Kraken crede cu tărie în valoarea ajutorului din partea specialiștilor în securitate și a dezvoltatorilor în vederea menținerii siguranței produselor și utilizatorilor noștri. Kraken a implementat și încurajează dezvăluirea coordonată a vulnerabilităților (CVD) prin intermediul programului nostru Bug Bounty. Programul Bug Bounty susține misiunea Kraken prin contribuția la protejarea clienților pe piața monedelor digitale.
Căutând erori în sistemele Kraken, ești de acord să păstrezi confidențialitatea strictă cu privire la toate datele, informațiile despre vulnerabilități, cercetarea ta și comunicările cu Kraken, până în momentul în care Kraken tratează problema și acordă permisiunea de dezvăluire.
În situațiile în care cerințele acestei Politici sunt respectate, Kraken este de acord să nu inițieze acțiuni în justiție pentru cercetarea de securitate efectuată cu respectarea tuturor politicilor Kraken publicate cu privire la Bug Bounty, inclusiv pentru încălcările de bună credință, accidentale.
Te rugăm să eviți încălcările intenționate ale confidențialității, prin crearea de conturi de test, ori de câte ori este posibil. În cazul în care întâlnești informații de identificare personală („IIP”) sau alte date sensibile pentru conturi pentru care nu ai acordul scris explicit al deținătorului contului de a le folosi pentru validarea descoperirilor tale, te rugăm să încetezi imediat accesarea acelor date și să raportezi problema către Kraken, incluzând o descriere a IIP sau altor date sensibile, nu datele în sine.
În conformitate cu regulamentele de protecție a datelor și cu politicile noastre de confidențialitate, ai obligația să:
- Nu stochezi sau transmiți IIP ale altor clienți. Raportezi imediat către Kraken dacă se întâmplă să înregistrezi orice IIP ale clienților și apoi să distrugi toate copiile IIP care nu îți aparțin.
- Minimizezi colectarea de date și accesarea acestora în cursul cercetării tale. Colectezi și păstrezi numai informațiile absolut necesare pentru a demonstra și raporta vulnerabilitatea.
- Ștergi imediat și în mod securizat toate datele colectate, după ce raportul este trimis și Kraken a confirmat primirea acestuia.
- Nu dezvălui către terți nicio vulnerabilitate și niciun fel de informații asociate, fără acordul scris explicit al Kraken. Aceasta include, dar fără a se limita la rețele de socializare, alte companii sau presă.
- Dacă raportezi o breșă de date sau locația unui depozit de date, nu o vulnerabilitate de securitate, te rugăm să furnizezi locația datelor și să nu le accesezi în continuare și nici să nu divulgi altora locația datelor.
Comunicarea trimisă privind recompensa pentru erori nu trebuie să conțină niciodată amenințări sau încercări de extorcare. Suntem deschiși achitării de recompense pentru descoperiri legitime, însă solicitările de răscumpărare nu sunt eligibile pentru plată. De exemplu, lipsa comunicării informațiilor legate de vulnerabilitate sau obstrucționarea în alt mod a capacității de a soluționa vulnerabilitatea până la îndeplinirea altor solicitări va fi considerată solicitare de răscumpărare. Este posibil să fim obligați prin lege sau să decidem în mod voluntar să raportăm autorităților orice comunicare privind recompensa pentru erori care include solicitări de răscumpărare.
Considerăm că activitățile desfășurate în concordanță cu politica aceasta constituie comportament „autorizat” conform Computer Fraud and Abuse Act (CFAA- Legea privind frauda și abuzul informatic), Digital Millennium Copyright Act (DMCA- Legea privind drepturile de autor în era digitală) și legilor aplicabile împotriva atacurilor cibernetice, cum ar fi Codul Penal 503(c). Nu vom trage la răspundere cercetătorii pentru ocolirea măsurilor tehnice pe care le-am folosit pentru protejarea aplicațiilor, sub acoperirea programului Bug Bounty. Cu toate acestea, respectarea acestei politici nu înseamnă că Kraken sau orice altă organizație individuală sau guvern poate acorda imunitate față de legile globale. Cercetătorii de securitate poartă răspunderea pentru înțelegerea și respectarea tuturor legilor locale și internaționale aplicabile cu privire la protecția împotriva atacurilor cibernetice, date și confidențialitate și măsurile de control privind exporturile. Dacă un terț inițiază acțiuni în justiție împotriva ta, iar tu ai respectat condițiile din această politică, atunci Kraken va informa agențiile de aplicare a legii relevante sau reclamanții parte civilă că activitățile tale de cercetare au fost desfășurate, conform celor mai bune cunoștințe ale noastre, în baza și în conformitate cu termenii și condițiile acestui program.
Este obligatoriu ca fiecare cercetător să trimită o notificare către noi înainte de a se angaja în comportamente care ar putea fi neconforme cu această politică sau neabordate în aceasta. Apreciem sugestiile privind lămurirea politicii care ajută cercetătorii să-și desfășoare cercetarea și să raporteze cu încredere.