1. pažeidžiamumų paieškos metu ryšių ir informacinės sistemos darbas, funkcionalumas, teikiamos paslaugos bei duomenų prieinamumas ar vientisumas negali būti keičiamas ar trikdomas;
2. saugumo spragos paieška turi būti nutraukiama įsitikinus, kad spraga egzistuoja;
3. atlikus saugumo spragų paiešką ir nustačius saugumo spragas, asmuo turi kuo skubiau informuoti Bitę apie rastas saugumo spragas laikydamasis Atsakingi atskleidimo programos sąlygų;
4. Bitės duomenys negali būti stebimi, fiksuojami, įgyjami, laikomi, perimami, kopijuojami, keičiami, atskleidžiami, naikinami, šalinami ir/ar gadinami daugiau, negu tai reikalinga siekiant patvirtinti saugumo pažeidžiamumą;
5. saugumo spragos paieškos metu gavus priėjimą prie Asmens duomenų tolimesnė paieška turi būti nedelsiant stabdoma, susiję duomenys dalyvio sistemose ištrinti ir nedelsiant pranešama apie tai Bitei.
6. saugumo spragos paieškos metu negali būti bandoma atspėti slaptažodžius, taip pat negali būti naudojami neteisėtu būdu gauti slaptažodžiai ir negali būti manipuliuojama kibernetinio saugumo subjekto darbuotojais ar kitais asmenimis, kurie turi teisę naudotis viešai neskelbtina informacija, svarbia spragų paieškai;
7. informacija apie nustatytą saugumo spragą negali būti atskleidžiama trečiosioms šalims kol apie tai nebus pranešta atitinkamai Bitei ir kol ši saugumo spraga nebus ištaisyta;
8. draudžiama atlikti veiksmus, kurie leistų veiksmus atliekančiam asmeniui ar bet kokiam kitam trečiajam asmeniui sunaikinti, saugoti, dalintis, pasiekti Bitės ar jos klientų duomenis;
9. saugumo spragų paieškos metu negali būti daroma tai, kas gali turėti įtaką Bitės klientams, pavyzdžiui, siųsti brukalą, pasitelkti socialinę inžineriją, sutrikdyti teikiamas paslaugas;
10. spragų paieška galima tik žemiau aprašytiems tinklapiams;
11. pranešimui apie nustatytas spragas naudokite programoje nurodytus komunikacinius kanalus.

Jeigu nesilaikysite šių principų, mes galime blokuoti jūsų IP adresą ir imtis kitų teisinių veiksmų.

Programos dalyviai

Atsakingo atskleidimo programos dalyviu būt negalite, jeigu:

Bitei nustačius, kad jūs neatitinkate aukščiau išvardintų reikalavimų, jūs būsite pašalintas iš Bitės atsakingo atskleidimo programos ir negalėsite pretenduoti į atlygį.

Programos taikymo sritis

Saugumo spragų tyrimo objektu gali būti visi žemiau išvardinti domenai ir subdomenai (išskyrus tam tikras išimtis, t.y. atlygis gali būti neskiriamas, jei tyrimo objektas (aukštesnio lygio subdomenai) nėra prižiūrimas Bitės ir/ar nėra patalpintas Bitės infrastruktūroje, t.y. Bitė visiškai neatsako už tyrimo objektą):

Taip pat spragų tyrimo objektu yra Bitės mobilios programėlės, patalpintos oficialiose programėlių parduotuvėse (pvz. savitarnos programėlės, Go3 ir pan.).

Nekvalifikuojamų ir kvalifikuojamų pažeidžiamumų pavyzdžiai

Bitė priims visus pranešimus apie nustatytus pažeidžiamumus, kurie pažeidžia Bitės sistemų vientisumą ir konfidencialumą, tačiau ne už visus praneštus pažeidžiamumus gali būti skiriamas atlygis. Už žemiau išvardintus pažeidžiamumus atlygis NEBUS skiriamas:

Už žemiau išvardintus pažeidžiamumus atlygis gali būti skiriamas:

Bitė pasilieka teisę įvertinti pranešto pažeidžiamumo įtaką, sunkumą, taip pat ar apie spragą jau buvo pranešta anksčiau.

Atlygis ir jo dydis

Atlygio dydis priklauso nuo rastos saugumo spragos dydžio. Kuo reikšmingesnė nustatyta spraga, tuo didesnis atlygis už pranešimą yra mokamas. Spragos, galinčios sukelti jautrių duomenų atskleidimą, finansinius praradimus yra laikomos reikšmingomis spragomis.

Atlygis gali būti mokamas tik už naujas, anksčiau Bitei nepraneštas saugumo spragas. Pranešimas apie atskleistą saugumo spragą turi atitikti šios programos sąlygas.

Jeigu du ar daugiau žmonių praneša apie spragą kartu vienu metu, atlygis bus padalintas tarp jų.

Išmokos apmokėjimą ir jos dydį Bitė nustatys savo nuožiūra. Išmokėjimas atliekamas eurais arba suteikiant nuolaidų kuponus Bitės elektroninėje parduotuvėje.

Nustatant išmokų dydį, Bitė remsis spragos rizikos ir poveikio sunkumu.

DĖMESIO: mes negalime suteikti atlygio sankcionuotiems asmenims arba šalių, kurios yra sankcionuojamų sąraše, piliečiams. Jūs esate atsakingas (-a) už bet kokius mokesčius, priklausomai nuo jūsų šalies ir pilietybės. Priklausomai nuo vietinių jūsų šalies įstatymų, gali atsirasti papildomų apribojimų, dėl kurių negalėtumėte dalyvauti programoje.

Kaip informuoti apie saugumo spragas?

Jei manote, kad radote saugumo spragą, prašome apie tai pranešti mums el. paštu disclosure@bite.lt

Siekiant užtikrinti siunčiamos informacijos konfidencialumą, naudokite PGP:

Responsible Disclosure

PGP key id: 0x11F373C8B5A2CC4E

PGP fingerprint: 793E6EFAFB0D27D3F97C820411F373C8B5A2CC4E

PGP raktas

Pateikdami informaciją apie saugumo spragą nurodykite:

Tavo pranešimas turėtų būti patvirtintas per 7 dienas. Tuomet reikės patikrinti atskleistą informaciją ir po to su tavim turėtų būti susisiekta per 30 dienų. Spragos išsprendimo laikas priklauso nuo spragos sudėtingumo ir sunkumo.

Konfidencialumas

Bet kokia informacija, kurią gaunate, renkate arba atrandate apie Bitės grupę, jos darbuotojus ir/ar klientus dalyvaudami Atsakingo atskleidimo programoje, turi būti laikoma konfidencialia ir naudojama dalyvavimo Atsakingo atskleidimo programoje tikslais. Negalite atskleisti tokios konfidencialios informacijos be išankstinio raštiško mūsų sutikimo. Bet koks konfidencialios informacijos atskleidimas, neatitinkantis šio reikalavimo, gali lemti pašalinimą iš Atsakingo atskleidimo programos.

Pateikiamos informacijos nuosavybė

Dalyvaudamos Bitės grupės Atsakingo atskleidimo programoje, jūs suteikiate Bitės grupės įmonėms, jų filialams sublicencijuojamą, neišimtinę, nemokamą, neatšaukiamą, neapribotą laiko, teritorijos ir apimties naudojimo licenciją, atgaminti, pritaikyti, modifikuoti, skelbti, platinti, viešai atlikti, kurti išvestinius darbus, gaminti, naudoti, parduoti, siūlyti parduoti ir importuoti jūsų pateiktą informaciją apie spragą, taip pat bet kokią su tuo susijusią medžiagą, pateiktą Bitės grupei, bet kokiais tikslais.

Pateikdami informaciją apie spragą jūs pareiškiate ir garantuojate, kad pateikta informacija yra originali ir jūs turite visas teises ja dalintis ir suteikti Bitės grupės įmonėms aukščiau aprašytą licenciją.

Bitės grupės atsakingo atskleidimo programos pakeitimai

Atnaujinus Bitės grupės atsakingo atskleidimo programos sąlygas, apie esminius pakeitimus jus informuosime paskelbdami pranešimą interneto svetainėse www.bite.lt ir www.bite.lv. Nepaisant to, norėdami būti tikri dėl aktualios programos versijos, turėtumėte retkarčiais savarankiškai peržiūrėti ir susipažinti su naujausia svetinėje publikuojama Bitės grupės atsakingo atskleidimo programos versija.

Atnaujinta: 2023.06.18

Dėkojame, kad padedate užtikrinti Bitės grupės ir mūsų vartotojų saugumą!

1. during the vulnerability search process, the operation, functionality, services provided, and data availability or integrity of the communication and information system may not be altered or disrupted;
2. a search for security vulnerabilities shall be terminated having made sure that a vulnerability exists;
3. having conducted a search for security vulnerabilities, the person shall immediately inform Bitė of the security vulnerabilities found in accordance with the terms and conditions of the Responsible Disclosure Program;
4. the data of Bitė may not be monitored, recorded, acquired, stored, intercepted, copied, altered, disclosed, destroyed, removed and/or corrupted more than necessary for confirming the security vulnerability;
5. if Personal Data is encountered, the person should immediately halt his activity, delete related data from his system, and immediately contact Bitė.
6. when searching for security vulnerabilities, no attempts may be made to guess passwords, to use passwords obtained by unauthorised means or to manipulate employees of the cybersecurity entity or other persons who have access to sensitive information important for vulnerability search;
7. information about the identified security vulnerability may not be disclosed to any third parties until it has been reported to Bitė, and the security vulnerability has been corrected;
8. taking any action that would allow the person taking the action or any other third party to destroy, store, share or access the data of Bitė or its customers shall be prohibited;
9. when searching for security vulnerabilities, no action that may affect Bitė’s customers, such as spamming, social engineering or disruption of the services provided, may be taken;
10. perform research only within the scope set out below;
11. use the identified communication channels to report vulnerability information to us.

If you do not comply with these principles, we may block your IP address and take other legal action.

Program participants

You cannot participate in the Responsible Disclosure Program if:

If Bitė determines that you do not meet the above requirements, you shall be withdrawn from Bitė's Responsible Disclosure Program and will not be eligible for a reward.

Area of application of the Program

All the below-listed domains and subdomains may be the subject of security vulnerability searches (with certain exceptions, i.e. the reward may not be appointed if the research object (higher-level subdomains) is not maintained by Bite and/or is not hosted on Bites' infrastructure, i.e. Bite is completely not responsible for the subject):

Bitė’s mobile apps hosted on official app stores (e.g. self-service apps, Go3, etc.) may also be the subject of security vulnerability searches.

Examples of non-qualifying and qualifying vulnerabilities

Bitė shall accept all reports on identified vulnerabilities that violate the integrity and confidentiality of Bitė’s systems, but not all reported vulnerabilities may earn a reward. The following vulnerabilities shall NOT be subject to reward:

A reward may be provided for the vulnerabilities listed below:

Bitė reserves the right to assess the impact and severity of a reported vulnerability, also checking whether the vulnerability has been reported before.

Reward and its amount

The amount of the reward depends on the extent of the detected security vulnerability. The more significant the vulnerability is, the higher is the reward paid for reporting it. Vulnerabilities that could lead to the disclosure of sensitive data and financial loss are considered significant vulnerabilities.

Rewards can only be paid for new security vulnerabilities that have not been reported to Bitė before. Reports on disclosed security vulnerabilities shall comply with the terms and conditions of the Program.

If two or more people report a vulnerability together at the same time, the reward shall be split between them.

The payment of a reward and its amount shall be set at the discretion of Bitė. Payments shall be made in euro or by providing discount vouchers for shopping on Bitė online store.

When determining the payment amount, Bitė shall consider the severity of the risk and the impact of the vulnerability.

NOTA BENE: we cannot reward sanctioned persons or nationals of countries that are on the sanctioned list. You shall be responsible for any taxes depending on your country and nationality. Local laws of your country may provide for additional restrictions that could prevent you from participating in the Program.

Ways to report security vulnerabilities

If you think you have found a security vulnerability, please report it to us at: disclosure@bite.lt

Please use PGP to ensure the confidentiality of the information sent to us:

Responsible Disclosure

PGP key id: 0x11F373C8B5A2CC4E

PGP fingerprint: 793E6EFAFB0D27D3F97C820411F373C8B5A2CC4E

PGP key

When providing information about a security vulnerability, please indicate the following:

Your report should be confirmed within 7 days. Disclosed information will be verified, and you should be contacted within 30 days. The time it takes to resolve a vulnerability depends on its complexity and severity.

Confidentiality

Any information you receive, collect or discover about Bitė Group, its employees and/or customers as a result of your participation in the Responsible disclosure program shall be kept confidential and used for the purposes of participating in the Responsible disclosure program. You may not disclose such confidential information without our prior written consent. Any disclosure of confidential information that does not comply with this requirement may result in your withdrawal from the Responsible disclosure program.

Ownership of the information provided

By participating in the Responsible disclosure program of Bitė Group, you shall provide Bitė Group companies and their subsidiaries with a sub-licensable, non-exclusive, free, irrevocable use license unrestricted in time, territory or scope, to reproduce, adapt, modify, publish, distribute, publicly perform, create derivative works, produce, use, sell, offer for sale, and import your provided information about the vulnerability, as well as any related material which you provided to Bitė Group, for any purpose.

When providing information on a vulnerability, you shall warrant and represent that your provided information is original and that you have full rights to share it and to provide Bitė Group companies with the above license.

Amendments to the Responsible Disclosure Program of Bitė Group

Once we update the terms and conditions of the Responsible disclosure program of Bitė Group, we shall inform you of any material amendments by posting a notice on the websites www.bite.lt and www.bite.lv. Nevertheless, to be familiar with the current version of the Program, you should periodically review and familiarise yourself with the latest version of the Responsible disclosure program of Bitė Group published on the website on your own initiative.

Updated: 2023.06.18

Thank you for helping keep Bitė Group and our users safe!