Tasuta auditi tingimused

See on originaaldokumendi lätikeelsest versioonist tehtud eestikeelne tõlge, mis on mõeldud abiks lätit mittekõnelevatele kasutajatele. Kui käesoleva tõlke ja lätikeelse originaali vahel esineb vastuolusid või erinevusi, on õiguslikult siduv ja ülimuslik ainult lätikeelne originaaldokument.

1. Üldsätted

1.1. Käesolevad tingimused reguleerivad korda, mille kohaselt SIA SAM MARTIN GROUP, reg-nr 40203520646, registrijärgne aadress: Matīsa iela 16-2, Rīga, LV-1001, Läti (edaspidi – EvoEX), teostab tasuta veebisaidi turvaauditit (edaspidi – Audit) klientidele, kes taotlevad teenust EvoEX veebisaidil.

1.2. Audit on informatiivne, piiratud mahuga teenus, mida osutatakse tasuta ja mille eesmärk on aidata kliendil tuvastada veebisaidi või rakenduse võimalikke haavatavusi, kuid see ei ole täismahuline läbistustest ega sertifitseeritud turvaaudit ega moodusta mingit turvagarantiid.

1.3. Taotledes tasuta auditit EvoEX veebisaidil https://evoex.eu/ee/bezmaksas-audits ning täites ja esitades taotlusvormi, kinnitab klient, et on käesolevad tingimused läbi lugenud, neist aru saanud ja nendega nõustunud.

1.4. Nõustumine käesolevate tingimustega loetakse antuks hetkel, mil taotlus on edukalt esitatud ja registreeritud EvoEX kliendisuhete haldamise süsteemis (CRM). EvoEX CRM-süsteemis salvestatud taotluse kanne on piisav tõend selle kohta, et klient on tingimustega tutvunud ja nendega nõustunud, kui klient ei tõenda vastupidist.

1.5. Kui klient ei nõustu käesolevate tingimustega, ei tohi ta esitada taotlust tasuta Auditile ning EvoEX ei ole kohustatud sellisele kliendile Auditit osutama.

1.6. Käesolevad tingimused on üldine poliitika ega ole iga kliendiga eraldi individuaalselt kokku lepitud; need kehtivad kõikidele tasuta Auditi taotlustele.

2. Teenuse kirjeldus ja testimise olemus

2.1. Audit teostatakse OWASP Zed Attack Proxy (OWASP ZAP) ja/või muude dünaamilise rakenduste turvatestimise (DAST) tööriistade abil, mis on mõeldud veebirakenduste haavatavuste tuvastamiseks.

2.2. OWASP ZAP on avatud lähtekoodiga tööriist, mis teostab saidi kaardistamist, passiivset skannimist ja aktiivset skannimist, analüüsides HTTP-päringuid ja -vastuseid ning kasutades haavatavuste tuvastamiseks teadaolevaid ründevektoreid.

2.3. OWASP ZAP-i arendajad ja kogukond märgivad, et aktiivne skannimine on potentsiaalselt ohtlik ning võib sõltuvalt rakendusest põhjustada andmete loomist, muutmist või kustutamist, samuti süsteemi töö häireid, mistõttu seda ei tohi kasutada ilma omaniku loata ja nõuetekohase ettevalmistuseta.

2.4. Auditi käigus võib EvoEX oma äranägemisel piirata OWASP ZAP-i ja muude tööriistade teostatavate testide mahtu, et vähendada riske, kuid mõju võimalust ei ole võimalik täielikult välistada, kuna aktiivsed testid oma olemuselt simuleerivad ründestsenaariume.

2.5. Auditi tulemus on kokkuvõte / lühiaruanne tuvastatud probleemide kohta ja üldised soovitused nende kõrvaldamiseks; EvoEX ei kohustu esitama täielikku loetelu kõikidest võimalikest haavatavustest ega garanteeri, et ei jää muid avastamata haavatavusi või turvaprobleeme.

2.6. EvoEX ei ole kohustatud testima kõiki süsteemi osi, kasutajarolle, API lõpp-punkte, kolmandate osapoolte integratsioone, maksesüsteeme, sisevõrke ega lähtekoodi, kui see ei ole selgesõnaliselt märgitud ja tehniliselt võimalik.

3. Kliendi nõusolek ja volitus

3.1. Auditit taotledes ja EvoEX veebisaidil taotlust esitades kinnitab klient, et talle kuulub testitav süsteem või et ta kontrollib seda süsteemi õiguspäraselt ja on volitatud lubama selle turvatestimist.

3.2. Klient kinnitab, et Auditit ei taotleta kolmandate isikute süsteemide vastu ilma nende isikute nõusolekuta ning et taotluses märgitud domeenid, URL-id ja süsteemid on tema kontrolli all.

3.3. Klient kohustub tagama, et Auditi käigus kasutatavad domeenid, URL-id, testkontod, konfiguratsioonid ja muud ressursid on kliendi kontrolli all ning et nende testimine ei riku seadusi, lepinguid ega kolmandate isikute õigusi.

3.4. Kui hiljem selgub, et klient on taotlenud Auditit süsteemile, millele tal ei ole õigusi, nõustub klient, et võtab ainuisikuliselt täieliku juriidilise ja rahalise vastutuse ning hüvitab EvoEX-le kõik sellisest olukorrast tulenevad kahjud või nõuded.

3.5. Klient tagab, et on saanud kõik vajalikud sisemised kinnitused (juhtkonnalt, aktsionäridelt, IT-osakonnalt jne), kui sellised kinnitused on vajalikud, ning EvoEX ei vastuta, kui klient ei ole seda teinud.

4. Testimisriskid ja “mitte häkkimine”

4.1. Audit kasutab turvatestimise meetodeid, mis võivad tehniliselt sarnaneda ründetegevustega (näiteks süstimistestid, vigade esilekutsumine, sisendi manipuleerimine, volitamata juurdepääsukatsete simuleerimine jne).

4.2. Audit teostatakse alati ainult kliendi eelneval nõusolekul ja volitusel eesmärgiga parandada kliendi süsteemi turvalisust, mitte tekitada kahju või saada õigusvastast kasu; seega ei loeta Auditit “häkkimiseks” ega volitamata juurdepääsuks.

4.3. Klient tunnistab ja nõustub selgesõnaliselt, et tehniliselt kasutatakse Auditi käigus ründetestimise tööriistu ja meetodeid, kuid kuna neid teste teostatakse kliendi loal ja kliendi huvides, ei ole kliendil õigust hiljem tõlgendada seda Auditit volitamata rünnakuna või katsena süsteemi häkkida.

4.4. Kui kliendi sisemised või välised õigusaktid näevad ette, et seda laadi testid tuleb eraldi kinnitada (näiteks IT-osakonnaga, juhatusega, omanikuga jne), kohustub klient need kinnitused saama enne Auditi taotluse esitamist ning EvoEX ei vastuta, kui klient ei ole seda teinud.

4.5. Klient on teadlik, et turvatestimine on küberrünnakute riskide vähendamiseks hädavajalik ning et Audit teostatakse turvameetmena, mitte pahatahtliku tegevusena.

5. Vastutuse välistamine ja piiramine

5.1. EvoEX hoiatab selgesõnaliselt, et aktiivne skannimine võib põhjustada süsteemi töö häireid, aeglustumist, vigu, andmete muutmist või kustutamist, samuti andmebaasi tõrkeid, eriti kui test teostatakse produktsioonikeskkonnas või töötava andmebaasi vastu.

5.2. Klient nõustub, et kõiki selliseid tagajärgi loetakse täielikult kliendi võetud riski tagajärgedeks ning EvoEX ei vastuta serveri mis tahes “kokkujooksmise”, süsteemi seisaku, ressursside ülekoormuse, andmete kahjustumise, andmete kaotsimineku, tehingute täitmata jätmise, äriprotsesside häirete ega mainekahju eest.

5.3. EvoEX ei paku ega võta endale mingeid garantiisid (ei otseseid ega kaudseid) Auditi tulemuse kohta, sealhulgas selle kohta, et:

• Audit ei pruugi tuvastada kõiki haavatavusi;
• tuvastatud probleemid ei pruugi olla ainsad ega kõige tõsisemad;
• pärast Auditi teostamist ei loeta süsteemi “turvaliseks” ega “täielikult kaitstuks”.

5.4. Audit osutatakse “nagu on” ja “nagu saadaval” (as-is, as-available) põhimõttel ning EvoEX ei vastuta Auditi tulemustes esinevate vigade, puuduste, ebatäpsuste või väljajätmiste eest.

5.5. Kuna Audit on tasuta teenus, on EvoEX-i mis tahes võimalik varaline kohustus kliendi ees piiratud 0,00 euroga ning klient loobub ühemõtteliselt õigusest nõuda EvoEX-lt hüvitist või kompensatsiooni mis tahes Auditi tulemusena või selle käigus tekkinud kahju eest.

5.6. Klient nõustub, et EvoEX-i ei saa pidada vastutavaks ei kriminaal- ega tsiviilõiguslikult Auditi käigus tehtud tehniliste toimingute eest, kuna need teostatakse kliendi volituse alusel eesmärgiga parandada kliendi süsteemide turvalisust, ning klient võtab ise täieliku juriidilise ja ärilise riski.

6. Kliendi ettevalmistuskohustused

6.1. Klient tagab võimalikult suures ulatuses, et Audit teostatakse testimiskeskkonnas või eraldi keskkonnas, mis on produktsioonile võimalikult lähedane, kuid ei kujuta otsest ohtu töötavale produktsiooniandmebaasile.

6.2. Kui Audit teostatakse produktsioonikeskkonnas, on klient teadlik, et see on suurenenud risk, ja nõustub, et EvoEX ei vastuta sellise valiku tagajärgede eest.

6.3. Klient tagab varukoopiad, seire, intsidentide haldamise protsessid ja muud meetmed, mis on vajalikud süsteemi töö kiireks taastamiseks Auditi ajal või pärast seda, kui see osutub vajalikuks.

6.4. Klient tunnistab, et ei OWASP ZAP, muud testimistööriistad ega EvoEX-i meeskond ei saa garanteerida testide täielikku kahjutust ning et kõige turvalisem lahendus on alati eraldi testimiskeskkond.

7. Andmetöötlus ja konfidentsiaalsus

7.1. Auditi käigus töötleb EvoEX tehnilisi andmeid, sealhulgas URL-e, HTTP-päringuid ja -vastuseid, veateateid, päiseid ja muud tehnilist teavet, mis on Auditi teostamiseks vajalik.

7.2. Neid andmeid kasutatakse ainult Auditi teostamiseks, tulemuste ettevalmistamiseks ja kliendiga suhtlemiseks, välja arvatud juhtudel, mil õigusaktid näevad ette või nõuavad muud kasutamist või avaldamist.

7.3. EvoEX tagab Auditi käigus saadud andmete konfidentsiaalsuse ega avalda neid kolmandatele isikutele ilma kliendi nõusolekuta, välja arvatud seaduses sätestatud juhtudel.

7.4. Klient kinnitab, et tal on õiguslik alus lubada EvoEX-l töödelda Auditi teostamiseks vajalikke tehnilisi andmeid.

8. Tingimuste kohaldamine ja muudatused

8.1. Käesolevad tingimused kehtivad kõikidele klientidele, kes taotlevad tasuta Auditit, ja on siduvad alates hetkest, mil klient esitab taotlusvormi ja see registreeritakse EvoEX CRM-süsteemis.

8.2. EvoEX jätab endale õiguse käesolevaid tingimusi igal ajal ühepoolselt muuta, avaldades ajakohastatud versiooni oma veebisaidil; juba saabunud taotlustele kohaldatakse tingimuste seda redaktsiooni, mis kehtis taotluse esitamise hetkel.

8.3. Kui mõni käesolevatest tingimustest muutub kehtetuks või mittetäidetavaks, ei mõjuta see ülejäänud tingimuste kehtivust.