Kraken твердо вірить у цінність послуг фахівців із безпеки й розробників, які допомагають у захисті наших продуктів і користувачів. Компанія Kraken запровадила програму Bug Bounty, щоб заохотити скоординований пошук вразливостей у своїх продуктах. Ініціатива Bug Bounty сприяє реалізації місії Kraken, допомагаючи захистити клієнтів на ринку цифрових валют.
Здійснюючи пошук помилок у системах Kraken, ви погоджуєтеся зберігати абсолютну конфіденційність усіх даних, інформації про вразливості, ваші дослідження й обмін повідомленнями з Kraken, доки Kraken не вирішить проблему й не надасть дозвіл на розкриття інформації.
У разі дотримання вимог цієї політики Kraken зобов’язується не подавати позовів за дослідження в галузі безпеки, що здійснюються відповідно до всіх опублікованих політик програми Bug Bounty від Kraken, зокрема добросовісні випадкові порушення.
Просимо уникати навмисних порушень конфіденційності та за можливості створювати тестові облікові записи. Якщо ви зіткнетеся з інформацією, що ідентифікує особу (‘PII’), або іншими конфіденційними даними облікових записів, на використання яких для перевірки ваших знахідок у вас немає письмової згоди власника, негайно припиніть доступ до цих даних і повідомте Kraken про проблему, доклавши до свого звіту опис PII або інших конфіденційних даних, а не самі дані.
Відповідно до вимог законодавства щодо захисту даних і нашої політики конфіденційності, ви маєте дотримуватися наведених далі вимог.
- Не зберігати й не передавати інформацію, що ідентифікує особу (PII) інших клієнтів’. Якщо ви випадково отримали інформацію, що ідентифікує особу (PII) клієнта, негайно повідомте про це Kraken, а потім знищте всі копії інформації, що ідентифікує особу (PII), які не належать вам.
- Зведіть до мінімуму збір даних і доступ до них під час вашого дослідження. Збирайте й зберігайте лише ту інформацію, яка є абсолютно необхідною для демонстрації вразливості й повідомлення про неї.
- Негайно й безпечно видаліть усі зібрані дані після того, як звіт буде надіслано й Kraken підтвердить, що його було отримано.
- Не розкривайте будь-які вразливості або пов’язану з ними інформацію третім особам без письмової згоди Kraken.' Це включає окрім іншого соціальні мережі, інші компанії або пресу.
- Якщо ви повідомляєте не про вразливість у системі безпеки, а про інформаційний витік або місцезнаходження сховища даних, надайте інформацію про місцезнаходження цих даних і більше не намагайтеся отримати до них доступ, а також не повідомляйте про їхнє місцезнаходження іншим особам.
Подання bug bounty ніколи не може становити загрозу або передбачати будь-які спроби здирства. Ми відкриті для виплати нагород за законно отримані експериментальні дані, однак на вимоги викупу ніяких виплат не буде. Наприклад, нерозголошення інформації про вразливість або інше перешкоджання усуненню вразливості до виконання інших вимог буде вважатися вимаганням викупу. Законодавство може зобов’язати нас або ми можемо добровільно вирішити повідомити органи влади в разі отримання будь-якого подання bug bounty, яке містить вимоги викупу.
Ми вважаємо діяльність, що здійснюється відповідно до цієї політики, «дозволеною» відповідно до Закону про боротьбу з комп’ютерним шахрайством і зловживаннями (CFAA), Закону про авторське право в цифрову епоху (DMCA) і чинних законів про боротьбу з комп’ютерним зломом, як-от частина 503(c)“” Кримінального кодексу Каліфорнії. Ми не подаватимемо позовів проти дослідників за обхід технологічних заходів, що ми використовуємо для захисту застосунків, на які поширюється ініціатива Bug Bounty. Однак дотримання цієї політики не означає, що Kraken або будь-яка інша організація чи уряд надаватимуть імунітет від дії міжнародних законів. Індивідуальні дослідники в галузі безпеки несуть відповідальність за розуміння й дотримання всіх застосовних місцевих і міжнародних законів, що стосуються боротьби з комп’ютерним зломом, захисту даних і конфіденційності, а також експортного контролю. Якщо будь-яка третя сторона подає проти вас судовий позов і ви дотримувалися умов цієї політики, Kraken повідомить відповідні правоохоронні органи або цивільних позивачів про те, що ваша дослідницька діяльність, наскільки нам відомо, здійснювалася відповідно до умов використання цієї програми та згідно з ними.
Кожен дослідник повинен повідомити нас перед тим, як брати участь у діях, що можуть бути несумісними із цією політикою або не передбачені нею. Ми заохочуємо будь-які пропозиції щодо роз’яснення цієї політики, які допоможуть дослідникам з упевненістю проводити свої дослідження та повідомляти про їхні результати.