Dernière mise à jour : 24 septembre 2026
Ces conditions régissent votre accès et votre utilisation de BugSecure Africa, une plateforme de bug bounty exploitée par KLDS, société immatriculée au Sénégal (« BugSecure », « nous »). En créant un compte ou en utilisant la plateforme, vous acceptez ces conditions. La version française fait foi.
En accédant à la plateforme ou en l'utilisant, vous formez un contrat avec KLDS et acceptez ces conditions ainsi que notre Politique de confidentialité, qui en fait partie intégrante. Si vous n'êtes pas d'accord, n'utilisez pas la plateforme.
Un chercheur accepte la version en vigueur des présentes conditions avant d'utiliser la plateforme. Une organisation l'accepte, par l'un de ses administrateurs, lorsqu'elle publie ou modifie un programme. Chaque acceptation est horodatée et conservée comme preuve (Loi n° 2008-08, art. 25 et 37).
L'organisation évalue les rapports reçus sur ses programmes. BugSecure détermine la sévérité d'un rapport, en qualité de tiers désigné par les parties, dans les cas suivants :
BugSecure peut aussi évaluer un rapport de sa propre initiative. La première évaluation d'un rapport s'applique ; elle ne peut être modifiée que par un réexamen ou par la revue d'une sévérité critique. L'organisation répond de toute évaluation rendue en son nom, quel que soit le moyen qu'elle a autorisé pour la rendre.
BugSecure émet le certificat de paiement, qui indique qui a évalué le rapport. L'organisation paie ensuite le chercheur directement. Nous ne détenons, ne recevons ni ne déplaçons jamais cet argent.
Ce n'est pas un choix de commodité : la détention de fonds de tiers est un service de paiement soumis à agrément de la BCEAO (Instruction n° 001-01-2024, art. 9), qu'aucune exception « place de marché » ne couvre. BugSecure n'est pas un établissement de paiement et ne se présente pas comme tel.
Les tests sont strictement limités aux actifs et méthodes listés dans le périmètre de chaque programme. Tester hors périmètre n'est pas autorisé et vous prive de la protection décrite ci-dessous.
Protection de bonne foi : en publiant un programme, l'organisation autorise, au sens des articles 431-8 et 431-9 du Code pénal, l'accès à ses seuls actifs listés dans le périmètre, dans le respect des règles du programme, et s'engage à ne pas porter plainte contre un chercheur agissant de bonne foi dans ces limites. Cette autorisation ne vaut pas pour les systèmes de tiers et exclut tout test qui entrave ou fausse le fonctionnement d'un système (article 431-10).
Signalez uniquement via la plateforme et laissez à l'organisation un délai raisonnable pour corriger avant toute divulgation publique. Ne divulguez pas publiquement une vulnérabilité non corrigée ni des données clients.
Une organisation garantit qu'elle détient ou contrôle les actifs de son périmètre et autorise les tests de bonne foi sur ceux-ci. La grille de récompenses publiée est un engagement contraignant de l'organisation : c'est un engagement public pris avant toute découverte, opposable à l'organisation, qui détermine ce qu'un rapport validé vaut.
La publication d'un programme vaut offre de récompense de l'organisation à tout chercheur, aux conditions du programme et de la grille publiée. La soumission d'un rapport conforme vaut acceptation. Il en résulte entre l'organisation et le chercheur un contrat auquel BugSecure n'est pas partie.
En publiant un programme, l'organisation s'engage à respecter son délai de tri et accepte que BugSecure détermine la sévérité dans les cas prévus à l'article 3, aux conditions de l'article 8. Un membre d'une organisation ne peut pas soumettre de rapport aux programmes de celle-ci.
L'organisation détermine la validité et la sévérité d'un rapport selon la taxonomie publiée, avec un raisonnement consigné. Le chercheur argumente la sévérité, jamais le prix.
Chaque partie peut former une demande de réexamen dans un délai de 7 jours à compter de l'émission du certificat, ou de l'évaluation lorsqu'elle ne donne lieu à aucun certificat. Le réexamen est confié à un évaluateur de BugSecure qui n'a pas rendu l'évaluation en cause. Les observations écrites des parties sont celles portées sur le rapport, par ses commentaires et par la demande de réexamen.
Lorsque BugSecure détermine la sévérité, il agit en qualité de tiers désigné par les parties pour parfaire un élément de la récompense, au sens de l'article 270 du Code des obligations civiles et commerciales, appliqué par analogie. Il ne tranche aucune question de droit, de validité ou d'interprétation du contrat, qui relèvent des juridictions compétentes. Sa détermination s'impose aux parties, sauf fraude, défaut d'indépendance, erreur grossière ou dépassement de sa mission. Passé le délai sans demande de réexamen, l'évaluation est réputée acceptée.
À l'issue de l'évaluation, et de sa revue lorsque la sévérité est critique, BugSecure émet un certificat de paiement : une attestation datée et signée électroniquement indiquant qu'une organisation doit un montant déterminé à un chercheur nommé. Le certificat indique le montant dû, la grille appliquée et qui a évalué le rapport. L'organisation est le débiteur. Toute retenue que la loi impose sur ce paiement, notamment la retenue à la source (CGI, art. 200 et 202), est opérée par l'organisation en sa qualité de payeur : elle en indique le montant et le motif dans son attestation de paiement et en demeure seule redevable.
Le certificat devient définitif à l'expiration du délai de réexamen sans demande, ou à la notification de la détermination sur réexamen. Le montant dû est alors exigible de plein droit à l'expiration du délai de règlement, sous réserve de l'article 4 (vérification d'identité), sans autre mise en demeure. Le certificat définitif constate une créance de cause contractuelle, certaine, liquide et exigible au sens de l'article 2 de l'Acte uniforme OHADA portant organisation des procédures simplifiées de recouvrement et des voies d'exécution, que le chercheur peut faire valoir en son propre nom, notamment par injonction de payer, sans nous et sans que nous ayons qualité pour agir. BugSecure ne garantit pas le paiement : nous ne détenons pas les fonds et la loi (BCEAO, art. 9) nous l'interdit.
Le règlement est attesté par la partie qui l'a effectué : c'est une déclaration, non une preuve, car nous n'avons pas déplacé l'argent. Le chercheur en est notifié et peut la contester.
Délais : un réexamen peut être demandé pendant 7 jours ; une fois le certificat définitif, l'organisation dispose d'un délai de règlement de 14 jours. Passé ces délais sans paiement, le certificat est en souffrance : le programme peut être suspendu (il cesse de recevoir des soumissions) et un statut public d'impayé peut être affiché sur son profil. Ces délais peuvent être précisés dans le programme concerné.
Les organisations souscrivent un abonnement. Les déterminations de BugSecure prévues à l'article 3 sont des prestations de services rémunérées selon le tarif publié, qui fait partie des présentes. Celles que l'abonnement n'inclut pas sont facturées au tarif en vigueur à la date de soumission du rapport concerné, y compris la détermination rendue parce que l'organisation n'a pas évalué le rapport dans son délai de tri. Aucune n'est facturée avant la publication de ce tarif. Une évaluation que BugSecure mène de sa propre initiative n'est pas facturée. Toute modification du tarif est notifiée au moins 30 jours avant son entrée en vigueur ; l'organisation peut résilier sans frais avant cette date.
Le chercheur reçoit 100 % de la récompense certifiée ; BugSecure ne prélève rien sur la récompense. Sauf indication contraire, les frais dus à BugSecure s'entendent hors taxes applicables (notamment la TVA).
La plateforme, ses logiciels, marques et contenus appartiennent à KLDS ou à ses concédants. « BugSecure Africa » et « Senintel » sont des marques de KLDS. Nous vous accordons une licence limitée, non exclusive et non transférable d'utilisation de la plateforme conformément à ces conditions. Vous conservez la propriété du contenu de vos rapports et nous accordez une licence limitée pour l'exploiter aux fins du service (évaluation, notification, conformité légale).
La plateforme est fournie « en l'état » et « selon disponibilité ». Dans les limites permises par la loi, nous excluons les garanties implicites de qualité marchande et d'adéquation à un usage particulier, ainsi que la disponibilité ininterrompue. Nous ne garantissons pas la conduite d'une organisation ou d'un chercheur.
Exception — nos déterminations : nous répondons, au titre d'une obligation de moyens, des déterminations que nous rendons nous-mêmes, ainsi que de l'exactitude du calcul et de la régularité de l'émission des certificats. Lorsque l'organisation a évalué un rapport, le certificat constate son évaluation ; nous n'en garantissons pas le bien-fondé.
Dans les limites permises par la loi, BugSecure n'est pas responsable des dommages indirects, spéciaux ou consécutifs. Notre responsabilité totale, tous fondements confondus, est limitée, envers une organisation, aux sommes qu'elle nous a versées au cours des douze mois précédant le fait générateur et, envers un chercheur, au montant de la récompense en cause, sans pouvoir être inférieure à 250 000 FCFA. Nous ne répondons pas du défaut de paiement d'une organisation, dont nous ne détenons pas les fonds.
Ces limitations ne s'appliquent pas en cas de dol ou de faute lourde de BugSecure ou de ses préposés, ni aux dommages causés à la personne (article 152 du Code des obligations civiles et commerciales).
Vous acceptez d'indemniser KLDS des réclamations de tiers résultant de votre violation de ces conditions ou de la loi, notamment de tests hors périmètre, d'un accès non autorisé, ou de la divulgation ou de l'utilisation abusive de données. Cette obligation ne couvre pas les réclamations résultant de notre propre faute.
Nous pouvons suspendre ou résilier un compte en cas de violation de ces conditions, de fraude, de menace pour la sécurité, ou d'obligation légale. Vous pouvez résilier votre compte à tout moment ; les certificats déjà émis et les obligations légales de conservation subsistent. Les clauses de responsabilité, d'indemnisation et de droit applicable survivent à la résiliation.
Ces conditions sont régies par le droit de la République du Sénégal. Tout litige relève de la compétence exclusive des tribunaux de Dakar, sans préjudice des règles impératives de protection du consommateur. La version française fait foi.
Si une stipulation des présentes conditions est jugée invalide ou inapplicable, les autres stipulations demeurent pleinement en vigueur, et la stipulation concernée est appliquée dans la mesure maximale permise par la loi. Ces conditions et la Politique de confidentialité constituent l'intégralité de l'accord entre vous et KLDS concernant la plateforme.
Nous pouvons modifier ces conditions. Chaque nouvelle version vous est présentée et ne vous engage qu'une fois acceptée expressément ; jusque-là, la version que vous avez acceptée continue de s'appliquer. Un chercheur accepte la nouvelle version avant de poursuivre l'utilisation de la plateforme ; une organisation l'accepte lorsqu'elle publie ou modifie un programme. Les certificats déjà émis demeurent valables et vérifiables par leur lien public, que la nouvelle version soit acceptée ou non. Chaque version et chaque acceptation sont conservées dix ans (loi n° 2008-08, article 37).
BugSecure Africa — KLDS. Pour toute question relative à ces conditions : admin@senintel.sn — bugsecure.senintel.sn.