脆弱性報奨金制度規約
脆弱性報奨金制度（以下、「本制度」といいます。）はサイボウズ株式会社（以下、「サイボウズ」といいます。）によって開催されます。
本制度に基づき脆弱性情報を報告される方（以下、「報告者」といいます。
）は、以下の内容に同意するものとします。
第１条

目的

本制度は、社外の専門家からサイボウズの製品およびサービスの脆弱性情報を早期かつ適切に報告いただき、サイボウズが当該脆弱性情報を製品およびサービスの品質向上に役立てることを目的としています。
第２条

実施要領

1. 本制度は、報告者が脆弱性を発見し、専用の脆弱性情報報告窓口に脆弱性情報を報告いただき、当該脆弱性情報がサイボウズの基準を満たすとサイボウズが認定した場合には、サイボウズの製品およびサービスの品質向上への協力に対して感謝を表し報奨金を支払う制度です。
▼脆弱性報奨金制度サイト
https://cybozu.co.jp/products/bug-bounty/

2. 本制度を利用できる方は、日本語または英語でコミュニケーションが可能な個人の方、法人または団体とします。ただし、以下に該当する方は本制度を利用できません。
（１）報告時においてサイボウズまたはサイボウズの子会社の従業員の方（２）報告時において業務委託契約、出向契約、派遣契約等の契約形態により、サイボウズまたはサイボウズの子会社の業務に従事している方（３）報告日の過去 1 年間にサイボウズまたはサイボウズの子会社において正社員として雇用されたことがある方（４）報告日の過去 1 年間にサイボウズまたはサイボウズの子会社において製品開発及びクラウドサービスの運用関連業務に従事したことのある方（ただし、ラボユース生を除く。
）
3. 支払い基準を含む実施要領の詳細については、サイボウズが別途定めるルールブック等をご確認ください。
第３条

報奨金

1. 報告者は、本制度において発見した脆弱性情報を本制度の支払い認定対象とするために、別途定める手続きに従って専用の脆弱性報告窓口に報告を行う必要があります。また、前条第 2 項に定める中止の場合には、中止告知日より前に報告を受けた脆弱性情報が認定対象となります。
2. サイボウズは、報告者から登録料等は徴収せず、サイボウズの基準に従って、報奨金の全額を支払うものとします。
3. 報奨金の支払いは報告者が指定する金融機関の個人口座（報告者が法人名義の場合も個人口座とします。）に振込みにて支払うものとします。
4. 報告者から報奨金の支払いに必要な情報が得られない場合、または受領した情報をもとにサイボウズが振込み手続を行ったにもかかわらず報告者が報奨金を受領できなかった場合（支払いに必要な情報に誤りがある
場合、報告者が指定する支払先口座への振込みが日本または米国その他の国や地域の制裁措置によって行えない場合等、あらゆる場合を含みます。
）その報告者は、報奨金の受領資格を喪失することがあります。
5. 報告者に支払われる報奨金は、消費税その他の租税を含むものとし、報奨金に課される租税については報告者が支払う義務を負うものとします。

第４条

知的財産権等

1. 本制度ならびに本制度の対象ソフトウェアおよび対象サービスに関する、著作権、商標権、意匠権、特許権、実用新案権、ノウハウ、その他の権利（以下、「知的財産権等」といいます。
）は、サイボウズに帰属します。
これらの知的財産権等は、著作権法、商標法およびその他の知的財産権に関する法律ならびに条約によって保護されています。
2. 報告者は、サイボウズに報告した脆弱性情報の全部または一部に関する知的財産権等について、サイボウズに譲渡するものとします。また、報告者は、サイボウズに報告した脆弱性情報の全部または一部を、独立行政法人情報処理推進機構（IPA）その他の第三者にサイボウズの判断で提供、公表等することに異議を述べないものとします。
第５条

脆弱性情報等の取扱い

1. 報告者は脆弱性情報および検証を実施した際に知り得た挙動に関する一切の情報（以下、「脆弱性情報等」といいます。
）を秘密として取り扱うものとし、第三者に対して開示、漏洩、公表等しないものとします。ただし、報告者は、サイボウズが定めるガイドラインに従い当該脆弱性情報等を開示することができるものとします。なお、本条に基づく秘密保持義務は、本制度終了後においても有効に存続するものとします。
▼第三者による脆弱性情報開示ガイドライン
https://cybozu.co.jp/products/bug-bounty/pdf/disclosure_guideline.pdf

2. 報告者は、本制度の感想等について、SNS への投稿等を含む第三者への公開を行うことができます。ただし、脆弱性情報等については、前項の定めに従うものとします。
3. 報告者が本条の規定に違反した場合、報奨金の受領資格を喪失するものとします。また、報奨金を受領済みの場合は報奨金の返還に応じるものとします。
第６条

制限・禁止事項

1. 報告者は本制度の利用にあたり､以下の行為を行なってはいけません｡（１）脆弱性報奨金制度サイト【制限・禁止事項】 に記載されている行為
https://cybozu.co.jp/products/bug-bounty/#restriction（２）サイボウズおよび第三者に不利益もしくは損害を与える行為､またはそのおそれのある行為（３）公序良俗に反する行為（４）法令に違反する行為や犯罪行為､それらを幇助する行為､またはそのおそれのある行為（５）本制度およびサイボウズが提供する全てのサービスの運営を妨げる行為､またはそのおそれのある行為（６）本制度およびサイボウズが提供する全てのサービスの信用・名誉等を毀損する行為またはそのおそれのある行為（７）その他､サイボウズが不適切と判断する行為
2.

前項各号のいずれかに該当する場合、報告者は報奨金の受領資格を喪失するとともに、サイボウズは報告者に対し、事前に通知することなく、アクセスの遮断、その他サイボウズが必要と認める措置を行うことができるものとします。

3.

前項の措置をとったことにより発生した直接的、間接的、その他全ての損害について、サイボウズは一切責任を負いません。

4.

報告者が第１項の規定に違反した場合、当該違反行為によってサイボウズに発生した損害について、報告者はその損害を賠償する責を負うものとします。また、当該違反によってサイボウズが第三者への賠償その他損害および費用を負担した場合、当該負担額について、サイボウズは報告者に対し、求償することができるものとします。
第７条

免責

報告者は、報告者自身の責任のもとで本制度に基づき報告するものとし、本制度に基づき脆弱性情報の報告を行ったこと、その他本制度への関与によって生じた損害について、サイボウズが一切の賠償責任を負わないことに同意するものとします。本制度に関わる報告者間または第三者との紛争についてサイボウズは一切関与せず、前条に違反したことにより第三者に生じた損害を含め、報告者は自己の責任と負担によって紛争を解決するものとします。
第８条

個人情報の取扱い

1. サイボウズは、報告者の個人情報を次の目的のために利用します。
（１） 本制度の実施・管理・運営のため（２） 本制度の報奨金の受け渡しにあたり、必要な確認および連絡をするため
2. 報告者が、報告者自身の個人情報の訂正、削除、利用停止を希望する場合、サイボウズはこれに応じるものと し ま す 。 個 人 情 報 の 訂 正 、 削 除 、 利 用 停 止 を 希 望 す る 場 合 は 、 Cy-PSIRT 事 務 局（productsecurity@cybozu.co.jp）までご連絡ください。
3. 法令に従った要請や法令の手続上必要とされる場合、サイボウズ、他の報告者または第三者の権利を保護するために必要な場合等、サイボウズが必要と判断した場合に、サイボウズは報告者の個人情報を第三者に対して開示することがあります。その他の事項については、以下の「データ保護の取り組み」を参照ください。
▼データ保護の取り組み
https://cybozu.co.jp/privacy/

第９条

反社会的勢力の排除

1. 報告者およびサイボウズは、相手方に対し、自己または自己の役員もしくは自己の従業員が、現時点において、暴力団、暴力団員、暴力団員でなくなったときから 5 年を経過しない者、暴力団準構成員、暴力団関係企業、総会屋等、社会運動等標榜ゴロまたは特殊知能暴力集団等、その他これらに準ずる者（以下これらを「暴力団員等」といいます。）に該当しないこと、および次の各号のいずれにも該当しないことを保証します。
（１） 暴力団員等が経営を支配していると認められる関係を有すること（２） 暴力団員等が経営に実質的に関与していると認められる関係を有すること（３） 自己または第三者の不正の利益を図る目的または第三者に損害を加える目的をもってするなど、不当に暴力団員等を利用していると認められる関係を有すること（４） 暴力団員等に対して資金等を提供し、または便宜を供与するなどの関係を有すること（５） 役員または経営に実質的に関与している者が暴力団員等と社会的に非難されるべき関係を有すること
2. サイボウズは、報告者が前項の表明・確約に反して、報告者または報告者の役員もしくは報告者の従業員が暴力団員等あるいは前項各号の一にでも該当することが判明したときは、何らの催告をせず、本制度のご利用をお断りいたします。
第１０条

本制度の中断・廃止

1. サイボウズの都合により本制度を中断または廃止する場合があります。その場合、中断または廃止する日の30 日前までに脆弱性報奨金制度サイト等で告知するものとします。
2. サイボウズが本制度を中断または廃止したことに基づき報告者に生じた損害について、サイボウズは一切責任を負いません。
第１１条

本規約の変更1. サイボウズは、事前に公表することなく、本規約の変更を行うことができます。
2. 本規約の重要部分に変更があった場合は、サイボウズは報告者に対しその内容を通知するものとし、報告者が変更後も継続して本制度を利用している場合は、変更後の本規約に同意したものとみなします。
第１２条

準拠法および裁判管轄

本規約は、法の抵触に関する原則の適用を除いて、日本国の法律を準拠法とします。また、本規約に関して紛争が生じた場合は、訴額に応じて東京簡易裁判所または東京地方裁判所を専属第一審管轄裁判所とします。
以上