1. Anbieterin

2. Gegenstand dieser Website

omegastack.io ist eine reine Übersichtsseite. Sie stellt die Produkte des Omega Stack vor und verlinkt auf deren jeweilige Websites. Über diese Seite werden keine Verträge geschlossen, keine Konten eröffnet und keine Zahlungen abgewickelt.

3. Verantwortlich für den Inhalt

Dennis Poschner, C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Schweiz. Anfragen an info@cundw.io.

4. Verlinkte Angebote

Diese Website verweist auf eigene Produktseiten sowie auf Websites Dritter. Für Inhalte verlinkter Seiten ist jeweils deren Betreiberin verantwortlich. Zum Zeitpunkt der Verlinkung waren keine Rechtsverstösse erkennbar; eine laufende inhaltliche Kontrolle fremder Seiten findet ohne konkreten Anlass nicht statt.

5. Urheberrecht

Texte, Grafiken und Gestaltung dieser Website sind urheberrechtlich geschützt. Eine Nutzung ausserhalb der gesetzlich erlaubten Fälle bedarf der vorherigen schriftlichen Zustimmung der C&W Software Labs AG.

6. Aufsicht und Streitbeilegung

Die Bereitstellung dieser Übersichtsseite unterliegt keiner besonderen behördlichen Zulassungspflicht. Die C&W Software Labs AG nimmt nicht an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teil und ist dazu nicht verpflichtet.

1. Provider

2. Purpose of this website

omegastack.io is a directory page. It introduces the products of the Omega Stack and links to their respective websites. No contracts are concluded, no accounts opened and no payments processed through this site.

3. Responsible for the content

Dennis Poschner, C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Switzerland. Enquiries to info@cundw.io.

4. Linked offerings

This website links to our own product pages and to third-party websites. The operator of each linked site is responsible for its content. No legal violations were apparent at the time of linking; third-party sites are not monitored continuously without specific cause.

5. Copyright

The text, graphics and design of this website are protected by copyright. Any use beyond the cases permitted by law requires the prior written consent of C&W Software Labs AG.

6. Supervision and dispute resolution

Operating this directory page is not subject to any specific licensing requirement. C&W Software Labs AG does not participate in consumer dispute resolution proceedings and is not obliged to do so.

1. Verantwortliche Stelle

2. Was beim Aufruf passiert

Beim Aufruf der Seite werden die Dateien direkt von unserem Server ausgeliefert. Es werden keine Schriften, Symbole, Karten, Videos oder Skripte von fremden Servern nachgeladen. Deine IP-Adresse gelangt dadurch an keinen Dritten.

3. Server-Protokolle

Unser Webserver protokolliert Zugriffe, um den Betrieb sicherzustellen und Angriffe zu erkennen. Erfasst werden Datum und Uhrzeit, die angefragte Datei, der HTTP-Status, die übertragene Datenmenge, die verweisende Seite sowie Browser- und Betriebssystemkennung. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach spätestens 14 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

4. Speicherung auf deinem Gerät

Diese Website setzt keine Cookies. Sie kann drei Einträge im lokalen Speicher deines Browsers ablegen:

Diese Werte verlassen dein Gerät nicht und dienen keiner Wiedererkennung. Du kannst sie jederzeit über „Cookie-Einstellungen“ im Menü löschen. Rechtsgrundlage für die optionalen Einträge ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), für den notwendigen Eintrag § 25 Abs. 2 Nr. 2 TDDDG.

5. Hosting

Die Website läuft auf einem von uns betriebenen Server bei der DigitalOcean, LLC. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag. Näheres zum Serverstandort und zu den Garantien für Datenübermittlungen erhältst du auf Anfrage.

6. Weitergabe an Dritte

Eine Übermittlung deiner Daten an Dritte findet nicht statt. Es gibt keine Analyse-, Werbe- oder Social-Media-Dienste auf dieser Seite. Wenn du einem Link zu einem unserer Produkte oder zu einer fremden Seite folgst, gilt dort die jeweilige Datenschutzerklärung.

7. Deine Rechte

Dir stehen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dazu an info@cundw.io. Du kannst dich ausserdem bei einer Aufsichtsbehörde beschweren; in der Schweiz beim EDÖB.

8. Änderungen

Wir passen diese Erklärung an, wenn sich die Website ändert. Massgeblich ist die auf dieser Seite veröffentlichte Fassung; Stand und Fassungsnummer stehen oben.

1. Controller

2. What happens when you open the page

All files are served directly from our own server. No fonts, icons, maps, videos or scripts are loaded from third-party servers. Your IP address therefore never reaches a third party.

3. Server logs

Our web server logs requests in order to keep the service running and to detect attacks. Recorded are date and time, the requested file, the HTTP status, the amount of data transferred, the referring page and the browser and operating system identifiers. The legal basis is our legitimate interest in secure operation (Art. 6(1)(f) GDPR). Logs are deleted after 14 days at the latest and are not combined with other data.

4. Storage on your device

This website sets no cookies. It may place three entries in your browser’s local storage:

These values never leave your device and are not used to recognise you. You can clear them at any time via “Cookie settings” in the menu. The legal basis for the optional entries is your consent (Section 25(1) TDDDG, Art. 6(1)(a) GDPR); for the necessary entry it is Section 25(2) no. 2 TDDDG.

5. Hosting

The website runs on a server operated by us at DigitalOcean, LLC. A data processing agreement is in place with the provider. Details on the server location and on the safeguards for data transfers are available on request.

6. Disclosure to third parties

Your data is not passed on to third parties. There are no analytics, advertising or social media services on this site. If you follow a link to one of our products or to an external site, that site’s own privacy policy applies.

7. Your rights

You have the right of access, rectification, erasure, restriction of processing, data portability and objection. You may withdraw consent at any time with effect for the future. Please write to info@cundw.io. You may also lodge a complaint with a supervisory authority; in Switzerland with the FDPIC.

8. Changes

We update this policy when the website changes. The version published on this page applies; the date and version number are stated above.

1. Geltungsbereich

Diese Bedingungen regeln die Nutzung der Website omegastack.io. Sie begründen kein Dauerschuldverhältnis und keinen Anspruch auf Verfügbarkeit. Nutzt du ein verlinktes Produkt, gelten dafür ausschliesslich dessen eigene Vertragsdokumente.

2. Inhalt der Website

Die Angaben auf dieser Seite dienen der Produktübersicht. Sie werden mit Sorgfalt erstellt, können aber unvollständig oder überholt sein. Ein Anspruch auf Richtigkeit, Vollständigkeit oder Aktualität besteht nicht.

3. Verfügbarkeit

Wir bemühen uns um einen störungsfreien Betrieb, schulden ihn aber nicht. Wartung, Störungen oder Einstellung des Angebots können jederzeit und ohne Ankündigung zu Unterbrechungen führen.

4. Verlinkte Angebote Dritter

Verweise auf fremde Websites sind blosse Zugangsvermittlung. Wir machen uns deren Inhalte nicht zu eigen und übernehmen dafür keine Haftung.

5. Schutzrechte

Alle Rechte an Texten, Grafiken, Namen und Kennzeichen dieser Website liegen bei der C&W Software Labs AG oder den jeweiligen Rechteinhabern. Erlaubt sind das Aufrufen, Anzeigen und das Anfertigen einzelner Kopien zum persönlichen Gebrauch. Jede weitere Nutzung, insbesondere Vervielfältigung, Bearbeitung oder öffentliche Zugänglichmachung, bedarf unserer vorherigen schriftlichen Zustimmung.

6. Haftung

Wir haften unbeschränkt bei Vorsatz und grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit. Im Übrigen haften wir nur bei Verletzung einer wesentlichen Vertragspflicht und beschränkt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden. Eine weitergehende Haftung, insbesondere für entgangenen Gewinn oder Verluste aus Kryptowerten, ist ausgeschlossen. Zwingende gesetzliche Haftung bleibt unberührt.

7. Untersagte Nutzung

Untersagt sind automatisierte Massenabrufe, die den Betrieb beeinträchtigen, das Umgehen von Sicherheitsvorkehrungen sowie jede Nutzung, die Rechte Dritter oder geltendes Recht verletzt.

8. Anwendbares Recht und Gerichtsstand

Es gilt schweizerisches Recht unter Ausschluss des UN-Kaufrechts und der Kollisionsnormen. Gerichtsstand ist Zug, Schweiz. Zwingende Verbrauchergerichtsstände am Wohnsitz bleiben unberührt.

9. Änderungen

Wir können diese Bedingungen anpassen. Massgeblich ist die beim Aufruf veröffentlichte Fassung.

1. Scope

These terms govern the use of the website omegastack.io. They create no continuing obligation and no entitlement to availability. If you use a linked product, only that product’s own contractual documents apply to it.

2. Content of the website

The information on this site serves as a product overview. It is compiled with care but may be incomplete or out of date. There is no entitlement to accuracy, completeness or currency.

3. Availability

We aim for uninterrupted operation but do not owe it. Maintenance, faults or discontinuation of the service may cause interruptions at any time without notice.

4. Third-party links

References to external websites merely provide access. We do not adopt their content as our own and accept no liability for it.

5. Intellectual property

All rights to the text, graphics, names and marks on this website belong to C&W Software Labs AG or the respective rights holders. Viewing, displaying and making individual copies for personal use are permitted. Any further use — in particular reproduction, modification or making available to the public — requires our prior written consent.

6. Liability

We are liable without limitation for intent and gross negligence and for injury to life, body or health. Otherwise we are liable only for breach of a material contractual duty and limited to the damage typical for such a contract and foreseeable at the time it was concluded. Any further liability, in particular for lost profits or losses in crypto assets, is excluded. Mandatory statutory liability remains unaffected.

7. Prohibited use

Automated bulk retrieval that impairs operation, circumvention of security measures and any use that infringes third-party rights or applicable law are prohibited.

8. Governing law and jurisdiction

Swiss law applies, excluding the CISG and conflict-of-law rules. The place of jurisdiction is Zug, Switzerland. Mandatory consumer jurisdictions at the place of residence remain unaffected.

9. Changes

We may amend these terms. The version published at the time of access applies.

1. Anbieterin und Geltungsbereich

Diese Bedingungen regeln die Teilnahme am Omega Stack Bug Bounty Programm der C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Schweiz (nachfolgend „Betreiberin“).

Das Programm gilt produktübergreifend für die Werkzeuge des Omega Stack. Es dient der verantwortungsvollen Offenlegung von Sicherheitslücken, der Meldung technischer Fehler und der Einreichung von Verbesserungsvorschlägen. Es gilt für sämtliche Einreichungen, unabhängig vom Weg — Formular, E-Mail, Support oder Direktnachricht.

2. Verhältnis zu den übrigen Bedingungen

Ergänzend gelten die Nutzungsbedingungen und die Datenschutzerklärung des jeweiligen Produkts. Bei Widersprüchen gehen diese Bedingungen für die Programmteilnahme vor. Die Nutzung der Produkte ausserhalb des Programms bleibt den jeweiligen Nutzungsbedingungen unterstellt.

Diese Bedingungen gewähren keine weitergehenden Zugriffs- oder Angriffsrechte als ausdrücklich erlaubt.

3. Begriffe

Teilnehmende — Personen oder Unternehmen, die eine Meldung einreichen. Report — Meldung zu einer Sicherheitslücke oder einem technischen Fehler. Sicherheitslücke — reproduzierbarer, praktisch ausnutzbarer Umstand, der Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung, Verschlüsselung oder die Sicherheit von Schlüsseln beeinträchtigen kann. Verbesserungsvorschlag — Funktions-, Gestaltungs- oder Dokumentationsidee ohne konkrete Schwachstelle. Scope — die von der Betreiberin als Gegenstand des Programms bezeichneten Systeme.

4. Wer teilnehmen darf

Teilnahmeberechtigt ist jede geschäftsfähige natürliche oder juristische Person, die nicht auf Sanktionslisten geführt wird und nicht gegen anwendbares Recht verstösst.

Nicht teilnahmeberechtigt sind Personen, die in den letzten zwölf Monaten bei der Betreiberin beschäftigt oder beauftragt waren oder Zugang zu nicht öffentlichem Quellcode, Architekturdetails oder internen Systemen hatten.

5. Programmumfang

Zum Umfang gehören die Werkzeuge des Omega Stack und die von der Betreiberin betriebenen Websites und Dienste, insbesondere:

• Omega Wallet — App für iOS und Android, Schlüsselerzeugung und -ableitung, Signaturlogik, Wiederherstellung;
• Omega Connect — App, PGP-Verschlüsselung, Schlüsselableitung, eingebaute Wallet, Authentifizierung und Session-Verwaltung;
• OMDP-39 — das Verfahren zur Aufteilung und Wiederherstellung sowie seine Umsetzungen;
• Omega Seed und die Hardware Wallet, soweit Software oder Verfahren betroffen sind;
• Omega Pay, sobald es verfügbar ist;
• die Websites omegastack.io, wallet.omegastack.io, omegaconnect.app, omegaseed.io, omdp39.io und die zugehörigen Meldeformulare;
• APIs und Backend-Dienste unter der Kontrolle der Betreiberin.

Die Betreiberin kann den Umfang jederzeit erweitern oder einschränken.

6. Was ausdrücklich nicht erlaubt ist

Untersagt sind insbesondere:

• Angriffe gegen Drittanbieter, Hosting-Provider, App-Stores, Blockchains, Browser oder Betriebssysteme;
• Social Engineering, Phishing und jede Manipulation von Mitarbeitenden oder Nutzenden;
• DoS, DDoS, Stress-Tests und das Umgehen von Ratenbegrenzungen ohne schriftliche Genehmigung;
• Brute-Force, Credential Stuffing und automatisiertes Anlegen von Konten;
• Auslesen, Kopieren, Verändern oder Offenlegen fremder Daten, Schlüssel oder Tokens;
• Einbringen von Schadsoftware jeder Art;
• Angriffe auf echte Kryptowerte, fremde Wallets oder Blockchain-Operationen;
• Reverse Engineering über das gesetzlich erlaubte Mass hinaus;
• öffentliche Offenlegung oder Verkauf von Schwachstelleninformationen ohne Freigabe.

7. Verhaltensregeln

Teilnehmende handeln in gutem Glauben, verhältnismässig, datensparsam und nicht zerstörerisch. Insbesondere gilt: ausschliesslich eigene Konten, Testdaten, Geräte und Wallets verwenden; Tests bei unbeabsichtigtem Zugriff auf fremde Daten sofort abbrechen; unbeabsichtigt erhaltene Daten weder speichern noch kopieren; eine Schwachstelle nicht über den notwendigen Nachweis hinaus ausnutzen; keinen wirtschaftlichen Vorteil daraus ziehen; keine Forderungen, Drohungen oder Erpressungsversuche; die Betreiberin unverzüglich informieren.

8. Einreichung

Meldungen werden über das Formular des betroffenen Produkts eingereicht, hilfsweise per E-Mail an info@cundw.io. Eine Meldung soll das betroffene Produkt, eine nachvollziehbare Beschreibung, die Schritte zur Reproduktion und die Einschätzung der Auswirkung enthalten. Screenshots und Protokolle sind vor der Einreichung zu anonymisieren.

9. Prüfung und Entscheidung

Die Betreiberin prüft nach eigenem Ermessen. Eine Prüfungs-, Behebungs- oder Reaktionsfrist wird nicht geschuldet. Bei mehreren Meldungen zum selben Sachverhalt wird grundsätzlich nur die nachweislich erste vollständige Einreichung berücksichtigt.

Duplikate, bereits bekannte Probleme, nicht reproduzierbare Meldungen, rein theoretische Risiken und Einreichungen ausserhalb des Umfangs können ohne Vergütung abgelehnt werden.

10. Vergütung

Vergütungen sind freiwillige Leistungen. Der folgende Rahmen ist eine unverbindliche Orientierung und gilt für alle Produkte gleichermassen:

Die tatsächliche Vergütung kann niedriger, höher oder null betragen.

11. Verbesserungsvorschläge

Für jeden qualifizierten Verbesserungsvorschlag, den die Betreiberin tatsächlich umsetzt und als vergütungsfähig anerkennt, erhält die nachweislich erstmeldende Person einmalig USD 30 — nach Wahl der Betreiberin als USD 30, als 30 USDC (ERC-20) oder wirtschaftlich gleichwertig.

Qualifiziert ist ein Vorschlag nur, wenn er kumulativ: originär von der einreichenden Person stammt; hinreichend konkret und umsetzungsnah beschrieben ist (allgemeine Wünsche, vage Kritik oder blosse Funktionsnamen genügen nicht); der Betreiberin nicht bereits bekannt, intern geplant, in Entwicklung, von Dritten vorgeschlagen oder branchenüblich war; keine blosse gesetzliche Anforderung oder triviale Anpassung darstellt; nicht auf vertraulichen Informationen oder Rechten Dritter beruht; ganz oder in wesentlichen Teilen übernommen wird; und von der Betreiberin ausdrücklich als umgesetzt und vergütungsfähig bestätigt wird.

Prüfung und Umsetzung können bis zu zwölf Monate ab Eingang beanspruchen. Zwischenberichte werden nicht geschuldet. Ein Anspruch entsteht erst mit der ausdrücklichen schriftlichen Bestätigung.

12. Rechte an der Einreichung

Mit der Einreichung überträgt die teilnehmende Person der Betreiberin sämtliche Rechte an der Einreichung — räumlich, zeitlich und inhaltlich unbeschränkt, exklusiv, unwiderruflich, unterlizenzierbar und vergütungsfrei. Die Betreiberin darf Einreichungen ohne Namensnennung, mit Änderungen oder in abgewandelter Form verwenden. Die teilnehmende Person versichert, dazu berechtigt zu sein und keine Rechte Dritter zu verletzen.

13. Vertraulichkeit

Teilnehmende behandeln sämtliche nicht öffentlichen Informationen streng vertraulich — insbesondere Schwachstellen, Nachweise, geplante Behebungen und nicht veröffentlichte Funktionen. Eine Veröffentlichung ist nur mit vorheriger schriftlicher Freigabe zulässig. Die Mindestfrist beträgt 90 Tage ab Eingang der Meldung.

14. Personenbezogene Daten

Teilnehmende dürfen personenbezogene Daten, Kommunikationsinhalte, Wallet-Daten oder Schlüsselmaterial Dritter nicht erheben, speichern, kopieren oder weitergeben. Bei unbeabsichtigtem Kontakt ist der Test sofort abzubrechen und die Betreiberin zu informieren. Meldungen sollen personenbezogene Daten nur enthalten, soweit zwingend erforderlich.

15. Safe Harbor

Gegen Teilnehmende, die sämtliche Bedingungen einhalten, ausschliesslich in gutem Glauben handeln, im Umfang bleiben und keine Schäden verursachen, beabsichtigt die Betreiberin keine zivilrechtlichen Ansprüche geltend zu machen.

Das gilt nicht für Handlungen ausserhalb des Umfangs, rechtswidrige Handlungen, Datenschutzverstösse, Erpressung, Offenlegung ohne Freigabe, DoS oder Datenabfluss. Strafverfolgungsbehörden, Gerichte, Aufsichtsbehörden und Dritte werden davon nicht gebunden.

16. Auszahlung

Auszahlungen erfolgen nur nach ausdrücklicher Bestätigung. Die Betreiberin kann Identitäts-, Sanktions- und Compliance-Prüfungen durchführen. Auszahlungen in USDC gehen an eine angegebene Wallet-Adresse; Blockchain-Transaktionen sind endgültig, Fehlüberweisungen gehen zulasten der teilnehmenden Person. Die Betreiberin kann USDC (ERC-20), USD, CHF oder einen anderen Weg wählen. Werden erforderliche Angaben nicht innerhalb von 90 Tagen bereitgestellt, kann der Anspruch als verfallen behandelt werden.

17. Steuern

Teilnehmende sind allein verantwortlich für die steuerliche Behandlung und die Abführung aller Steuern und Abgaben. Die Betreiberin leistet keine Steuerberatung.

18. Ausschluss und Verfall

Verstösse können zum sofortigen Ausschluss, zur Ablehnung aller Einreichungen und zum Verfall ausstehender Vergütungen führen — insbesondere Tests ausserhalb des Umfangs, Zugriff auf fremde Daten oder Systeme, Erpressung oder Fristsetzung, Offenlegung ohne Freigabe, falsche oder plagiierte Einreichungen, Mehrfacheinreichungen unter verschiedenen Identitäten und falsche Identitäts- oder Zahlungsangaben. Bereits ausgezahlte Vergütungen können bei nachträglich bekannt gewordenen Verstössen zurückgefordert werden.

19. Haftung

Die Teilnahme erfolgt auf eigenes Risiko; das Programm wird ohne Zusicherung bereitgestellt. Die Haftung für leichte Fahrlässigkeit, mittelbare Schäden, Folgeschäden, Datenverlust, Verluste von Kryptowerten und Fehler Dritter ist ausgeschlossen. Eine allfällige Haftung ist auf den Betrag der bestätigten Vergütung beschränkt, ohne Bestätigung auf höchstens USD 100. Teilnehmende stellen die Betreiberin von Ansprüchen Dritter frei, die aus ihren Einreichungen oder Verstössen entstehen.

20. Änderungen

Die Betreiberin kann das Programm, den Umfang, den Vergütungsrahmen und diese Bedingungen jederzeit ändern, aussetzen oder beenden. Für bereits bestätigte, aber noch nicht ausgezahlte Vergütungen gelten die Bedingungen zum Zeitpunkt der Bestätigung.

21. Recht und Gerichtsstand

Es gilt ausschliesslich schweizerisches Recht unter Ausschluss des UN-Kaufrechts und kollisionsrechtlicher Verweisungsnormen. Ausschliesslicher Gerichtsstand ist Zug, Schweiz; zwingende Konsumentengerichtsstände bleiben vorbehalten.

22. Schlussbestimmungen

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Rechte und Pflichten dürfen ohne Zustimmung der Betreiberin nicht übertragen werden. Bestimmungen, die ihrer Natur nach fortgelten — insbesondere Rechteübertragung, Vertraulichkeit, Datenschutz, Haftung, Freistellung, Recht und Gerichtsstand — bleiben über das Ende der Teilnahme hinaus bestehen.

Verbindlich ist ausschliesslich die deutsche Fassung.

1. Provider and scope

These terms govern participation in the Omega Stack Bug Bounty Programme of C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Switzerland (the „operator“).

The programme applies across the tools of the Omega Stack. It exists for the responsible disclosure of security vulnerabilities, the reporting of technical faults and the submission of improvement suggestions. It applies to every submission, whatever the route — form, email, support or direct message.

2. Relationship to the other terms

The terms of use and the privacy policy of the respective product apply in addition. In case of conflict, these terms prevail for programme participation. Use of the products outside the programme remains subject to their own terms of use.

These terms grant no access or attack rights beyond what is expressly permitted.

3. Definitions

Participants — persons or companies submitting a report. Report — notice of a security vulnerability or technical fault. Vulnerability — a reproducible, practically exploitable condition capable of affecting confidentiality, integrity, availability, authentication, encryption or the security of keys. Improvement suggestion — an idea for functionality, design or documentation without a concrete vulnerability. Scope — the systems designated by the operator as subject of the programme.

4. Who may take part

Any natural or legal person with legal capacity who is not on a sanctions list and does not act contrary to applicable law.

Not eligible are persons who, within the last twelve months, were employed or engaged by the operator or had access to non-public source code, architecture details or internal systems.

5. Programme scope

The scope covers the tools of the Omega Stack and the websites and services operated by the operator, in particular:

• Omega Wallet — the iOS and Android app, key generation and derivation, signing logic, recovery;
• Omega Connect — the app, PGP encryption, key derivation, built-in wallet, authentication and session handling;
• OMDP-39 — the splitting and recovery procedure and its implementations;
• Omega Seed and the hardware wallet, in so far as software or procedures are concerned;
• Omega Pay, once available;
• the websites omegastack.io, wallet.omegastack.io, omegaconnect.app, omegaseed.io, omdp39.io and the associated report forms;
• APIs and backend services under the operator’s control.

The operator may extend or narrow the scope at any time.

6. What is expressly not permitted

Prohibited in particular are:

• attacks against third parties, hosting providers, app stores, blockchains, browsers or operating systems;
• social engineering, phishing and any manipulation of staff or users;
• DoS, DDoS, stress testing and circumventing rate limits without written permission;
• brute force, credential stuffing and automated account creation;
• extracting, copying, altering or disclosing other people’s data, keys or tokens;
• introducing malicious software of any kind;
• attacks on real crypto holdings, other people’s wallets or blockchain operations;
• reverse engineering beyond what the law permits;
• public disclosure or sale of vulnerability information without release.

7. Rules of conduct

Participants act in good faith, proportionately, with data minimisation and without causing destruction. In particular: use only your own accounts, test data, devices and wallets; stop testing immediately upon unintended access to other people’s data; neither store nor copy data received unintentionally; do not exploit a vulnerability beyond the necessary proof; draw no economic advantage from it; make no demands, threats or extortion attempts; inform the operator without delay.

8. Submission

Reports are submitted through the form of the affected product, or alternatively by email to info@cundw.io. A report should state the affected product, a comprehensible description, the steps to reproduce and an assessment of the impact. Screenshots and logs are to be anonymised before submission.

9. Review and decision

The operator reviews at its own discretion. No review, remediation or response deadline is owed. Where several reports concern the same matter, only the demonstrably first complete submission is generally considered.

Duplicates, already known issues, non-reproducible reports, purely theoretical risks and submissions outside the scope may be rejected without payment.

10. Payment

Payments are voluntary. The following framework is non-binding guidance and applies equally to all products:

The actual payment may be lower, higher or nil.

11. Improvement suggestions

For every qualified improvement suggestion the operator actually implements and recognises as eligible, the demonstrably first reporting person receives a one-off USD 30 — at the operator’s choice as USD 30, as 30 USDC (ERC-20) or an economically equivalent amount.

A suggestion qualifies only if, cumulatively, it: originates from the submitting person; is described concretely and close enough to implementation (general wishes, vague criticism or mere feature names do not suffice); was not already known to the operator, internally planned, in development, suggested by third parties or common in the industry; is not a mere legal requirement or trivial adjustment; does not rest on confidential information or third-party rights; is adopted in whole or in substantial part; and is expressly confirmed by the operator as implemented and eligible.

Review and implementation may take up to twelve months from receipt. No interim reports are owed. An entitlement arises only upon express written confirmation.

12. Rights in the submission

On submission, the participant transfers to the operator all rights in the submission — unrestricted in territory, time and content, exclusive, irrevocable, sublicensable and without payment. The operator may use submissions without attribution, with changes or in modified form. The participant warrants being entitled to do so and not to infringe third-party rights.

13. Confidentiality

Participants treat all non-public information as strictly confidential — in particular vulnerabilities, proofs of concept, planned fixes and unreleased features. Publication requires prior written release. The minimum period is 90 days from receipt of the report.

14. Personal data

Participants may not collect, store, copy or pass on personal data, communication content, wallet data or key material belonging to others. On unintended contact, testing must stop immediately and the operator must be informed. Reports should contain personal data only where strictly necessary.

15. Safe harbour

Against participants who observe all conditions, act exclusively in good faith, stay within scope and cause no damage, the operator does not intend to assert civil claims.

This does not apply to acts outside the scope, unlawful acts, data protection breaches, extortion, disclosure without release, DoS or data exfiltration. Law enforcement authorities, courts, regulators and third parties are not bound by it.

16. Payout

Payouts are made only after express confirmation. The operator may carry out identity, sanctions and compliance checks. Payouts in USDC go to a wallet address provided by the participant; blockchain transactions are final and misdirected transfers are at the participant’s expense. The operator may choose USDC (ERC-20), USD, CHF or another route. If required information is not provided within 90 days, the claim may be treated as lapsed.

17. Taxes

Participants are solely responsible for the tax treatment and payment of all taxes and duties. The operator gives no tax advice.

18. Exclusion and forfeiture

Breaches may lead to immediate exclusion, rejection of all submissions and forfeiture of outstanding payments — in particular testing outside the scope, access to other people’s data or systems, extortion or the setting of deadlines, disclosure without release, false or plagiarised submissions, multiple submissions under different identities and false identity or payment details. Payments already made may be reclaimed where breaches become known afterwards.

19. Liability

Participation is at your own risk; the programme is provided without warranty. Liability for slight negligence, indirect damage, consequential damage, data loss, losses of crypto holdings and third-party faults is excluded. Any liability is limited to the amount of the confirmed payment, and without confirmation to a maximum of USD 100. Participants indemnify the operator against third-party claims arising from their submissions or breaches.

20. Changes

The operator may change, suspend or end the programme, the scope, the payment framework and these terms at any time. For payments already confirmed but not yet paid out, the terms at the time of confirmation apply.

21. Governing law and jurisdiction

Swiss law applies exclusively, excluding the CISG and conflict-of-law rules. The exclusive place of jurisdiction is Zug, Switzerland; mandatory consumer venues remain reserved.

22. Final provisions

Should individual provisions be invalid, the remainder stays effective. Rights and obligations may not be transferred without the operator’s consent. Provisions which by their nature continue — in particular transfer of rights, confidentiality, data protection, liability, indemnity, governing law and jurisdiction — survive the end of participation.

Only the German version is binding.