Куда писать по поводу уязвимости на сайте без багбаунти?

Куда можно обратиться по этому поводу,

Можно написать администрации - контактные данные как правило указаны.

и можно ли вообще расчитывать на награду в этом случае?

Зависит от ситуации, найденных уязвимостей и текущего настроения владельца сервиса.
Я бы сказал что шансы следующие -
50% - вам просто не ответят, или отпишутся стандартной фразой
30%- вам скажут спасибо.
19%- вам резко ответят, и возможно начнут предъявлять претензии и угрожать судом.
1%- вам изъявят желание заплатить.