Responsible disclosure

 

Voorwaarden van het beloningsprogramma

• Op basis van het risico van het gemelde beveiligingsprobleem stelt Pay. de beloning vast. Let op: indien de melding geen beveiligingsprobleem betreft of een laag risico vormt kan het zijn dat er geen beloning wordt toegekend.
• Wanneer er dubbele meldingen worden ontvangen over een specifiek beveiligingsprobleem wordt de beloning toegekend aan de eerste persoon die dit beveiligingsprobleem rapporteert. Pay. stelt vast of er sprake is van een dubbele melding en deelt geen inhoudelijke gegevens over de desbetreffende meldingen.
• Een toegekende beloning wordt slechts aan één persoon verstrekt.
• We proberen gelijke beloningen toe te kennen voor vergelijkbare beveiligingsproblemen. De beloningen en de in aanmerking komende beveiligingsproblemen kunnen echter wijzigen. Toegekende beloningen uit het verleden bieden geen garantie voor vergelijkbare resultaten in de toekomst.

Wat kunt u niet melden?

Deze Responsible Disclosure regeling is niet bedoeld voor het melden van klachten. Ook is de regeling niet bedoeld voor:

• het melden dat de website niet beschikbaar is
• het melden van fraude.
• het melden van nep e-mails (phishing e-mails).
• het melden van virussen.

Wat doen wij met uw melding?

• Na ontvangst van uw melding, krijgt u van ons een automatische ontvangstbevestiging. U hoort binnen 3 werkdagen wat wij met uw melding doen
• Is het een serieus beveiligingsprobleem? Dan krijgt u van ons als dank voor de melding een passende beloning. De beloning bepalen we op basis van het risico en de impact van het beveiligingsprobleem en kan variëren van een T-shirt tot maximaal een bedrag van 250 euro aan cadeaubonnen. Let op: het moet hier wel gaan om een onbekend en serieus beveiligingsprobleem.
• Wij gebruiken uw contactgegevens alleen om met u over de melding te communiceren. Wij delen deze niet met anderen. Behalve als we dit wettelijk moeten. Bijvoorbeeld als justitie ons dit vraagt. Of als wij uw actie zien als een strafbaar feit (u dus niet te goeder trouw handelt) en wij aangifte doen bij de politie.

Als u anoniem hebt gemeld, kunnen wij u niet op de hoogte houden. Ook kunnen wij u dan geen beloning geven.

Hoe kunt u melden?

Een ontdekte kwetsbaarheid in onze diensten kunt u melden via security@pay.nl.

Spelregels

Wij vragen u het probleem alleen via security@pay.nl te delen en het probleem niet openbaar te maken. Zo houden we de gegevens van onze klanten veilig. Fijn als u ons de tijd geeft het probleem op te lossen.

Bij uw onderzoek van de gevonden kwetsbaarheid mag u de applicaties niet beschadigen. U mag geen gegevens delen met anderen dan met medewerkers van Pay. Verder mag de dienstverlening nooit opzettelijk onderbroken worden door uw onderzoek.

Misschien doet u bij uw onderzoek iets wat volgens de wet niet mag. Als u daarbij te goeder trouw, zorgvuldig en volgens onderstaande spelregels handelt, doen wij geen aangifte.

Wij vragen u:

Uitzonderingen

Pay. kan, indien het gaat om een kwetsbaarheid met een laag of geaccepteerd risico, besluiten een melding niet te belonen. Hieronder staan enkele voorbeelden van dergelijke kwetsbaarheden: