Condiciones de la comprobación gratuita de seguridad web

En las presentes Condiciones, los términos siguientes tienen el significado que se indica:

1. (a)«Operador»: Osaühing Ida Portal, número de registro 10970449, domicilio social: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, que presta sus servicios bajo el nombre Security Test Team;
2. (b)«Cliente»: la persona jurídica, o la persona física que actúa en el ejercicio de su actividad empresarial o profesional, que ha celebrado el Contrato con el Operador;
3. (c)«Sitio Web del Operador»: el sitio web securitytest.team;
4. (d)«Sitio Web del Cliente»: el sitio web indicado en la Autorización, dentro de los nombres de dominio enumerados en la Autorización;
5. (e)«Solicitud»: la petición de una Comprobación, enviada a través del formulario del Sitio Web del Operador o por correo electrónico;
6. (f)«Autorización»: el documento que el Operador redacta para un Sitio Web del Cliente a partir de una Solicitud, que se remite a las presentes Condiciones e indica el Cliente, el Sitio Web del Cliente, el periodo de la Comprobación, las direcciones de red desde las que se realiza la Comprobación y las personas de contacto de las partes, y con cuya firma el Cliente permite la Comprobación y acepta la oferta del Operador;
7. (g)«Comprobación»: el examen externo de la seguridad del Sitio Web del Cliente descrito en la sección 5;
8. (h)«Hallazgo»: una vulnerabilidad del Sitio Web del Cliente que un especialista del Operador ha confirmado;
9. (i)«Gravedad»: la valoración cualitativa de un Hallazgo conforme al Common Vulnerability Scoring System, versión 4.0: baja, media, alta o crítica;
10. (j)«Informe de Comprobación»: el informe sobre una Comprobación que no ha identificado ningún Hallazgo;
11. (k)«Notificación»: el documento que informa al Cliente de los Hallazgos y del Precio;
12. (l)«Informe de Hallazgos»: el informe que describe cada Hallazgo con el detalle necesario para reproducirlo y corregirlo;
13. (m)«Precio»: el precio del Informe de Hallazgos indicado en la Notificación;
14. (n)«Retest»: el examen de si se han corregido los Hallazgos descritos en el Informe de Hallazgos;
15. (o)«Contrato»: el contrato de Comprobación celebrado entre el Operador y el Cliente con arreglo a las presentes Condiciones.

Las presentes Condiciones son las condiciones generales con arreglo a las cuales el Operador celebra el Contrato. Pasan a formar parte del Contrato cuando el Cliente firma la Autorización, que se remite a ellas.

La descripción de la Comprobación en el Sitio Web del Operador, incluidas las presentes Condiciones, constituye una invitación a hacer ofertas. La oferta del Operador es la Autorización que envía a un solicitante concreto.

La Comprobación se ofrece a empresas y profesionales: a personas jurídicas y a personas físicas que actúan en el ejercicio de su actividad empresarial o profesional. El Operador no celebra el Contrato con consumidores. Al enviar la Solicitud y al firmar la Autorización, el Cliente confirma que actúa en el ejercicio de su actividad empresarial o profesional.

En virtud del Contrato, el Operador realiza la Comprobación de forma gratuita y entrega al Cliente el Informe de Comprobación o la Notificación, y el Cliente tiene el derecho, pero no la obligación, de comprar el Informe de Hallazgos por el Precio.

La primera Comprobación de un Sitio Web del Cliente es gratuita. Una nueva Comprobación del mismo Sitio Web del Cliente requiere el consentimiento del Operador.

Los servicios distintos de la Comprobación, el Informe de Hallazgos y el Retest se prestan en virtud de un contrato independiente.

La persona que desee que se compruebe un sitio web envía una Solicitud a través del formulario del Sitio Web del Operador o por correo electrónico a info@securitytest.team e indica el sitio web que se ha de comprobar. Antes de enviar el formulario, el solicitante puede revisar y corregir todos los datos introducidos; el formulario indica los datos que faltan o no son válidos.

El Operador examina la Solicitud y responde en el plazo de 1 día hábil. Si la Solicitud puede atenderse, el Operador envía la Autorización para su firma.

La Autorización la firma una persona facultada para representar al Cliente, de forma manuscrita o con una firma electrónica cualificada en el sentido del Reglamento (UE) n.º 910/2014, como la firma digital estonia realizada con la tarjeta de identidad, Mobile-ID o Smart-ID, o una firma realizada con una cartera europea de identidad digital. Las partes acuerdan que una firma realizada de cualquiera de estas formas cumple la forma que han pactado para el Contrato.

El Contrato se celebra en el momento en que la Autorización firmada llega al Operador. El Operador confirma la celebración por correo electrónico y envía al Cliente una copia de la Autorización firmada y de las presentes Condiciones en la versión vigente ese día. El Operador conserva la Autorización firmada durante el plazo indicado en la Política de privacidad.

El Contrato se celebra en la lengua del Sitio Web del Operador que el Cliente haya utilizado para la Solicitud, o en inglés. La Autorización indica la lengua.

Hasta la celebración del Contrato, el Operador puede rechazar una Solicitud, en particular cuando:

1. (a)no se haya confirmado el derecho del solicitante a disponer del sitio web;
2. (b)el solicitante no actúe en el ejercicio de su actividad empresarial o profesional;
3. (c)el sitio web se utilice para una actividad prohibida por la ley;
4. (d)la Comprobación requiera actuaciones que las presentes Condiciones excluyen;
5. (e)la celebración del Contrato infrinja la ley o una sanción internacional;
6. (f)el Operador no tenga capacidad para realizar la Comprobación en un plazo razonable.

Al firmar la Autorización, el Cliente declara y garantiza que:

1. (a)el Cliente es el propietario del Sitio Web del Cliente o ha sido autorizado por su propietario para permitir la Comprobación;
2. (b)la persona que firma la Autorización está facultada para representar al Cliente;
3. (c)las reglas sobre pruebas de seguridad de los proveedores de alojamiento, de nube y de software como servicio en los que se aloja el Sitio Web del Cliente permiten la Comprobación, o dichos proveedores han dado su consentimiento a ella;
4. (d)la Comprobación no vulnera los derechos de terceros ni las obligaciones del Cliente frente a ellos.

Cuando el Sitio Web del Cliente se aloje en un proveedor de alojamiento, de nube o de otro tipo cuyas reglas exijan que las pruebas de seguridad se le comuniquen o cuenten con su consentimiento, el Cliente se lo comunica al proveedor u obtiene su consentimiento antes de que comience la Comprobación.

El Operador puede exigir al Cliente que confirme su control sobre el Sitio Web del Cliente, en particular colocando un archivo o un registro DNS indicado por el Operador.

El Cliente indemniza al Operador por los daños causados por el hecho de que una declaración o garantía de la presente sección resulte ser falsa, incluidas las reclamaciones de terceros.

La Comprobación se realiza desde internet, tal como un visitante ve el Sitio Web del Cliente: sin cuentas de usuario y sin acceso a los servidores, al código fuente ni a la red interna del Cliente.

La Comprobación abarca:

1. (a)la configuración de HTTPS y TLS: versiones del protocolo, certificados y redirecciones;
2. (b)las cabeceras de seguridad y los atributos de las cookies;
3. (c)los archivos e interfaces expuestos a internet: copias de seguridad, archivos de configuración, carpetas de sistemas de control de versiones, paneles de administración y páginas de depuración;
4. (d)el sistema de gestión de contenidos, sus extensiones, los frameworks y el software del servidor con vulnerabilidades conocidas públicamente;
5. (e)los formularios y parámetros públicos: inyección y cross-site scripting, probados con peticiones de prueba inofensivas;
6. (f)las páginas de inicio de sesión, registro y recuperación de contraseña: protección contra los intentos de adivinación y contra la enumeración de cuentas;
7. (g)la información revelada por mensajes de error, mapas de código fuente (source maps) y metadatos;
8. (h)los registros DNS que protegen contra la falsificación del correo electrónico: SPF, DKIM y DMARC.

La Comprobación se realiza con los métodos de la OWASP Web Security Testing Guide. Se utilizan herramientas automatizadas para mapear el Sitio Web del Cliente; cada Hallazgo lo confirma un especialista del Operador.

La Comprobación no incluye, y el Operador no realiza:

1. (a)ataques de denegación de servicio ni pruebas de carga;
2. (b)ingeniería social contra el personal, los clientes o los contratistas del Cliente;
3. (c)acceso físico a locales y equipos;
4. (d)la eliminación, la alteración o el cifrado de los datos del Sitio Web del Cliente;
5. (e)el acceso a datos personales más allá del mínimo necesario para confirmar un Hallazgo, ni la copia de tales datos;
6. (f)el examen de sistemas que no se indican en la Autorización, incluidos los servicios de terceros que utiliza el Sitio Web del Cliente;
7. (g)el examen con cuentas de usuario, el examen de las funciones internas del Sitio Web del Cliente ni la revisión de su código fuente.

El Operador realiza la Comprobación y entrega al Cliente el Informe de Comprobación o la Notificación en el plazo de 1 a 5 días hábiles desde la firma de la autorización. Dentro de estos límites, el plazo depende de la carga de trabajo del Operador y de la complejidad del Sitio Web del Cliente.

Si el Sitio Web del Cliente se vuelve inestable durante la Comprobación, el Operador suspende la Comprobación e informa sin demora a la persona de contacto del Cliente.

El Cliente puede detener la Comprobación en cualquier momento mediante una comunicación al Operador. El Operador detiene la Comprobación de inmediato tras recibir la comunicación.

Si el Operador encuentra indicios de que un tercero ya ha obtenido acceso no autorizado al Sitio Web del Cliente, el Operador informa al Cliente sin demora y de forma gratuita y le facilita la información que necesita para reaccionar.

Si la Comprobación no identifica ningún Hallazgo, el Operador entrega al Cliente el Informe de Comprobación de forma gratuita. El Informe de Comprobación describe qué se ha comprobado, en qué periodo, con qué métodos y con qué resultado.

Si la Comprobación identifica Hallazgos, el Operador entrega al Cliente la Notificación de forma gratuita. La Notificación indica:

1. (a)el número de Hallazgos;
2. (b)la Gravedad de cada Hallazgo y el vector del que se deriva;
3. (c)la clase de cada Hallazgo y la parte del Sitio Web del Cliente a la que afecta;
4. (d)las evidencias de la existencia de cada Hallazgo, sin los detalles que permitirían reproducirlo;
5. (e)el Precio;
6. (f)el plazo de validez del Precio.

La Gravedad se determina conforme al Common Vulnerability Scoring System, versión 4.0, publicado por el Forum of Incident Response and Security Teams (FIRST). El vector indicado en la Notificación permite al Cliente verificar la valoración.

La recepción de la Notificación no obliga al Cliente a comprar el Informe de Hallazgos.

El Operador determina el Precio en función del número de Hallazgos y de la Gravedad de cada uno de ellos. El Precio se indica en la Notificación como un importe fijo en euros y no cambia después del envío de la Notificación.

El Precio es únicamente el precio del Informe de Hallazgos, que se entrega completo de una sola vez. El Retest es un compromiso independiente del Operador, asumido de forma gratuita, y no forma parte de lo que se paga con el Precio.

El Precio es válido durante 30 días desde el día en que se envía la Notificación. Durante ese plazo, la Notificación constituye una oferta vinculante del Operador de entregar el Informe de Hallazgos por el Precio.

El Cliente acepta la oferta de la Notificación mediante una confirmación por escrito, para la que basta un correo electrónico, en la que se identifiquen la Notificación y el Precio. A continuación, el Operador emite la factura.

La factura se paga mediante transferencia bancaria a la cuenta indicada en ella. El pago se considera efectuado cuando el importe se ha abonado en la cuenta del Operador. El Precio no incluye el impuesto sobre el valor añadido; el impuesto se repercute cuando la ley lo exige, y la factura indica si lo adeuda el Cliente por inversión del sujeto pasivo. Cada parte asume los gastos de su propio banco.

El Operador entrega el Informe de Hallazgos inmediatamente después de recibir el pago, a través de un canal seguro acordado con el Cliente.

Para cada Hallazgo, el Informe de Hallazgos contiene:

1. (a)una descripción del Hallazgo y de la parte del Sitio Web del Cliente a la que afecta;
2. (b)las evidencias y los pasos para reproducir el Hallazgo;
3. (c)el vector y la puntuación conforme al Common Vulnerability Scoring System, versión 4.0, y la clase conforme a la Common Weakness Enumeration;
4. (d)las consecuencias que puede tener la explotación del Hallazgo;
5. (e)recomendaciones sobre cómo corregir el Hallazgo.

Una vez que el Cliente haya corregido los Hallazgos, el Operador realiza gratuitamente el Retest de cada Hallazgo. El Cliente solicita el Retest en el plazo de 60 días desde la entrega del informe. El Operador comunica el resultado del Retest por escrito.

Si el Cliente no acepta la oferta de la Notificación mientras el Precio sea válido, la oferta caduca y el Cliente no adeuda nada al Operador. Después, el Informe de Hallazgos puede comprarse por acuerdo de las partes.

Si el Operador no entrega el Informe de Hallazgos después del pago, el Cliente puede desistir de la compra y el Operador le devuelve sin demora el importe pagado. Ello no afecta a los demás remedios que la ley otorga al Cliente.

El Operador:

1. (a)realiza la Comprobación con la diligencia y la pericia de un profesional y dentro de los límites de las presentes Condiciones y de la Autorización;
2. (b)utiliza la actuación menos intrusiva que permita confirmar un Hallazgo;
3. (c)mantiene la confidencialidad de la información que ha obtenido de conformidad con la sección 10;
4. (d)designa una persona de contacto localizable durante la Comprobación.

El Cliente:

1. (a)facilita información exacta sobre sí mismo y sobre el Sitio Web del Cliente;
2. (b)designa una persona de contacto localizable durante la Comprobación;
3. (c)se asegura, antes de que comience la Comprobación, de que existe una copia de seguridad actualizada del Sitio Web del Cliente;
4. (d)informa sin demora al Operador de los cambios en el Sitio Web del Cliente durante la Comprobación y de cualquier circunstancia que pueda afectar a la Comprobación;
5. (e)utiliza el Informe de Comprobación, la Notificación y el Informe de Hallazgos de conformidad con la sección 9.

Los derechos patrimoniales de autor sobre el Informe de Comprobación, la Notificación y el Informe de Hallazgos corresponden al Operador.

Desde el momento de la entrega del Informe de Comprobación, y desde el momento del pago del Informe de Hallazgos, el Cliente recibe una licencia no exclusiva, sin límite temporal ni territorial, para utilizar el documento para sus propias necesidades: para corregir los Hallazgos, con fines internos y para revelarlo a sus auditores, aseguradores, autoridades de supervisión y a los contratistas que corrijan los Hallazgos, siempre que estén sujetos a confidencialidad.

El Cliente no presenta el Informe de Comprobación ni el Informe de Hallazgos como una garantía o un certificado de la seguridad del Sitio Web del Cliente, ni los cita de un modo que induzca a error sobre el alcance, el periodo o el resultado de la Comprobación.

Los métodos, las herramientas y los conocimientos técnicos (know-how) del Operador siguen perteneciendo al Operador.

El Operador mantiene la confidencialidad de los Hallazgos y de cualquier otra información sobre el Cliente y el Sitio Web del Cliente que haya obtenido en relación con el Contrato. Esta obligación no está limitada en el tiempo.

El Operador no revela los Hallazgos a terceros, no los publica y no los utiliza para ningún fin distinto de la ejecución del Contrato. Esto se aplica igualmente cuando el Cliente no compra el Informe de Hallazgos.

El Operador no menciona al Cliente como cliente suyo sin el consentimiento por escrito del Cliente.

La obligación de confidencialidad no se aplica a la información que el Operador esté obligado a revelar por ley o por una resolución vinculante de un tribunal o de una autoridad. El Operador revela dicha información en la medida exigida y, cuando la ley lo permite, informa previamente al Cliente.

El Operador destruye los datos de trabajo de la Comprobación 30 días después del cierre del proyecto. El proyecto se cierra el día en que se entrega el Informe de Comprobación, el día en que el Precio deja de ser válido sin que el Cliente haya aceptado la oferta de la Notificación, o el día en que se comunica el resultado del Retest o vence el plazo para solicitarlo.

Las medidas con las que el Operador protege la información del Cliente se describen en la Política de seguridad de la información.

Cada parte trata los datos personales de los representantes y de las personas de contacto de la otra parte como responsable del tratamiento independiente, para la celebración y la ejecución del Contrato. El Operador trata dichos datos de conformidad con su Política de privacidad.

La Comprobación no tiene por objeto datos personales. Si, no obstante, el Operador obtiene acceso a datos personales contenidos en el Sitio Web del Cliente, trata esos datos por cuenta del Cliente como encargado del tratamiento en el sentido del artículo 28 del Reglamento (UE) 2016/679, y el Cliente es el responsable del tratamiento. En tal caso, la presente sección constituye el contrato exigido por dicho artículo.

El objeto y la duración del tratamiento son la Comprobación y el Retest; su naturaleza y su finalidad son la confirmación de Hallazgos; los datos personales y los interesados son aquellos a los que da acceso el Hallazgo, por regla general los usuarios del Sitio Web del Cliente.

Como encargado del tratamiento, el Operador:

1. (a)trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, que figuran en el Contrato y en la Autorización, y solo transfiere datos personales fuera del Espacio Económico Europeo siguiendo dichas instrucciones y de conformidad con el capítulo V del Reglamento (UE) 2016/679, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al Operador; en tal caso, el Operador informa al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba;
2. (b)informa inmediatamente al Cliente si, en su opinión, una instrucción infringe el Reglamento (UE) 2016/679 u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros;
3. (c)garantiza que las personas autorizadas para tratar datos personales están sujetas a confidencialidad;
4. (d)adopta las medidas exigidas por el artículo 32 del Reglamento (UE) 2016/679;
5. (e)recurre como subencargados del tratamiento a los proveedores indicados en la Política de privacidad, actualmente Cloudflare, Inc. para el alojamiento y el almacenamiento de datos en la Unión Europea, en virtud de la autorización general por escrito que el Cliente otorga al celebrar el Contrato; informa al Cliente por correo electrónico de cualquier cambio previsto de los subencargados antes de que surta efecto, de modo que el Cliente pueda oponerse a él y, si el Operador mantiene el cambio, resolver el Contrato; e impone a cada subencargado las mismas obligaciones de protección de datos que la presente sección impone al Operador;
6. (f)ayuda al Cliente a responder a las solicitudes de los interesados y a cumplir las obligaciones de los artículos 32 a 36 del Reglamento (UE) 2016/679;
7. (g)notifica al Cliente, sin dilación indebida después de haber tenido conocimiento de ella, toda violación de la seguridad de los datos personales;
8. (h)no copia datos personales, los enmascara en las evidencias de modo que la Notificación no contenga ninguno, no los envía por correo electrónico ni a través de servicios de mensajería y entrega el Informe de Hallazgos únicamente a través del canal seguro de la sección 7;
9. (i)cuando se cierra el proyecto, suprime los datos personales o los devuelve al Cliente, a elección del Cliente, y suprime las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los datos personales;
10. (j)pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de la presente sección y permite la realización de auditorías por parte del Cliente o de un auditor autorizado por el Cliente.

La Comprobación está limitada en su periodo, su alcance y sus métodos. El hecho de que la Comprobación no haya identificado ningún Hallazgo no significa que el Sitio Web del Cliente no tenga vulnerabilidades. El Informe de Comprobación y el Informe de Hallazgos no son una garantía de que el Sitio Web del Cliente no pueda verse comprometido.

El Operador responde sin limitación de los daños que haya causado de forma dolosa o por negligencia grave, así como de la muerte, las lesiones corporales y los daños a la salud.

En todos los demás casos, se aplica lo siguiente:

1. (a)dado que la Comprobación se realiza de forma gratuita, el Operador no responde de los daños causados durante la Comprobación por negligencia simple, salvo que los daños se deriven de una actuación que excluye la sección 5;
2. (b)la responsabilidad total del Operador en relación con el Informe de Hallazgos y el Retest se limita al Precio pagado por el Cliente;
3. (c)el Operador no responde del lucro cesante ni de los daños indirectos, de los daños causados por terceros que exploten una vulnerabilidad del Sitio Web del Cliente, de un fallo del Sitio Web del Cliente causado por su estado cuando el Operador haya actuado dentro de los límites de la sección 5, ni de las consecuencias de que el Cliente no haya corregido un Hallazgo o lo haya corregido de forma distinta a la recomendada.

Ninguna parte responde de un incumplimiento causado por fuerza mayor: una circunstancia ajena a su control que no cabía esperar razonablemente que tuviera en cuenta, evitara o superara.

El Contrato entra en vigor en el momento de su celebración y permanece en vigor hasta que las partes hayan cumplido sus obligaciones.

Hasta que haya aceptado la oferta de la Notificación, el Cliente puede resolver el Contrato en cualquier momento mediante una comunicación al Operador, sin indicar los motivos y sin pago alguno.

El Operador puede resolver el Contrato mediante una comunicación al Cliente cuando:

1. (a)una declaración o garantía del Cliente resulte ser falsa;
2. (b)el Cliente exija actuaciones que las presentes Condiciones excluyen;
3. (c)la continuación de la Comprobación infrinja la ley o vulnere los derechos de terceros.

Las disposiciones sobre los derechos sobre los resultados, la confidencialidad, los datos personales, la responsabilidad, la ley aplicable y la jurisdicción permanecen en vigor tras la extinción del Contrato.

El Contrato se rige por la ley de la República de Estonia.

Las partes procuran resolver los litigios mediante negociación. Toda reclamación se presenta por escrito, y la parte que la recibe responde sin dilación indebida.

El litigio que no se resuelva mediante negociación lo resuelve el tribunal de la República de Estonia en cuya circunscripción se encuentra el domicilio social del Operador.

El Operador puede modificar las presentes Condiciones. Una modificación se aplica a los Contratos celebrados después de que haya surtido efecto; cada Contrato se rige por la versión de las presentes Condiciones vigente el día en que se firmó la Autorización.

El Contrato está formado por la Autorización, las presentes Condiciones y, si se ha enviado, la Notificación. Si la Autorización difiere de las presentes Condiciones, prevalece la Autorización.

Las comunicaciones en virtud del Contrato se envían por correo electrónico: al Operador, a la dirección indicada en las presentes Condiciones; al Cliente, a la dirección indicada en la Solicitud o en la Autorización.

El Cliente no cede el Contrato a un tercero sin el consentimiento por escrito del Operador. Esto no restringe la cesión de un crédito dinerario.

Si una disposición de las presentes Condiciones es nula, ello no afecta a la validez de las demás disposiciones.

Las presentes Condiciones se redactan en inglés y se publican traducidas. Si una traducción difiere del texto en inglés, prevalece el texto en inglés.

El Operador:

Los datos bancarios del Operador figuran en la factura.