Strony i struktura
Niniejsze warunki licencji („Warunki”) obowiązują między Fluence Security - Paweł Mierzwa, NIP 9571182795 („FluenceSecurity”) a organizacją wskazaną w formularzu zamówienia, ofercie lub umowie odwołującej się do Warunków („Klient”). Formularz zamówienia określa szczegóły handlowe: edycję, liczbę chronionych stacji i organizacji, okres, opłaty i poziom wsparcia. W razie sprzeczności formularz zamówienia ma pierwszeństwo przed Warunkami.
Gdy FluenceSecurity przetwarza dane osobowe w imieniu Klienta, dodatkowo obowiązuje umowa powierzenia przetwarzania.
Definicje
- Platforma: oprogramowanie XenXDR, w tym konsola, potok ingestu, silniki detekcji i automatyzacji, portal klienta i powiązane komponenty, w postaci kodu wynikowego, wraz z dokumentacją.
- Agent: agent XenXDR instalowany na stacjach Klienta.
- Wdrożenie self-hosted: Platforma zainstalowana i utrzymywana na infrastrukturze kontrolowanej przez Klienta.
- Instancja hostowana: dedykowana instancja Platformy utrzymywana przez FluenceSecurity dla Klienta.
- Stacja: fizyczny lub wirtualny komputer, na którym zainstalowano Agenta lub z którego zbierana jest telemetria.
- Organizacja: tenant skonfigurowany w Platformie, zwykle odpowiadający jednemu podmiotowi prawnemu chronionemu przez Klienta.
- Pakiet treści: reguły detekcji, szablony playbooków i podobna treść dostarczana z Platformą.
Udzielenie licencji
Pod warunkiem zapłaty opłat i przestrzegania Warunków FluenceSecurity udziela Klientowi niewyłącznej, nieprzenoszalnej licencji na okres wskazany w formularzu zamówienia na:
- w przypadku wdrożenia self-hosted: instalację i uruchamianie Platformy na infrastrukturze kontrolowanej przez Klienta oraz instalację Agenta na liczbie Stacji i dla liczby Organizacji wskazanych w formularzu zamówienia;
- w przypadku instancji hostowanej: dostęp do Platformy i korzystanie z niej przez instancję udostępnioną przez FluenceSecurity oraz instalację Agenta na licencjonowanej liczbie Stacji;
- korzystanie z dokumentacji i Pakietu treści w związku z Platformą;
- jeśli formularz zamówienia wskazuje Klienta jako dostawcę zarządzanych usług bezpieczeństwa: korzystanie z Platformy w celu świadczenia usług własnym klientom w ramach licencjonowanej liczby Organizacji.
Ograniczenia
Klient nie może i nie może pozwolić nikomu innemu:
- kopiować Platformy poza kopią zapasową i eksploatacją licencjonowanego wdrożenia;
- modyfikować, tłumaczyć ani tworzyć utworów zależnych Platformy, poza konfiguracją, regułami i playbookami tworzonymi przez przewidziane interfejsy;
- dokonywać inżynierii wstecznej, dekompilacji ani dezasemblacji Platformy, z wyjątkiem zakresu wyraźnie dozwolonego prawem pomimo tego ograniczenia, i to dopiero po zwróceniu się do FluenceSecurity o poszukiwane informacje;
- wynajmować, wydzierżawiać, sublicencjonować ani odsprzedawać Platformy, poza świadczeniem usług jako MSSP na podstawie powyższej licencji;
- usuwać ani zmieniać informacji o prawach własności;
- używać Platformy do monitorowania osób bez podstawy prawnej lub z naruszeniem obowiązującego prawa.
Warunki reguł detekcji, prompty i dane strojenia dostarczane z Platformą stanowią informacje poufne FluenceSecurity także wtedy, gdy są czytelne w produkcie.
Obowiązki Klienta
Klient odpowiada za:
- zgodne z prawem korzystanie z Platformy, w tym przestrzeganie prawa pracy przy monitorowaniu pracowników. W Polsce obejmuje to obowiązek poinformowania pracowników o monitoringu na podstawie art. 22² i 22³ Kodeksu pracy oraz określenia jego zakresu i celu w regulaminie pracy lub układzie zbiorowym;
- prawidłowość danych przesyłanych do Platformy i zgodność z prawem ich zbierania;
- w przypadku wdrożeń self-hosted: bezpieczeństwo i dostępność infrastruktury, kopie zapasowe, aktualizacje i skonfigurowany endpoint modelu;
- zarządzanie własnymi użytkownikami, rolami i uprawnieniami do organizacji;
- decyzje podejmowane na podstawie wyników Platformy. Werdykty, streszczenia i rekomendacje AI mają charakter doradczy; o tym, czy i jak działać, decyduje Klient.
Aktualizacje i telemetria
FluenceSecurity może dostarczać aktualizacje Platformy, Agenta i Pakietu treści. Aktualizacje Agenta są podpisane i weryfikowane kluczem przypiętym przy instalacji; o terminie ich zastosowania decyduje Klient. Platforma nie przesyła danych Klienta do FluenceSecurity. Jedyne połączenia wychodzące to te, które konfiguruje Klient, na przykład endpoint modelu, źródła threat intelligence lub kanały powiadomień, oraz połączenia potrzebne do pobrania aktualizacji.
Instancje hostowane
W przypadku instancji hostowanych FluenceSecurity utrzymuje infrastrukturę, stosuje aktualizacje, wykonuje kopie zapasowe i monitoruje dostępność. Poziomy usług dla instancji hostowanych określa formularz zamówienia. Klient zachowuje własność swoich danych i może je w każdej chwili wyeksportować w udokumentowanych formatach. Po rozwiązaniu umowy FluenceSecurity na żądanie dostarcza eksport i usuwa dane instancji w ciągu 30 dni, z zastrzeżeniem ustawowych obowiązków przechowywania.
Wsparcie
Wsparcie świadczone jest zgodnie z formularzem zamówienia. O ile nie postanowiono inaczej, wsparcie obejmuje bieżące wydanie i wydanie poprzednie, w polskich godzinach pracy, przez e-mail i portal klienta.
Opłaty
Opłaty określa formularz zamówienia; są to kwoty netto bez VAT. Opłaty zależą od licencjonowanej liczby Stacji i Organizacji; Klient ma obowiązek powiadomić FluenceSecurity o przekroczeniu którejkolwiek z nich, a nadwyżka jest fakturowana według stawek z formularza zamówienia. Faktury płatne są w terminie 14 dni, chyba że formularz zamówienia stanowi inaczej.
Własność intelektualna
Platforma jest licencjonowana, nie sprzedawana. FluenceSecurity i jej licencjodawcy zachowują wszelkie prawa do Platformy, dokumentacji i Pakietu treści. Klient zachowuje wszelkie prawa do swoich danych, własnych reguł detekcji i playbooków oraz raportów. Platforma zawiera komponenty open source na ich własnych licencjach, wymienionych w dokumentacji; licencje te mają zastosowanie do tych komponentów.
Poufność
Każda ze stron zachowuje w tajemnicy informacje poufne drugiej strony, używa ich wyłącznie do celów umowy i chroni je z co najmniej należytą starannością, przez czas trwania umowy i pięć lat po jej zakończeniu. Informacje poufne nie obejmują informacji publicznych bez naruszenia, opracowanych niezależnie lub zgodnie z prawem otrzymanych od osoby trzeciej.
Gwarancje i wyłączenia
FluenceSecurity gwarantuje, że Platforma będzie działać w istotnym zakresie zgodnie z dokumentacją licencjonowanej wersji. Wyłącznym środkiem prawnym Klienta w razie naruszenia tej gwarancji jest naprawa, wymiana lub, jeśli żadna z nich nie nastąpi w rozsądnym czasie, rozwiązanie umowy i proporcjonalny zwrot opłat zapłaconych z góry.
Platforma jest obecnie oferowana w fazie wczesnego dostępu. FluenceSecurity nie gwarantuje, że Platforma wykryje każde zagrożenie, że jest wolna od błędów ani że jakakolwiek integracja oznaczona jako „wkrótce” stanie się dostępna w określonym terminie. Poza wyraźnie wskazanymi gwarancjami Platforma jest dostarczana bez innych gwarancji, wyraźnych lub dorozumianych, w tym przydatności do określonego celu.
Odpowiedzialność
Żadna ze stron nie odpowiada za szkody pośrednie lub następcze, w tym utracone korzyści, przychody lub dane, z wyjątkiem winy umyślnej lub rażącego niedbalstwa. Łączna odpowiedzialność każdej ze stron z tytułu umowy jest ograniczona do opłat zapłaconych lub należnych od Klienta w dwunastu miesiącach poprzedzających zdarzenie będące podstawą roszczenia. Ograniczenia te nie dotyczą naruszenia poufności, naruszenia praw własności intelektualnej ani odpowiedzialności, której nie można ograniczyć na gruncie obowiązującego prawa.
Okres obowiązywania i rozwiązanie
Umowa obowiązuje przez okres wskazany w formularzu zamówienia i odnawia się na kolejne okresy tej samej długości, chyba że jedna ze stron złoży wypowiedzenie co najmniej 30 dni przed końcem bieżącego okresu. Każda ze stron może rozwiązać umowę z powodu istotnego naruszenia nieusuniętego w ciągu 30 dni od pisemnego wezwania. Z chwilą rozwiązania licencja wygasa; Klient musi zaprzestać korzystania z Platformy i odinstalować Agenta, a może wyeksportować swoje dane w sposób opisany powyżej.
Kontrola eksportu i sankcje
Klient potwierdza, że nie podlega sankcjom UE, Organizacji Narodów Zjednoczonych ani Stanów Zjednoczonych i nie będzie korzystał z Platformy z naruszeniem prawa kontroli eksportu.
Audyt
Za 30-dniowym uprzedzeniem i nie częściej niż raz w roku FluenceSecurity może poprosić Klienta o potwierdzenie liczby używanych Stacji i Organizacji. Podstawą potwierdzenia jest inwentarz Platformy; kontrola na miejscu nie jest wymagana.
Postanowienia ogólne
Warunki podlegają prawu Rzeczypospolitej Polskiej, a spory rozstrzyga sąd powszechny właściwy dla siedziby FluenceSecurity. Żadna ze stron nie może przenieść umowy bez zgody drugiej strony, z wyjątkiem następcy prawnego przedsiębiorstwa. Jeśli jakiekolwiek postanowienie jest nieważne, pozostałe pozostają w mocy. Zmiany wymagają formy pisemnej.