Villkor för gratis säkerhetskontroll av webbplats

I dessa Villkor har följande begrepp följande betydelse:

1. (a)”Operatören” avser Osaühing Ida Portal, registreringskod 10970449, säte: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia, som tillhandahåller sina tjänster under namnet Security Test Team;
2. (b)”Kunden” avser den juridiska person, eller den fysiska person som handlar inom ramen för sin närings- eller yrkesverksamhet, som har ingått Avtalet med Operatören;
3. (c)”Operatörens webbplats” avser webbplatsen securitytest.team;
4. (d)”Kundens webbplats” avser den webbplats som anges i Tillståndet, inom de domännamn som räknas upp i Tillståndet;
5. (e)”Förfrågan” avser en begäran om en Kontroll som skickas via formuläret på Operatörens webbplats eller per e-post;
6. (f)”Tillståndet” avser det dokument som Operatören upprättar för Kundens webbplats på grundval av en Förfrågan, som hänvisar till dessa Villkor och anger Kunden, Kundens webbplats, tidsperioden för Kontrollen, de nätverksadresser som Kontrollen utförs från och parternas kontaktpersoner, och genom vars underskrift Kunden ger tillstånd till Kontrollen och accepterar Operatörens anbud;
7. (g)”Kontrollen” avser den externa granskningen av säkerheten hos Kundens webbplats som beskrivs i avsnitt 5;
8. (h)”Fynd” avser en sårbarhet i Kundens webbplats som en specialist hos Operatören har bekräftat;
9. (i)”Allvarlighetsgrad” avser den kvalitativa bedömningen av ett Fynd enligt Common Vulnerability Scoring System, version 4.0: låg, medelhög, hög eller kritisk;
10. (j)”Kontrollrapport” avser rapporten om en Kontroll som inte har identifierat några Fynd;
11. (k)”Fyndmeddelande” avser det dokument som informerar Kunden om Fynden och om Priset;
12. (l)”Fyndrapport” avser den rapport som beskriver varje Fynd så detaljerat som krävs för att återskapa och åtgärda det;
13. (m)”Priset” avser det pris för Fyndrapporten som anges i Fyndmeddelandet;
14. (n)”Omtest” avser granskningen av om de Fynd som beskrivs i Fyndrapporten har åtgärdats;
15. (o)”Avtalet” avser det avtal om Kontrollen som har ingåtts mellan Operatören och Kunden enligt dessa Villkor.

Dessa Villkor är de standardvillkor enligt vilka Operatören ingår Avtalet. De blir en del av Avtalet när Kunden skriver under Tillståndet, som hänvisar till dem.

Beskrivningen av Kontrollen på Operatörens webbplats, inklusive dessa Villkor, är en uppmaning att lämna anbud. Operatörens anbud är det Tillstånd som Operatören skickar till en viss person som har gjort en Förfrågan.

Kontrollen erbjuds näringsidkare: juridiska personer och fysiska personer som handlar inom ramen för sin närings- eller yrkesverksamhet. Operatören ingår inte Avtalet med konsumenter. Genom att skicka Förfrågan och skriva under Tillståndet bekräftar Kunden att den handlar inom ramen för sin närings- eller yrkesverksamhet.

Enligt Avtalet utför Operatören Kontrollen kostnadsfritt och ger Kunden Kontrollrapporten eller Fyndmeddelandet, och Kunden har rätt, men inte skyldighet, att köpa Fyndrapporten till Priset.

Den första Kontrollen av Kundens webbplats är kostnadsfri. En ytterligare Kontroll av samma webbplats kräver Operatörens samtycke.

Andra tjänster än Kontrollen, Fyndrapporten och Omtestet tillhandahålls enligt ett separat avtal.

Den som vill få en webbplats kontrollerad skickar en Förfrågan via formuläret på Operatörens webbplats eller per e-post till info@securitytest.team och anger den webbplats som ska kontrolleras. Innan formuläret skickas kan den som gör Förfrågan granska och rätta varje uppgift; formuläret anger de uppgifter som saknas eller är ogiltiga.

Operatören går igenom Förfrågan och svarar inom 1 arbetsdag. Om Förfrågan kan tillgodoses skickar Operatören Tillståndet för underskrift.

Tillståndet skrivs under av en person som har rätt att företräda Kunden, antingen för hand eller med en kvalificerad elektronisk underskrift i den mening som avses i förordning (EU) nr 910/2014, till exempel den estniska digitala underskriften med id-kort, Mobile-ID eller Smart-ID, eller en underskrift med en europeisk digital identitetsplånbok. Parterna är överens om att en underskrift som ges på något av dessa sätt uppfyller den form som de har avtalat för Avtalet.

Avtalet ingås vid den tidpunkt då det underskrivna Tillståndet når Operatören. Operatören bekräftar per e-post att Avtalet har ingåtts och skickar Kunden en kopia av det underskrivna Tillståndet och av dessa Villkor i den lydelse som gäller den dagen. Operatören bevarar det underskrivna Tillståndet under den tid som anges i integritetspolicyn.

Avtalet ingås på det språk på Operatörens webbplats som Kunden har använt för Förfrågan, eller på engelska. Tillståndet anger språket.

Till dess att Avtalet har ingåtts får Operatören avböja en Förfrågan, särskilt om:

1. (a)rätten för den som gör Förfrågan att förfoga över webbplatsen inte är bekräftad;
2. (b)den som gör Förfrågan inte handlar inom ramen för sin närings- eller yrkesverksamhet;
3. (c)webbplatsen används för en verksamhet som är förbjuden enligt lag;
4. (d)Kontrollen skulle kräva åtgärder som dessa Villkor utesluter;
5. (e)ingåendet av Avtalet skulle strida mot lag eller mot en internationell sanktion;
6. (f)Operatören inte har kapacitet att utföra Kontrollen inom rimlig tid.

Genom att skriva under Tillståndet försäkrar och garanterar Kunden att:

1. (a)Kunden är ägare till Kundens webbplats eller har bemyndigats av dess ägare att ge tillstånd till Kontrollen;
2. (b)den person som skriver under Tillståndet har rätt att företräda Kunden;
3. (c)reglerna om säkerhetstestning hos de leverantörer av hosting, molntjänster och programvara som tjänst hos vilka Kundens webbplats är placerad tillåter Kontrollen, eller dessa leverantörer har samtyckt till den;
4. (d)Kontrollen inte gör intrång i tredje parts rättigheter och inte strider mot Kundens skyldigheter gentemot tredje part.

Om Kundens webbplats är placerad hos en hostingleverantör, molnleverantör eller annan leverantör vars regler kräver att leverantören underrättas om säkerhetstestning eller samtycker till den, underrättar Kunden leverantören eller inhämtar dess samtycke innan Kontrollen börjar.

Operatören får kräva att Kunden bekräftar sin kontroll över Kundens webbplats, särskilt genom att placera en fil eller en DNS-post som Operatören anger.

Kunden ersätter Operatören för den skada som uppstår till följd av att en försäkran eller garanti i detta avsnitt visar sig vara osann, inklusive tredje parts anspråk.

Kontrollen utförs från internet, så som en besökare ser Kundens webbplats: utan användarkonton och utan åtkomst till Kundens servrar, källkod eller interna nätverk.

Kontrollen omfattar:

1. (a)konfigurationen av HTTPS och TLS: protokollversioner, certifikat och omdirigeringar;
2. (b)säkerhetshuvuden och cookieattribut;
3. (c)filer och gränssnitt som är exponerade mot internet: säkerhetskopior, konfigurationsfiler, mappar för versionshanteringssystem, administrationspaneler och felsökningssidor;
4. (d)publiceringssystemet, dess tillägg, ramverken och serverprogramvaran med allmänt kända sårbarheter;
5. (e)offentliga formulär och parametrar: injektion och cross-site scripting, som testas med ofarliga anrop;
6. (f)sidorna för inloggning, registrering och återställning av lösenord: skydd mot gissning och mot uppräkning av konton;
7. (g)information som avslöjas av felmeddelanden, source maps och metadata;
8. (h)de DNS-poster som skyddar mot förfalskad e-post: SPF, DKIM och DMARC.

Kontrollen utförs enligt metoderna i OWASP Web Security Testing Guide. Automatiserade verktyg används för att kartlägga Kundens webbplats; varje Fynd bekräftas av en specialist hos Operatören.

Kontrollen omfattar inte, och Operatören utför inte:

1. (a)överbelastningsattacker och belastningstester;
2. (b)social engineering riktad mot Kundens personal, kunder eller uppdragstagare;
3. (c)fysisk åtkomst till lokaler och utrustning;
4. (d)radering, ändring eller kryptering av data på Kundens webbplats;
5. (e)åtkomst till personuppgifter utöver det minimum som krävs för att bekräfta ett Fynd, och kopiering av sådana uppgifter;
6. (f)granskning av system som inte anges i Tillståndet, inbegripet tredje parts tjänster som Kundens webbplats använder;
7. (g)granskning med användarkonton, granskning av de interna funktionerna på Kundens webbplats och granskning av dess källkod.

Operatören utför Kontrollen och ger Kunden Kontrollrapporten eller Fyndmeddelandet inom 1–5 arbetsdagar efter att tillståndet har skrivits under. Inom dessa ramar beror tiden på Operatörens arbetsbelastning och på hur komplex Kundens webbplats är.

Om Kundens webbplats blir instabil under Kontrollen avbryter Operatören Kontrollen tillfälligt och informerar Kundens kontaktperson utan dröjsmål.

Kunden får när som helst stoppa Kontrollen genom ett meddelande till Operatören. Operatören stoppar Kontrollen omedelbart efter att ha tagit emot meddelandet.

Om Operatören finner tecken på att en tredje part redan har skaffat sig obehörig åtkomst till Kundens webbplats informerar Operatören Kunden utan dröjsmål och kostnadsfritt och lämnar den information som Kunden behöver för att kunna agera.

Om Kontrollen inte identifierar några Fynd ger Operatören Kunden Kontrollrapporten kostnadsfritt. Kontrollrapporten beskriver vad som kontrollerades, under vilken period, med vilka metoder och med vilket resultat.

Om Kontrollen identifierar Fynd ger Operatören Kunden Fyndmeddelandet kostnadsfritt. Fyndmeddelandet anger:

1. (a)antalet Fynd;
2. (b)Allvarlighetsgraden för varje Fynd och den vektor som den följer av;
3. (c)klassen för varje Fynd och den del av Kundens webbplats som det gäller;
4. (d)bevisen för att varje Fynd finns, utan de detaljer som skulle göra det möjligt att återskapa Fyndet;
5. (e)Priset;
6. (f)den tid under vilken Priset gäller.

Allvarlighetsgraden fastställs enligt Common Vulnerability Scoring System, version 4.0, så som den publiceras av Forum of Incident Response and Security Teams (FIRST). Den vektor som anges i Fyndmeddelandet gör det möjligt för Kunden att kontrollera bedömningen.

Mottagandet av Fyndmeddelandet förpliktar inte Kunden att köpa Fyndrapporten.

Operatören fastställer Priset utifrån antalet Fynd och Allvarlighetsgraden för vart och ett av dem. Priset anges i Fyndmeddelandet som ett fast belopp i euro och ändras inte efter att Fyndmeddelandet har skickats.

Priset är priset för enbart Fyndrapporten, som levereras i sin helhet på en gång. Omtestet är ett separat åtagande från Operatören, som ges kostnadsfritt, och ingår inte i det som Priset betalar för.

Priset gäller i 30 dagar från den dag då Fyndmeddelandet skickas. Under denna tid är Fyndmeddelandet ett bindande anbud från Operatören om att leverera Fyndrapporten till Priset.

Kunden accepterar anbudet i Fyndmeddelandet genom en skriftlig bekräftelse, för vilken ett e-postmeddelande räcker, som anger Fyndmeddelandet och Priset. Operatören utfärdar därefter fakturan.

Fakturan betalas genom banköverföring till det konto som anges i den. Betalningen är gjord när beloppet har krediterats Operatörens konto. Priset inkluderar inte mervärdesskatt; skatten tas ut där lagen kräver det, och fakturan anger om skatten ska redovisas av Kunden enligt reglerna om omvänd betalningsskyldighet. Varje part står för avgifterna i sin egen bank.

Operatören levererar Fyndrapporten omedelbart efter att betalningen har tagits emot, via en säker kanal som har avtalats med Kunden.

För varje Fynd innehåller Fyndrapporten:

1. (a)en beskrivning av Fyndet och den del av Kundens webbplats som det gäller;
2. (b)bevisen och stegen för att återskapa Fyndet;
3. (c)vektorn och poängen enligt Common Vulnerability Scoring System, version 4.0, och klassen enligt Common Weakness Enumeration;
4. (d)de konsekvenser som ett utnyttjande av Fyndet kan få;
5. (e)rekommendationer om hur Fyndet kan åtgärdas.

När Kunden har åtgärdat Fynden utför Operatören Omtestet av varje Fynd kostnadsfritt. Kunden begär Omtestet inom 60 dagar efter leverans av rapporten. Operatören meddelar resultatet av Omtestet skriftligen.

Om Kunden inte accepterar anbudet i Fyndmeddelandet medan Priset gäller förfaller anbudet, och Kunden är inte skyldig Operatören något. Därefter kan Fyndrapporten köpas efter överenskommelse mellan parterna.

Om Operatören inte levererar Fyndrapporten efter betalningen får Kunden häva köpet, och Operatören återbetalar det betalda beloppet utan dröjsmål. Detta påverkar inte de övriga påföljder som lagen ger Kunden.

Operatören:

1. (a)utför Kontrollen med en yrkesmans omsorg och skicklighet och inom ramen för dessa Villkor och Tillståndet;
2. (b)använder den minst ingripande åtgärd som bekräftar ett Fynd;
3. (c)håller den information som den har fått konfidentiell i enlighet med avsnitt 10;
4. (d)utser en kontaktperson som kan nås under Kontrollen.

Kunden:

1. (a)lämnar korrekta uppgifter om sig själv och om Kundens webbplats;
2. (b)utser en kontaktperson som kan nås under Kontrollen;
3. (c)säkerställer innan Kontrollen börjar att det finns en aktuell säkerhetskopia av Kundens webbplats;
4. (d)informerar Operatören utan dröjsmål om ändringar av Kundens webbplats under Kontrollen och om varje omständighet som kan påverka Kontrollen;
5. (e)använder Kontrollrapporten, Fyndmeddelandet och Fyndrapporten i enlighet med avsnitt 9.

De ekonomiska rättigheterna enligt upphovsrätten till Kontrollrapporten, Fyndmeddelandet och Fyndrapporten tillkommer Operatören.

Från tidpunkten för leveransen av Kontrollrapporten, och från tidpunkten för betalningen av Fyndrapporten, får Kunden en icke-exklusiv licens, obegränsad i tid och territorium, att använda dokumentet för sina egna behov: för att åtgärda Fynden, för interna ändamål och för att lämna ut det till sina revisorer, försäkringsgivare, tillsynsmyndigheter och de uppdragstagare som åtgärdar Fynden, förutsatt att de är bundna av tystnadsplikt.

Kunden framställer inte Kontrollrapporten eller Fyndrapporten som en garanti eller ett certifikat för säkerheten hos Kundens webbplats och citerar dem inte på ett sätt som vilseleder om Kontrollens omfattning, tidsperiod eller resultat.

Operatörens metoder, verktyg och know-how förblir Operatörens.

Operatören håller Fynden och all annan information om Kunden och Kundens webbplats som den har fått i samband med Avtalet konfidentiell. Skyldigheten är inte tidsbegränsad.

Operatören lämnar inte ut Fynden till tredje part, offentliggör dem inte och använder dem inte för något annat ändamål än att fullgöra Avtalet. Detta gäller även om Kunden inte köper Fyndrapporten.

Operatören anger inte Kunden som sin kund utan Kundens skriftliga samtycke.

Skyldigheten att iaktta sekretess gäller inte information som Operatören är skyldig att lämna ut enligt lag eller enligt ett bindande beslut av en domstol eller en myndighet. Operatören lämnar ut sådan information i den utsträckning som krävs och informerar, där lagen tillåter det, Kunden i förväg.

Operatören förstör arbetsdata från Kontrollen 30 dagar efter att uppdraget har avslutats. Uppdraget avslutas den dag då Kontrollrapporten levereras, den dag då Priset upphör att gälla utan att Kunden har accepterat anbudet i Fyndmeddelandet, eller den dag då resultatet av Omtestet meddelas eller tiden för att begära Omtestet löper ut.

De åtgärder genom vilka Operatören skyddar Kundens information beskrivs i informationssäkerhetspolicyn.

Varje part behandlar personuppgifter om den andra partens företrädare och kontaktpersoner som självständig personuppgiftsansvarig, för att ingå och fullgöra Avtalet. Operatören behandlar sådana uppgifter i enlighet med sin integritetspolicy.

Kontrollen är inte inriktad på personuppgifter. Om Operatören ändå får åtkomst till personuppgifter som finns på Kundens webbplats behandlar Operatören dessa uppgifter för Kundens räkning som personuppgiftsbiträde i den mening som avses i artikel 28 i förordning (EU) 2016/679, och Kunden är personuppgiftsansvarig. Detta avsnitt utgör då det avtal som krävs enligt den artikeln.

Föremålet för och varaktigheten av behandlingen är Kontrollen och Omtestet; behandlingens art och ändamål är att bekräfta Fynd; personuppgifterna och de registrerade är de som Fyndet ger åtkomst till, som regel användarna av Kundens webbplats.

Operatören, i egenskap av personuppgiftsbiträde:

1. (a)behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, som finns i Avtalet och i Tillståndet, och överför personuppgifter utanför Europeiska ekonomiska samarbetsområdet endast enligt sådana instruktioner och i enlighet med kapitel V i förordning (EU) 2016/679, om inte Operatören är skyldig att göra det enligt unionsrätten eller en medlemsstats nationella rätt som Operatören omfattas av; i så fall informerar Operatören Kunden om det rättsliga kravet innan uppgifterna behandlas, såvida inte den rätten förbjuder det;
2. (b)informerar omedelbart Kunden om en instruktion enligt Operatörens uppfattning strider mot förordning (EU) 2016/679 eller mot andra dataskyddsbestämmelser i unionen eller i en medlemsstat;
3. (c)säkerställer att de personer som är behöriga att behandla personuppgifterna är bundna av tystnadsplikt;
4. (d)vidtar de åtgärder som krävs enligt artikel 32 i förordning (EU) 2016/679;
5. (e)anlitar som underbiträden de leverantörer som anges i integritetspolicyn, för närvarande Cloudflare, Inc. för hosting och för lagring av data i Europeiska unionen, enligt det allmänna skriftliga förhandstillstånd som Kunden ger genom att ingå Avtalet; informerar Kunden per e-post om en planerad ändring av underbiträdena innan den träder i kraft, så att Kunden kan invända mot den och, om Operatören håller fast vid ändringen, säga upp Avtalet; och ålägger varje underbiträde samma skyldigheter i fråga om dataskydd som detta avsnitt ålägger Operatören;
6. (f)bistår Kunden med att besvara de registrerades begäranden och med att fullgöra skyldigheterna enligt artiklarna 32–36 i förordning (EU) 2016/679;
7. (g)underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident;
8. (h)kopierar inte personuppgifter, maskerar dem i bevisen så att Fyndmeddelandet inte innehåller några, skickar dem inte per e-post eller via meddelandeappar och levererar Fyndrapporten endast via den säkra kanalen enligt avsnitt 7;
9. (i)raderar, när uppdraget har avslutats, personuppgifterna eller återlämnar dem till Kunden, enligt Kundens val, och raderar befintliga kopior, såvida inte unionsrätten eller medlemsstatens nationella rätt kräver att personuppgifterna lagras;
10. (j)ställer till Kundens förfogande den information som krävs för att visa att detta avsnitt efterlevs och möjliggör granskningar som utförs av Kunden eller av en revisor som Kunden har gett i uppdrag att utföra dem.

Kontrollen är begränsad i tid, omfattning och metoder. Att Kontrollen inte har identifierat några Fynd innebär inte att Kundens webbplats saknar sårbarheter. Kontrollrapporten och Fyndrapporten är ingen garanti för att Kundens webbplats inte kan komprometteras.

Operatören ansvarar utan begränsning för skada som Operatören har orsakat uppsåtligen eller genom grov vårdslöshet, samt för dödsfall, kroppsskada och skada på hälsan.

I alla andra fall gäller följande:

1. (a)eftersom Kontrollen utförs kostnadsfritt ansvarar Operatören inte för skada som orsakats under Kontrollen genom vårdslöshet som inte är grov, såvida inte skadan beror på en åtgärd som avsnitt 5 utesluter;
2. (b)Operatörens sammanlagda ansvar i samband med Fyndrapporten och Omtestet är begränsat till det Pris som Kunden har betalat;
3. (c)Operatören ansvarar inte för utebliven vinst och indirekt skada, för skada som orsakas av tredje parter som utnyttjar en sårbarhet i Kundens webbplats, för ett fel på Kundens webbplats som beror på webbplatsens skick när Operatören har agerat inom ramen för avsnitt 5, eller för följderna av att Kunden inte har åtgärdat ett Fynd eller har åtgärdat det på annat sätt än vad som rekommenderats.

En part ansvarar inte för ett avtalsbrott som beror på force majeure: en omständighet utanför partens kontroll som parten inte skäligen kunde förväntas ta hänsyn till, undvika eller övervinna.

Avtalet träder i kraft när det ingås och gäller till dess att parterna har fullgjort sina skyldigheter.

Till dess att Kunden har accepterat anbudet i Fyndmeddelandet får Kunden när som helst säga upp Avtalet genom ett meddelande till Operatören, utan att ange skäl och utan någon betalning.

Operatören får säga upp Avtalet genom ett meddelande till Kunden om:

1. (a)en försäkran eller garanti från Kunden visar sig vara osann;
2. (b)Kunden kräver åtgärder som dessa Villkor utesluter;
3. (c)en fortsatt Kontroll skulle strida mot lag eller kränka tredje parts rättigheter.

Bestämmelserna om rättigheter till resultaten, sekretess, personuppgifter, ansvar, tillämplig lag och behörig domstol fortsätter att gälla efter att Avtalet har upphört.

På Avtalet tillämpas Republiken Estlands lag.

Parterna strävar efter att lösa en tvist genom förhandling. Ett krav framställs skriftligen, och den part som har tagit emot det svarar utan onödigt dröjsmål.

En tvist som inte löses genom förhandling avgörs av den domstol i Republiken Estland inom vars domkrets Operatörens säte är beläget.

Operatören får ändra dessa Villkor. En ändring gäller för Avtal som ingås efter att ändringen har trätt i kraft; ett Avtal regleras av den lydelse av dessa Villkor som gällde den dag då Tillståndet skrevs under.

Avtalet består av Tillståndet, dessa Villkor och, om det har skickats, Fyndmeddelandet. Om Tillståndet avviker från dessa Villkor har Tillståndet företräde.

Meddelanden enligt Avtalet skickas per e-post: till Operatören till den adress som anges i dessa Villkor, till Kunden till den adress som anges i Förfrågan eller i Tillståndet.

Kunden överlåter inte Avtalet till tredje part utan Operatörens skriftliga samtycke. Detta begränsar inte överlåtelse av en penningfordran.

Om en bestämmelse i dessa Villkor är ogiltig påverkas inte giltigheten av övriga bestämmelser.

Dessa Villkor är upprättade på engelska och publiceras i översättning. Om en översättning avviker från den engelska versionen gäller den engelska versionen.

Operatören:

Operatörens bankuppgifter anges på fakturan.