Condizioni dell’audit gratuito

1. Disposizioni generali

1.1. Le presenti condizioni disciplinano le modalità con cui SIA SAM MARTIN GROUP, n. di reg. 40203520646, sede legale: Matīsa iela 16-2, Riga, LV-1001 (di seguito – EvoEX), effettua un audit gratuito di sicurezza web (di seguito – Audit) per i Clienti che richiedono il servizio sul sito web di EvoEX.

1.2. L’Audit è un servizio informativo, di portata limitata, fornito gratuitamente, il cui scopo è aiutare il Cliente a individuare potenziali vulnerabilità in un sito web o in un’applicazione; non si tratta tuttavia di un penetration test completo né di un audit di sicurezza certificato, e non costituisce alcuna garanzia di sicurezza.

1.3. Richiedendo l’audit gratuito sul sito web di EvoEX https://evoex.eu/lv/bezmaksas-audits, compilando e inviando il modulo di richiesta, il Cliente conferma di aver letto le presenti condizioni, di comprenderle e di accettarle.

1.4. L’accettazione delle presenti condizioni si considera espressa nel momento in cui la richiesta viene inviata con successo e registrata nel sistema di gestione delle relazioni con i clienti (CRM) di EvoEX. La registrazione della richiesta nel sistema CRM di EvoEX costituisce prova sufficiente del fatto che il Cliente ha preso visione delle condizioni e le ha accettate, salvo prova contraria da parte del Cliente.

1.5. Se il Cliente non accetta le presenti condizioni, non deve inviare la richiesta di Audit gratuito ed EvoEX non è tenuta a fornire l’Audit a tale Cliente.

1.6. Le presenti condizioni costituiscono una politica generale e non vengono concordate individualmente con ciascun Cliente; si applicano a tutte le richieste di Audit gratuito.

2. Descrizione del servizio e natura dei test

2.1. L’Audit viene eseguito utilizzando OWASP Zed Attack Proxy (OWASP ZAP) e/o altri strumenti di test dinamico della sicurezza delle applicazioni (DAST), destinati a individuare le vulnerabilità delle applicazioni web.

2.2. OWASP ZAP è uno strumento open source che effettua la mappatura del sito, la scansione passiva e la scansione attiva, analizzando le richieste e le risposte HTTP e utilizzando vettori di attacco noti per individuare le vulnerabilità.

2.3. Gli sviluppatori e la community di OWASP ZAP indicano che la scansione attiva è potenzialmente pericolosa e, a seconda dell’applicazione, può causare la creazione, la modifica o l’eliminazione di dati, nonché malfunzionamenti del sistema; pertanto non deve essere utilizzata senza l’autorizzazione del proprietario e un’adeguata preparazione.

2.4. Durante l’Audit EvoEX può, a propria discrezione, limitare la portata dei test di OWASP ZAP e di altri strumenti per ridurre i rischi, ma non è possibile escludere completamente ogni impatto, poiché i test attivi simulano per loro natura scenari di attacco.

2.5. Il risultato dell’Audit consiste in una sintesi / breve relazione sui problemi individuati e in raccomandazioni generali per risolverli; EvoEX non si impegna a fornire un elenco completo di tutte le possibili vulnerabilità e non garantisce che altre vulnerabilità o problemi di sicurezza non restino non rilevati.

2.6. EvoEX non ha l’obbligo di testare tutte le parti del sistema, i ruoli utente, gli endpoint API, le integrazioni di terze parti, i sistemi di pagamento, le reti interne o il codice sorgente, se ciò non è espressamente indicato e tecnicamente possibile.

3. Consenso e autorizzazione del Cliente

3.1. Richiedendo l’Audit e inviando la richiesta sul sito web di EvoEX, il Cliente dichiara di essere il proprietario del sistema da testare, oppure di controllarlo legittimamente e di essere autorizzato a consentire il test di sicurezza dello stesso.

3.2. Il Cliente dichiara che l’Audit non viene richiesto nei confronti di sistemi di terzi senza il loro consenso e che i domini, gli URL e i sistemi indicati nella richiesta sono sotto il suo controllo.

3.3. Il Cliente si impegna a garantire che i domini, gli URL, gli account di test, le configurazioni e le altre risorse utilizzati durante l’Audit siano sotto il controllo del Cliente e che il loro test non violi leggi, contratti o diritti di terzi.

3.4. Qualora in seguito risulti che il Cliente ha richiesto l’Audit per un sistema su cui non aveva alcun diritto, il Cliente accetta di assumersi in via esclusiva la piena responsabilità legale e finanziaria e di risarcire a EvoEX qualsiasi danno o pretesa derivante da tale situazione.

3.5. Il Cliente garantisce di aver ottenuto tutte le approvazioni interne necessarie (dalla direzione, dagli azionisti, dal reparto IT, ecc.), qualora siano richieste, ed EvoEX non è responsabile se il Cliente non vi ha provveduto.

4. Rischi dei test e “non è hacking”

4.1. L’Audit utilizza metodi di test di sicurezza che, dal punto di vista tecnico, possono assomigliare ad azioni di attacco (ad esempio test di injection, provocazione di errori, manipolazione degli input, simulazione di tentativi di accesso non autorizzato, ecc.).

4.2. L’Audit viene sempre eseguito solo con il previo consenso e l’autorizzazione del Cliente, con lo scopo di migliorare la sicurezza del sistema del Cliente, non di arrecare danno o ottenere un vantaggio illecito; pertanto l’Audit non è da considerarsi “hacking” né accesso non autorizzato.

4.3. Il Cliente riconosce espressamente e accetta che durante l’Audit vengono tecnicamente utilizzati strumenti e metodi di test d’attacco ma, poiché tali test sono eseguiti con l’autorizzazione e nell’interesse del Cliente, quest’ultimo non ha il diritto di interpretare successivamente tale Audit come un attacco non autorizzato o un tentativo di violare il sistema.

4.4. Qualora le normative interne o esterne del Cliente prevedano che questo tipo di test debba essere approvato separatamente (ad esempio dal reparto IT, dal consiglio di amministrazione, dal proprietario, ecc.), il Cliente si impegna a ottenere tali approvazioni prima di inviare la richiesta di Audit, ed EvoEX non è responsabile se il Cliente non vi ha provveduto.

4.5. Il Cliente è consapevole che i test di sicurezza sono essenziali per ridurre i rischi di attacchi informatici e che l’Audit viene eseguito come misura di sicurezza, non come condotta dolosa.

5. Esclusione e limitazione di responsabilità

5.1. EvoEX avverte espressamente che la scansione attiva può causare malfunzionamenti del sistema, rallentamenti, errori, modifica o eliminazione di dati, nonché guasti del database, in particolare se il test viene eseguito in ambiente di produzione o su un database in uso.

5.2. Il Cliente accetta che tutte queste conseguenze siano considerate integralmente come rischi assunti dal Cliente, ed EvoEX non è responsabile per eventuali “crash” del server, inattività del sistema, sovraccarico delle risorse, danneggiamento o perdita di dati, mancata esecuzione di transazioni, interruzioni dei processi aziendali o danni reputazionali.

5.3. EvoEX non offre né assume alcuna garanzia (né esplicita né implicita) in merito al risultato dell’Audit, tra cui:

• l’Audit potrebbe non individuare tutte le vulnerabilità;
• i problemi rilevati potrebbero non essere gli unici né i più gravi;
• dopo l’esecuzione dell’Audit il sistema non va considerato “sicuro” o “completamente protetto”.

5.4. L’Audit viene fornito “così com’è” e “come disponibile” (as-is, as-available), ed EvoEX non è responsabile per errori, lacune, imprecisioni od omissioni nei risultati dell’Audit.

5.5. Poiché l’Audit è un servizio gratuito, qualsiasi eventuale obbligo patrimoniale di EvoEX nei confronti del Cliente è limitato a 0,00 EUR, e il Cliente rinuncia espressamente al diritto di richiedere a EvoEX un risarcimento o un indennizzo per qualsiasi danno derivante dall’Audit o verificatosi durante lo stesso.

5.6. Il Cliente accetta che EvoEX non possa essere ritenuta responsabile né penalmente né civilmente per le azioni tecniche eseguite durante l’Audit, poiché sono svolte sulla base dell’autorizzazione del Cliente allo scopo di migliorare la sicurezza dei suoi sistemi, e il Cliente si assume personalmente l’intero rischio legale e commerciale.

6. Obblighi di preparazione del Cliente

6.1. Il Cliente garantisce, per quanto possibile, che l’Audit venga eseguito in un ambiente di test o in un ambiente separato il più possibile simile a quello di produzione, ma che non costituisca un rischio diretto per il database di produzione attivo.

6.2. Se l’Audit viene eseguito in ambiente di produzione, il Cliente è consapevole che si tratta di un rischio elevato e accetta che EvoEX non sia responsabile delle conseguenze di tale scelta.

6.3. Il Cliente predispone backup, monitoraggio, processi di gestione degli incidenti e altre misure necessarie per ripristinare tempestivamente il funzionamento del sistema durante o dopo l’Audit, qualora ciò si renda necessario.

6.4. Il Cliente riconosce che né OWASP ZAP, né altri strumenti di test, né il team di EvoEX possono garantire la totale innocuità dei test e che la soluzione più sicura è sempre un ambiente di test separato.

7. Trattamento dei dati e riservatezza

7.1. Durante l’Audit EvoEX tratta dati tecnici, tra cui URL, richieste e risposte HTTP, messaggi di errore, header e altre informazioni tecniche necessarie per eseguire l’Audit.

7.2. Tali dati vengono utilizzati esclusivamente per l’esecuzione dell’Audit, la preparazione dei risultati e la comunicazione con il Cliente, salvo i casi in cui la normativa preveda o richieda un diverso utilizzo o la divulgazione.

7.3. EvoEX garantisce la riservatezza dei dati ottenuti durante l’Audit e non li divulga a terzi senza il consenso del Cliente, salvo nei casi previsti dalla legge.

7.4. Il Cliente dichiara di avere una base giuridica per consentire a EvoEX di trattare i dati tecnici necessari all’esecuzione dell’audit.

8. Applicazione e modifiche delle condizioni

8.1. Le presenti condizioni si applicano a tutti i Clienti che richiedono l’Audit gratuito e sono vincolanti dal momento in cui il Cliente invia il modulo di richiesta e questo viene registrato nel sistema CRM di EvoEX.

8.2. EvoEX si riserva il diritto di modificare unilateralmente le presenti condizioni in qualsiasi momento, pubblicando la versione aggiornata sul proprio sito web; alle richieste già ricevute si applica la versione delle condizioni in vigore al momento dell’invio della richiesta.

8.3. Qualora una delle presenti condizioni diventi invalida o inapplicabile, ciò non pregiudica la validità delle restanti condizioni.