Предполагается, что принявшая правила компания добавит текст в стандартный Договор о предоставлении услуг, с указанием времени оглашения уязвимости (по умолчанию, 90 дней), почтового адреса для сообщений о багах, PGP-ключа, обещания не преследовать исследователей в судебном порядке.