Condizioni della verifica gratuita della sicurezza del sito

Nelle presenti Condizioni i seguenti termini hanno il significato indicato di seguito:

1. (a)«Gestore»: Osaühing Ida Portal, codice di registro 10970449, sede legale: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, che presta i propri servizi con il nome Security Test Team;
2. (b)«Cliente»: la persona giuridica, o la persona fisica che agisce nell’esercizio della propria attività imprenditoriale o professionale, che ha concluso il Contratto con il Gestore;
3. (c)«Sito del Gestore»: il sito web securitytest.team;
4. (d)«Sito del Cliente»: il sito web indicato nell’Autorizzazione, nei limiti dei nomi di dominio elencati nell’Autorizzazione;
5. (e)«Richiesta»: la domanda di Verifica inviata tramite il modulo sul Sito del Gestore o per email;
6. (f)«Autorizzazione»: il documento che il Gestore redige per un Sito del Cliente sulla base di una Richiesta, che richiama le presenti Condizioni e indica il Cliente, il Sito del Cliente, il periodo della Verifica, gli indirizzi di rete dai quali la Verifica è eseguita e i referenti delle parti, e con la cui sottoscrizione il Cliente consente la Verifica e accetta la proposta del Gestore;
7. (g)«Verifica»: l’esame esterno della sicurezza del Sito del Cliente descritto nella sezione 5;
8. (h)«Rilievo»: una vulnerabilità del Sito del Cliente confermata da uno specialista del Gestore;
9. (i)«Gravità»: la valutazione qualitativa di un Rilievo secondo il Common Vulnerability Scoring System, versione 4.0: bassa, media, alta o critica;
10. (j)«Report di Verifica»: il report su una Verifica che non ha individuato alcun Rilievo;
11. (k)«Avviso»: il documento che informa il Cliente dei Rilievi e del Prezzo;
12. (l)«Report dei Rilievi»: il report che descrive ciascun Rilievo con il grado di dettaglio necessario per riprodurlo e correggerlo;
13. (m)«Prezzo»: il prezzo del Report dei Rilievi indicato nell’Avviso;
14. (n)«Retest»: l’esame volto ad accertare se i Rilievi descritti nel Report dei Rilievi sono stati corretti;
15. (o)«Contratto»: il contratto per la Verifica concluso tra il Gestore e il Cliente alle presenti Condizioni.

Le presenti Condizioni sono le condizioni generali alle quali il Gestore conclude il Contratto. Diventano parte del Contratto quando il Cliente sottoscrive l’Autorizzazione, che le richiama.

La descrizione della Verifica sul Sito del Gestore, comprese le presenti Condizioni, costituisce un invito a proporre. La proposta del Gestore è l’Autorizzazione che esso invia a un determinato richiedente.

La Verifica è offerta a imprese e professionisti: alle persone giuridiche e alle persone fisiche che agiscono nell’esercizio della propria attività imprenditoriale o professionale. Il Gestore non conclude il Contratto con consumatori. Inviando la Richiesta e sottoscrivendo l’Autorizzazione il Cliente conferma di agire nell’esercizio della propria attività imprenditoriale o professionale.

In forza del Contratto il Gestore esegue gratuitamente la Verifica e fornisce al Cliente il Report di Verifica o l’Avviso, e il Cliente ha il diritto, ma non l’obbligo, di acquistare il Report dei Rilievi al Prezzo.

La prima Verifica di un Sito del Cliente è gratuita. Un’ulteriore Verifica dello stesso Sito del Cliente richiede il consenso del Gestore.

I servizi diversi dalla Verifica, dal Report dei Rilievi e dal Retest sono prestati in base a un contratto separato.

Chi desidera far verificare un sito invia una Richiesta tramite il modulo sul Sito del Gestore o per email a info@securitytest.team e indica il sito da verificare. Prima dell’invio del modulo il richiedente può controllare e correggere ogni dato inserito; il modulo indica i dati mancanti o non validi.

Il Gestore esamina la Richiesta e risponde entro 1 giorno lavorativo. Se la Richiesta può essere soddisfatta, il Gestore invia l’Autorizzazione per la sottoscrizione.

L’Autorizzazione è sottoscritta da una persona legittimata a rappresentare il Cliente, con firma autografa oppure con firma elettronica qualificata ai sensi del regolamento (UE) n. 910/2014, come la firma digitale estone apposta con la carta d’identità, Mobile-ID o Smart-ID, o una firma apposta con un portafoglio europeo di identità digitale. Le parti convengono che una firma apposta in uno di questi modi soddisfa la forma da esse pattuita per il Contratto.

Il Contratto è concluso nel momento in cui l’Autorizzazione sottoscritta perviene al Gestore. Il Gestore conferma la conclusione per email e invia al Cliente una copia dell’Autorizzazione sottoscritta e delle presenti Condizioni nella versione in vigore in quel giorno. Il Gestore conserva l’Autorizzazione sottoscritta per il periodo indicato nell’informativa sulla privacy.

Il Contratto è concluso nella lingua del Sito del Gestore utilizzata dal Cliente per la Richiesta, oppure in inglese. L’Autorizzazione indica la lingua.

Fino alla conclusione del Contratto il Gestore può rifiutare una Richiesta, in particolare se:

1. (a)il diritto del richiedente di disporre del sito non è confermato;
2. (b)il richiedente non agisce nell’esercizio della propria attività imprenditoriale o professionale;
3. (c)il sito è utilizzato per un’attività vietata dalla legge;
4. (d)la Verifica richiederebbe azioni escluse dalle presenti Condizioni;
5. (e)la conclusione del Contratto violerebbe la legge o una sanzione internazionale;
6. (f)il Gestore non ha la capacità di eseguire la Verifica entro un termine ragionevole.

Sottoscrivendo l’Autorizzazione il Cliente dichiara e garantisce che:

1. (a)il Cliente è il proprietario del Sito del Cliente o è stato autorizzato dal suo proprietario a consentire la Verifica;
2. (b)la persona che sottoscrive l’Autorizzazione è legittimata a rappresentare il Cliente;
3. (c)le regole sui test di sicurezza dei fornitori di hosting, cloud e software-as-a-service presso i quali si trova il Sito del Cliente consentono la Verifica, oppure tali fornitori vi hanno acconsentito;
4. (d)la Verifica non viola i diritti di terzi né gli obblighi del Cliente nei loro confronti.

Se il Sito del Cliente si trova presso un fornitore di hosting, cloud o altro fornitore le cui regole richiedono che i test di sicurezza gli siano comunicati o siano da esso consentiti, il Cliente ne dà comunicazione al fornitore od ottiene il suo consenso prima dell’inizio della Verifica.

Il Gestore può chiedere al Cliente di confermare il proprio controllo sul Sito del Cliente, in particolare collocando un file o un record DNS indicato dal Gestore.

Il Cliente tiene indenne il Gestore dai danni derivanti dal fatto che una dichiarazione o garanzia della presente sezione risulti non veritiera, comprese le pretese di terzi.

La Verifica è eseguita da internet, così come un visitatore vede il Sito del Cliente: senza account utente e senza accesso ai server, al codice sorgente o alla rete interna del Cliente.

La Verifica comprende:

1. (a)la configurazione di HTTPS e TLS: versioni dei protocolli, certificati e reindirizzamenti;
2. (b)le intestazioni di sicurezza e gli attributi dei cookie;
3. (c)i file e le interfacce esposti su internet: copie di backup, file di configurazione, cartelle dei sistemi di controllo di versione, pannelli di amministrazione e pagine di debug;
4. (d)il sistema di gestione dei contenuti, le sue estensioni, i framework e il software del server con vulnerabilità pubblicamente note;
5. (e)i moduli e i parametri pubblici: injection e cross-site scripting, testati con input innocui;
6. (f)le pagine di accesso, di registrazione e di recupero della password: la protezione contro i tentativi di indovinare le password e contro l’enumerazione degli account;
7. (g)le informazioni rivelate da messaggi di errore, source map e metadati;
8. (h)i record DNS che proteggono dalle email contraffatte: SPF, DKIM e DMARC.

La Verifica è eseguita secondo i metodi dell’OWASP Web Security Testing Guide. Strumenti automatizzati sono utilizzati per mappare il Sito del Cliente; ogni Rilievo è confermato da uno specialista del Gestore.

La Verifica non comprende, e il Gestore non esegue:

1. (a)attacchi di tipo denial of service e test di carico;
2. (b)ingegneria sociale nei confronti del personale, dei clienti o dei collaboratori esterni del Cliente;
3. (c)l’accesso fisico a locali e apparecchiature;
4. (d)la cancellazione, la modifica o la cifratura dei dati del Sito del Cliente;
5. (e)l’accesso a dati personali oltre il minimo necessario per confermare un Rilievo, e la copia di tali dati;
6. (f)l’esame di sistemi non indicati nell’Autorizzazione, compresi i servizi di terzi utilizzati dal Sito del Cliente;
7. (g)l’esame con account utente, l’esame delle funzioni interne del Sito del Cliente e la revisione del suo codice sorgente.

Il Gestore esegue la Verifica e fornisce al Cliente il Report di Verifica o l’Avviso da 1 a 5 giorni lavorativi dopo la firma dell’autorizzazione. Entro questi limiti il termine dipende dal carico di lavoro del Gestore e dalla complessità del Sito del Cliente.

Se durante la Verifica il Sito del Cliente diventa instabile, il Gestore sospende la Verifica e ne informa senza indugio il referente del Cliente.

Il Cliente può interrompere la Verifica in qualsiasi momento mediante comunicazione al Gestore. Il Gestore interrompe la Verifica immediatamente dopo aver ricevuto la comunicazione.

Se il Gestore rileva segni che un terzo ha già ottenuto un accesso non autorizzato al Sito del Cliente, ne informa il Cliente senza indugio e gratuitamente e fornisce le informazioni di cui il Cliente ha bisogno per reagire.

Se la Verifica non individua alcun Rilievo, il Gestore fornisce gratuitamente al Cliente il Report di Verifica. Il Report di Verifica descrive che cosa è stato verificato, in quale periodo, con quali metodi e con quale esito.

Se la Verifica individua Rilievi, il Gestore fornisce gratuitamente al Cliente l’Avviso. L’Avviso indica:

1. (a)il numero dei Rilievi;
2. (b)la Gravità di ciascun Rilievo e il vettore da cui essa deriva;
3. (c)la classe di ciascun Rilievo e la parte del Sito del Cliente a cui si riferisce;
4. (d)le prove dell’esistenza di ciascun Rilievo, senza i dettagli che consentirebbero di riprodurlo;
5. (e)il Prezzo;
6. (f)il periodo di validità del Prezzo.

La Gravità è determinata secondo il Common Vulnerability Scoring System, versione 4.0, pubblicato dal Forum of Incident Response and Security Teams (FIRST). Il vettore indicato nell’Avviso consente al Cliente di verificare la valutazione.

La ricezione dell’Avviso non obbliga il Cliente ad acquistare il Report dei Rilievi.

Il Gestore determina il Prezzo in base al numero dei Rilievi e alla Gravità di ciascuno di essi. Il Prezzo è indicato nell’Avviso come importo fisso in euro e non cambia dopo l’invio dell’Avviso.

Il Prezzo è il prezzo del solo Report dei Rilievi, che è consegnato integralmente in un’unica soluzione. Il Retest è un impegno distinto del Gestore, assunto a titolo gratuito, e non rientra in ciò che il Prezzo remunera.

Il Prezzo è valido per 30 giorni dal giorno dell’invio dell’Avviso. Durante tale periodo l’Avviso costituisce una proposta vincolante del Gestore di fornire il Report dei Rilievi al Prezzo.

Il Cliente accetta la proposta contenuta nell’Avviso con una conferma scritta, per la quale è sufficiente un’email, che indica l’Avviso e il Prezzo. Il Gestore emette quindi la fattura.

La fattura è pagata mediante bonifico bancario sul conto in essa indicato. Il pagamento si considera effettuato quando l’importo è stato accreditato sul conto del Gestore. Il Prezzo non comprende l’imposta sul valore aggiunto; l’imposta è applicata ove la legge lo richieda, e la fattura indica quando è dovuta dal Cliente in regime di inversione contabile. Ciascuna parte sostiene le spese della propria banca.

Il Gestore consegna il Report dei Rilievi subito dopo la ricezione del pagamento, tramite un canale sicuro concordato con il Cliente.

Per ciascun Rilievo il Report dei Rilievi contiene:

1. (a)una descrizione del Rilievo e la parte del Sito del Cliente a cui si riferisce;
2. (b)le prove e i passaggi per la riproduzione del Rilievo;
3. (c)il vettore e il punteggio secondo il Common Vulnerability Scoring System, versione 4.0, e la classe secondo la Common Weakness Enumeration;
4. (d)le conseguenze che lo sfruttamento del Rilievo può avere;
5. (e)le raccomandazioni su come correggere il Rilievo.

Dopo che il Cliente ha corretto i Rilievi, il Gestore esegue gratuitamente il Retest di ciascun Rilievo. Il Cliente richiede il Retest entro 60 giorni dalla consegna del report. Il Gestore comunica per iscritto l’esito del Retest.

Se il Cliente non accetta la proposta contenuta nell’Avviso finché il Prezzo è valido, la proposta decade e il Cliente non deve nulla al Gestore. Successivamente il Report dei Rilievi può essere acquistato previo accordo tra le parti.

Se il Gestore non consegna il Report dei Rilievi dopo il pagamento, il Cliente può recedere dall’acquisto, e il Gestore restituisce senza indugio l’importo pagato. Restano salvi gli altri rimedi che la legge riconosce al Cliente.

Il Gestore:

1. (a)esegue la Verifica con la diligenza e la competenza di un professionista ed entro i limiti delle presenti Condizioni e dell’Autorizzazione;
2. (b)adotta l’azione meno invasiva che consente di confermare un Rilievo;
3. (c)mantiene riservate le informazioni ottenute conformemente alla sezione 10;
4. (d)nomina un referente raggiungibile durante la Verifica.

Il Cliente:

1. (a)fornisce informazioni esatte su di sé e sul Sito del Cliente;
2. (b)nomina un referente raggiungibile durante la Verifica;
3. (c)si assicura, prima dell’inizio della Verifica, che esista una copia di backup aggiornata del Sito del Cliente;
4. (d)informa senza indugio il Gestore delle modifiche al Sito del Cliente durante la Verifica e di ogni circostanza che possa incidere sulla Verifica;
5. (e)utilizza il Report di Verifica, l’Avviso e il Report dei Rilievi conformemente alla sezione 9.

I diritti patrimoniali d’autore sul Report di Verifica, sull’Avviso e sul Report dei Rilievi spettano al Gestore.

Dal momento della consegna del Report di Verifica, e dal momento del pagamento del Report dei Rilievi, il Cliente acquisisce una licenza non esclusiva, illimitata nel tempo e nello spazio, per utilizzare il documento per le proprie esigenze: per correggere i Rilievi, per scopi interni e per la comunicazione ai propri revisori, assicuratori e autorità di vigilanza e ai collaboratori esterni che correggono i Rilievi, purché siano vincolati alla riservatezza.

Il Cliente non presenta il Report di Verifica o il Report dei Rilievi come garanzia o certificato della sicurezza del Sito del Cliente e non li cita in modo da trarre in inganno sul perimetro, sul periodo o sull’esito della Verifica.

I metodi, gli strumenti e il know-how del Gestore restano del Gestore.

Il Gestore mantiene riservati i Rilievi e ogni altra informazione sul Cliente e sul Sito del Cliente ottenuta in relazione al Contratto. L’obbligo non ha limiti di tempo.

Il Gestore non comunica i Rilievi a terzi, non li pubblica e non li utilizza per scopi diversi dall’esecuzione del Contratto. Ciò vale anche se il Cliente non acquista il Report dei Rilievi.

Il Gestore non indica il Cliente come proprio cliente senza il consenso scritto del Cliente.

L’obbligo di riservatezza non si applica alle informazioni che il Gestore è tenuto a comunicare per legge o in forza di una decisione vincolante di un giudice o di un’autorità. Il Gestore comunica tali informazioni nella misura richiesta e, ove la legge lo consenta, ne informa preventivamente il Cliente.

Il Gestore distrugge i dati di lavoro della Verifica 30 giorni dopo la chiusura dell’incarico. L’incarico si chiude il giorno della consegna del Report di Verifica, il giorno in cui il Prezzo cessa di essere valido senza che il Cliente abbia accettato la proposta contenuta nell’Avviso, oppure il giorno in cui è comunicato l’esito del Retest o scade il termine per richiedere il Retest.

Le misure con cui il Gestore protegge le informazioni del Cliente sono descritte nella politica per la sicurezza delle informazioni.

Ciascuna parte tratta i dati personali dei rappresentanti e dei referenti dell’altra parte in qualità di titolare autonomo del trattamento, ai fini della conclusione e dell’esecuzione del Contratto. Il Gestore tratta tali dati in conformità alla propria informativa sulla privacy.

La Verifica non ha per oggetto dati personali. Se il Gestore ottiene comunque accesso a dati personali contenuti nel Sito del Cliente, li tratta per conto del Cliente in qualità di responsabile del trattamento ai sensi dell’articolo 28 del regolamento (UE) 2016/679, e il Cliente ne è il titolare del trattamento. In tal caso la presente sezione costituisce il contratto richiesto da tale articolo.

La materia disciplinata e la durata del trattamento sono la Verifica e il Retest; la natura e la finalità del trattamento consistono nella conferma dei Rilievi; i dati personali e gli interessati sono quelli a cui il Rilievo dà accesso, di norma gli utenti del Sito del Cliente.

In qualità di responsabile del trattamento, il Gestore:

1. (a)tratta i dati personali soltanto su istruzione documentata del Cliente, contenuta nel Contratto e nell’Autorizzazione, e trasferisce dati personali al di fuori dello Spazio economico europeo soltanto su tale istruzione e in conformità al capo V del regolamento (UE) 2016/679, salvo che lo richieda il diritto dell’Unione o dello Stato membro cui il Gestore è soggetto; in tal caso il Gestore informa il Cliente di tale obbligo giuridico prima del trattamento, a meno che tale diritto lo vieti;
2. (b)informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi il regolamento (UE) 2016/679 o altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;
3. (c)garantisce che le persone autorizzate al trattamento dei dati personali siano vincolate alla riservatezza;
4. (d)adotta le misure richieste dall’articolo 32 del regolamento (UE) 2016/679;
5. (e)ricorre, in qualità di sub-responsabili del trattamento, ai fornitori indicati nell’informativa sulla privacy, attualmente Cloudflare, Inc. per l’hosting e per la conservazione dei dati nell’Unione europea, in forza dell’autorizzazione scritta generale che il Cliente rilascia concludendo il Contratto; informa il Cliente per email di ogni modifica prevista dei sub-responsabili del trattamento prima che abbia effetto, affinché il Cliente possa opporvisi e, se il Gestore mantiene la modifica, recedere dal Contratto; e impone a ciascun sub-responsabile del trattamento gli stessi obblighi in materia di protezione dei dati che la presente sezione impone al Gestore;
6. (f)assiste il Cliente nel dare seguito alle richieste degli interessati e nell’adempimento degli obblighi di cui agli articoli da 32 a 36 del regolamento (UE) 2016/679;
7. (g)informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali;
8. (h)non copia i dati personali, li maschera nelle prove in modo che l’Avviso non ne contenga, non li invia per email né tramite servizi di messaggistica e consegna il Report dei Rilievi soltanto tramite il canale sicuro di cui alla sezione 7;
9. (i)alla chiusura dell’incarico, cancella i dati personali o li restituisce al Cliente, a scelta del Cliente, e cancella le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati personali;
10. (j)mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto della presente sezione e consente le attività di revisione svolte dal Cliente o da un revisore da esso incaricato.

La Verifica è limitata nel periodo, nel perimetro e nei metodi. Il fatto che la Verifica non abbia individuato alcun Rilievo non significa che il Sito del Cliente sia privo di vulnerabilità. Il Report di Verifica e il Report dei Rilievi non costituiscono una garanzia che il Sito del Cliente non possa essere violato.

Il Gestore risponde senza limitazioni dei danni che ha causato con dolo o colpa grave, nonché dei danni derivanti da morte, lesioni personali e pregiudizio alla salute.

In tutti gli altri casi si applica quanto segue:

1. (a)poiché la Verifica è eseguita gratuitamente, il Gestore non risponde dei danni causati nel corso della Verifica per colpa lieve, salvo che il danno derivi da un’azione esclusa dalla sezione 5;
2. (b)la responsabilità complessiva del Gestore in relazione al Report dei Rilievi e al Retest è limitata al Prezzo pagato dal Cliente;
3. (c)il Gestore non risponde del mancato guadagno e dei danni indiretti, dei danni causati da terzi che sfruttano una vulnerabilità del Sito del Cliente, di un malfunzionamento del Sito del Cliente dovuto alle sue condizioni qualora il Gestore abbia agito entro i limiti della sezione 5, né delle conseguenze del fatto che il Cliente non abbia corretto un Rilievo o lo abbia corretto in modo diverso da quello raccomandato.

Nessuna parte risponde di un inadempimento dovuto a forza maggiore: una circostanza al di fuori del suo controllo che non si poteva ragionevolmente pretendere che essa prendesse in considerazione, evitasse o superasse.

Il Contratto entra in vigore al momento della sua conclusione e resta in vigore fino all’adempimento delle obbligazioni delle parti.

Finché non ha accettato la proposta contenuta nell’Avviso, il Cliente può recedere dal Contratto in qualsiasi momento mediante comunicazione al Gestore, senza indicarne i motivi e senza alcun pagamento.

Il Gestore può recedere dal Contratto mediante comunicazione al Cliente se:

1. (a)una dichiarazione o garanzia del Cliente risulta non veritiera;
2. (b)il Cliente richiede azioni escluse dalle presenti Condizioni;
3. (c)la prosecuzione della Verifica violerebbe la legge o i diritti di terzi.

Le disposizioni sui diritti sui risultati, sulla riservatezza, sui dati personali, sulla responsabilità, sulla legge applicabile e sul foro competente restano in vigore anche dopo la cessazione del Contratto.

Il Contratto è regolato dalla legge della Repubblica di Estonia.

Le parti cercano di risolvere le controversie in via negoziale. Un reclamo è presentato per iscritto, e la parte che lo ha ricevuto risponde senza ingiustificato ritardo.

Una controversia non risolta in via negoziale è decisa dal tribunale della Repubblica di Estonia nella cui circoscrizione si trova la sede legale del Gestore.

Il Gestore può modificare le presenti Condizioni. Una modifica si applica ai Contratti conclusi dopo la sua entrata in vigore; un Contratto è regolato dalla versione delle presenti Condizioni in vigore il giorno in cui è stata sottoscritta l’Autorizzazione.

Il Contratto è costituito dall’Autorizzazione, dalle presenti Condizioni e, se è stato inviato, dall’Avviso. Se l’Autorizzazione differisce dalle presenti Condizioni, prevale l’Autorizzazione.

Le comunicazioni previste dal Contratto sono inviate per email: al Gestore all’indirizzo indicato nelle presenti Condizioni, al Cliente all’indirizzo indicato nella Richiesta o nell’Autorizzazione.

Il Cliente non cede il Contratto a terzi senza il consenso scritto del Gestore. Ciò non limita la cessione di un credito pecuniario.

L’invalidità di una disposizione delle presenti Condizioni non pregiudica la validità delle restanti disposizioni.

Le presenti Condizioni sono redatte in inglese e pubblicate in traduzione. Se una traduzione differisce dal testo inglese, prevale il testo inglese.

Il Gestore:

Le coordinate bancarie del Gestore sono indicate nella fattura.