A Kraken acredita firmemente no valor dos profissionais de segurança e desenvolvedores que ajudam a manter os nossos produtos e utilizadores em segurança. A Kraken estabeleceu e incentiva a divulgação coordenada de vulnerabilidades (CVD) através do nosso Programa Recompensas por erros. O programa Recompensas por erros atende à missão da Kraken ao ajudar a proteger os clientes no mercado das moedas digitais.
Ao procurar erros nos sistemas da Kraken, concorda em manter todos os dados, informações sobre vulnerabilidades, a sua pesquisa e comunicações com a Kraken estritamente confidenciais até que a Kraken resolva o problema e conceda permissão para a divulgação.
Quando os requisitos desta Política forem cumpridos, a Kraken concorda em não iniciar uma ação legal por pesquisas de segurança realizadas de acordo com todas as políticas publicadas no âmbito do programa Recompensas por erros da Kraken, incluindo violações acidentais de boa fé.
Evite violações deliberadas de privacidade criando contas de teste sempre que possível. Se encontrar informações de identificação pessoal ("PII") ou outros dados confidenciais relativos a contas para as quais não tem consentimento expresso por escrito do proprietário da conta para validar as suas descobertas, pare de aceder a esses dados imediatamente e comunique o problema à Kraken com uma descrição dos dados confidenciais, não com os dados em si.
De acordo com as normas de proteção de dados e as nossas políticas de privacidade, deve:
- Não armazenar ou transmitir PII de outros clientes. Se capturar qualquer PII de um cliente, comunique imediatamente à Kraken e destrua todas as cópias de PII que não sejam suas.
- Minimizar a recolha e o acesso aos dados durante a sua pesquisa. Recolher e reter apenas as informações absolutamente necessárias para demonstrar e comunicar a vulnerabilidade.
- Eliminar imediatamente e de forma segura todos os dados recolhidos após o envio do relatório e respetiva confirmação de receção por parte da Kraken.
- Não divulgar quaisquer vulnerabilidade ou informações associadas a terceiros sem o consentimento expresso por escrito da Kraken. Isto inclui, sem limitação, nas redes sociais, a outras empresas ou à imprensa.
- Se estiver a comunicar uma violação de dados ou o local de um repositório de dados em vez de uma vulnerabilidade de segurança, deve fornecer a localização dos dados e não aceder mais aos mesmos, nem partilhar a localização dos dados com outras pessoas.
O envio do relatório sobre uma vulnerabilidade nunca pode conter ameaças ou qualquer tentativa de extorsão. Estamos dispostos a pagar recompensas por descobertas legítimas, mas os pedidos de resgate não são elegíveis para pagamento. Por exemplo, não divulgar informações sobre a vulnerabilidade ou impedir de alguma forma a capacidade de a resolver até que outras exigências sejam atendidas será considerado um pedido de resgate. Podemos ser obrigados por lei ou decidir voluntariamente denunciar às autoridades qualquer envio de um relatório sobre uma vulnerabilidade que contenha pedidos de resgate.
Acreditamos que as atividades realizadas em conformidade com esta política constituem uma conduta "autorizada" nos termos da Lei de Fraude e Abuso Informático (CFAA), da Lei de Direitos Autorais do Milénio Digital (DMCA) e das leis aplicáveis contra hackers, tais como o Código Penal da Califórnia, secção 503(c). Não apresentaremos reivindicações contra investigadores por contornarem as medidas tecnológicas que utilizamos para proteger as aplicações no âmbito do Programa Recompensas por erros. No entanto, seguir esta política não significa que a Kraken, nem qualquer outra organização individual ou governo, pode conceder imunidade às leis globais. É responsabilidade de cada investigador de segurança compreender e cumprir todas as leis locais e internacionais aplicáveis relativas a controlos de combate a hackers, de dados e privacidade e de exportação. Se um terceiro mover uma ação legal contra si, mesmo estando a cumprir os termos desta política, a Kraken informará as autoridades competentes ou aos autores de ações civis que, de acordo com o nosso conhecimento, as suas atividades de investigação foram conduzidas de acordo com os termos e condições deste programa.
É necessário que cada investigador nos envie uma notificação antes de se envolver em condutas que possam ser inconsistentes ou não abordadas por esta política. Agradecemos sugestões para esclarecimentos sobre políticas que ajudem os investigadores a conduzir a sua investigação e relatórios com confiança.