Regulamin bezpłatnego audytu

1. Postanowienia ogólne

1.1. Niniejszy regulamin określa zasady, na jakich SIA SAM MARTIN GROUP, nr rej. 40203520646, adres siedziby: Matīsa iela 16-2, Ryga, LV-1001 (dalej – EvoEX), przeprowadza bezpłatny audyt bezpieczeństwa stron internetowych (dalej – Audyt) dla Klientów, którzy zgłaszają się do usługi na stronie internetowej EvoEX.

1.2. Audyt jest usługą informacyjną o ograniczonym zakresie, świadczoną bezpłatnie, której celem jest pomoc Klientowi w zidentyfikowaniu potencjalnych podatności w witrynie lub aplikacji internetowej. Nie jest to pełnowymiarowy test penetracyjny ani certyfikowany audyt bezpieczeństwa i nie stanowi żadnej gwarancji bezpieczeństwa.

1.3. Zgłaszając się na bezpłatny audyt na stronie EvoEX https://evoex.eu/lv/bezmaksas-audits, poprzez wypełnienie i wysłanie formularza zgłoszeniowego, Klient potwierdza, że zapoznał się z niniejszym regulaminem, rozumie go i akceptuje jego postanowienia.

1.4. Akceptację regulaminu uznaje się za wyrażoną w chwili, gdy zgłoszenie zostanie skutecznie przesłane i zarejestrowane w systemie zarządzania relacjami z klientami (CRM) EvoEX. Zapis zgłoszenia zarejestrowany w systemie CRM EvoEX stanowi wystarczający dowód tego, że Klient zapoznał się z regulaminem i go zaakceptował, o ile Klient nie udowodni czegoś przeciwnego.

1.5. Jeżeli Klient nie akceptuje niniejszego regulaminu, nie może składać zgłoszenia na bezpłatny Audyt, a EvoEX nie ma obowiązku przeprowadzić Audytu dla takiego Klienta.

1.6. Niniejszy regulamin jest ogólną polityką i nie jest indywidualnie uzgadniany z każdym Klientem z osobna; ma zastosowanie do wszystkich zgłoszeń na bezpłatny Audyt.

2. Opis usługi i charakter testów

2.1. Audyt jest przeprowadzany z wykorzystaniem OWASP Zed Attack Proxy (OWASP ZAP) i/lub innych narzędzi do dynamicznego testowania bezpieczeństwa aplikacji (DAST), przeznaczonych do wykrywania podatności aplikacji internetowych.

2.2. OWASP ZAP to narzędzie open source, które mapuje witrynę oraz przeprowadza skanowanie pasywne i aktywne, analizując żądania i odpowiedzi HTTP oraz wykorzystując znane wektory ataku w celu identyfikacji podatności.

2.3. Twórcy i społeczność OWASP ZAP wskazują, że skanowanie aktywne jest potencjalnie niebezpieczne i w zależności od aplikacji może prowadzić do tworzenia, zmiany lub usunięcia danych, a także do zakłóceń w działaniu systemu, dlatego nie wolno go stosować bez zgody właściciela i odpowiedniego przygotowania.

2.4. W trakcie Audytu EvoEX może według własnego uznania ograniczyć zakres testów OWASP ZAP i innych narzędzi, aby zmniejszyć ryzyko, jednak całkowite wyeliminowanie możliwości negatywnego wpływu nie jest możliwe, ponieważ testy aktywne z natury symulują scenariusze ataku.

2.5. Wynikiem Audytu jest podsumowanie / krótki raport o zidentyfikowanych problemach i ogólne zalecenia dotyczące ich usunięcia; EvoEX nie zobowiązuje się do przedstawienia pełnej listy wszystkich możliwych podatności i nie gwarantuje, że inne podatności lub problemy z bezpieczeństwem nie pozostaną niewykryte.

2.6. EvoEX nie ma obowiązku testowania wszystkich części systemu, ról użytkowników, punktów końcowych API, integracji z podmiotami trzecimi, systemów płatności, sieci wewnętrznych ani kodu źródłowego, jeżeli nie zostało to wyraźnie wskazane i nie jest technicznie możliwe.

3. Zgoda i upoważnienie Klienta

3.1. Zgłaszając się na Audyt i przesyłając zgłoszenie na stronie EvoEX, Klient potwierdza, że testowany system należy do niego lub że legalnie nim zarządza i jest upoważniony do wyrażenia zgody na testowanie jego bezpieczeństwa.

3.2. Klient potwierdza, że Audyt nie jest zgłaszany w odniesieniu do systemów osób trzecich bez ich zgody oraz że domeny, adresy URL i systemy wskazane w zgłoszeniu znajdują się pod jego kontrolą.

3.3. Klient zobowiązuje się zapewnić, że domeny, adresy URL, konta testowe, konfiguracje i inne zasoby wykorzystywane podczas Audytu znajdują się pod kontrolą Klienta oraz że ich testowanie nie narusza przepisów prawa, umów ani praw osób trzecich.

3.4. Jeżeli później okaże się, że Klient zgłosił Audyt systemu, do którego nie ma praw, Klient zgadza się ponieść samodzielnie pełną odpowiedzialność prawną i finansową oraz zrekompensować EvoEX wszelkie szkody lub roszczenia powstałe w wyniku takiej sytuacji.

3.5. Klient zapewnia, że uzyskał wszystkie niezbędne wewnętrzne zatwierdzenia (od kierownictwa, akcjonariuszy, działu IT itp.), jeśli takie zatwierdzenia są wymagane, a EvoEX nie ponosi odpowiedzialności, jeżeli Klient tego nie zrobił.

4. Ryzyko testowania i „to nie jest włamanie”

4.1. Audyt wykorzystuje metody testowania bezpieczeństwa, które technicznie mogą przypominać działania atakujące (np. testowanie wstrzyknięć, wywoływanie błędów, manipulacje danymi wejściowymi, symulacja prób nieautoryzowanego dostępu itp.).

4.2. Audyt jest zawsze przeprowadzany wyłącznie za uprzednią zgodą i upoważnieniem Klienta, w celu poprawy bezpieczeństwa systemu Klienta, a nie wyrządzenia szkody lub osiągnięcia bezprawnej korzyści; w związku z tym Audytu nie uznaje się za „włamanie” ani nieautoryzowany dostęp.

4.3. Klient wyraźnie przyjmuje do wiadomości i zgadza się, że technicznie w trakcie Audytu wykorzystywane są narzędzia i metody testowania ataków, jednak ponieważ testy te są przeprowadzane za zgodą Klienta i w jego interesie, Klient nie ma prawa później interpretować tego Audytu jako nieuprawnionego ataku lub próby włamania do systemu.

4.4. Jeżeli wewnętrzne lub zewnętrzne przepisy obowiązujące Klienta wymagają odrębnego zatwierdzenia tego rodzaju testów (np. przez dział IT, zarząd, właściciela itp.), Klient zobowiązuje się uzyskać takie zatwierdzenia przed złożeniem zgłoszenia na Audyt, a EvoEX nie ponosi odpowiedzialności, jeżeli Klient tego nie zrobił.

4.5. Klient zdaje sobie sprawę, że testowanie bezpieczeństwa jest istotne dla ograniczania ryzyka cyberataków, a Audyt jest przeprowadzany jako środek bezpieczeństwa, a nie działanie w złej wierze.

5. Wyłączenie i ograniczenie odpowiedzialności

5.1. EvoEX wyraźnie ostrzega, że skanowanie aktywne może powodować zakłócenia w działaniu systemu, spowolnienia, błędy, zmianę lub usunięcie danych, a także awarie bazy danych, zwłaszcza jeśli test jest wykonywany w środowisku produkcyjnym lub na działającej bazie danych.

5.2. Klient zgadza się, że wszelkie takie skutki uznaje się w całości za skutki ryzyka podjętego przez Klienta, a EvoEX nie odpowiada za jakiekolwiek „padnięcie” serwera, przestój systemu, przeciążenie zasobów, uszkodzenie danych, utratę danych, niewykonanie transakcji, zakłócenia procesów biznesowych ani straty reputacyjne.

5.3. EvoEX nie oferuje ani nie przyjmuje żadnych gwarancji (ani wyraźnych, ani dorozumianych) co do wyniku Audytu, w tym:

• Audyt może nie wykryć wszystkich podatności;
• wykryte problemy mogą nie być jedynymi ani najpoważniejszymi;
• po przeprowadzeniu Audytu system nie może być uznany za „bezpieczny” ani „w pełni chroniony”.

5.4. Audyt jest świadczony w stanie „takim, jaki jest” i „w miarę dostępności” (as-is, as-available), a EvoEX nie odpowiada za błędy, braki, nieścisłości ani pominięcia w wynikach Audytu.

5.5. Ponieważ Audyt jest usługą bezpłatną, wszelkie potencjalne zobowiązanie materialne EvoEX wobec Klienta jest ograniczone do 0,00 EUR, a Klient wyraźnie zrzeka się prawa do żądania od EvoEX odszkodowania lub rekompensaty za jakiekolwiek szkody powstałe w wyniku Audytu lub w jego trakcie.

5.6. Klient zgadza się, że EvoEX nie może zostać uznany za odpowiedzialnego ani karnie, ani cywilnoprawnie za czynności techniczne wykonane podczas Audytu, ponieważ są one wykonywane na podstawie upoważnienia Klienta w celu poprawy bezpieczeństwa jego systemów, a Klient sam ponosi pełne ryzyko prawne i handlowe.

6. Obowiązki Klienta w zakresie przygotowania

6.1. Klient w miarę możliwości zapewnia, że Audyt jest przeprowadzany w środowisku testowym lub odrębnym środowisku możliwie zbliżonym do produkcyjnego, które nie stwarza bezpośredniego ryzyka dla działającej produkcyjnej bazy danych.

6.2. Jeżeli Audyt jest przeprowadzany w środowisku produkcyjnym, Klient zdaje sobie sprawę, że wiąże się to ze zwiększonym ryzykiem, i zgadza się, że EvoEX nie odpowiada za skutki takiego wyboru.

6.3. Klient zapewnia kopie zapasowe, monitoring, procesy zarządzania incydentami oraz inne środki niezbędne do szybkiego przywrócenia działania systemu w trakcie Audytu lub po jego zakończeniu, jeśli okaże się to konieczne.

6.4. Klient przyjmuje do wiadomości, że ani OWASP ZAP, ani inne narzędzia testowe, ani zespół EvoEX nie mogą zagwarantować pełnej nieszkodliwości testów i że najbezpieczniejszym rozwiązaniem jest zawsze odrębne środowisko testowe.

7. Przetwarzanie danych i poufność

7.1. W trakcie Audytu EvoEX przetwarza dane techniczne, w tym adresy URL, żądania i odpowiedzi HTTP, komunikaty o błędach, nagłówki oraz inne informacje techniczne niezbędne do przeprowadzenia Audytu.

7.2. Dane te są wykorzystywane wyłącznie do przeprowadzenia Audytu, przygotowania wyników i komunikacji z Klientem, z wyjątkiem przypadków, gdy przepisy prawa przewidują lub wymagają innego wykorzystania lub ujawnienia.

7.3. EvoEX zapewnia poufność danych uzyskanych w trakcie Audytu i nie ujawnia ich osobom trzecim bez zgody Klienta, z wyjątkiem przypadków określonych w przepisach prawa.

7.4. Klient potwierdza, że ma podstawę prawną, aby zezwolić EvoEX na przetwarzanie danych technicznych niezbędnych do przeprowadzenia audytu.

8. Stosowanie regulaminu i zmiany

8.1. Niniejszy regulamin ma zastosowanie do wszystkich Klientów zgłaszających się na bezpłatny Audyt i wiąże od chwili, gdy Klient prześle formularz zgłoszeniowy, a ten zostanie zarejestrowany w systemie CRM EvoEX.

8.2. EvoEX zastrzega sobie prawo do jednostronnej zmiany niniejszego regulaminu w dowolnym momencie poprzez opublikowanie zaktualizowanej wersji na swojej stronie internetowej; do zgłoszeń już otrzymanych stosuje się wersję regulaminu obowiązującą w chwili ich złożenia.

8.3. Jeżeli którekolwiek z postanowień niniejszego regulaminu stanie się nieważne lub niemożliwe do zastosowania, nie wpływa to na ważność pozostałych postanowień.