Vilkår for gratis sikkerhetssjekk av nettsted

I disse Vilkårene har begrepene nedenfor følgende betydning:

1. (a)«Operatøren» betyr Osaühing Ida Portal, registerkode 10970449, forretningsadresse: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, som yter sine tjenester under navnet Security Test Team;
2. (b)«Kunden» betyr den juridiske personen, eller den fysiske personen som handler som ledd i sin nærings- eller yrkesvirksomhet, som har inngått Avtalen med Operatøren;
3. (c)«Operatørens nettsted» betyr nettstedet securitytest.team;
4. (d)«Kundens nettsted» betyr nettstedet som er angitt i Tillatelsen, innenfor domenenavnene som er oppført i Tillatelsen;
5. (e)«Forespørselen» betyr henvendelsen om en Sjekk, sendt gjennom skjemaet på Operatørens nettsted eller per e-post;
6. (f)«Tillatelsen» betyr dokumentet som Operatøren på grunnlag av en Forespørsel utarbeider for Kundens nettsted, som viser til disse Vilkårene og angir Kunden, Kundens nettsted, perioden for Sjekken, nettverksadressene Sjekken utføres fra, og partenes kontaktpersoner, og ved hvis signering Kunden tillater Sjekken og aksepterer Operatørens tilbud;
7. (g)«Sjekken» betyr den eksterne undersøkelsen av sikkerheten til Kundens nettsted som er beskrevet i punkt 5;
8. (h)«Funn» betyr en sårbarhet i Kundens nettsted som en spesialist hos Operatøren har bekreftet;
9. (i)«Alvorlighetsgrad» betyr den kvalitative vurderingen av et Funn etter Common Vulnerability Scoring System, versjon 4.0: lav, middels, høy eller kritisk;
10. (j)«Sjekkrapporten» betyr rapporten om en Sjekk som ikke har avdekket noen Funn;
11. (k)«Funnvarselet» betyr dokumentet som informerer Kunden om Funnene og om Prisen;
12. (l)«Funnrapporten» betyr rapporten som beskriver hvert Funn så detaljert som det er nødvendig for å gjenskape og utbedre det;
13. (m)«Prisen» betyr prisen på Funnrapporten som er angitt i Funnvarselet;
14. (n)«Retesten» betyr undersøkelsen av om Funnene som er beskrevet i Funnrapporten, er utbedret;
15. (o)«Avtalen» betyr avtalen om Sjekken som er inngått mellom Operatøren og Kunden på grunnlag av disse Vilkårene.

Disse Vilkårene er standardvilkårene som Operatøren inngår Avtalen på. De blir en del av Avtalen når Kunden signerer Tillatelsen, som viser til dem.

Beskrivelsen av Sjekken på Operatørens nettsted, disse Vilkårene medregnet, er en oppfordring til å gi tilbud. Operatørens tilbud er Tillatelsen som Operatøren sender til en bestemt avsender av en Forespørsel.

Sjekken tilbys næringsdrivende: juridiske personer og fysiske personer som handler som ledd i sin nærings- eller yrkesvirksomhet. Operatøren inngår ikke Avtalen med forbrukere. Ved å sende Forespørselen og signere Tillatelsen bekrefter Kunden at Kunden handler som ledd i sin nærings- eller yrkesvirksomhet.

Etter Avtalen utfører Operatøren Sjekken vederlagsfritt og gir Kunden Sjekkrapporten eller Funnvarselet, og Kunden har rett, men ikke plikt, til å kjøpe Funnrapporten til Prisen.

Den første Sjekken av Kundens nettsted er vederlagsfri. En ny Sjekk av det samme nettstedet krever Operatørens samtykke.

Andre tjenester enn Sjekken, Funnrapporten og Retesten ytes etter en egen avtale.

Den som ønsker å få et nettsted sjekket, sender en Forespørsel gjennom skjemaet på Operatørens nettsted eller per e-post til info@securitytest.team og oppgir nettstedet som skal sjekkes. Før skjemaet sendes, kan avsenderen se over og rette hver opplysning; skjemaet angir hvilke opplysninger som mangler eller er ugyldige.

Operatøren undersøker Forespørselen og svarer innen 1 arbeidsdag. Hvis Forespørselen kan imøtekommes, sender Operatøren Tillatelsen til signering.

Tillatelsen signeres av en person som har rett til å representere Kunden, enten for hånd eller med en kvalifisert elektronisk signatur i henhold til forordning (EU) nr. 910/2014, for eksempel den estiske digitale signaturen som gis med ID-kort, Mobile-ID eller Smart-ID, eller en signatur som gis med en europeisk digital identitetslommebok. Partene er enige om at en signatur som er gitt på en av disse måtene, oppfyller formkravet de har avtalt for Avtalen.

Avtalen er inngått i det øyeblikket den signerte Tillatelsen kommer frem til Operatøren. Operatøren bekrefter inngåelsen per e-post og sender Kunden en kopi av den signerte Tillatelsen og av disse Vilkårene i den versjonen som gjelder den dagen. Operatøren oppbevarer den signerte Tillatelsen i den perioden som er angitt i Personvernerklæringen.

Avtalen inngås på det språket på Operatørens nettsted som Kunden har brukt for Forespørselen, eller på engelsk. Språket fremgår av Tillatelsen.

Inntil Avtalen er inngått, kan Operatøren avslå en Forespørsel, særlig når:

1. (a)avsenderens rett til å disponere over nettstedet ikke er bekreftet;
2. (b)avsenderen ikke handler som ledd i sin nærings- eller yrkesvirksomhet;
3. (c)nettstedet brukes til virksomhet som er forbudt ved lov;
4. (d)Sjekken ville kreve handlinger som disse Vilkårene utelukker;
5. (e)inngåelsen av Avtalen ville være i strid med loven eller en internasjonal sanksjon;
6. (f)Operatøren ikke har kapasitet til å utføre Sjekken innen rimelig tid.

Ved å signere Tillatelsen erklærer og innestår Kunden for at:

1. (a)Kunden er eier av Kundens nettsted eller har fullmakt fra eieren til å tillate Sjekken;
2. (b)personen som signerer Tillatelsen, har rett til å representere Kunden;
3. (c)reglene for sikkerhetstesting hos hostingleverandørene, skyleverandørene og leverandørene av programvare som tjeneste der Kundens nettsted er plassert, tillater Sjekken, eller disse leverandørene har samtykket til den;
4. (d)Sjekken ikke krenker tredjeparters rettigheter eller er i strid med Kundens forpliktelser overfor dem.

Når Kundens nettsted er plassert hos en hostingleverandør, skyleverandør eller annen leverandør hvis regler krever at leverandøren varsles om sikkerhetstesting eller samtykker til den, varsler Kunden leverandøren eller innhenter leverandørens samtykke før Sjekken starter.

Operatøren kan kreve at Kunden bekrefter sin kontroll over Kundens nettsted, særlig ved å plassere en fil eller en DNS-oppføring som Operatøren angir.

Kunden erstatter Operatørens skade som skyldes at en erklæring eller inneståelse i dette punktet viser seg å være uriktig, herunder tredjeparters krav.

Sjekken utføres fra internett, slik en besøkende ser Kundens nettsted: uten brukerkontoer og uten tilgang til Kundens servere, kildekode eller interne nettverk.

Sjekken omfatter:

1. (a)konfigurasjonen av HTTPS og TLS: protokollversjoner, sertifikater og omdirigeringer;
2. (b)sikkerhetsheadere og attributtene til informasjonskapsler;
3. (c)filer og grensesnitt som er eksponert mot internett: sikkerhetskopier, konfigurasjonsfiler, mapper for versjonskontrollsystemer, administrasjonspaneler og feilsøkingssider;
4. (d)publiseringssystemet, utvidelsene til det, rammeverkene og serverprogramvaren med offentlig kjente sårbarheter;
5. (e)offentlige skjemaer og parametere: injeksjon og cross-site scripting, testet med uskadelige testverdier;
6. (f)sidene for pålogging, registrering og gjenoppretting av passord: beskyttelse mot gjetting og mot enumerering av kontoer;
7. (g)informasjon som avsløres av feilmeldinger, source maps og metadata;
8. (h)DNS-oppføringene som beskytter mot forfalsket e-post: SPF, DKIM og DMARC.

Sjekken utføres etter metodene i OWASP Web Security Testing Guide. Automatiserte verktøy brukes til å kartlegge Kundens nettsted; hvert Funn bekreftes av en spesialist hos Operatøren.

Sjekken omfatter ikke, og Operatøren utfører ikke:

1. (a)tjenestenektangrep og belastningstesting;
2. (b)sosial manipulering rettet mot Kundens ansatte, kunder eller oppdragstakere;
3. (c)fysisk tilgang til lokaler og utstyr;
4. (d)sletting, endring eller kryptering av data på Kundens nettsted;
5. (e)tilgang til personopplysninger utover det minimum som er nødvendig for å bekrefte et Funn, og kopiering av slike opplysninger;
6. (f)undersøkelse av systemer som ikke er angitt i Tillatelsen, herunder tredjeparters tjenester som Kundens nettsted bruker;
7. (g)undersøkelse med brukerkontoer, undersøkelse av de interne funksjonene på Kundens nettsted og gjennomgang av kildekoden.

Operatøren utfører Sjekken og gir Kunden Sjekkrapporten eller Funnvarselet i løpet av 1 til 5 arbeidsdager etter at tillatelsen er signert. Innenfor disse rammene avhenger tiden av Operatørens arbeidsmengde og av hvor komplekst Kundens nettsted er.

Hvis Kundens nettsted blir ustabilt under Sjekken, stanser Operatøren Sjekken midlertidig og informerer Kundens kontaktperson uten opphold.

Kunden kan når som helst stanse Sjekken ved melding til Operatøren. Operatøren stanser Sjekken straks etter å ha mottatt meldingen.

Hvis Operatøren finner tegn på at en tredjepart allerede har skaffet seg uautorisert tilgang til Kundens nettsted, informerer Operatøren Kunden uten opphold og vederlagsfritt og gir Kunden informasjonen Kunden trenger for å kunne reagere.

Hvis Sjekken ikke avdekker noen Funn, gir Operatøren Kunden Sjekkrapporten vederlagsfritt. Sjekkrapporten beskriver hva som ble sjekket, i hvilken periode, med hvilke metoder og med hvilket resultat.

Hvis Sjekken avdekker Funn, gir Operatøren Kunden Funnvarselet vederlagsfritt. Funnvarselet angir:

1. (a)antallet Funn;
2. (b)Alvorlighetsgraden til hvert Funn og vektoren den følger av;
3. (c)klassen til hvert Funn og den delen av Kundens nettsted det gjelder;
4. (d)beviset for at hvert Funn finnes, uten de detaljene som ville gjøre det mulig å gjenskape Funnet;
5. (e)Prisen;
6. (f)hvor lenge Prisen gjelder.

Alvorlighetsgraden fastsettes etter Common Vulnerability Scoring System, versjon 4.0, slik den er publisert av Forum of Incident Response and Security Teams (FIRST). Vektoren som er angitt i Funnvarselet, gjør det mulig for Kunden å kontrollere vurderingen.

At Kunden mottar Funnvarselet, forplikter ikke Kunden til å kjøpe Funnrapporten.

Operatøren fastsetter Prisen ut fra antallet Funn og Alvorlighetsgraden til hvert av dem. Prisen angis i Funnvarselet som et fast beløp i euro og endres ikke etter at Funnvarselet er sendt.

Prisen er prisen for Funnrapporten alene, som leveres i sin helhet på én gang. Retesten er en egen forpliktelse for Operatøren, som gis vederlagsfritt, og inngår ikke i det Prisen er vederlag for.

Prisen gjelder i 30 dager fra den dagen Funnvarselet sendes. I denne perioden er Funnvarselet et bindende tilbud fra Operatøren om å levere Funnrapporten til Prisen.

Kunden aksepterer tilbudet i Funnvarselet ved en skriftlig bekreftelse som angir Funnvarselet og Prisen; e-post er tilstrekkelig. Operatøren utsteder deretter fakturaen.

Fakturaen betales ved bankoverføring til kontoen som er angitt i den. Betalingen er gjennomført når beløpet er godskrevet Operatørens konto. Prisen inkluderer ikke merverdiavgift; avgiften beregnes der loven krever det, og fakturaen angir når den skal betales av Kunden etter reglene om omvendt avgiftsplikt. Hver part dekker gebyrene i sin egen bank.

Operatøren leverer Funnrapporten umiddelbart etter at betalingen er mottatt, gjennom en sikker kanal som er avtalt med Kunden.

For hvert Funn inneholder Funnrapporten:

1. (a)en beskrivelse av Funnet og den delen av Kundens nettsted det gjelder;
2. (b)beviset og stegene for å gjenskape Funnet;
3. (c)vektoren og poengsummen etter Common Vulnerability Scoring System, versjon 4.0, og klassen etter Common Weakness Enumeration;
4. (d)konsekvensene en utnyttelse av Funnet kan få;
5. (e)anbefalinger om hvordan Funnet kan utbedres.

Etter at Kunden har utbedret Funnene, utfører Operatøren Retesten av hvert Funn vederlagsfritt. Kunden ber om Retesten innen 60 dager etter at rapporten er levert. Operatøren meddeler resultatet av Retesten skriftlig.

Hvis Kunden ikke aksepterer tilbudet i Funnvarselet mens Prisen gjelder, bortfaller tilbudet, og Kunden skylder ikke Operatøren noe. Deretter kan Funnrapporten kjøpes etter avtale mellom partene.

Hvis Operatøren ikke leverer Funnrapporten etter betalingen, kan Kunden heve kjøpet, og Operatøren tilbakebetaler det innbetalte beløpet uten opphold. Dette berører ikke de andre misligholdsbeføyelsene loven gir Kunden.

Operatøren:

1. (a)utfører Sjekken med den aktsomhet og den faglige dyktighet som kreves av en profesjonell aktør, og innenfor rammene av disse Vilkårene og Tillatelsen;
2. (b)bruker den minst inngripende handlingen som bekrefter et Funn;
3. (c)behandler informasjonen Operatøren har fått, konfidensielt i samsvar med punkt 10;
4. (d)utpeker en kontaktperson som kan nås under Sjekken.

Kunden:

1. (a)gir korrekte opplysninger om seg selv og om Kundens nettsted;
2. (b)utpeker en kontaktperson som kan nås under Sjekken;
3. (c)sørger for at det finnes en oppdatert sikkerhetskopi av Kundens nettsted før Sjekken starter;
4. (d)informerer Operatøren uten opphold om endringer på Kundens nettsted under Sjekken og om alle forhold som kan påvirke Sjekken;
5. (e)bruker Sjekkrapporten, Funnvarselet og Funnrapporten i samsvar med punkt 9.

Opphaverens økonomiske rettigheter til Sjekkrapporten, Funnvarselet og Funnrapporten tilhører Operatøren.

Fra Sjekkrapporten er levert, og fra Funnrapporten er betalt, får Kunden en ikke-eksklusiv lisens, uten begrensning i tid og territorium, til å bruke dokumentet til egne behov: til å utbedre Funnene, til interne formål og til å utlevere det til sine revisorer, forsikringsselskaper og tilsynsmyndigheter og til oppdragstakerne som utbedrer Funnene, forutsatt at de er bundet av taushetsplikt.

Kunden presenterer ikke Sjekkrapporten eller Funnrapporten som en garanti for eller et sertifikat på sikkerheten til Kundens nettsted og siterer dem ikke på en måte som villeder om Sjekkens omfang, periode eller resultat.

Operatørens metoder, verktøy og fagkunnskap tilhører fortsatt Operatøren.

Operatøren behandler Funnene og all annen informasjon om Kunden og Kundens nettsted som Operatøren har fått i forbindelse med Avtalen, konfidensielt. Plikten er ikke tidsbegrenset.

Operatøren utleverer ikke Funnene til tredjeparter, offentliggjør dem ikke og bruker dem ikke til andre formål enn oppfyllelsen av Avtalen. Dette gjelder også når Kunden ikke kjøper Funnrapporten.

Operatøren oppgir ikke Kunden som sin kunde uten Kundens skriftlige samtykke.

Taushetsplikten gjelder ikke informasjon som Operatøren er forpliktet til å utlevere etter lov eller etter en bindende avgjørelse fra en domstol eller en myndighet. Operatøren utleverer slik informasjon i det omfanget som kreves, og informerer Kunden på forhånd når loven tillater det.

Operatøren destruerer arbeidsdataene fra Sjekken 30 dager etter at oppdraget er avsluttet. Oppdraget er avsluttet den dagen Sjekkrapporten leveres, den dagen Prisen slutter å gjelde uten at Kunden har akseptert tilbudet i Funnvarselet, eller den dagen resultatet av Retesten meddeles eller fristen for å be om Retesten løper ut.

Tiltakene Operatøren beskytter Kundens informasjon med, er beskrevet i Policyen for informasjonssikkerhet.

Hver part behandler personopplysningene om den andre partens representanter og kontaktpersoner som selvstendig behandlingsansvarlig, for å inngå og oppfylle Avtalen. Operatøren behandler slike opplysninger i samsvar med Personvernerklæringen.

Sjekken er ikke rettet mot personopplysninger. Hvis Operatøren likevel får tilgang til personopplysninger på Kundens nettsted, behandler Operatøren disse opplysningene på vegne av Kunden som databehandler i henhold til artikkel 28 i forordning (EU) 2016/679, og Kunden er behandlingsansvarlig. Dette punktet er i så fall avtalen som artikkelen krever.

Behandlingens gjenstand og varighet er Sjekken og Retesten; behandlingens art og formål er å bekrefte Funn; personopplysningene og de registrerte er dem et Funn gir tilgang til, som regel brukerne av Kundens nettsted.

Operatøren som databehandler:

1. (a)behandler personopplysninger bare på dokumenterte instrukser fra Kunden, som fremgår av Avtalen og Tillatelsen, og overfører personopplysninger ut av Det europeiske økonomiske samarbeidsområde bare etter slike instrukser og i samsvar med kapittel V i forordning (EU) 2016/679, med mindre dette kreves etter unionsretten eller medlemsstatenes nasjonale rett som Operatøren er underlagt; i så fall underretter Operatøren Kunden om dette rettslige kravet før behandlingen, med mindre vedkommende rett forbyr slik underretning;
2. (b)underretter Kunden umiddelbart dersom en instruks etter Operatørens mening er i strid med forordning (EU) 2016/679 eller andre bestemmelser om personvern i unionsretten eller i en medlemsstats rett;
3. (c)sikrer at personer som er autorisert til å behandle personopplysningene, er bundet av taushetsplikt;
4. (d)treffer tiltakene som kreves etter artikkel 32 i forordning (EU) 2016/679;
5. (e)benytter som underdatabehandlere leverandørene som er angitt i Personvernerklæringen, for tiden Cloudflare, Inc. for hosting og for lagring av data i Den europeiske union, på grunnlag av den generelle skriftlige godkjenningen Kunden gir ved å inngå Avtalen; underretter Kunden per e-post om en planlagt endring av underdatabehandlerne før den trer i kraft, slik at Kunden kan protestere mot den og, hvis Operatøren opprettholder endringen, si opp Avtalen; og pålegger hver underdatabehandler de samme forpliktelsene om personvern som dette punktet pålegger Operatøren;
6. (f)bistår Kunden med å besvare anmodninger fra de registrerte og med å oppfylle forpliktelsene etter artikkel 32–36 i forordning (EU) 2016/679;
7. (g)underretter Kunden uten ugrunnet opphold etter å ha blitt oppmerksom på et brudd på personopplysningssikkerheten;
8. (h)kopierer ikke personopplysninger, maskerer dem i bevisene slik at Funnvarselet ikke inneholder noen, sender dem ikke per e-post eller gjennom meldingstjenester og leverer Funnrapporten bare gjennom den sikre kanalen i punkt 7;
9. (i)sletter personopplysningene eller returnerer dem til Kunden, etter Kundens valg, når oppdraget er avsluttet, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres;
10. (j)gjør informasjonen som er nødvendig for å påvise at dette punktet overholdes, tilgjengelig for Kunden og gir adgang til revisjoner utført av Kunden eller av en revisor som Kunden har gitt fullmakt.

Sjekken er begrenset i periode, omfang og metoder. At Sjekken ikke har avdekket noen Funn, betyr ikke at Kundens nettsted ikke har sårbarheter. Sjekkrapporten og Funnrapporten er ingen garanti for at Kundens nettsted ikke kan kompromitteres.

Operatøren er ubegrenset ansvarlig for skade Operatøren har voldt forsettlig eller grovt uaktsomt, og for død, personskade og helseskade.

I alle andre tilfeller gjelder følgende:

1. (a)fordi Sjekken utføres vederlagsfritt, er Operatøren ikke ansvarlig for skade som voldes ved simpel uaktsomhet under Sjekken, med mindre skaden skyldes en handling som punkt 5 utelukker;
2. (b)Operatørens samlede ansvar i forbindelse med Funnrapporten og Retesten er begrenset til Prisen Kunden har betalt;
3. (c)Operatøren er ikke ansvarlig for tapt fortjeneste og indirekte tap, for skade voldt av tredjeparter som utnytter en sårbarhet i Kundens nettsted, for svikt i Kundens nettsted som skyldes nettstedets tilstand når Operatøren har handlet innenfor rammene av punkt 5, eller for følgene av at Kunden ikke har utbedret et Funn eller har utbedret det på en annen måte enn anbefalt.

En part er ikke ansvarlig for mislighold som skyldes force majeure: et forhold utenfor partens kontroll som parten ikke med rimelighet kunne ventes å ha tatt i betraktning, unngått eller overvunnet.

Avtalen trer i kraft når den inngås, og gjelder til partene har oppfylt sine forpliktelser.

Inntil Kunden har akseptert tilbudet i Funnvarselet, kan Kunden når som helst si opp Avtalen ved melding til Operatøren, uten å oppgi grunn og uten noen betaling.

Operatøren kan si opp Avtalen ved melding til Kunden når:

1. (a)en erklæring eller inneståelse fra Kunden viser seg å være uriktig;
2. (b)Kunden krever handlinger som disse Vilkårene utelukker;
3. (c)fortsettelse av Sjekken ville være i strid med loven eller tredjeparters rettigheter.

Bestemmelsene om rettighetene til resultatene, konfidensialitet, personopplysninger, ansvar, lovvalg og verneting gjelder også etter at Avtalen er opphørt.

Avtalen er underlagt Republikken Estlands rett.

Partene søker å løse en tvist ved forhandlinger. Et krav fremsettes skriftlig, og parten som har mottatt det, svarer uten ugrunnet opphold.

En tvist som ikke løses ved forhandlinger, avgjøres av den domstolen i Republikken Estland som har Operatørens forretningskontor i sin rettskrets.

Operatøren kan endre disse Vilkårene. En endring gjelder for Avtaler som inngås etter at endringen har trådt i kraft; en Avtale er underlagt den versjonen av disse Vilkårene som gjaldt den dagen Tillatelsen ble signert.

Avtalen består av Tillatelsen, disse Vilkårene og, når det er sendt, Funnvarselet. Hvis Tillatelsen avviker fra disse Vilkårene, går Tillatelsen foran.

Meldinger etter Avtalen sendes per e-post: til Operatøren til adressen som er angitt i disse Vilkårene, til Kunden til adressen som er angitt i Forespørselen eller i Tillatelsen.

Kunden overdrar ikke Avtalen til en tredjepart uten Operatørens skriftlige samtykke. Dette begrenser ikke overdragelse av et pengekrav.

Hvis en bestemmelse i disse Vilkårene er ugyldig, berøres ikke gyldigheten av de øvrige bestemmelsene.

Disse Vilkårene er utarbeidet på engelsk og publiseres i oversettelse. Hvis en oversettelse avviker fra den engelske teksten, gjelder den engelske teksten.

Operatøren:

Operatørens bankopplysninger er angitt i fakturaen.