Algemene voorwaarden Externe security scan

One Step Ahead Security: rechtsvorm en naam, gevestigd te adres, ingeschreven bij de Kamer van Koophandel onder nummer nummer, de gebruiker van deze voorwaarden.

Opdrachtgever: de rechtspersoon of natuurlijke persoon die handelt in de uitoefening van een beroep of bedrijf en met One Step Ahead Security een overeenkomst sluit.

Overeenkomst: de opdrachtbevestiging die door Opdrachtgever digitaal is ondertekend en door One Step Ahead Security is aanvaard, inclusief deze voorwaarden en, indien van toepassing, de verwerkersovereenkomst.

Dienst: de externe security scan zoals omschreven in artikel 4.

Domein: het domein en de subdomeinen die in de opdrachtbevestiging zijn genoemd, inclusief genoemde extra domeinen.

Scan: één uitvoering van de Dienst op het Domein.

Rapport: het resultaat van een Scan, waaronder de score, de bevindingen, de managementsamenvatting en het deelbare scanoverzicht.

Pakket: Check Jaar, Check Kwartaal of Check Maandelijks.

Schriftelijk: ook per e-mail of via een e-signing-dienst.

Deze voorwaarden zijn van toepassing op alle aanbiedingen, overeenkomsten en leveringen van One Step Ahead Security.

Algemene voorwaarden van Opdrachtgever worden uitdrukkelijk van de hand gewezen.

Deze voorwaarden zijn uitsluitend bedoeld voor zakelijke Opdrachtgevers. One Step Ahead Security sluit geen overeenkomsten met consumenten. Door te ondertekenen verklaart Opdrachtgever te handelen in de uitoefening van een beroep of bedrijf.

Bij strijd tussen de opdrachtbevestiging en deze voorwaarden gaat de opdrachtbevestiging voor.

Is een bepaling van deze voorwaarden nietig of wordt zij vernietigd, dan blijven de overige bepalingen gelden. Partijen vervangen de bepaling door een bepaling die zo dicht mogelijk aansluit bij het doel van de oorspronkelijke bepaling.

Aanbiedingen zijn vrijblijvend. Een aanbod kan telefonisch worden toegelicht of gedaan. Een telefonisch gesprek leidt op zichzelf niet tot een Overeenkomst. De Overeenkomst komt tot stand nadat Opdrachtgever de digitale opdrachtbevestiging heeft ondertekend en One Step Ahead Security de opdracht heeft aanvaard. One Step Ahead Security mag een opdracht weigeren.

Ondertekening via een e-signing-dienst geldt als handtekening. De gegevens van de e-signing-dienst, zoals tijdstempel en ondertekenaar, gelden als bewijs.

Opdrachtgever staat ervoor in dat de ondertekenaar bevoegd is om Opdrachtgever te vertegenwoordigen.

Geen bedenktijd. Omdat de Overeenkomst met een zakelijke Opdrachtgever wordt gesloten, bestaat er geen wettelijk recht op bedenktijd of herroeping. De Overeenkomst is vanaf ondertekening bindend en kan alleen worden beëindigd op de manier die in artikel 9 en artikel 15 is beschreven.

One Step Ahead Security stelt de opdrachtbevestiging en deze voorwaarden vóór of bij het sluiten van de Overeenkomst digitaal aan Opdrachtgever beschikbaar, zodat Opdrachtgever deze kan opslaan en later raadplegen.

De Dienst is een geautomatiseerde externe security scan van het Domein met door One Step Ahead Security ontwikkelde software. De Scan wordt uitsluitend vanaf de buitenzijde uitgevoerd en omvat de in de opdrachtbevestiging en/of productomschrijving beschreven passieve of lichte controles. Deze kunnen onder meer betrekking hebben op e-mailbeveiliging (SPF, DKIM, DMARC en MTA-STS), domeininstellingen, websitebeveiliging (TLS en beveiligingsheaders), publiek zichtbare poorten, subdomeinen, zichtbare softwareversies, bekende kwetsbaarheden en bestaande domeinregistraties die op het Domein lijken.

In alle Pakketten is de inhoud van de Scan in beginsel gelijk. Het Pakket bepaalt de frequentie: Check Jaar omvat 1 Scan per jaar, Check Kwartaal 4 Scans per jaar en Check Maandelijks 12 Scans per jaar. Inbegrepen zijn een Rapport per Scan met vergelijking met de vorige Scan, een melding bij nieuwe bevindingen met ernst kritiek of hoog, hertest op aanvraag binnen redelijk gebruik, een managementsamenvatting en een deelbaar scanoverzicht.

De Dienst omvat uitsluitend het uitvoeren van de Scan en het rapporteren van de bevindingen. Niet inbegrepen zijn een penetratietest, een scan van interne netwerken, laptops of andere systemen, het actief testen of uitbuiten van kwetsbaarheden, het oplossen, herstellen of aanpassen van gevonden kwetsbaarheden, beveiligingsproblemen of configuratiefouten, een menselijke toelichting op het Rapport, certificering en garantie op naleving van wet- en regelgeving, waaronder NIS2. Herstel- of aanvullende werkzaamheden worden uitsluitend uitgevoerd als Opdrachtgever deze afzonderlijk afneemt en partijen daarover aparte schriftelijke afspraken maken, waaronder afspraken over scope, planning en kosten.

Bij lookalike-domeinen worden uitsluitend beschikbare registratiegegevens opgezocht. De websites en servers van die domeinen worden niet gescand.

One Step Ahead Security mag de Dienst, de eigen software, gebruikte hulpmiddelen en werkwijze verbeteren of wijzigen, zolang de overeengekomen kern en strekking van de Dienst niet wezenlijk worden gewijzigd. Een wezenlijke wijziging wordt vooraf aan Opdrachtgever meegedeeld.

De Scan is geen penetratietest en omvat geen poging om toegang te verkrijgen tot beveiligde accounts, beveiligde omgevingen of gegevens. One Step Ahead Security wijzigt of verwijdert geen gegevens en brengt geen configuratiewijzigingen aan. De precieze controles zijn afhankelijk van de overeengekomen scope en de technische mogelijkheden op het moment van de Scan.

Met ondertekening van de opdrachtbevestiging geeft Opdrachtgever uitdrukkelijk toestemming om de daarin genoemde Domeinen gedurende de Overeenkomst te scannen. De toestemming geldt uitsluitend voor de specifiek in de opdrachtbevestiging genoemde domeinen en scope.

Opdrachtgever verklaart dat zij rechthebbende is op het Domein of anderszins bevoegd is om de Scan te laten uitvoeren en de toestemming te geven. Opdrachtgever staat ervoor in dat de ondertekenaar bevoegd is deze verklaring namens Opdrachtgever af te leggen.

Voor systemen of infrastructuur van derden, zoals hosting-, cloud-, CDN- of e-mailaanbieders, is Opdrachtgever verantwoordelijk voor het verkrijgen van alle eventueel benodigde toestemmingen. Bij gedeelde hosting en bij IP-adressen die niet aan Opdrachtgever toebehoren, kan One Step Ahead Security controles beperken of overslaan en dit in het Rapport vermelden.

Voor zover van toepassing vermeldt One Step Ahead Security het gebruikte scan-IP-adres IP-adres en de user-agent naam user-agent. Opdrachtgever zorgt ervoor dat deze niet onnodig worden geblokkeerd en informeert zo nodig haar hostingpartij of beveiligingsdienst vooraf, zodat de Scan niet ten onrechte als aanval wordt aangemerkt.

Bij een wijziging van domeinnaam dient Opdrachtgever dit schriftelijk te melden via info@1sasecure.com. Opdrachtgever dient hierbij bewijs aan te leveren waaruit blijkt dat de domeinwijziging heeft plaatsgevonden en dat Opdrachtgever bevoegd is over het nieuwe domein.

Na ontvangst en goedkeuring van het bewijs kan One Step Ahead Security het nieuwe domein opnemen als vervanging van het bestaande domein.

Als coulanceregeling mag Opdrachtgever de nog niet uitgevoerde scans uit het reeds betaalde lopende abonnement gebruiken voor het nieuwe domein. Het aantal resterende scans blijft hierbij ongewijzigd.

Zolang er nog scans beschikbaar zijn binnen het lopende abonnement, worden voor de vervanging van het domein geen extra kosten in rekening gebracht.

Zodra alle inbegrepen scans zijn uitgevoerd, zijn voor verdere scans op het nieuwe domein nieuwe abonnementskosten verschuldigd. Hiervoor wordt een nieuwe overeenkomst of abonnementsperiode aangegaan tegen de op dat moment geldende tarieven.

De oorspronkelijke looptijd en einddatum van het abonnement blijven ongewijzigd.

Opdrachtgever vrijwaart One Step Ahead Security tegen aanspraken van derden die voortvloeien uit onjuiste of ontbrekende toestemming, het ontbreken van benodigde rechten of toestemmingen van derden, of een Domein waarover Opdrachtgever niet bevoegd bleek te beschikken.

De eerste Scan start nadat de Overeenkomst tot stand is gekomen en de eerste betaling is ontvangen, tenzij in de opdrachtbevestiging anders is afgesproken. Volgende Scans worden automatisch uitgevoerd volgens het gekozen Pakket.

Het Rapport wordt doorgaans binnen enkele uren na de Scan per e-mail verzonden aan het opgegeven e-mailadres. Genoemde termijnen zijn indicatief en geen fatale termijnen.

One Step Ahead Security voert de Scan met passende instellingen en, waar mogelijk, lage snelheid uit om belasting van de systemen van Opdrachtgever te beperken. Niet kan worden gegarandeerd dat de Scan geen enkele invloed heeft op systemen of diensten. De verplichtingen van One Step Ahead Security zijn inspanningsverplichtingen.

Mislukt een Scan door een technische storing of andere oorzaak, dan zal One Step Ahead Security zich inspannen om de Scan opnieuw uit te voeren. Een uitgevallen Scan wordt, waar redelijkerwijs mogelijk, zo spoedig mogelijk ingehaald.

One Step Ahead Security doet alleen gratis hertest bij een storing of foutmelding vanuit eigen kant.

One Step Ahead Security mag de Dienst tijdelijk onderbreken voor onderhoud, updates, beveiligingsmaatregelen of het verhelpen van storingen. Zij zal de duur van een geplande onderbreking waar redelijkerwijs mogelijk beperken.

Problemen, storingen, onjuistheden of andere meldingen over de Dienst of een uitgevoerde Scan kunnen schriftelijk worden gemeld via info@1sasecure.com. One Step Ahead Security zal de melding beoordelen en zich inspannen om problemen met betrekking tot haar eigen Dienst binnen een redelijke termijn te behandelen. Een melding houdt geen opdracht in tot herstelwerkzaamheden aan de website, systemen, configuraties of infrastructuur van Opdrachtgever. Dergelijke herstelwerkzaamheden zijn niet inbegrepen en kunnen alleen op basis van een afzonderlijke overeenkomst worden uitgevoerd.

One Step Ahead Security kan bij een melding vragen om aanvullende informatie, zoals het betreffende Domein, het tijdstip van de Scan, een foutmelding en relevante schermafbeeldingen. Opdrachtgever verstrekt geen wachtwoorden of andere geheime toegangsgegevens per e-mail.

Een Rapport is een momentopname van wat op het moment van de Scan van buitenaf zichtbaar was.

One Step Ahead Security garandeert niet dat alle kwetsbaarheden of risico's worden gevonden, dat een Rapport volledig of foutloos is of dat de organisatie, website, systemen of infrastructuur van Opdrachtgever veilig zijn. Valse meldingen en gemiste bevindingen zijn mogelijk. De Scan is geen volledige beveiligingscontrole en voorkomt geen cyberaanvallen, datalekken, storingen of andere beveiligingsincidenten.

Opdrachtgever blijft zelf verantwoordelijk voor de beveiliging van haar systemen, voor het beoordelen en prioriteren van de bevindingen, voor het tijdig laten oplossen daarvan door eigen medewerkers of een derde deskundige, en voor het maken en controleren van back-ups. One Step Ahead Security lost bevindingen niet op, tenzij Opdrachtgever daarvoor afzonderlijk een aanvullende dienst afneemt.

Het deelbare scanoverzicht mag door Opdrachtgever met derden worden gedeeld, zoals klanten of een verzekeraar, maar uitsluitend ongewijzigd en met de vermelde disclaimer. Het mag niet worden gepresenteerd als keurmerk, certificaat, volledige beveiligingsverklaring of garantie.

De toelichting bij bevindingen in een Rapport kan mede met geautomatiseerde technieken, waaronder AI, worden opgesteld op basis van de door de eigen scanner vastgestelde bevindingen. De toelichting is informatief en vormt geen bindend technisch, juridisch of compliance-advies. Opdrachtgever blijft verantwoordelijk voor de beoordeling van de bevindingen en aanbevelingen.

De prijzen staan in de opdrachtbevestiging, zijn in euro's en zijn exclusief btw, tenzij anders vermeld. Voor extra domeinen gelden de tarieven uit de opdrachtbevestiging.

Het jaarbedrag wordt jaarlijks vooraf gefactureerd, bij aanvang van elke contractperiode.

Opdrachtgever betaalt binnen 14 dagen na factuurdatum via betaalwijze/betaalprovider.

Betaalt Opdrachtgever niet tijdig, dan is zij zonder ingebrekestelling in verzuim. Opdrachtgever is dan de wettelijke handelsrente en de buitengerechtelijke incassokosten verschuldigd, ten minste overeenkomstig het Besluit vergoeding voor buitengerechtelijke incassokosten.

One Step Ahead Security mag de Dienst opschorten zolang Opdrachtgever niet heeft betaald. De betalingsverplichting blijft bestaan.

One Step Ahead Security mag de prijzen per nieuwe contractperiode wijzigen, bijvoorbeeld door indexatie. Zij kondigt dit uiterlijk twee maanden vóór het einde van de lopende contractperiode aan. Opdrachtgever kan dan opzeggen volgens artikel 9.

Bezwaren tegen een factuur moeten zo spoedig mogelijk en bij voorkeur binnen 14 dagen na factuurdatum schriftelijk en gemotiveerd worden gemeld via info@1sasecure.com. Een factuurbezwaar schort de betalingsverplichting niet op, tenzij partijen schriftelijk anders overeenkomen of de wet anders bepaalt. Het niet binnen deze termijn melden van een bezwaar doet wettelijke rechten van Opdrachtgever niet automatisch vervallen.

De Overeenkomst gaat in op de datum van ondertekening en loopt voor een eerste periode van 12 maanden.

Na afloop van de eerste periode wordt de Overeenkomst telkens stilzwijgend verlengd met 12 maanden en loopt dus door tot wederopzegging.

Opzegging door Opdrachtgever moet schriftelijk gebeuren per e-mail aan info@1sasecure.com, uiterlijk één maand vóór het einde van de lopende contractperiode, met ingang van het einde van die periode.

Wordt niet tijdig opgezegd, dan wordt de Overeenkomst verlengd met 12 maanden en is het volledige jaarbedrag voor die periode verschuldigd.

Tussentijdse opzegging is niet mogelijk. Reeds betaalde bedragen worden niet gerestitueerd, behalve in de gevallen van artikel 15.3.

One Step Ahead Security stuurt als service ruim vóór de einddatum een herinnering. Het uitblijven van een herinnering heeft geen invloed op de verlenging.

Wisselen naar een Pakket met een lagere frequentie kan per einde van de contractperiode, mits Schriftelijk aangevraagd binnen de opzegtermijn van lid 3. Een tussentijdse overstap naar een Pakket met een hogere frequentie is mogelijk; de meerprijs wordt naar rato van de resterende looptijd berekend.

One Step Ahead Security kan de Overeenkomst opzeggen tegen het einde van een contractperiode met een opzegtermijn van twee maanden.

One Step Ahead Security verwerkt persoonsgegevens in overeenstemming met de Algemene verordening gegevensbescherming (AVG) en de toepasselijke privacyverklaring. Voor zover One Step Ahead Security bij de uitvoering van de Dienst persoonsgegevens namens Opdrachtgever verwerkt en daarbij als verwerker optreedt, sluiten partijen een afzonderlijke verwerkersovereenkomst. De rolverdeling wordt bepaald door de feitelijke verwerking.

One Step Ahead Security slaat scanresultaten en Rapporten digitaal op om de Dienst te kunnen leveren, eerdere Scans te vergelijken, meldingen te kunnen afhandelen en de Overeenkomst uit te voeren. Scanresultaten, Rapporten en bewijs van toestemming (waaronder tijdstempel, ondertekenaar, scope en Pakket) worden bewaard gedurende de looptijd van de Overeenkomst en daarna gedurende bewaartermijn, tenzij een langere bewaartermijn noodzakelijk is voor een wettelijke verplichting of de vaststelling, uitoefening of onderbouwing van een rechtsvordering. De concrete bewaartermijnen en verwijdertermijnen worden nader beschreven in de privacyverklaring en, indien van toepassing, de verwerkersovereenkomst.

One Step Ahead Security treft passende technische en organisatorische maatregelen om persoonsgegevens, scanresultaten en Rapporten te beveiligen. Rapporten kunnen informatie bevatten over de beveiligingsstatus van Opdrachtgever en kunnen daarom gevoelig zijn. One Step Ahead Security verzendt Rapporten naar het door Opdrachtgever opgegeven e-mailadres. Opdrachtgever is verantwoordelijk voor het opgeven en actueel houden van een juist e-mailadres en voor de beveiliging van de mailbox en toegang daartoe.

Indien zich een inbreuk in verband met persoonsgegevens voordoet die betrekking heeft op persoonsgegevens die One Step Ahead Security voor Opdrachtgever verwerkt, informeert One Step Ahead Security Opdrachtgever zonder onredelijke vertraging en verstrekt zij de informatie die redelijkerwijs beschikbaar is en nodig is om Opdrachtgever in staat te stellen haar wettelijke verplichtingen na te komen.

Partijen houden vertrouwelijke informatie van de ander geheim. Rapporten, scanresultaten, beveiligingsbevindingen en toegangs- of configuratiegegevens gelden als vertrouwelijke informatie. One Step Ahead Security gebruikt deze informatie uitsluitend voor de uitvoering, beveiliging en verbetering van de Dienst en mag uitsluitend niet tot Opdrachtgever of een natuurlijk persoon herleidbare, geanonimiseerde en geaggregeerde statistieken gebruiken.

Opdrachtgever mag een Rapport intern delen en met haar IT-leverancier of andere ingeschakelde deskundige voor het beoordelen en oplossen van bevindingen, mits deze ontvangers de vertrouwelijkheid respecteren. Externe publicatie of commercieel gebruik is alleen toegestaan binnen de grenzen van artikel 7.4 en artikel 12.

Geheimhouding geldt niet voor zover openbaarmaking wettelijk verplicht is of door een rechter wordt bevolen.

Alle rechten op de Dienst, de scanners, de werkwijze, de scoringsregels, de rapportsjablonen en de software berusten bij One Step Ahead Security of haar licentiegevers.

Opdrachtgever krijgt een niet-exclusief en niet-overdraagbaar recht om Rapporten te gebruiken voor haar eigen bedrijfsvoering.

Het is Opdrachtgever niet toegestaan de Dienst door te verkopen, Rapporten commercieel te verspreiden of de Dienst of de scoringsregels te gebruiken om een concurrerend product te maken.

De aansprakelijkheid van One Step Ahead Security voor een toerekenbare tekortkoming of onrechtmatige daad in verband met de Overeenkomst is, voor zover wettelijk toegestaan, per gebeurtenis beperkt tot het bedrag dat Opdrachtgever in de 12 maanden vóór het schadeveroorzakende feit aan One Step Ahead Security heeft betaald (exclusief btw), met een maximum van € concreet bedrag. Indien de aansprakelijkheidsverzekering in het betreffende geval een hoger bedrag uitkeert, geldt dat uitgekeerde bedrag als maximum, voor zover de verzekering daadwerkelijk tot uitkering overgaat.

One Step Ahead Security is niet aansprakelijk voor indirecte schade, zoals gevolgschade, gederfde winst of omzet, verlies van gegevens, reputatieschade en schade door bedrijfsstagnatie.

One Step Ahead Security is, voor zover wettelijk toegestaan, niet aansprakelijk voor schade die ontstaat doordat een kwetsbaarheid, risico of incident niet is gevonden of gemeld, doordat een Rapport een onjuistheid of onvolledigheid bevat, doordat Opdrachtgever of een derde een bevinding niet of niet tijdig oplost, of doordat Opdrachtgever beslissingen neemt op basis van een Rapport zonder passende eigen beoordeling. Dit laat aansprakelijkheid voor een toerekenbare tekortkoming van One Step Ahead Security onverlet voor zover uitsluiting wettelijk niet is toegestaan.

Voor schade door tijdelijke verstoring of blokkering van systemen als gevolg van een Scan gelden de beperkingen van lid 1 en lid 2.

De beperkingen in dit artikel gelden niet voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van One Step Ahead Security of haar leidinggevenden.

Opdrachtgever meldt schade zo spoedig mogelijk nadat zij deze heeft ontdekt of redelijkerwijs had behoren te ontdekken, met een omschrijving van de gebeurtenis en de schade. Partijen laten wettelijke verjarings- en vervaltermijnen onverlet. Een eventuele contractuele klacht- of meldingstermijn beperkt wettelijke rechten niet voor zover een dergelijke beperking niet is toegestaan.

Een tekortkoming is niet toerekenbaar als zij het gevolg is van overmacht. Daaronder vallen onder meer storingen van internet, stroom, hosting, cloud- of andere leveranciers, cyberaanvallen, overheidsmaatregelen en andere omstandigheden buiten de redelijke invloed van One Step Ahead Security.

Tijdens overmacht worden de verplichtingen opgeschort. Duurt de overmacht langer dan 60 dagen, dan kunnen partijen de Overeenkomst Schriftelijk ontbinden, zonder verplichting tot schadevergoeding.

Elke partij mag de Overeenkomst Schriftelijk ontbinden bij een ernstige tekortkoming van de andere partij, nadat zij een redelijke termijn van 14 dagen heeft gegeven om de tekortkoming te herstellen. Ontbinding is ook mogelijk bij faillissement, surseance van betaling of liquidatie van de andere partij.

One Step Ahead Security mag de Dienst direct opschorten of beëindigen als zij een redelijk vermoeden heeft dat Opdrachtgever niet bevoegd is over het Domein, dat de Dienst wordt misbruikt, of bij niet-betaling.

Ontbindt Opdrachtgever wegens een toerekenbare tekortkoming van One Step Ahead Security, dan restitueert One Step Ahead Security het bedrag voor de niet-genoten periode naar rato. Bij ontbinding door One Step Ahead Security wegens een toerekenbare tekortkoming van Opdrachtgever blijft het jaarbedrag verschuldigd.

Na beëindiging stopt One Step Ahead Security de Scans. De verdere bewaring en verwijdering van Rapporten, scanresultaten en persoonsgegevens vindt plaats overeenkomstig artikel 10, de privacyverklaring en, indien van toepassing, de verwerkersovereenkomst.

One Step Ahead Security mag deze voorwaarden wijzigen. Een wijziging geldt voor lopende Overeenkomsten vanaf de eerstvolgende contractperiode, nadat One Step Ahead Security haar uiterlijk twee maanden vóór het einde van de lopende contractperiode heeft aangekondigd. Opdrachtgever kan dan opzeggen volgens artikel 9.

One Step Ahead Security mag haar rechten en plichten uit de Overeenkomst overdragen aan een derde, bijvoorbeeld bij overname, met mededeling aan Opdrachtgever. Opdrachtgever mag dit alleen met voorafgaande Schriftelijke toestemming.

One Step Ahead Security mag derden inschakelen voor ondersteunende werkzaamheden, zoals hosting, e-mail, beveiliging of software-infrastructuur. Voor zover deze derden persoonsgegevens namens One Step Ahead Security verwerken, worden de toepasselijke AVG-verplichtingen en, indien vereist, afspraken over subverwerkers nageleefd.

De Overeenkomst bevat alle afspraken tussen partijen over de Dienst. Wijzigingen zijn alleen geldig als zij Schriftelijk zijn overeengekomen.

Op de Overeenkomst is uitsluitend Nederlands recht van toepassing. Het Weens Koopverdrag is uitgesloten.

Partijen proberen een geschil eerst in onderling overleg op te lossen. Lukt dit niet, dan is uitsluitend de bevoegde rechter van de rechtbank bevoegd.