Условия бесплатной проверки безопасности сайта

В настоящих Условиях используются следующие термины:

1. (а)«Оператор» — Osaühing Ida Portal, регистрационный код 10970449, юридический адрес: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, оказывающее услуги под наименованием Security Test Team;
2. (б)«Заказчик» — юридическое лицо либо физическое лицо, действующее в рамках своей предпринимательской или профессиональной деятельности, которое заключило Договор с Оператором;
3. (в)«Сайт Оператора» — сайт securitytest.team;
4. (г)«Сайт Заказчика» — сайт, названный в Разрешении, в пределах доменных имён, перечисленных в Разрешении;
5. (д)«Заявка» — обращение о проведении Проверки, направленное через форму на Сайте Оператора или по электронной почте;
6. (е)«Разрешение» — документ, который Оператор составляет для Сайта Заказчика на основании Заявки, который ссылается на настоящие Условия, называет Заказчика, Сайт Заказчика, период Проверки, сетевые адреса, с которых проводится Проверка, и контактные лица сторон и подписанием которого Заказчик разрешает Проверку и принимает предложение Оператора;
7. (ж)«Проверка» — внешнее исследование безопасности Сайта Заказчика, описанное в разделе 5;
8. (з)«Находка» — уязвимость Сайта Заказчика, подтверждённая специалистом Оператора;
9. (и)«Критичность» — качественная оценка Находки по системе Common Vulnerability Scoring System версии 4.0: низкая, средняя, высокая или критическая;
10. (к)«Отчёт о проверке» — отчёт о Проверке, которая не выявила Находок;
11. (л)«Уведомление» — документ, которым Заказчику сообщается о Находках и о Цене;
12. (м)«Отчёт о находках» — отчёт, описывающий каждую Находку с той степенью подробности, которая необходима для её воспроизведения и устранения;
13. (н)«Цена» — цена Отчёта о находках, указанная в Уведомлении;
14. (о)«Повторная проверка» — исследование того, устранены ли Находки, описанные в Отчёте о находках;
15. (п)«Договор» — договор о Проверке, заключённый между Оператором и Заказчиком на настоящих Условиях.

Настоящие Условия являются стандартными условиями, на которых Оператор заключает Договор. Они становятся частью Договора, когда Заказчик подписывает Разрешение, которое на них ссылается.

Описание Проверки на Сайте Оператора, включая настоящие Условия, является приглашением делать предложения. Предложением Оператора является Разрешение, которое он направляет конкретному заявителю.

Проверка предлагается предпринимателям: юридическим лицам и физическим лицам, действующим в рамках своей предпринимательской или профессиональной деятельности. С потребителями Оператор Договор не заключает. Направляя Заявку и подписывая Разрешение, Заказчик подтверждает, что действует в рамках своей предпринимательской или профессиональной деятельности.

По Договору Оператор бесплатно проводит Проверку и передаёт Заказчику Отчёт о проверке либо Уведомление, а Заказчик вправе, но не обязан купить Отчёт о находках по Цене.

Первая Проверка Сайта Заказчика бесплатна. Последующая Проверка того же Сайта Заказчика требует согласия Оператора.

Услуги, отличные от Проверки, Отчёта о находках и Повторной проверки, оказываются по отдельному договору.

Лицо, желающее заказать проверку сайта, направляет Заявку через форму на Сайте Оператора или по электронной почте info@securitytest.team и называет сайт, который нужно проверить. До отправки формы заявитель может просмотреть и исправить каждое введённое значение; форма указывает, какие поля не заполнены или заполнены неверно.

Оператор рассматривает Заявку и отвечает в течение 1 рабочего дня. Если Заявку можно исполнить, Оператор направляет Разрешение на подпись.

Разрешение подписывает лицо, имеющее право представлять Заказчика, — собственноручно либо квалифицированной электронной подписью в значении Регламента (ЕС) № 910/2014, например эстонской цифровой подписью, данной с помощью ID-карты, Mobile-ID или Smart-ID, либо подписью, данной с помощью европейского кошелька цифровой идентичности (European Digital Identity Wallet). Стороны соглашаются, что подпись, данная одним из этих способов, соответствует форме, согласованной ими для Договора.

Договор считается заключённым в момент, когда подписанное Разрешение поступило Оператору. Оператор подтверждает заключение Договора по электронной почте и направляет Заказчику копию подписанного Разрешения и настоящих Условий в редакции, действующей в этот день. Оператор хранит подписанное Разрешение в течение срока, указанного в Политике конфиденциальности.

Договор заключается на языке Сайта Оператора, на котором Заказчик направил Заявку, либо на английском языке. Язык указывается в Разрешении.

До заключения Договора Оператор вправе отклонить Заявку, в частности если:

1. (а)право заявителя распоряжаться сайтом не подтверждено;
2. (б)заявитель действует не в рамках своей предпринимательской или профессиональной деятельности;
3. (в)сайт используется для деятельности, запрещённой законом;
4. (г)Проверка потребовала бы действий, которые настоящие Условия исключают;
5. (д)заключение Договора нарушило бы закон или международные санкции;
6. (е)у Оператора нет возможности провести Проверку в разумный срок.

Подписывая Разрешение, Заказчик заверяет и гарантирует, что:

1. (а)Заказчик является владельцем Сайта Заказчика либо уполномочен его владельцем разрешить Проверку;
2. (б)лицо, подписавшее Разрешение, вправе представлять Заказчика;
3. (в)правила тестирования безопасности, установленные поставщиками услуг хостинга, облачных услуг и программного обеспечения как услуги, у которых размещён Сайт Заказчика, допускают Проверку либо эти поставщики дали на неё согласие;
4. (г)Проверка не нарушает права третьих лиц и обязательства Заказчика перед ними.

Если Сайт Заказчика размещён у поставщика услуг хостинга, облачных или иных услуг, правила которого требуют уведомлять о тестировании безопасности или получать на него согласие, Заказчик до начала Проверки уведомляет поставщика или получает его согласие.

Оператор вправе потребовать, чтобы Заказчик подтвердил свой контроль над Сайтом Заказчика, в частности разместив файл или DNS-запись домена, указанные Оператором.

Заказчик возмещает Оператору ущерб, причинённый тем, что заверение или гарантия настоящего раздела оказались недостоверными, включая требования третьих лиц.

Проверка проводится из интернета — так, как Сайт Заказчика видит посетитель: без учётных записей пользователей и без доступа к серверам, исходному коду и внутренней сети Заказчика.

Проверка охватывает:

1. (а)настройку HTTPS и TLS: версии протоколов, сертификаты и перенаправления;
2. (б)заголовки безопасности и атрибуты cookie;
3. (в)файлы и интерфейсы, доступные из интернета: резервные копии, файлы конфигурации, каталоги систем контроля версий, панели администрирования и отладочные страницы;
4. (г)систему управления содержимым, её расширения, фреймворки и серверное программное обеспечение с публично известными уязвимостями;
5. (д)общедоступные формы и параметры: внедрение кода и межсайтовый скриптинг, проверяемые безвредными запросами;
6. (е)страницы входа, регистрации и восстановления пароля: защиту от подбора и от перечисления учётных записей;
7. (ж)сведения, раскрываемые сообщениями об ошибках, картами исходного кода и метаданными;
8. (з)записи доменного имени, защищающие от подделки электронной почты: SPF, DKIM и DMARC.

Проверка проводится по методам OWASP Web Security Testing Guide. Для составления карты Сайта Заказчика используются автоматические инструменты; каждую Находку подтверждает специалист Оператора.

Проверка не включает, и Оператор не выполняет:

1. (а)атаки на отказ в обслуживании и нагрузочное тестирование;
2. (б)социальную инженерию в отношении работников, клиентов и подрядчиков Заказчика;
3. (в)физический доступ в помещения и к оборудованию;
4. (г)удаление, изменение и шифрование данных Сайта Заказчика;
5. (д)доступ к персональным данным сверх минимума, необходимого для подтверждения Находки, и копирование таких данных;
6. (е)исследование систем, не названных в Разрешении, включая сервисы третьих лиц, которые использует Сайт Заказчика;
7. (ж)исследование с учётными записями пользователей, исследование внутренних функций Сайта Заказчика и анализ его исходного кода.

Оператор проводит Проверку и передаёт Заказчику Отчёт о проверке либо Уведомление в течение 1–5 рабочих дней после подписания разрешения. В этих пределах срок зависит от загрузки Оператора и сложности Сайта Заказчика.

Если во время Проверки работа Сайта Заказчика становится неустойчивой, Оператор приостанавливает Проверку и незамедлительно сообщает об этом контактному лицу Заказчика.

Заказчик вправе в любое время прекратить Проверку, уведомив Оператора. Оператор прекращает Проверку сразу после получения уведомления.

Если Оператор обнаружил признаки того, что третье лицо уже получило несанкционированный доступ к Сайту Заказчика, Оператор незамедлительно и бесплатно сообщает об этом Заказчику и передаёт сведения, необходимые Заказчику для реагирования.

Если Проверка не выявила Находок, Оператор бесплатно передаёт Заказчику Отчёт о проверке. В Отчёте о проверке указано, что проверено, в какой период, какими методами и с каким результатом.

Если Проверка выявила Находки, Оператор бесплатно передаёт Заказчику Уведомление. В Уведомлении указаны:

1. (а)число Находок;
2. (б)Критичность каждой Находки и вектор, из которого она следует;
3. (в)класс каждой Находки и часть Сайта Заказчика, к которой она относится;
4. (г)доказательства существования каждой Находки — без подробностей, позволяющих воспроизвести Находку;
5. (д)Цена;
6. (е)срок, в течение которого Цена действительна.

Критичность определяется по системе Common Vulnerability Scoring System версии 4.0 в том виде, в каком её опубликовала организация Forum of Incident Response and Security Teams (FIRST). Вектор, указанный в Уведомлении, позволяет Заказчику проверить оценку.

Получение Уведомления не обязывает Заказчика купить Отчёт о находках.

Оператор определяет Цену исходя из числа Находок и Критичности каждой из них. Цена указывается в Уведомлении твёрдой суммой в евро и после направления Уведомления не меняется.

Цена является ценой только Отчёта о находках, который передаётся сразу и полностью. Повторная проверка является отдельным безвозмездным обязательством Оператора и не входит в то, за что уплачивается Цена.

Цена действительна 30 дней со дня направления Уведомления. В течение этого срока Уведомление является обязывающим предложением Оператора передать Отчёт о находках по Цене.

Заказчик принимает предложение, содержащееся в Уведомлении, письменным подтверждением, в котором указаны Уведомление и Цена; для этого достаточно электронного письма. После этого Оператор выставляет счёт.

Счёт оплачивается банковским переводом на указанный в нём банковский счёт. Оплата считается произведённой, когда сумма зачислена на счёт Оператора. Цена не включает налог на добавленную стоимость; налог начисляется, если этого требует закон, а если налог уплачивает Заказчик в порядке обратного начисления, это указывается в счёте. Каждая сторона несёт расходы своего банка.

Оператор передаёт Отчёт о находках незамедлительно после получения оплаты — по защищённому каналу, согласованному с Заказчиком.

По каждой Находке Отчёт о находках содержит:

1. (а)описание Находки и часть Сайта Заказчика, к которой она относится;
2. (б)доказательства и шаги воспроизведения Находки;
3. (в)вектор и оценку по системе Common Vulnerability Scoring System версии 4.0 и класс по классификации Common Weakness Enumeration;
4. (г)последствия, к которым может привести эксплуатация Находки;
5. (д)рекомендации по устранению Находки.

После того как Заказчик устранил Находки, Оператор бесплатно проводит Повторную проверку каждой Находки. Заказчик запрашивает Повторную проверку в течение 60 дней после передачи отчёта. Результат Повторной проверки Оператор сообщает в письменной форме.

Если Заказчик не принял предложение, содержащееся в Уведомлении, пока Цена действительна, предложение утрачивает силу и Заказчик ничего не должен Оператору. После этого Отчёт о находках можно купить по соглашению сторон.

Если после оплаты Оператор не передал Отчёт о находках, Заказчик вправе отказаться от его покупки, и Оператор незамедлительно возвращает уплаченную сумму. Это не затрагивает иные средства правовой защиты, которые закон предоставляет Заказчику.

Оператор:

1. (а)проводит Проверку с заботливостью и умением профессионала и в пределах настоящих Условий и Разрешения;
2. (б)применяет наименее инвазивное действие, которое подтверждает Находку;
3. (в)сохраняет полученные сведения в тайне в соответствии с разделом 10;
4. (г)называет контактное лицо, с которым можно связаться во время Проверки.

Заказчик:

1. (а)предоставляет достоверные сведения о себе и о Сайте Заказчика;
2. (б)называет контактное лицо, с которым можно связаться во время Проверки;
3. (в)до начала Проверки убеждается, что существует актуальная резервная копия Сайта Заказчика;
4. (г)незамедлительно сообщает Оператору об изменениях Сайта Заказчика во время Проверки и о любых обстоятельствах, которые могут на неё повлиять;
5. (д)использует Отчёт о проверке, Уведомление и Отчёт о находках в соответствии с разделом 9.

Имущественные авторские права на Отчёт о проверке, Уведомление и Отчёт о находках принадлежат Оператору.

С момента передачи Отчёта о проверке, а в отношении Отчёта о находках — с момента его оплаты Заказчик получает простую (неисключительную) лицензию, не ограниченную сроком и территорией, на использование документа для собственных нужд: для устранения Находок, во внутренних целях и для раскрытия своим аудиторам, страховщикам, надзорным органам и подрядчикам, устраняющим Находки, при условии что они обязаны сохранять конфиденциальность.

Заказчик не представляет Отчёт о проверке и Отчёт о находках как гарантию или сертификат безопасности Сайта Заказчика и не цитирует их так, чтобы вводить в заблуждение относительно объёма, периода или результата Проверки.

Методы, инструменты и ноу-хау Оператора остаются за Оператором.

Оператор сохраняет в тайне Находки и все иные сведения о Заказчике и о Сайте Заказчика, полученные в связи с Договором. Эта обязанность не ограничена сроком.

Оператор не раскрывает Находки третьим лицам, не публикует их и не использует ни в каких целях, кроме исполнения Договора. Это действует и в том случае, если Заказчик не покупает Отчёт о находках.

Оператор не называет Заказчика своим клиентом без письменного согласия Заказчика.

Обязанность сохранять конфиденциальность не распространяется на сведения, которые Оператор обязан раскрыть по закону или по обязательному решению суда или органа власти. Оператор раскрывает такие сведения в требуемом объёме и, если это допускает закон, заранее сообщает об этом Заказчику.

Оператор уничтожает рабочие данные Проверки через 30 дней после закрытия проекта. Проект считается закрытым в день передачи Отчёта о проверке, в день, когда Цена перестала быть действительной, а Заказчик не принял предложение, содержащееся в Уведомлении, либо в день, когда сообщён результат Повторной проверки или истёк срок, в течение которого её можно запросить.

Меры, которыми Оператор защищает сведения Заказчика, изложены в Политике информационной безопасности.

Каждая сторона обрабатывает персональные данные представителей и контактных лиц другой стороны как самостоятельный контролёр — для заключения и исполнения Договора. Оператор обрабатывает такие данные в соответствии со своей Политикой конфиденциальности.

Проверка не направлена на персональные данные. Если Оператор тем не менее получает доступ к персональным данным, содержащимся на Сайте Заказчика, он обрабатывает их по поручению Заказчика как обработчик в значении статьи 28 Регламента (ЕС) 2016/679, а Заказчик является их контролёром. В этом случае настоящий раздел является договором, которого требует названная статья.

Предмет и срок обработки — Проверка и Повторная проверка; характер и цель обработки — подтверждение Находок; персональные данные и субъекты данных — те, к которым Находка открывает доступ, как правило пользователи Сайта Заказчика.

Как обработчик Оператор:

1. (а)обрабатывает персональные данные только по документально оформленным указаниям Заказчика, которые содержатся в Договоре и в Разрешении, и передаёт персональные данные за пределы Европейской экономической зоны только по таким указаниям и в соответствии с главой V Регламента (ЕС) 2016/679, если только этого не требует право Союза или государства-члена, которому подчиняется Оператор; в таком случае Оператор до начала обработки сообщает Заказчику об этом требовании закона, если только этот закон не запрещает такое сообщение;
2. (б)незамедлительно сообщает Заказчику, если, по его мнению, указание нарушает Регламент (ЕС) 2016/679 или иные положения о защите данных Союза или государства-члена;
3. (в)обеспечивает, чтобы лица, допущенные к обработке персональных данных, были обязаны сохранять конфиденциальность;
4. (г)принимает меры, которых требует статья 32 Регламента (ЕС) 2016/679;
5. (д)привлекает в качестве субобработчиков поставщиков, названных в Политике конфиденциальности, в настоящее время — Cloudflare, Inc. для хостинга и для хранения данных в Европейском союзе, на основании общего письменного разрешения, которое Заказчик даёт, заключая Договор; до вступления в силу предполагаемого изменения состава субобработчиков сообщает о нём Заказчику по электронной почте, чтобы Заказчик мог возразить против него, а если Оператор сохраняет изменение — расторгнуть Договор; и возлагает на каждого субобработчика те же обязанности по защите данных, которые настоящий раздел возлагает на Оператора;
6. (е)содействует Заказчику в ответах на обращения субъектов данных и в исполнении обязанностей, предусмотренных статьями 32–36 Регламента (ЕС) 2016/679;
7. (ж)без неоправданной задержки уведомляет Заказчика после того, как ему стало известно о нарушении безопасности персональных данных;
8. (з)не копирует персональные данные, маскирует их в доказательствах так, чтобы Уведомление их не содержало, не отправляет их по электронной почте и через мессенджеры и передаёт Отчёт о находках только по защищённому каналу, предусмотренному разделом 7;
9. (и)при закрытии проекта по выбору Заказчика удаляет персональные данные или возвращает их Заказчику и удаляет существующие копии, если только право Союза или государства-члена не требует хранения персональных данных;
10. (к)предоставляет Заказчику сведения, необходимые для подтверждения соблюдения настоящего раздела, и допускает проверки (аудиты), которые проводит Заказчик или уполномоченный им аудитор.

Проверка ограничена по сроку, объёму и методам. То, что Проверка не выявила Находок, не означает, что на Сайте Заказчика нет уязвимостей. Отчёт о проверке и Отчёт о находках не являются гарантией того, что Сайт Заказчика не может быть скомпрометирован.

Оператор несёт ответственность без ограничения за ущерб, причинённый им умышленно или по грубой неосторожности, а также за причинение смерти, телесного повреждения и вреда здоровью.

Во всех остальных случаях действует следующее:

1. (а)поскольку Проверка проводится бесплатно, Оператор не несёт ответственности за ущерб, причинённый в ходе Проверки по простой неосторожности, если только ущерб не вызван действием, которое исключает раздел 5;
2. (б)совокупная ответственность Оператора в связи с Отчётом о находках и Повторной проверкой ограничена Ценой, уплаченной Заказчиком;
3. (в)Оператор не несёт ответственности за упущенную выгоду и косвенный ущерб, за ущерб, причинённый третьими лицами, которые эксплуатируют уязвимость Сайта Заказчика, за сбой Сайта Заказчика, вызванный его состоянием, если Оператор действовал в пределах раздела 5, и за последствия того, что Заказчик не устранил Находку или устранил её не так, как рекомендовано.

Сторона не несёт ответственности за нарушение, вызванное непреодолимой силой — обстоятельством, которое находится вне её контроля и которое она не могла разумно учесть, избежать или преодолеть.

Договор вступает в силу в момент его заключения и действует до исполнения сторонами своих обязательств.

Пока Заказчик не принял предложение, содержащееся в Уведомлении, он вправе в любое время расторгнуть Договор, уведомив Оператора, — без объяснения причин и без каких-либо платежей.

Оператор вправе расторгнуть Договор, уведомив Заказчика, если:

1. (а)заверение или гарантия Заказчика оказались недостоверными;
2. (б)Заказчик требует действий, которые настоящие Условия исключают;
3. (в)продолжение Проверки нарушило бы закон или права третьих лиц.

Положения о правах на результаты, конфиденциальности, персональных данных, ответственности, применимом праве и подсудности сохраняют силу после прекращения Договора.

К Договору применяется право Эстонской Республики.

Стороны стремятся разрешить спор путём переговоров. Претензия предъявляется в письменной форме, и получившая её сторона отвечает без неоправданной задержки.

Спор, не разрешённый путём переговоров, разрешается судом Эстонской Республики по месту нахождения Оператора.

Оператор вправе изменить настоящие Условия. Изменение применяется к Договорам, заключённым после его вступления в силу; к Договору применяется редакция настоящих Условий, действовавшая в день подписания Разрешения.

Договор состоит из Разрешения, настоящих Условий и Уведомления, если оно направлено. При расхождении между Разрешением и настоящими Условиями применяется Разрешение.

По Договору уведомления направляются по электронной почте: Оператору — по адресу, указанному в настоящих Условиях, Заказчику — по адресу, указанному в Заявке или в Разрешении.

Заказчик не передаёт Договор третьему лицу без письменного согласия Оператора. Это не ограничивает уступку денежного требования.

Недействительность отдельного положения настоящих Условий не затрагивает действительность остальных положений.

Настоящие Условия составлены на английском языке и публикуются в переводе. Если перевод расходится с английским текстом, применяется английский текст.

Оператор:

Банковские реквизиты Оператора указываются в счёте.