Bug-bounty-voorwaarden — model & voorbeeld

Partijen

Deze bug-bounty-voorwaarden ('Voorwaarden') worden uitgeschreven door Acme NV, met zetel te Nijverheidslaan 1, 1000 Brussel, KBO 0123.456.789 ('de Organisatie'), en zijn van toepassing op elke Beveiligingsonderzoeker, waaronder Jan Peeters, die deelneemt aan het bug-bounty-programma ('de Deelnemer').

Scope van het programma

Het programma heeft betrekking op de volgende systemen, toepassingen en domeinen: *.acme.be, mobiele app Acme, API v2. Systemen, methodes of derde partijen die niet uitdrukkelijk zijn opgenomen, vallen buiten scope.

Uitgesloten handelingen en systemen

De volgende handelingen en/of systemen zijn steeds uitgesloten van het programma: Social engineering, fysieke aanvallen, DDoS, derde partijen. Elke actie die de beschikbaarheid, integriteit of vertrouwelijkheid van gegevens van de Organisatie of derden in het gedrang brengt buiten wat strikt noodzakelijk is om de kwetsbaarheid aan te tonen, is verboden.

Toegelaten onderzoeksmethoden

De Deelnemer test enkel binnen de aangeduide scope, gebruikt geen geautomatiseerde scanners die de dienstverlening kunnen verstoren, en beperkt zich tot het minimum noodzakelijk om het bestaan van een kwetsbaarheid aan te tonen, zonder gegevens te wijzigen, te verwijderen of te exfiltreren.

Meldingsprocedure

De Deelnemer meldt een vastgestelde kwetsbaarheid onmiddellijk en exclusief aan de Organisatie via het daartoe voorziene meldkanaal. De Organisatie bevestigt ontvangst van de melding binnen 5 werkdagen en houdt de Deelnemer op de hoogte van de voortgang van de analyse en remediëring.

Responsible disclosure

De Deelnemer onthoudt zich van elke publieke bekendmaking van de kwetsbaarheid gedurende minstens 90 dagen na melding, of tot de Organisatie de kwetsbaarheid heeft verholpen, tenzij partijen schriftelijk anders overeenkomen.