אנשי סייבר ואבטחת מידע רבים משתתפים בתוכניות Bug Bounty לצד עבודתם כשכירים.
לעיתים מדובר בדיווח מקרי על חולשה שהתגלתה במהלך מחקר עצמאי, ולעיתים בפעילות שיטתית הכוללת איתור פרצות, כתיבת דוחות, עבודה מול כמה תוכניות וקבלת תגמולים מחברות בחו"ל.
ברגע שמתקבל תשלום, עולה שאלה חשובה: האם מדובר ב"פרס" חד-פעמי שאפשר פשוט להכניס לחשבון, או בהכנסה המחייבת פתיחת עסק, הפקת מסמך חשבונאי ודיווח לרשויות המס?
גם אם קוראים לתשלום "פרס", מבחינת המס זו הכנסה
המונח Bug Bounty מתורגם לעיתים כ"פרס על איתור פרצה", אך השם שנתנה החברה לתשלום אינו בהכרח קובע את הסיווג המיסויי שלו.
בפועל, החוקר השקיע ידע מקצועי, זמן ומומחיות, איתר חולשה, תיעד אותה והעביר לחברה דיווח שבגינו התקבלה תמורה. במקרים רבים, המאפיינים האלה דומים יותר להכנסה ממתן שירות מקצועי מאשר לזכייה מקרית שאינה קשורה לעבודה שבוצעה.
פקודת מס הכנסה כוללת במסגרת הכנסה מעסק או ממשלח יד גם רווח מעסקה או מעסק אקראי בעלי אופי מסחרי. לכן, גם תשלום שהתקבל פעם אחת אינו הופך אוטומטית להכנסה שאינה חייבת בדיווח. צריך לבחון כיצד נוצר התשלום, האם הייתה פעילות יזומה, מה היקף העבודה שנעשתה והאם קיימת כוונה להמשיך להשתתף בתוכניות נוספות.
האם דיווח חד-פעמי מחייב פתיחת תיקים ברשויות המס?
נניח ששכיר בתחום הסייבר נתקל פעם אחת בחולשה, העביר דיווח לחברה וקיבל תגמול, ללא פעילות קודמת וללא כוונה ממשית להמשיך בכך.
במקרה המתאים, ניתן לבחון האם מדובר בעסקת אקראי בעלת אופי מסחרי. רשות המסים מפעילה מסלול דיווח ייעודי למי שמוכרים או נותנים שירות באופן אקראי, כאשר לעסקה יש אופי מסחרי. לפי הסברי הרשות, עסקת אקראי אינה מחייבת ניהול ספרים כמו פעילות קבועה ועקבית.
עם זאת, לא כל תשלום יחיד הוא בהכרח עסקת אקראי. כאשר אותו אדם נרשם מראש למספר תוכניות, מקדיש שעות קבועות לאיתור חולשות, משתמש בכלים מקצועיים, שולח דיווחים רבים או מצפה לקבל תגמולים נוספים, התמונה כבר עשויה להצביע על פעילות עסקית.
לכן, לא נכון לבחור במסלול של עסקת אקראי רק משום שעד כה התקבל תשלום אחד; צריך לבחון את אופן הפעילות ואת התכנון להמשך.
מתי פעילות Bug Bounty כבר נחשבת לעסק?
ככל שהפעילות חוזרת על עצמה, נעשית באופן מתוכנן ומבוססת על מומחיות מקצועית, כך מתחזק הצורך לפתוח תיקים מתאימים. מי שפועל דרך כמה פלטפורמות, מבצע מחקרים באופן שיטתי, שולח דיווחים בתדירות מסוימת ומייצר הכנסות לאורך השנה, איננו רק שכיר שקיבל פרס מקרי. מדובר בפעילות עצמאית שצריך לנהל בנפרד מן המשכורת.
במצב כזה יש לבחון פתיחת תיק במס הכנסה, במע"מ ובביטוח הלאומי, בהתאם למאפייני הפעילות. הדין מחייב חייב במס להירשם לא יאוחר מהמועד שבו החל בפעילותו, ולכן לא כדאי להמתין עד שכמה תשלומים כבר התקבלו או עד שהחברה הזרה מבקשת חשבונית. רשות המסים מאפשרת פתיחת תיק עוסק, ובחלק מן המקרים ניתן לבצע את הרישום גם מול הביטוח הלאומי במסגרת תהליך דיגיטלי משולב.
באיזה סיווג יש לבחור לפתיחת התיק ברשויות המס?
גם לאחר שמבינים שצריך לפתוח פעילות, עדיין נותרת השאלה באיזה מבנה.
לא נכון להניח שכל חוקר Bug Bounty יכול להירשם אוטומטית כעוסק פטור, ולרוב אין סיווג זה רלוונטי כלל וכלל בשל גובה ההכנסות הקיים.
כאשר מדובר בשכיר שמתחיל לקבל תגמולים בהיקף מוגבל, ייתכן שפעילות כיחיד, דוגמת עוסק מורשה, תהיה פשוטה ונכונה יותר. כאשר ההכנסות גדלות, יש כמה מקורות תשלום, מתפתחת פעילות רחבה יותר וניתן להשאיר חלק מן הרווחים בתוך הפעילות, אפשר לבחון גם חברה בע"מ.
שימו לב: ההחלטה אינה מתקבלת רק לפי גובה התגמול הראשון, אלא לפי השכר הקיים, הצפי השנתי, ההוצאות, סכום הכסף הנדרש למחיה ותוכניות ההמשך (על כך דיברנו במאמר שכבר פורסם באתרנו).
כיצד מדווחים על תשלום מחברה או מפלטפורמה בחו"ל?
חלק ניכר מתוכניות ה-Bug Bounty מופעלות על ידי חברות זרות או באמצעות פלטפורמות שמתווכות בין החוקר לבין החברה שלה דווחה הפרצה. מבחינת הדיווח, חשוב להבין מי הזמין את השירות, מי אישר את התגמול ומי העביר את הכסף בפועל. יש מקרים שבהם החברה היא מקבלת השירות והפלטפורמה משמשת רק כגורם משלם, ובמקרים אחרים מבנה ההתקשרות מורכב יותר.
שירות שניתן לתושב חוץ עשוי, בתנאים מסוימים, להיות חייב במע"מ בשיעור אפס. עם זאת, שיעור אפס אינו חל אוטומטית רק משום שהכסף הגיע מחו"ל. יש לבדוק מיהו מקבל השירות בפועל, האם גם תושב ישראל נהנה ממנו ומה קובעים תנאי התוכנית וההתקשרות. הפסיקה מדגישה כי סעיף 30(א)(5) לחוק מע"מ כולל תנאים וחריגים, ולכן חשוב לשמור מסמכים שמוכיחים למי ניתן השירות ומה הייתה מהות ההתקשרות.
מה עושים כאשר התשלום מתקבל בדולרים או בקריפטו?
כאשר התגמול משולם בדולרים, באירו או במטבע זר אחר, ההכנסה עדיין צריכה להירשם ולדווח בשקלים בהתאם לכללים החשבונאיים והמיסויים הרלוונטיים. אין להסתפק בסכום שנכנס לחשבון הבנק לאחר ניכוי עמלות. צריך לתעד את סכום התגמול המקורי, מועד הזכאות או התקבול לפי שיטת הדיווח, העמלות שנוכו, שער ההמרה והסכום שהתקבל בפועל.
כאשר התשלום מתקבל בביטקוין, במטבע יציב או בנכס דיגיטלי אחר, קבלת הקריפטו היא התמורה עבור השירות ואינה דוחה את ההכרה בהכנסה עד למועד ההמרה לשקלים. רשות המסים קובעת כי בעסקת חליפין התמורה נקבעת לפי השווי ההוגן בשקלים; כאשר הקריפטו יימכר או יומר בהמשך, יש לבחון בנפרד את השינוי בערכו ממועד קבלתו. כלומר, עשויה להיות תחילה הכנסה עסקית עבור איתור הפרצה, ובהמשך רווח או הפסד הנובעים מהחזקת הנכס הדיגיטלי.
כמה מס ישלם שכיר בהייטק על הכנסות מ-Bug Bounty?
הכנסה מ-Bug Bounty אינה מתחילה במדרגת המס הראשונה רק משום שהיא מגיעה ממקור נפרד. כאשר מדובר בשכיר, ההכנסה מהפעילות העצמאית מצטרפת למשכורת ולהכנסות האחרות באותה שנת מס. שכיר שכבר מרוויח שכר גבוה עלול לגלות שהתגמולים הנוספים ממוסים בשיעור השולי המתאים להכנסתו הכוללת.
יש להביא בחשבון גם את הביטוח הלאומי ומס הבריאות. עובד שהוא גם שכיר וגם עצמאי משלם דמי ביטוח בהתייחס להכנסותיו משני המקורות, בכפוף לכללים ולתקרות הרלוונטיות. מכאן שלא נכון לחשב את הכדאיות לפי סכום הפרס פחות אחוז מס קבוע; צריך לבצע הערכה הכוללת את המשכורת, הרווח העסקי לאחר הוצאות, נקודות הזיכוי והמקדמות שכבר משולמות.
אילו מסמכים כדאי לשמור מכל דיווח על פרצה?
המסמך החשוב ביותר איננו רק אישור ההעברה לחשבון. מומלץ לשמור את תנאי תוכנית ה-Bug Bounty, מועד הגשת הדיווח, מספר הדוח או הכרטיס במערכת, תיאור כללי של החולשה שאינו מפר התחייבויות סודיות, הודעת אישור התגמול, פרטי החברה או הפלטפורמה, דוח התשלומים, העמלות ואישור כניסת הכסף. כאשר התשלום מתקבל במטבע זר או בקריפטו, חשוב לשמור גם את נתוני השער והשווי ששימשו לרישום.
התיעוד נועד לאפשר התאמה בין העבודה שנעשתה לבין ההכנסה שדווחה. הוא עשוי להיות חשוב גם במקרה שהפלטפורמה מציגה את התשלום בשם שונה, כאשר החברה מבקשת מסמכי מס, או כאשר הבנק מבקש להבין את מקור הכספים. ככל שהפעילות מתרחבת ועוברים בין כמה תוכניות ופלטפורמות, רישום מסודר בזמן אמת מונע מצב שבו בסוף השנה צריך לשחזר עשרות דיווחים והעברות.
אילו הוצאות עשויות להיות קשורות לפעילות?
פעילות Bug Bounty עשויה לכלול הוצאות על מחשבים, תוכנות, שירותי ענן, מעבדות בדיקה, סביבות וירטואליות, כלי סריקה, שרתים, קורסים מקצועיים ושירותים דיגיטליים נוספים. כאשר הוצאה משמשת לייצור ההכנסה ועומדת בדרישות הדין, ניתן לבחון את ההכרה בה לצורכי מס. עם זאת, לא כל מחשב או מנוי שנרכשו על ידי איש הייטק הופכים אוטומטית להוצאה מלאה של העסק.
כאשר אותו ציוד משמש גם את העבודה כשכיר, גם לצרכים אישיים וגם לפעילות העצמאית, נדרשת הפרדה סבירה ומגובה. בחלק מן המקרים ההוצאה תוכר באופן שוטף, ובאחרים היא עשויה להירשם כנכס ולהיות מוכרת באמצעות פחת. תכנון נכון של ההוצאות איננו ניסיון "להכניס הכול לעסק", אלא יצירת תמונה אמינה של הרווח שנוצר בפועל מפעילות איתור הפרצות.
קיבלתם כבר תגמול ולא פתחתם עסק?
לא נכון להתעלם מהתשלום או להמתין עד שיצטברו הכנסות נוספות. הצעד הראשון הוא לאסוף את התיעוד ולבחון מה בדיוק התרחש: האם זו הייתה פעולה חד-פעמית, האם כבר נשלחו דיווחים נוספים, מה גובה ההכנסה, מי שילם אותה ומה צפוי בהמשך. לאחר מכן ניתן לבדוק האם נכון לדווח כעסקת אקראי או לפתוח פעילות עסקית ולהסדיר את הדיווח באופן שוטף.
בשולקין פתרונות מיסוי אנו מלווים שכירים ואנשי סייבר שמקבלים הכנסות מתוכניות Bug Bounty, מלקוחות בחו"ל ומפעילויות טכנולוגיות נוספות. במסגרת הבדיקה אנו בוחנים את סיווג ההכנסה, מבנה הפעילות, המע"מ, הביטוח הלאומי, התשלומים במטבע זר או בקריפטו והאופן הנכון לתעד ולדווח את הפעילות. המטרה איננה לפתוח עסק בכל מחיר, אלא להסדיר את המצב בהתאם למהות הפעילות ולתכנן נכון לפני שהתגמול הבא כבר נכנס.
המידע במאמר הוא כללי בלבד ואינו מהווה ייעוץ מס, ייעוץ משפטי או ייעוץ חשבונאי פרטני. אופן הדיווח וסיווג הפעילות תלויים בנסיבותיו של כל מקרה, ולכן מומלץ לבצע בדיקה מקצועית לפני קבלת תשלומים נוספים או פתיחת תיק.
