Vulnerability Disclosure Policy

Este policy es el route para telling RapidCents Acerca de un seguridad flaw en one de its Productos. It sets out qué usted may test, qué usted must no test, el safe harbour RapidCents extends a research carried out en good faith within este policy, cómo a send un report, y qué RapidCents will do once it has one. It es written para seguridad researchers, but it applies a anyone quién finds un vulnerability, including un comerciante o un cliente quién came across one por accident.

1. Why este policy exists

Section 8 de el Seguridad Estado de cuenta describes el testing RapidCents does en its own environment. None de it removes el possibility ese someone outside RapidCents finds something first.

Qué follows then depends en whether el finder has un clear route a report y un credible reason a believe ese using it will no go badly para them. Sin one, el options left son a say nothing, a publish, o a sell. Este policy says dónde el boundary es, commits en section 4 ese RapidCents will no turn en usted para staying inside it, y says en section 10 qué usted get back. UN suspected compromise de su own cuenta de comerciante es un different matter en un much shorter clock; see section 13.

2. Qué usted may test

Este policy covers el RapidCents platform as section 1 de el Seguridad Estado de cuenta defines it: la pasarela de pagos, página de pago alojada, pago links, Rapid.js y el embedded components, el panel de control del comercio, la terminal virtual, invoicing y facturación recurrente, point-de-sale software, terminals RapidCents supplies, y el APIs, SDKs y webhooks reaching them. It también covers el public websites en rapidcents.com en all three published configuración regional (locale) versions. El Soporte portal en help.rapidcents.com runs en un third-party Soporte platform, so qué RapidCents puede authorise there es its own content y configuration y no más; el platform underneath belongs a its provider, y el third-party exclusion en section 3 governs it.

Hostnames y endpoints change más often than un published legal page does, so este policy does no freeze un list de them. El current list de en-scope domains, hostnames y API endpoints es maintained por el RapidCents seguridad team y provided en request a[email protected]. Treat anything neither en ese list nor named here as out de scope, y ask antes de usted touch it.

Test en el entorno de pruebas (sandbox) rather than en production: RapidCents publishes un developer entorno de pruebas (sandbox) con documented test tarjetas, y un finding demonstrated there es just as valid while costing un comerciante nothing. Dónde un vulnerability genuinely cannot ser reproduced outside production, test against una cuenta usted own, con el minimum interaction needed, y say en su report why el entorno de pruebas (sandbox) would no do. Use su own cuenta y su own data, y never un real tarjeta de pago.

3. Qué este policy does no cover

Nosotros puede solo give usted permission a test nuestro own systems. UN comerciante’s website es theirs, no ours — ask them. Third-party services belong a el third party.

El first three items below son no RapidCents’ a authorise. El fourth es un different route entirely. El last two sit inside el scope en section 2 but will no produce un finding. Saying so es más useful than leaving usted a find out.

• UN comerciante’s own website, application, servers, network, staff o point-de-sale environment. Section 11 de el Seguridad Estado de cuenta y clause D.2 de el Services Agreement place it con el comerciante, y RapidCents cannot give permission a test property ese es no its own. Section 13 sets out qué a do instead.
• Services operated por third parties, including RapidCents’ cloud infrastructure providers, el Tarjeta Networks, acquiring banks, y third-party components embedded en un RapidCents page. Data centre physical seguridad, para instance, es el cloud providers’, as section 5 de el Seguridad Estado de cuenta states.
• Anything belonging a un RapidCents employee, contractor o comerciante en un personal capacity: un personal device, email cuenta, Inicio network o social media cuenta.
• UN suspected o confirmed compromise de su own cuenta de comerciante, systems o tarjeta data. Ese es un incident rather than un research finding, y clause D.2 de el Services Agreement requires usted a notify RapidCents immediately, por email a both[email protected]y[email protected]. See section 13.
• Behaviour ese es intended. UN report ese RapidCents refuses SSLv3, TLS 1.0 y TLS 1.1 connections describes qué section 3 de el Seguridad Estado de cuenta says RapidCents does deliberately.
• Findings con no demonstrated seguridad impact: raw scanner output, un missing header con no attack described, un theoretical weakness con no path a exploitation, un issue requiring el victim a paste attacker-supplied code into su own navegador, o one depending en un already-compromised device. RapidCents reads y answers these, but usually closes them as informational.

4. Safe harbour para good-faith research

Stay inside este policy y act en good faith, y RapidCents will no come después de usted legally — it will treat qué usted did as authorised rather than as hacking. El list below es qué good faith means here. It es judged en qué usted did, no en qué usted meant, y no en whether usted gave su name.

Dónde usted carry out seguridad research y revelación de información en good faith y en accordance con este policy, RapidCents will no initiate, Soporte, encourage o recommend legal o administrative action against usted arising desde it — civil claims y complaints a law enforcement o un regulator alike.

So ese nothing es left a inference, RapidCents will treat research carried out within este policy as authorised access. It will no ser treated as un attempt a gain unauthorized access a el Services o related systems o networks within el meaning de clause B.4(f) de el Services Agreement, as un breach de any otro part de clause B.4, o as un ground para suspension o termination under clause B.5. Dónde usted lawfully possess RapidCents software, analysis de it carried out solely a find y report un vulnerability under este policy will no ser treated as un breach de clause B.4(c). RapidCents will no assert ese such research es un offence under section 342.1 de el Criminal Code (Canada), under el Computer Fraud y Abuse Act en Estados Unidos, o under el technological protection measure provisions de applicable copyright law.

If un third party brings un claim against usted over activity RapidCents has confirmed fue en scope y en good faith, RapidCents will, en request, make it known a ese party, a un court o a un regulator ese el activity fue authorised under este policy. It es no un promise el claim will ser dropped, que es no RapidCents’ a give.

Good faith es no un mood. It es un set de conditions, y all de them have a hold:

• Usted stayed within el scope en section 2 y did none de el things listed en section 6.
• Usted did no degrade, interrupt o destabilise el Services, disrupt un comerciante’s comercio o un titular de la tarjeta’s pago, o destroy, alter o corrupt anyone’s data.
• Usted accessed solo el minimum data needed a demonstrate el issue, stopped el moment it fue demonstrated, y did no exfiltrate, retain, share o publish it, as section 7 requires.
• Usted reported a el address en section 8 as soon as practicable, y antes de disclosing anywhere else.
• Usted gave RapidCents un reasonable opportunity a remediate antes de publishing anything, as section 11 asks.
• Usted took no benefit desde el finding: no pago demanded as un condition de revelación de información, no threat a publish o sell, no commercial advantage taken.
• Usted did no use un real tarjeta de pago, another person’s cuenta o credentials, o another comerciante’s data.
• Usted left nothing behind — no persistent access, added cuenta, scheduled task o stored carga útil — y said qué usted had a create so it puede ser removed.
• Usted complied con applicable law, y con este policy dónde it es stricter than el law.
• Dónde usted left RapidCents un way a reach usted, usted answered its reasonable follow-up questions Acerca de su report y su method. Reporting anonymously es no un failure de este condition; section 8 sets out qué it costs usted instead.

Cada condition above es Acerca de qué usted did rather than Acerca de quién usted son, y none de them requires usted a identify yourself. Anonymous reporting es protected: un report sent desde un anonymous address, o desde none, es inside este safe harbour if el conduct it describes fue inside it. Qué anonymity costs usted es practical rather than legal, y section 8 sets it out — RapidCents cannot ask usted el question ese unblocks un triage, cannot tell usted el outcome, y cannot credit usted under section 12. Nor puede it give un third party el confirmation described above until it knows whose activity it fue; identifying yourself later, if usted ever need ese confirmation, remains open a usted y weakens nothing here.

Good faith es assessed en qué usted did, que es why section 9 asks para el dates, times y source addresses de su testing: they let RapidCents match su cuenta de events against its own logs. If usted son unsure whether something usted son Acerca de a do falls inside these conditions, ask en[email protected]first. Asking antes de acting es itself evidence de good faith.

5. El limits de el safe harbour

Section 4 es un commitment RapidCents makes Acerca de its own conduct, y it binds nobody else. Comerciantes, cardholders, cloud infrastructure providers, el Tarjeta Networks, acquiring banks, regulators y law enforcement son no parties a este policy y keep whatever rights they have. If su testing touches un system o un person outside section 2, section 4 does no help usted there.

It does no authorise usted a break el law o displace RapidCents’ own legal obligations. Dónde un evento es un compromise de data rather than un demonstration de un flaw, RapidCents may ser required a notify affected comerciantes, regulators, acquiring banks y el Tarjeta Networks, as section 10 de el Seguridad Estado de cuenta describes, y nothing en section 4 prevents RapidCents desde responding a un lawful order o un court process.

It applies solo a activity actually within este policy. Dónde el scope en section 2 fue exceeded, something en section 6 fue done, real data fue taken past el point de proof, o un condition en section 4 fue no met, RapidCents reserves all de its rights y those de el parties affected — judged en qué fue done rather than en cómo it es characterised afterwards.

It es no un contract, licence, engagement o sociedad y does no make usted un agent de RapidCents. It grants no right en RapidCents’ intellectual property beyond qué section 4 states, entitles usted a no pago, does no suspend el confidentiality obligations en clause E.2 de el Services Agreement para anyone already subject a them, y does no make non-public information usted encountered free a use o publish.

6. Testing ese es out de bounds

None de el things below son research, y doing any de them takes usted outside el safe harbour. Most de them harm someone quién never agreed a ser part de su test — un comerciante, un titular de la tarjeta, o un person en un desk.

Each prohibition carries its reason, so ese usted puede apply it a un situation este list did no anticipate.

• Denial de service de any kind o scale, including floods, resource exhaustion y algorithmic complexity attacks. UN plataforma de pagos ese es down means comerciantes quién cannot take money y cardholders quién cannot pay, neither de whom agreed a su test; clause B.4(e) de el Services Agreement prohibits disrupting el performance de el Services.
• Automated scanning ese degrades service, y bulk creation de cuentas, transacciones, invoices, links, tickets o messages. Volume against un live sistema de pagos es indistinguishable desde un attack until someone has spent un night establishing otherwise. Rate-limit yourself, stay within el API limits set under clause B.3 de el Services Agreement, y agree anything en scale con[email protected] first.
• Ingeniería social de any kind against anyone — staff, contractors, comerciantes, su staff, clientes o cardholders — including suplantación de identidad (phishing) en cada form, vishing (phishing por voz), smishing (phishing por SMS), pretexting, baiting, impersonation, y any attempt a obtain un password, un one-time code o una cuenta recovery desde un person. Nobody puede consentimiento a un test they were never told Acerca de, y el harm desde un successful pretext lands en them personally. Section 11 de el Seguridad Estado de cuenta tells comerciantes RapidCents will never ask para un password o un one-time code; usted must no either.
• Physical attacks y access attempts: entering o attempting a enter RapidCents premises o un data centre, tailgating, talking su way past un reception desk, dumpster diving, o interfering con, opening o substituting una terminal de pago en un comerciante’s possession. Data centre physical seguridad belongs a RapidCents’ cloud providers y es no RapidCents’ a authorise, y una terminal en un comerciante’s hands es en ese comerciante’s care under el Services Agreement.
• Spam y unsolicited messaging, including any test ese sends messages a people quién did no ask para them. Canada’s Anti-Spam Legislation governs commercial electronic messages sent desde o a Canada, y Estados Unidos imposes equivalent requirements de its own, so such un test es un legal problem para usted antes de it es un finding para RapidCents.
• Injecting content otro people will see. Test payloads left en comerciante-facing fields, invoices, pago links, estado de cuenta descriptors, Soporte tickets o dashboard records son read por staff y comerciantes quién have no idea un test es underway. Mark test data plainly y remove it.
• Accessing, modifying, exfiltrating o destroying real datos del titular de la tarjeta o anyone else’s información personal — el line el rest de este policy es built around, set out en full en section 7.
• Using un real tarjeta de pago a test en production, y any attempt a move, divert, captura o retain funds. Money movement es demonstrated en el entorno de pruebas (sandbox) against documented test tarjetas; un finding demonstrated por moving real money es un different evento con un different name.
• Accessing una cuenta, comerciante o tenant ese es no yours, o continuing into another party’s data once cross-tenant access has been demonstrated. El demonstration es el finding; qué lies past it es somebody’s comercio records.
• Uploading o transmitting worms, viruses, malware, ransomware o any destructive code, que clause B.4(h) de el Services Agreement prohibits outright, y installing o leaving behind persistent access.
• Making revelación de información conditional en pago, o threatening a publish o sell un finding unless RapidCents pays. Ese es extortion rather than research; section 12 says qué happens a un report arriving ese way.

7. Real data: stop en proof

El moment usted puede see someone else’s data, usted have proved su point. Take un screenshot con el data blacked out, stop, y tell us. Taking más es no más proof — it es un breach, con su name en it.

If su testing gives usted access a datos del titular de la tarjeta, información personal, credentials o confidential comercio information belonging a RapidCents, un comerciante, un titular de la tarjeta o anyone else, stop there. Ese usted could reach it es el finding. Everything past it es collection, y it converts un good-faith report into un evento RapidCents may have a treat as un breach de seguridad safeguards, con notification obligations para RapidCents y legal exposición al riesgo para usted.

Minimum means minimum: one record rather than un table, un screenshot con el values redacted rather than un copy de el page, un identifier o count rather than contents, el first y last few digits rather than una tarjeta number. Do no run un query returning bulk data a establish cómo many records son exposed — state el scale usted believe es involved y let RapidCents confirm it against el logs described en section 6 de el Seguridad Estado de cuenta. Do no save, download, copy, print, retain, share, post o upload any such data, en su report o anywhere else, including un Blog post, un third-party issue tracker o paste service, o any inteligencia artificial (IA) o otro en línea service ese processes qué usted give it. If usted took un copy antes de reading este, say so y say qué usted took; do no delete it until RapidCents confirms it has qué it needs, then delete it securely y confirm en writing.

Section 2 de el Seguridad Estado de cuenta records ese RapidCents never stores tarjeta verification values, PINs, EMV chip data o full magnetic-stripe data. If usted believe usted have found any de those en storage, un log, un cuerpo de la respuesta o un backup, ese es un high-severity report RapidCents wants immediately: say so en su first line y retain no copy.

Información personal es regulated wherever este policy es read. Handling it sin authority engages el Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) en Canada, el Act respecting el protection de información personal en el private sector as amended por Law 25 en Quebec, el Información personal Protection Acts en Alberta y British Columbia, y comprehensive state Privacidad laws en Estados Unidos. Those obligations attach a usted as well as a RapidCents once el data es en su hands. Información personal usted do send RapidCents es handled under el RapidCents Privacidad Policy y retained no longer than el investigation, el remediation y RapidCents’ legal obligations require.

8. Cómo a report

Email [email protected]. Write en English o en French, whichever usted prefer, y nosotros will answer en el same language. Do no put anyone’s tarjeta number o personal details en el message.

Send el report por email a[email protected]— el seguridad Contacto RapidCents already publishes, y el address named en clause D.2 de el Services Agreement. Putting el words Vulnerability report en el subject line helps.

• Reports son accepted en English y en French, y RapidCents will reply en el language usted write en. Use whichever usted son más precise en.
• Send one report per issue: two unrelated findings en one email son triaged en el speed de el slower one.
• Do no report mediante el Soporte portal en help.rapidcents.com, un Soporte ticket o sales enquiry, social media, o a un individual employee. UN vulnerability sitting en un Soporte queue es un vulnerability nobody es triaging.
• If usted need a send el report encrypted, say so en su first message sin el technical detail, y RapidCents will agree un seguro channel con usted antes de usted send it. Do no send detail unencrypted en el assumption ese un channel exists.
• Anonymous reports son accepted y investigated. El safe harbour en section 4 protects conduct rather than identity, so it still covers qué usted did — but if RapidCents cannot reach usted it cannot confirm su activity fue en scope, ask el question ese unblocks un triage, tell usted el outcome, o credit usted under section 12.
• Do no include real datos del titular de la tarjeta, credentials o another person’s información personal en el report itself; section 7 explains qué a send instead.
• If usted son reporting un active, ongoing compromise rather than un latent flaw, say so plainly en el first line. Ese changes cómo el report es handled desde el moment it arrives.

9. Qué un useful report contains

El difference entre un report triaged en un day y one triaged en un fortnight es almost always whether el reader puede reproduce el issue sin writing back.

• El product o surface affected, y el exact URL, endpoint, API method o screen.
• El date, time y time zone de su testing, y el source IP addresses usted tested desde. Este lets RapidCents find su activity en el logs described en section 6 de el Seguridad Estado de cuenta y separate it desde un real attack.
• La cuenta, comerciante identifier o test data usted used, y whether usted were en el entorno de pruebas (sandbox) o en production.
• UN description de el vulnerability y el class it belongs a, en su own words rather than un tool’s.
• Reproduction steps, en order, precise enough para someone else a follow sin guessing, including any request y response needed.
• UN proof de concept: el least needed a demonstrate el issue, con real data redacted as section 7 requires.
• Qué un attacker could achieve, y qué they would need a get there — un prerequisite, un privileged position, un user interaction, un particular configuration.
• Any tooling used, y its configuration dónde ese affects el result.
• Anything usted created, changed o left behind, so it puede ser found y removed.
• Whether usted have disclosed el issue a anyone else o intend a, y any deadline usted son working a — en el start, rather than en el third exchange.
• Cómo a reach usted, y el language usted would like el reply en.

Screenshots y un short video help. Raw scanner output en its own generally does no: it describes qué un tool said rather than qué un attacker could do, y section 3 explains why such un report es usually closed as informational.

10. Qué happens después de usted report

Nosotros confirm nosotros got it, nosotros try a reproduce it, nosotros tell usted whether it es en scope y cómo serious it es, nosotros fix it, y nosotros tell usted cuando it es done. Cada report gets un decision, including el ones nosotros decide no a act en — y nosotros tell usted why.

None de el following es expressed as un fixed number de hours: un acknowledgement promised en un figure RapidCents has no committed a operationally would ser worth less a usted than un commitment it will actually meet.

• Acknowledgement. RapidCents will confirm receipt a el address usted wrote desde, promptly y sin waiting para triage a finish. If none arrives, resend. If un resent report es still unanswered, RapidCents opens a usted under este policy el escalation route ese clause UN.6 de el Services Agreement gives comerciantes, whether o no usted son one: raise it con Soporte en help.rapidcents.com,[email protected]o+1 (844) 957-2743, y if it es no resolved o formally closed within fourteen comercio days, escalate a[email protected]con el earlier correspondence attached. Ese path exists so un report cannot simply disappear.
• Triage. El seguridad team will attempt a reproduce el issue, decide whether it es en scope under section 2, y assess severity por qué un attacker could actually achieve — el effect en datos del titular de la tarjeta, funds, comerciante cuentas y availability. RapidCents may come back con questions y asks ese usted answer them; un report ese cannot ser reproduced, whose reporter does no respond, es eventually closed as no reproducible.
• Remediation. Fixes go mediante el change-control process described en section 7 de el Seguridad Estado de cuenta y son prioritised por severity rather than por el order reports arrived en. Dónde un vulnerability es major, section 5 de el Seguridad Estado de cuenta describes el practice RapidCents follows: patches applied sin delay.
• Updates. RapidCents will keep usted informed en el points dónde there es something a say — reproduced o no, scope y severity decided, fix shipped — rather than en un calendar de contentless status mail. Ask para un status update en any time y usted will get un honest one.
• UN decision. Cada en-scope report gets un outcome y usted will ser told qué it es: fixed, mitigated, accepted as un risk con el reasoning stated, un duplicate, out de scope, o no reproducible. UN decision no a act es still un decision y usted will ser given el reason. Dónde un issue es un duplicate, el first report de it es treated as el report de it.
• No conditions attached. RapidCents will no require usted a sign un non-revelación de información agreement, o accept any otro Términos, as un condition de submitting un report, receiving un reply, o being told el outcome.

Dónde un vulnerability has affected comerciante data o cuentas, qué RapidCents notifies y a whom es governed por its respuesta un incidentes process rather than por este policy: section 10 de el Seguridad Estado de cuenta provides ese RapidCents notifies affected comerciantes sin undue delay y makes notifications a regulators, acquiring banks y el Tarjeta Networks as law y el Network Rules require.

11. Coordinated revelación de información y publication

Tell us first, y please wait until it es fixed antes de usted write it up. Después de ese, publish — just leave out anything ese belongs a un comerciante o un titular de la tarjeta.

Report a RapidCents first, y antes de disclosing anywhere else. Section 10 de el Seguridad Estado de cuenta already says este; it es repeated here because it es el single request ese matters most.

RapidCents asks ese usted no publish, demonstrate o otherwise make public el details de un vulnerability until it has been remediated y RapidCents has confirmed a usted ese it es fixed o mitigated. UN working attack against una plataforma de pagos, published antes de there es un fix, es handed intact a everyone con un interest en comerciantes’ money, y el people quién pay para it son comerciantes y cardholders quién had no part en el decision a publish.

Este es un request, no un indefinite embargo. RapidCents will tell usted cuando it expects a have shipped un fix rather than leaving un report open sin un end en sight, will work con usted en timing, y will explain its reasons if remediation takes longer than usted think reasonable. Dónde usted intend a publish después de un fix, RapidCents asks a see el draft en advance so factual errors puede ser corrected y nothing identifying un comerciante, un titular de la tarjeta o another party goes out con it. RapidCents does no claim un right a approve qué usted write, a require changes de substance, o a prevent publication de un accurate cuenta de un fixed issue.

Whatever usted publish must no contain datos del titular de la tarjeta, información personal, credentials, internal identifiers o confidential comercio information belonging a RapidCents o un comerciante; clause E.2 de el Services Agreement governs confidential information para anyone already subject a it. Publishing another person’s data takes el revelación de información outside este policy, y con it el safe harbour en section 4, en any point y whether o no un fix has shipped. Publishing el vulnerability itself costs usted el safe harbour solo dónde usted published sin having given RapidCents un reasonable opportunity a remediate, que es el condition section 4 states y el solo condition en timing este section enforces. Waiting para RapidCents a confirm un fix es el request; un reasonable opportunity a remediate es el condition, y RapidCents does no treat delay de its own making as su failure a meet it. Dónde RapidCents publishes its own advisory, it credits el reporter en el Términos agreed under section 12.

12. Recognition, y el absence de un paid bounty programme

Nosotros do no pay para vulnerability reports. There es no bounty programme. Qué usted get es un real answer, un real fix, y public credit if usted want it.

RapidCents does no currently operate un paid bug-bounty programme. There es no reward schedule, no pago para un report, y no bounty platform. Este policy es un revelación de información route, no un purchase order, y saying so plainly es fairer a usted than leaving el question open until después de usted have done el work.

Qué RapidCents offers es un acknowledgement, un real triage por people quién will try a reproduce qué usted found, un decision usted will ser told, y public credit en any advisory RapidCents publishes Acerca de el issue. Credit es given con su consentimiento y en su Términos — under su name, under un handle, o no en all — y if usted say nothing usted will ser asked antes de anything es published.

If RapidCents introduces un bounty programme en future, its Términos will ser published here o en un route linked desde here, y will no apply retrospectively a reports already submitted. RapidCents may choose a recognise un exceptional report en some otro way en its sole discretion; no report creates un entitlement a un pago o any otro reward. UN demand para pago as un condition de revelación de información, o un threat a publish o sell un finding unless RapidCents pays, es extortion rather than research: it falls outside este policy y outside el safe harbour en section 4.

13. Comerciantes, comerciante sites y third-party services

If su own cuenta o tarjeta data has been compromised, ese es un incident, no un research report: email seguridad@ y legal@ straight away — immediately, con no período de gracia — y do no wipe anything. If usted found un problem en un comerciante’s own website, tell el comerciante — it es no ours a authorise usted a test.

If usted son un RapidCents comerciante y usted know o reasonably suspect ese tarjeta data, credentials o systems associated con su cuenta de comerciante have been compromised, este es no el route. Clause D.2 de el Services Agreement requires usted a notify RapidCents immediately de any suspected, alleged o confirmed compromised data evento, regardless de source y including one affecting su own third-party service providers, por emailing both[email protected]y[email protected]. Neither ese clause nor any otro RapidCents document gives usted un number de hours a work con: el obligation runs desde el moment usted know o suspect.

Preserve el evidence. Clause D.2 requires ese usted no alter o destroy any related records y ese usted document accurately any modification usted make. Contain rather than erase: take el affected system off el network, rotate credentials y API keys, revoke active sessions — but do no reimage, wipe o rebuild, because un investigación forense needs exactly qué un clean rebuild destroys. Clause D.2 también sets out RapidCents’ right a engage un forensic vendor approved por un Association y su obligation a cooperate con it.

If usted have found un vulnerability en un comerciante’s own website, application, integration o point-de-sale environment, Contacto el comerciante. RapidCents neither owns nor controls any de it y cannot give usted permission a test it, so neither este policy nor its safe harbour reaches it — el same boundary section 11 de el Seguridad Estado de cuenta draws para seguridad generally y el PCI Compliance page draws para PCI DSS validation.

Dónde el issue appears a arise desde un comerciante’s use de un RapidCents product, RapidCents does want a know y will Contacto el comerciante. Qué it puede do es bounded: it puede change its own product, documentation y defaults, y puede require information o remediation desde el comerciante a el extent clause F.7 y el rest de el Services Agreement allow, but it cannot test, patch o take responsibility para un system un comerciante runs. If su report concerns un third-party service RapidCents relies en o embeds, report it a ese provider under its own policy, que es el solo route ese puede produce un fix; tell RapidCents as well y it will pass el report en dónde it es able a.

14. Changes a este policy

Este policy es reviewed periodically y revised cuando el Productos en scope change, cuando el way RapidCents receives y handles reports changes, o cuando el law bearing en seguridad research o información personal changes. El revision date en el head de este page changes con cada edit; el effective date changes cuando el substance de el commitments changes. UN report es assessed under el version en force cuando it fue submitted, so un later revision cannot retroactively take un researcher outside un safe harbour they relied en en good faith en el time they acted.

Este policy describes practices y states commitments RapidCents makes a un person quién reports un vulnerability under it. It es no un warranty ese any RapidCents product es free de vulnerabilities. Dónde este policy y el Services Agreement differ, el Services Agreement governs el contractual relationship entre RapidCents y un comerciante — con one exception, because sin it este policy would promise un comerciante nothing. Section 4 does no vary qué un comerciante owes under ese agreement; it states cómo RapidCents will exercise its own rights under it, que es RapidCents’ a decide. RapidCents does no rely en este paragraph, o en el precedence de el Services Agreement generally, a withdraw section 4 desde un researcher quién es también un comerciante o un member de un comerciante’s staff. UN researcher quién es no un RapidCents comerciante es no party a ese agreement en all, y el commitments en section 4 son made a them under este policy directly.

Questions Acerca de este policy, y requests para el current list de en-scope domains y endpoints, go a[email protected]. Notices under el Services Agreement go a[email protected]o por mail, return receipt requested, a RapidCents Inc., Attention: Legal Department, 515 Consumers Road, Unit 210, North York, Ontario, M2J 4Z2, Canada, as clause F.3 de ese agreement requires.