Raportu, ani jego przyjęcie do triage, potwierdzenie podatności czy nadanie severity nie tworzą samodzielnego roszczenia o wypłatę. Operator podejmuje ostateczną decyzję co do kwalifikacji, kwoty, waluty, formy i warunków płatności zgodnie z aktualną prywatną tabelą nagród.

Przy ocenie Operator może uwzględnić ważność i wpływ, jakość reprodukcji, unikalność, kompletność, zgodność z Rules, nakład potrzebny do weryfikacji i współpracę Badacza. Operator może odmówić nagrody między innymi za duplikat, problem już znany, zaakceptowane ryzyko, brak istotnego wpływu, naruszenie Rules, przypadek out-of-scope albo zgłoszenie niemożliwe do niezależnej reprodukcji.

W przypadku kilku zgłoszeń tego samego problemu pierwszeństwo ma co do zasady pierwszy kompletny, ważny i niezależnie reprodukowalny Raport według czasu zarejestrowanego przez system Operatora. Sama chronologia nie gwarantuje nagrody.

8. Płatności i podatki

Warunkiem płatności może być przekazanie prawidłowych danych rozliczeniowych, podatkowych lub danych wymaganych przez dostawcę płatności/KYC w zakresie zgodnym z prawem. Operator nie jest zobowiązany do wykonania płatności, której dokonanie byłoby zakazane przez sankcje UE lub inne bezwzględnie obowiązujące przepisy.

Badacz sam odpowiada za rozliczenie własnych podatków, składek, opłat i obowiązków deklaracyjnych związanych z nagrodą, chyba że prawo bezwzględnie nakłada określony obowiązek pobrania, raportowania lub zapłaty bezpośrednio na Operatora.

9. Prawa do Raportu po wypłacie

Do chwili wypłaty nagrody Badacz zachowuje przysługujące mu majątkowe prawa autorskie do własnego Raportu i oryginalnych materiałów, udzielając Operatorowi nieodpłatnej, niewyłącznej licencji niezbędnej do ich odbioru, przechowywania, bezpiecznej reprodukcji podatności, triage, analizy, wewnętrznego udostępniania i remediacji.

Z chwilą zaksięgowania wypłaty nagrody za dany Raport Badacz przenosi na Operatora, w zakresie dopuszczalnym przez prawo, całość przysługujących mu majątkowych praw autorskich do Raportu i objętych tą wypłatą oryginalnych materiałów, bez ograniczeń terytorialnych i na cały okres ochrony, na następujących polach eksploatacji: utrwalanie i zwielokrotnianie dowolną techniką; wprowadzanie do pamięci urządzeń i systemów; przechowywanie i archiwizacja; modyfikowanie, adaptowanie i tłumaczenie; łączenie z innymi materiałami; używanie do analizy, bezpieczeństwa, dokumentacji, szkoleń i remediacji; udostępnianie wewnątrz organizacji i jej doradcom lub dostawcom w zakresie potrzebnym do bezpieczeństwa; oraz publiczne rozpowszechnianie w zakresie zgodnym z obowiązkami poufności i disclosure.

W zakresie, w którym określone prawo nie pozwala skutecznie przenieść danego prawa, Badacz udziela Operatorowi od chwili wypłaty bezterminowej, nieodwołalnej, zbywalnej, sublicencjonowalnej, ogólnoświatowej i opłaconej w ramach nagrody licencji o możliwie najszerszym dopuszczalnym zakresie. Autorskie prawa osobiste pozostają przy twórcy w zakresie, w którym zgodnie z prawem są niezbywalne.

10. Zawieszenie i zakończenie udziału

Operator może zawiesić lub zakończyć udział Badacza w przypadku naruszenia Rules lub Terms, ryzyka dla bezpieczeństwa lub dostępności usług, nadużycia zaproszenia, przesłanek sankcyjnych, wymogu prawnego albo zakończenia Programu. Po zawieszeniu lub zakończeniu udziału Badacz musi natychmiast zakończyć testy i zachować nadal obowiązującą poufność.

11. Dostępność i odpowiedzialność

Program może być zmieniany, zawieszany lub zakończony. W zakresie dopuszczalnym przez prawo Operator nie gwarantuje ciągłej dostępności Programu, targetów ani określonego czasu triage lub wypłaty. Żadne postanowienie tych Terms nie wyłącza ani nie ogranicza odpowiedzialności w zakresie, w którym takie wyłączenie lub ograniczenie byłoby niedopuszczalne na mocy bezwzględnie obowiązującego prawa.

12. Prawo właściwe i spory

Niniejsze Terms oraz udział w Programie podlegają prawu Rzeczypospolitej Polskiej. W zakresie, w którym strony mogą skutecznie uzgodnić właściwość sądu, spory będą rozpoznawane przez sąd właściwy dla siedziby Operatora w Polsce. Postanowienie to nie pozbawia konsumenta ani innej osoby ochrony wynikającej z bezwzględnie obowiązujących przepisów o jurysdykcji lub prawie właściwym, jeżeli mają zastosowanie.

13. Zmiany i kontakt

Operator może aktualizować Terms, Rules, Scope i zasady nagród. Istotne zmiany dotyczące aktywnych uczestników powinny być komunikowane w panelu lub na powiązany adres e-mail wraz z datą wejścia w życie. Dla oceny konkretnej aktywności znaczenie ma wersja zasad obowiązująca w czasie tej aktywności, z zastrzeżeniem późniejszych zmian korzystniejszych dla Badacza lub wymogów prawa.

Pytania prawne: legal@bountyvault.pl. Pytania dotyczące Programu: bounty@bountyvault.pl. Zgłoszenia bezpieczeństwa bez aktywnego zaproszenia: security@bountyvault.pl.