Kraken attache beaucoup d’importance aux professionnels de la sécurité et aux développeurs qui aident à assurer la sécurité de nos produits et nos utilisateurs. Kraken a mis en place et encourage la divulgation coordonnée des vulnérabilités (CVD) via notre programme Bug Bounty. Le programme Bug Bounty sert la mission de Kraken en aidant à protéger les clients sur le marché des devises numériques.
En recherchant des bugs dans les systèmes de Kraken, vous acceptez de ne divulguer aucune information concernant les vulnérabilités, vos recherches et vos communications avec Kraken jusqu’à ce que Kraken ait réglé le problème et autorisé leur divulgation.
Si les obligations prévues dans la présente Politique sont respectées, Kraken accepte de ne pas engager de poursuites judiciaires en relation avec les recherches de sécurité effectuées en vertu de toutes les politiques Bug Bounty de Kraken, y compris les violations accidentelles et de bonne foi.
Veuillez éviter les violations délibérées de la confidentialité en créant des comptes test chaque fois que cela est possible. Si vous rencontrez des informations personnelles identifiables ("PII") ou d’autres données sensibles pour des comptes que leurs titulaires ne vous autorisent pas expressément, par écrit, à utiliser pour valider vos conclusions, veuillez cesser immédiatement d’accéder à ces données et signaler le problème à Kraken avec une description des PII ou des autres données sensibles, et non les données elles-mêmes.
Conformément à la réglementation sur la protection des données et à nos politiques de confidentialité, vous êtes tenu :
- De ne stocker ou de communiquer les PII d’aucun autre client. Si vous deviez entrer en possession de PII d’un client, quel qu’il soit, signalez-le sans délai à Kraken, puis détruisez toutes les copies de ces PII qui ne vous appartiennent pas.
- Faites en sorte de limiter au maximum la récupération et la consultation de données au cours de votre recherche. Ne collectez et ne conservez que les informations absolument nécessaires à la démonstration et au signalement de la vulnérabilité.
- Supprimez sans délai et définitivement les données collectées après avoir envoyé votre rapport et reçu confirmation de sa réception de Kraken.
- Ne divulguez aucune information sur une quelconque vulnérabilité à des tiers sans l’autorisation écrite expresse de Kraken. Cette interdiction s’applique, sans s’y limiter, aux réseaux sociaux, d’autres entreprises ou la presse.
- Si vous signalez une violation de données ou l’emplacement d’un référentiel de données au lieu d’une vulnérabilité liée à la sécurité, veuillez indiquer l’emplacement des données et ne plus y accéder, ni partager leur emplacement avec d’autres personnes.
Une demande de bug bounty ne doit à aucun moment contenir de menaces ou de tentatives d’extorsion. Nous sommes disposés à payer des bug bounties pour les découvertes légitimes, mais les demandes de rançon ne feront l’objet d’aucun versement. À titre d’exemple, conditionner la divulgation d’informations concernant une vulnérabilité ou le moyen de la régler sera considéré comme une demande de rançon. Nous pouvons être tenus par la loi ou décider volontairement de signaler aux autorités compétentes toute demande de bug bounty qui contient des demandes de rançon.
Nous estimons que les activités menées conformément à cette politique constituent un comportement "autorisé" en vertu de la Computer Fraud and Abuse Act (CFAA), de la Digital Millennium Copyright Act (DMCA) et des lois anti-piratage en vigueur, telles que l’article 503(c) du Code pénal californien. Nous ne poursuivrons pas en justice les chercheurs qui auront contourné les mesures technologiques que nous avons utilisées pour protéger les applications incluses dans le programme Bug Bounty. Cependant, le respect de cette politique ne signifie pas que Kraken, ni aucune autre organisation ou tout autre gouvernement individuel, peut accorder l’immunité face aux lois internationales. Il relève de la responsabilité des chercheurs en sécurité individuels de comprendre et de respecter toutes les lois locales et internationales applicables en matière de lutte contre le piratage, de protection des données et de la vie privée et de contrôle des exportations. Si un tiers intente une action en justice contre vous et que vous avez respecté les conditions de la présente politique, Kraken informera les autorités compétentes ou les plaignants civils que vos activités de recherche étaient, à notre connaissance, menées conformément aux, et selon les Conditions d’utilisation de ce programme.
Chaque chercheur est tenu de nous faire parvenir une notification avant de s’engager dans une conduite qui pourrait être incompatible avec ou non traitée par la présente politique. Nous apprécions les suggestions de clarification des politiques qui aident les chercheurs à mener leurs recherches et à établir leurs rapports en toute confiance.