Przejdź do treści
VAWA

Dokument w wersji roboczej

Ten tekst zawiera jeszcze miejsca oznaczone jako do uzupełnienia i wymaga weryfikacji prawnej przed uruchomieniem usługi.

Regulamin usługi Audytor VAWA

PROJEKT DOKUMENTU - DO WERYFIKACJI PRAWNEJ

Poniższy tekst jest roboczym projektem przygotowanym na potrzeby wewnętrzne. Nie jest opinią prawną ani gotowym do publikacji dokumentem. Przed uruchomieniem usługi Audytor VAWA regulamin musi zostać sprawdzony i zatwierdzony przez radcę prawnego lub adwokata, w szczególności w zakresie ograniczenia odpowiedzialności wobec konsumentów, oświadczeń użytkownika dotyczących uprawnień do badanej strony oraz zgodności z ustawą o świadczeniu usług drogą elektroniczną i RODO. Miejsca oznaczone jako [DO UZUPEŁNIENIA: ...] wymagają wpisania rzeczywistych danych.

Wersja: [DO UZUPEŁNIENIA: numer wersji regulaminu] Data wejścia w życie: [DO UZUPEŁNIENIA: data wejścia w życie]

§1. Postanowienia ogólne i definicje

  1. Niniejszy regulamin określa zasady korzystania z bezpłatnej usługi świadczonej drogą elektroniczną pod adresem audytor.vawa.pl, polegającej na wykonaniu zautomatyzowanego, pasywnego przeglądu wybranych elementów wskazanej strony internetowej i udostępnieniu raportu z tego przeglądu.

  2. Regulamin jest regulaminem świadczenia usług drogą elektroniczną w rozumieniu art. 8 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.

  3. Ilekroć w regulaminie mowa o:

    Usługodawcy - rozumie się przez to [DO UZUPEŁNIENIA: pełna nazwa firmy / forma prawna], z siedzibą w [DO UZUPEŁNIENIA: adres siedziby], wpisaną do [DO UZUPEŁNIENIA: CEIDG albo rejestru przedsiębiorców KRS wraz z oznaczeniem sądu rejestrowego i numerem KRS], NIP [DO UZUPEŁNIENIA: numer NIP], REGON [DO UZUPEŁNIENIA: numer REGON], prowadzącą działalność pod marką VAWA.

    Serwisie - rozumie się przez to stronę internetową dostępną pod adresem audytor.vawa.pl wraz z jej podstronami i funkcjonalnościami.

    Usłudze lub Audytorze VAWA - rozumie się przez to bezpłatną usługę opisaną w §2, świadczoną przez Usługodawcę drogą elektroniczną za pośrednictwem Serwisu.

    Użytkowniku - rozumie się przez to osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która korzysta z Usługi.

    Konsumencie - rozumie się przez to Użytkownika będącego osobą fizyczną, która korzysta z Usługi w celu niezwiązanym bezpośrednio z jej działalnością gospodarczą lub zawodową, a także osobę fizyczną prowadzącą działalność gospodarczą, dla której korzystanie z Usługi nie ma charakteru zawodowego w rozumieniu art. 556(4) i art. 385(5) Kodeksu cywilnego.

    Stronie badanej - rozumie się przez to stronę internetową dostępną pod adresem URL wskazanym przez Użytkownika w formularzu w Serwisie, wobec której wykonywany jest przegląd.

    Skanie - rozumie się przez to pojedyncze uruchomienie zautomatyzowanego przeglądu Strony badanej.

    Raporcie - rozumie się przez to dokument w formacie PDF generowany automatycznie na podstawie wyników Skanu, udostępniany Użytkownikowi na zasadach opisanych w regulaminie.

  4. Kontakt z Usługodawcą: adres e-mail kontakt@vawa.pl, telefon 571 796 300.

  5. Korzystanie z Usługi oznacza akceptację regulaminu. Użytkownik, który nie akceptuje regulaminu, nie może korzystać z Usługi.

§2. Rodzaj i zakres usługi świadczonej drogą elektroniczną

  1. Usługa polega na tym, że Użytkownik podaje w formularzu adres URL Strony badanej, a Serwis wykonuje zautomatyzowaną serię zapytań i analiz, a następnie prezentuje ich wynik w Serwisie oraz, na zasadach opisanych w ust. 5, w postaci Raportu.

  2. Skan trwa zwykle od 60 do 90 sekund. Czas ten może się wydłużyć, jeżeli Strona badana odpowiada wolno albo jeżeli zewnętrzne usługi, z których korzysta Serwis, działają z opóźnieniem.

  3. Zakres przeglądu dostępnego bezpośrednio w Serwisie, bez podawania adresu e-mail:

    a) sprawdzenie, czy publicznie dostępne są typowe adresy panelu administracyjnego WordPressa, to jest /wp-login.php oraz /wp-admin/,

    b) sprawdzenie, czy domena Strony badanej figuruje w bazie stron oznaczonych jako niebezpieczne (Google Web Risk API),

    c) wykrycie, czy Strona badana działa na systemie WordPress, oraz próba rozpoznania motywu i wtyczek wraz z ich wersjami,

    d) zestawienie rozpoznanych wersji z publicznie dostępnymi informacjami o znanych podatnościach (źródła: Wordfence Intelligence Community Edition oraz api.wordpress.org),

    e) sprawdzenie obecności i konfiguracji wybranych nagłówków bezpieczeństwa HTTP.

  4. Zakres przeglądu dostępnego po podaniu adresu e-mail i wyrażeniu wymaganych zgód:

    a) sprawdzenie obsługi formatu obrazów WebP,

    b) analiza szybkości i wydajności Strony badanej z wykorzystaniem Google PageSpeed Insights API,

    c) sprawdzenie certyfikatu SSL,

    d) sprawdzenie konfiguracji poczty na podstawie publicznych rekordów DNS domeny, to jest rekordów SPF, DKIM i DMARC,

    e) pogłębiona analiza wyników Skanu przygotowana z użyciem modelu językowego (API Anthropic),

    f) informacja o tym, czy Strona badana objęta jest aktywną opieką techniczną VAWA.

  5. Aby otrzymać Raport w formacie PDF, Użytkownik podaje adres e-mail i zaznacza wymagane zgody. Raport jest wysyłany na podany adres e-mail, a dodatkowo udostępniany pod linkiem zawierającym losowy token. Link wygasa po upływie czasu wskazanego w Polityce prywatności.

  6. Pasywny charakter testów. Wszystkie czynności wykonywane w ramach Usługi mają charakter wyłącznie pasywny. Serwis wysyła nieuwierzytelnione żądania HTTP typu GET i HEAD pod publicznie dostępne adresy oraz odpytuje publiczne rekordy DNS i zewnętrzne bazy danych. W szczególności Serwis:

    a) nie podejmuje prób logowania ani odgadywania haseł, nie wykonuje ataków słownikowych ani brute force,

    b) nie prowadzi fuzzowania katalogów ani skanowania w poszukiwaniu ukrytych zasobów,

    c) nie wysyła żadnych payloadów testowych ani danych mających na celu wywołanie błędu aplikacji,

    d) nie wykorzystuje i nie próbuje wykorzystać żadnej wykrytej podatności,

    e) nie modyfikuje, nie usuwa ani nie dodaje żadnych treści na Stronie badanej.

  7. Usługa sprawdza obecność i konfigurację wybranych elementów, a nie wykorzystanie luk bezpieczeństwa. Zakres i sposób działania Usługi mogą się zmieniać wraz z rozwojem Serwisu.

  8. Wyniki Skanów nie są publikowane w Serwisie ani udostępniane publicznie i nie są indeksowane w wyszukiwarkach internetowych.

  9. Usługa jest nieodpłatna. Usługodawca świadczy ją między innymi w celu przedstawienia Użytkownikowi swojej oferty usług technicznych.

§3. Warunki korzystania z usługi

  1. Oświadczenie o uprawnieniu do badania strony. Uruchamiając Skan, Użytkownik oświadcza, że:

    a) jest właścicielem Strony badanej albo osobą uprawnioną do administrowania nią, albo

    b) posiada zgodę osoby uprawnionej na wykonanie przeglądu Strony badanej.

  2. Zabronione jest wskazywanie do przeglądu stron internetowych, wobec których Użytkownik nie ma podstawy określonej w ust. 1. Usługodawca nie weryfikuje samodzielnie, czy Użytkownik posiada takie uprawnienie, i opiera się na jego oświadczeniu. Za skutki złożenia nieprawdziwego oświadczenia odpowiada Użytkownik.

  3. Użytkownik zobowiązuje się nie korzystać z Usługi w sposób sprzeczny z prawem, dobrymi obyczajami lub regulaminem, a w szczególności:

    a) nie zwielokrotniać Skanów w sposób zautomatyzowany, przy użyciu skryptów, botów lub innych narzędzi, które nie są przeglądarką internetową obsługiwaną przez człowieka,

    b) nie obchodzić ani nie próbować obchodzić limitów liczby Skanów, mechanizmów ochrony przed botami (Cloudflare Turnstile) ani innych zabezpieczeń Serwisu,

    c) nie wykorzystywać Serwisu jako narzędzia pośredniczącego w ataku na inny system teleinformatyczny, w tym w celu generowania ruchu obciążającego stronę osoby trzeciej,

    d) nie podejmować działań zakłócających działanie Serwisu ani nie ingerować w jego kod,

    e) nie podawać adresów e-mail, do których nie ma tytułu, ani danych osób trzecich bez ich wiedzy,

    f) nie dostarczać treści o charakterze bezprawnym.

  4. Usługodawca może stosować limity liczby Skanów wykonywanych z jednego adresu IP, dla jednej domeny lub jednego adresu e-mail, a także mechanizmy ochrony przed automatycznym ruchem.

  5. W razie stwierdzenia naruszenia ust. 1-3 Usługodawca może odmówić wykonania Skanu, przerwać jego wykonywanie albo zablokować dostęp do Usługi. O ile jest to możliwe i uzasadnione, Usługodawca informuje Użytkownika o przyczynie.

  6. Wymagania techniczne po stronie Użytkownika:

    a) urządzenie z dostępem do internetu,

    b) aktualna wersja przeglądarki internetowej z włączoną obsługą JavaScript i plików cookie niezbędnych do działania Serwisu,

    c) w przypadku korzystania z rozszerzonego zakresu przeglądu: czynne konto poczty elektronicznej,

    d) oprogramowanie umożliwiające odczyt plików w formacie PDF.

  7. Korzystanie z Usługi wiąże się ze zwykłym ryzykiem właściwym dla korzystania z internetu. Usługodawca stosuje szyfrowanie połączenia z Serwisem.

  8. Usługodawca dokłada starań, aby Serwis działał nieprzerwanie, jednak zastrzega możliwość przerw technicznych, w tym wynikających z niedostępności zewnętrznych interfejsów programistycznych, z których korzysta Usługa.

§4. Charakter raportu i brak gwarancji

  1. Raport oraz wyniki prezentowane w Serwisie mają charakter wyłącznie informacyjny i poglądowy. Powstają automatycznie, bez udziału człowieka, na podstawie testów wybranych elementów Strony badanej, wykonanych w konkretnym momencie.

  2. Raport w szczególności nie jest:

    a) pełnym przeglądem bezpieczeństwa Strony badanej,

    b) testem penetracyjnym ani audytem bezpieczeństwa w rozumieniu norm branżowych,

    c) opinią ekspercką, certyfikatem ani dokumentem potwierdzającym zgodność z jakimkolwiek standardem,

    d) poradą prawną ani dokumentem na potrzeby postępowań lub wymogów regulacyjnych.

  3. Brak wskazania problemu w Raporcie nie oznacza, że Strona badana jest bezpieczna ani że nie występują w niej podatności. Usługa sprawdza wyłącznie elementy wymienione w §2 i tylko w zakresie widocznym z zewnątrz, bez logowania i bez dostępu do serwera, kodu źródłowego czy bazy danych.

  4. Wynik Skanu odzwierciedla stan Strony badanej w chwili jego wykonania. Późniejsze zmiany na stronie, aktualizacje oprogramowania, zmiany konfiguracji serwera lub ujawnienie nowych podatności powodują, że Raport traci aktualność.

  5. Informacje o podatnościach pochodzą ze źródeł zewnętrznych, w szczególności z bazy Wordfence Intelligence Community Edition oraz z api.wordpress.org. Usługodawca nie tworzy tych danych i nie odpowiada za ich kompletność, poprawność ani aktualność. Dane te mogą być niepełne lub nieaktualne.

  6. Rozpoznanie systemu WordPress, motywu, wtyczek i ich wersji odbywa się na podstawie publicznie dostępnych sygnałów i może być błędne. Możliwe są zarówno wyniki fałszywie pozytywne, jak i fałszywie negatywne, na przykład gdy strona ukrywa numery wersji albo gdy wtyczka została zmodyfikowana przez wykonawcę.

  7. Wyniki dotyczące szybkości i wydajności pochodzą z Google PageSpeed Insights API i zależą od warunków pomiaru. Kolejne pomiary tej samej strony mogą dać różne rezultaty.

  8. Część treści Raportu, w tym pogłębiona analiza, jest generowana z użyciem modelu językowego. Treści takie mogą zawierać uproszczenia lub błędy i wymagają weryfikacji przed podjęciem jakichkolwiek działań.

  9. Wdrażanie zaleceń. Wskazówki zawarte w Raporcie mają charakter ogólny i nie uwzględniają indywidualnej konfiguracji Strony badanej. Użytkownik powinien skonsultować je z wykonawcą swojej strony albo powierzyć ich wdrożenie wykwalifikowanemu specjaliście. Samodzielne wprowadzanie zmian, w tym zmiana nagłówków HTTP, aktualizacja lub usuwanie wtyczek i motywów, zmiana konfiguracji serwera lub rekordów DNS, może spowodować nieprawidłowe działanie strony, jej niedostępność, utratę danych albo przerwy w odbiorze poczty. Przed wprowadzeniem zmian należy wykonać kopię zapasową.

  10. Usługodawca nie gwarantuje, że wykonanie zaleceń z Raportu zabezpieczy Stronę badaną przed atakiem, infekcją lub inną szkodą.

§5. Odpowiedzialność

UWAGA - PUNKT DO WERYFIKACJI PRAWNEJ. Poniższe zapisy wymagają szczególnie uważnego sprawdzenia przez prawnika. Wobec Konsumenta nie można dowolnie szeroko wyłączyć ani ograniczyć odpowiedzialności, a postanowienia sprzeczne z art. 385(1) i nast. Kodeksu cywilnego mogą zostać uznane za niedozwolone i tym samym niewiążące. Konieczne jest ustalenie, w jakim zakresie ograniczenia mogą obowiązywać wobec Konsumentów, a w jakim wyłącznie wobec przedsiębiorców.

  1. Usługa jest świadczona nieodpłatnie, a Raport ma charakter informacyjny. Usługodawca nie zobowiązuje się wobec Użytkownika do osiągnięcia określonego rezultatu, w szczególności do wykrycia wszystkich podatności Strony badanej.

  2. Usługodawca ponosi odpowiedzialność na zasadach ogólnych wynikających z przepisów prawa polskiego, z zastrzeżeniem poniższych postanowień.

  3. Usługodawca nie ponosi odpowiedzialności za:

    a) skutki podjęcia lub zaniechania przez Użytkownika działań na podstawie treści Raportu, w tym za szkody powstałe w wyniku samodzielnego wdrażania zaleceń,

    b) niekompletność, nieaktualność lub nieprawidłowość danych pochodzących ze źródeł zewnętrznych wskazanych w §4 ust. 5,

    c) niedostępność lub nieprawidłowe działanie zewnętrznych interfejsów programistycznych, z których korzysta Usługa,

    d) skutki wskazania przez Użytkownika do przeglądu strony, wobec której nie posiadał on uprawnienia opisanego w §3 ust. 1,

    e) przerwy w działaniu Serwisu wynikające z przyczyn niezależnych od Usługodawcy,

    f) skutki udostępnienia przez Użytkownika osobom trzecim linku do Raportu.

  4. Ograniczenia odpowiedzialności, o których mowa w ust. 3, nie dotyczą szkody wyrządzonej umyślnie, a wobec Konsumenta obowiązują wyłącznie w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy prawa. Jeżeli którekolwiek z ograniczeń okaże się wobec Konsumenta niedopuszczalne, w tym zakresie nie ma ono zastosowania, a pozostałe postanowienia regulaminu pozostają w mocy.

  5. W stosunkach z Użytkownikami niebędącymi Konsumentami odpowiedzialność Usługodawcy z tytułu korzystania z Usługi ograniczona jest do szkody rzeczywistej i wyłączona w zakresie utraconych korzyści, w granicach dopuszczalnych przez prawo. [DO UZUPEŁNIENIA: potwierdzenie z prawnikiem, czy przy usłudze nieodpłatnej dodatkowy limit kwotowy ma sens i jak go sformułować]

  6. Użytkownik, który wskazał do przeglądu stronę bez podstawy określonej w §3 ust. 1, ponosi odpowiedzialność wobec Usługodawcy za szkody wynikłe z tego naruszenia, w tym za roszczenia osób trzecich skierowane do Usługodawcy. [DO UZUPEŁNIENIA: weryfikacja prawna dopuszczalności tego zapisu wobec Konsumenta]

§6. Dane osobowe

  1. Administratorem danych osobowych Użytkowników jest Usługodawca.

  2. Zasady przetwarzania danych osobowych, w tym cele, podstawy prawne, zakres danych, okresy przechowywania, kategorie odbiorców oraz prawa osób, których dane dotyczą, opisuje Polityka prywatności dostępna pod adresem [DO UZUPEŁNIENIA: adres URL Polityki prywatności].

  3. Podanie adresu e-mail jest dobrowolne, ale niezbędne do otrzymania Raportu oraz do skorzystania z rozszerzonego zakresu przeglądu opisanego w §2 ust. 4.

  4. W Serwisie nie są stosowane zewnętrzne narzędzia analityczne ani ciasteczka marketingowe. Wykorzystywane są wyłącznie ciasteczka techniczne, niezbędne do działania Serwisu.

  5. Zgody wyrażone przez Użytkownika mogą być w każdej chwili wycofane, bez wpływu na zgodność z prawem przetwarzania dokonanego przed ich wycofaniem. Sposób wycofania zgody opisuje Polityka prywatności.

§7. Reklamacje i pozasądowe rozwiązywanie sporów

  1. Reklamacje dotyczące Usługi można składać:

    a) pocztą elektroniczną na adres kontakt@vawa.pl,

    b) pisemnie na adres [DO UZUPEŁNIENIA: adres do korespondencji].

  2. Reklamacja powinna zawierać dane pozwalające na kontakt z Użytkownikiem, adres Strony badanej lub datę Skanu, którego dotyczy, oraz opis zastrzeżeń. Brak części tych informacji nie jest podstawą do pozostawienia reklamacji bez rozpoznania, może jednak wydłużyć jej rozpatrzenie.

  3. Usługodawca rozpatruje reklamację i udziela odpowiedzi w terminie 14 dni od jej otrzymania, na adres e-mail lub adres korespondencyjny Użytkownika.

  4. Konsument może skorzystać z pozasądowych sposobów rozpatrywania reklamacji i dochodzenia roszczeń, w szczególności:

    a) zwrócić się o pomoc do powiatowego lub miejskiego rzecznika konsumentów albo do organizacji społecznej, do której zadań statutowych należy ochrona konsumentów,

    b) zwrócić się do wojewódzkiego inspektora Inspekcji Handlowej z wnioskiem o wszczęcie postępowania mediacyjnego lub o rozstrzygnięcie sporu przed stałym sądem polubownym,

    c) skorzystać z informacji dostępnych na stronie Urzędu Ochrony Konkurencji i Konsumentów.

  5. [DO UZUPEŁNIENIA: weryfikacja aktualnego stanu unijnej platformy ODR i ewentualnego obowiązku zamieszczenia odesłania. Platforma ODR działająca pod adresem ec.europa.eu/consumers/odr została wygaszona, w miejsce odesłania należy wpisać aktualnie obowiązujące informacje o pozasądowym rozwiązywaniu sporów konsumenckich.]

  6. Skorzystanie z pozasądowych sposobów rozpatrywania sporów jest dobrowolne i wymaga zgody obu stron.

§8. Charakter nieodpłatny usługi i odstąpienie od umowy

  1. Usługa jest świadczona nieodpłatnie. Użytkownik nie ponosi z tytułu korzystania z niej żadnych opłat na rzecz Usługodawcy.

  2. Umowa o świadczenie Usługi zawierana jest na czas oznaczony, na okres wykonania Skanu i udostępnienia Raportu, i ulega rozwiązaniu z chwilą jej wykonania. Użytkownik może w każdej chwili przerwać korzystanie z Usługi, zamykając stronę Serwisu.

  3. Wykonanie Skanu i wysyłka Raportu rozpoczynają się niezwłocznie po zainicjowaniu ich przez Użytkownika, za jego wyraźną zgodą.

  4. [DO UZUPEŁNIENIA: weryfikacja prawna, czy do Usługi znajdują zastosowanie przepisy ustawy o prawach konsumenta o odstąpieniu od umowy zawartej na odległość. Usługa jest nieodpłatna, jednak Użytkownik przekazuje dane osobowe, co w świetle znowelizowanych przepisów może wpływać na kwalifikację umowy. Do rozstrzygnięcia, czy potrzebne jest pouczenie o prawie odstąpienia i wzór formularza odstąpienia.]

  5. Niezależnie od powyższego, Użytkownik może w każdej chwili wycofać zgodę na przetwarzanie danych osobowych oraz zażądać usunięcia swoich danych, na zasadach opisanych w Polityce prywatności.

  6. Usługodawca może zaprzestać świadczenia Usługi w całości lub w części, informując o tym w Serwisie. Nie narusza to praw nabytych przez Użytkowników.

§9. Zmiany regulaminu

  1. Usługodawca może zmienić regulamin z ważnych przyczyn, w szczególności w razie:

    a) zmiany przepisów prawa lub sposobu ich stosowania,

    b) zmiany zakresu, funkcjonalności lub sposobu działania Usługi, w tym zmiany zewnętrznych źródeł danych,

    c) zmiany danych Usługodawcy,

    d) konieczności przeciwdziałania nadużyciom.

  2. Zmieniony regulamin publikowany jest w Serwisie wraz ze wskazaniem daty jego wejścia w życie. Zmiana wchodzi w życie nie wcześniej niż po upływie [DO UZUPEŁNIENIA: liczba dni, na przykład 14] dni od publikacji.

  3. Do Skanów rozpoczętych przed wejściem w życie zmiany stosuje się regulamin w brzmieniu dotychczasowym.

  4. Korzystanie z Usługi po wejściu w życie zmiany oznacza akceptację nowego brzmienia regulaminu. Użytkownik, który nie akceptuje zmiany, powinien zaprzestać korzystania z Usługi.

§10. Postanowienia końcowe

  1. W sprawach nieuregulowanych regulaminem zastosowanie mają przepisy prawa polskiego, w szczególności Kodeksu cywilnego, ustawy o świadczeniu usług drogą elektroniczną, ustawy o prawach konsumenta oraz przepisy o ochronie danych osobowych.

  2. Wybór prawa polskiego nie pozbawia Konsumenta ochrony wynikającej z bezwzględnie obowiązujących przepisów prawa państwa jego zwykłego pobytu.

  3. Spory z Użytkownikami niebędącymi Konsumentami rozpoznaje sąd właściwy miejscowo dla siedziby Usługodawcy. Spory z Konsumentami rozpoznaje sąd właściwy według przepisów ogólnych.

  4. Jeżeli którekolwiek postanowienie regulaminu okaże się nieważne lub bezskuteczne, pozostałe postanowienia zachowują moc.

  5. Regulamin jest udostępniany nieodpłatnie w Serwisie w sposób umożliwiający jego pobranie, odtworzenie i utrwalenie.

  6. Regulamin wchodzi w życie z dniem [DO UZUPEŁNIENIA: data wejścia w życie].