Algemene voorwaarden

1. Begrippen

1. 1.1 Wij of Blackbox Cyber: Blackbox Security & Service B.V., Grotestraat 46, 5431 DK Cuijk, KvK 91199646, handelend onder de naam Blackbox Cyber.
2. 1.2 U of opdrachtgever: het bedrijf of de organisatie die ons een opdracht geeft.
3. 1.3 Opdracht: een Website Security Check, Pentest Website, Pentest Plus, hertest, abonnement of ander werk dat wij voor u doen.
4. 1.4 Toestemmingsverklaring: het per opdracht getekende document waarin de eigenaar van het systeem ons toestemming geeft om te testen, met de scope, het testvenster, de toegestane technieken en de contactpersonen.
5. 1.5 Scope: de systemen, adressen en onderdelen die in de toestemmingsverklaring staan. Alles wat daar niet in staat, valt buiten de opdracht.
6. 1.6 Schriftelijk: op papier, per e-mail of via een elektronische ondertekenomgeving.

2. Toepasselijkheid

1. 2.1 Deze voorwaarden gelden voor elke offerte, opdracht en overeenkomst tussen u en ons.
2. 2.2 Wij werken alleen voor bedrijven en organisaties, niet voor consumenten. Door een opdracht te geven verklaart u dat u handelt in de uitoefening van een beroep of bedrijf.
3. 2.3 Algemene voorwaarden of inkoopvoorwaarden van u gelden niet. Wij wijzen die uitdrukkelijk van de hand.
4. 2.4 Afwijken van deze voorwaarden kan alleen als wij dat schriftelijk met u afspreken.
5. 2.5 Spreken documenten elkaar tegen, dan geldt deze volgorde: (1) de toestemmingsverklaring, (2) het intakeverslag of de offerte, (3) een eventuele geheimhoudingsverklaring (NDA) of verwerkersovereenkomst, (4) deze voorwaarden.
6. 2.6 Is een bepaling ongeldig, dan blijven de andere bepalingen gewoon gelden. De ongeldige bepaling vervangen wij door een geldige die er zo dicht mogelijk bij ligt.
7. 2.7 U ontvangt deze voorwaarden vóór of bij het sluiten van de opdracht, als pdf of via blackboxcyber.nl/voorwaarden, zodat u ze kunt opslaan en later kunt teruglezen.

3. Offerte en opdracht

1. 3.1 Een offerte of intakeverslag is 30 dagen geldig, tenzij er een andere termijn in staat.
2. 3.2 De opdracht komt tot stand zodra u de offerte of het intakeverslag schriftelijk accepteert, of zodra u betaalt. Wij beginnen pas met testen als ook artikel 4 is vervuld.
3. 3.3 De prijzen op onze website geven de prijs voor de standaardvorm van een dienst. Wat u precies krijgt en betaalt, staat in de offerte of het intakeverslag.
4. 3.4 U kunt ook elektronisch tekenen, bijvoorbeeld via onze ondertekenomgeving. Een elektronische handtekening heeft dan dezelfde kracht als een handtekening op papier (artikel 3:15a BW en de Europese eIDAS-verordening).
5. 3.5 Een offerte kunt u ook aanvaarden door per e-mail ‘akkoord’ te antwoorden. De toestemmingsverklaring moet altijd worden ondertekend, op papier of elektronisch. Een e-mail alleen is daarvoor niet genoeg.

4. Toestemming en scope

1. 4.1 Wij testen nooit zonder een getekende toestemmingsverklaring van de eigenaar van het systeem, of van iemand die aantoonbaar bevoegd is om namens de eigenaar te tekenen.
2. 4.2 U staat ervoor in dat (a) de ondertekenaar bevoegd is, (b) de systemen in de scope van u zijn of dat u de toestemming hebt van de eigenaar, en (c) u vooraf de nodige toestemming hebt geregeld van derden die bij de systemen betrokken zijn, zoals uw hostingpartij, cloudaanbieder, platform (bijvoorbeeld Shopify of Lightspeed) of bouwer.
3. 4.3 Wij testen alleen binnen de scope, binnen het afgesproken testvenster en met de afgesproken technieken.
4. 4.4 U kunt een test op elk moment direct laten stoppen, telefonisch of via het stopwoord uit de toestemmingsverklaring. Wij stoppen dan meteen.
5. 4.5 Wij mogen een test weigeren, onderbreken of stoppen als wij twijfelen aan de toestemming of de bevoegdheid, als een systeem onverwacht van een derde blijkt te zijn, of als doorgaan naar ons oordeel schade kan veroorzaken. Termijnen schuiven dan op.
6. 4.6 De toestemming geldt ook voor de inbegrepen hertest, binnen dezelfde scope. Het hertestvenster bevestigen wij vooraf per e-mail. Verandert de scope, de eigenaar of de hostingpartij, dan testen wij pas na een nieuwe of aangevulde toestemmingsverklaring.
7. 4.7 Wij bewaren de getekende toestemmingsverklaring zolang de wettelijke bewaarplicht geldt. Een logboek van onze eigen testhandelingen (tijden, onze IP-adressen en gebruikte technieken, zonder persoonsgegevens uit uw systemen) bewaren wij tot 2 jaar na de opdracht. Zo kan altijd worden aangetoond wat wij met welke toestemming hebben gedaan.

5. Wat u van ons mag verwachten

1. 5.1 Wij voeren de opdracht zorgvuldig en naar beste kunnen uit, volgens erkende methoden zoals de OWASP Web Security Testing Guide. Dit is een inspanningsverplichting, geen resultaatsverplichting.
2. 5.2 Een test is een momentopname: een onderzoek van de scope, op dat moment, binnen de afgesproken tijd en met de afgesproken technieken. Wij geven geen garantie dat wij alle zwakke plekken vinden, of dat uw systemen na de test of na het herstel vrij zijn van zwakke plekken. Na de test kunnen nieuwe zwakke plekken ontstaan, bijvoorbeeld door updates, nieuwe plug-ins of nieuwe aanvalsmethoden.
3. 5.3 Een Website Security Check is een geautomatiseerde scan die wij met de hand nalopen. Het is geen pentest.
4. 5.4 Wij adviseren. U beslist zelf of en hoe u zwakke plekken laat oplossen, en u of uw bouwer voert het herstel uit. Wij wijzigen niets aan uw systemen, tenzij dat schriftelijk is afgesproken.
5. 5.5 Wij mogen hulppersonen inschakelen die schriftelijk tot geheimhouding zijn verplicht. Toegang tot uw systemen krijgen zij alleen na uw schriftelijke toestemming. Artikel 7:404 BW (uitvoering door een bepaalde persoon) is daarom niet van toepassing.

6. Wat wij van u nodig hebben

1. 6.1 U geeft ons op tijd de juiste en volledige informatie, toegang en testaccounts die voor de opdracht nodig zijn, en een contactpersoon die tijdens het testvenster bereikbaar is.
2. 6.2 Testen kan bijwerkingen hebben, ook als wij zorgvuldig werken: een tragere of tijdelijk onbereikbare website, testbestellingen, testberichten of e-mails, meldingen in logbestanden en beveiligingsalarmen. U aanvaardt deze bijwerkingen voor zover ze binnen de scope en het testvenster vallen.
3. 6.3 U zorgt vóór de start voor een actuele, werkende back-up van de systemen in de scope, en u informeert uw hostingpartij en eventuele bewakings- of monitoringdienst over de test.
4. 6.4 Komt u deze afspraken niet na, dan schuiven termijnen op en komen de gevolgen voor uw rekening.

7. Termijnen en spoed

1. 7.1 De termijnen op onze website en in de offerte (zoals ‘rapport binnen 24 uur’ en ‘start binnen 48 uur’) gaan pas in als de toestemmingsverklaring getekend is, de betaling binnen is en wij de benodigde informatie en toegang hebben.
2. 7.2 Wij doen er alles aan om deze termijnen te halen. Halen wij een termijn niet, dan geeft u ons eerst schriftelijk een redelijke nieuwe termijn. Een termijn is geen fatale termijn.
3. 7.3 Kiest u spoed (25% toeslag), dan starten wij dezelfde of de volgende werkdag. Halen wij dat door onze eigen schuld niet, dan betalen wij de spoedtoeslag terug. Dat is dan de enige vergoeding voor het missen van de spoedtermijn.

8. Prijzen en betaling

1. 8.1 Al onze prijzen zijn eindprijzen inclusief 21% btw, zonder bijkomende kosten. Op de factuur staat de btw apart vermeld.
2. 8.2 Eenmalige opdrachten betaalt u vooraf, via de factuur of het betaalverzoek dat wij sturen.
3. 8.3 Abonnementen betaalt u vooraf: per maand via automatische incasso (SEPA), of per jaar. Per jaar betaalt u 10 maanden in plaats van 12.
4. 8.4 Wij rekenen nooit rente en bieden geen achteraf betalen of krediet.
5. 8.5 Betaalt u niet op tijd, dan sturen wij een herinnering met een betaaltermijn van 14 dagen. Betaalt u dan nog niet, dan mogen wij de buitengerechtelijke incassokosten in rekening brengen volgens de wettelijke staffel (Besluit vergoeding voor buitengerechtelijke incassokosten), en ons werk opschorten tot er betaald is.
6. 8.6 Kiest u binnen 30 dagen na een Website Security Check voor een pentest, dan trekken wij het bedrag van de check af van de prijs van de pentest.
7. 8.7 Bij de Pentest Website en Pentest Plus is één hertest binnen 60 dagen na het rapport inbegrepen. Een latere of losse hertest betaalt u apart.

9. Verzetten en annuleren

1. 9.1 Een afgesproken test kunt u één keer kosteloos verzetten, tot 2 werkdagen vóór de start.
2. 9.2 Annuleert u tot 2 werkdagen vóór de start, dan betalen wij het betaalde bedrag terug. Annuleert u later, dan houden wij 50% in voor de gereserveerde tijd en de voorbereiding. Is de test begonnen, dan is er geen terugbetaling.
3. 9.3 Bij spoed is kosteloos annuleren niet mogelijk zodra wij de start hebben bevestigd.
4. 9.4 Deze regeling geldt ook als u de opdracht opzegt op grond van artikel 7:408 BW.

10. Abonnementen

1. 10.1 Een abonnement loopt 12 maanden. Daarna loopt het steeds 3 maanden door.
2. 10.2 Opzeggen doet u schriftelijk, met een opzegtermijn van 1 maand vóór het einde van de lopende periode.
3. 10.3 Tussentijds opzeggen tijdens de eerste 12 maanden is niet mogelijk, behalve in de gevallen van artikel 18.
4. 10.4 Onderdelen die u in een periode niet gebruikt, zoals adviesuren, vervallen aan het einde van die periode.
5. 10.5 Wij mogen de prijs van een abonnement eens per jaar aanpassen. Wij laten dat minstens 1 maand vooraf schriftelijk weten. Gaat u niet akkoord, dan mag u opzeggen tegen de datum waarop de nieuwe prijs ingaat.

11. Rapport en eigendom

1. 11.1 Het rapport is voor u bestemd. U mag het gebruiken binnen uw eigen organisatie en delen met uw bouwer, hostingpartij, accountant, verzekeraar, auditor of toezichthouder.
2. 11.2 Het rapport openbaar maken of gebruiken in reclame mag alleen met onze schriftelijke toestemming.
3. 11.3 Onze werkwijze, sjablonen, scripts, hulpmiddelen en kennis blijven van ons. Wij mogen algemene kennis die wij opdoen opnieuw gebruiken, maar nooit uw gegevens, bevindingen of naam.

12. Geheimhouding

1. 12.1 Alles wat wij tijdens een opdracht over u, uw systemen en uw klanten te weten komen, houden wij geheim. Dat geldt ook na het einde van de opdracht.
2. 12.2 Wij noemen u nooit als klant, en publiceren nooit een review of bevinding van u, zonder uw schriftelijke toestemming.
3. 12.3 Rapporten sturen wij versleuteld. Het wachtwoord sturen wij via een ander kanaal.
4. 12.4 Wilt u een geheimhoudingsverklaring (NDA)? Die tekenen wij vóór de intake. Wat in de NDA staat, gaat voor dit artikel.
5. 12.5 De geheimhouding geldt niet als de wet of een rechter ons verplicht informatie te delen. Wij laten u dat dan vooraf weten, als dat mag.
6. 12.6 Uw bedrijfsgeheimen behandelen wij als bedrijfsgeheim in de zin van de Wet bescherming bedrijfsgeheimen.

13. Gegevens en privacy

1. 13.1 Tijdens een test kunnen wij persoonsgegevens tegenkomen, bijvoorbeeld van uw klanten. Wij bekijken alleen wat nodig is om een zwakke plek aan te tonen, kopiëren alleen het minimale bewijs en nemen verder niets mee.
2. 13.2 Voor die gegevens bent u de verwerkingsverantwoordelijke en zijn wij verwerker. Tot er een aparte verwerkersovereenkomst is getekend, gelden deze afspraken: wij verwerken de gegevens alleen voor de opdracht en op uw instructie; wij houden ze geheim; wij beveiligen ze passend; wij schakelen geen andere verwerkers in zonder uw toestemming; wij helpen u als iemand zijn privacyrechten uitoefent; wij melden een datalek binnen 24 uur nadat wij het ontdekken; wij verwijderen de gegevens volgens lid 3; en wij geven u de informatie die nodig is om dit te controleren.
3. 13.3 Testgegevens, tijdelijke kopieën en testaccounts verwijderen wij uiterlijk 30 dagen na de hertest. Komt er geen hertest, dan uiterlijk 30 dagen nadat de hertestperiode is verlopen. Op verzoek krijgt u een verwijderverklaring. Wettelijk verplichte administratie en de getekende toestemmingsverklaring bewaren wij.
4. 13.4 Hoe wij omgaan met de gegevens van u als klant, staat in onze privacyverklaring op blackboxcyber.nl/privacy.

14. Aansprakelijkheid

1. 14.1 Wij zijn alleen aansprakelijk voor directe schade die het rechtstreekse gevolg is van een toerekenbare tekortkoming van ons in de uitvoering van de opdracht.
2. 14.2 Wij zijn niet aansprakelijk voor indirecte schade, zoals gevolgschade, gederfde winst of omzet, gemiste besparingen, verlies of beschadiging van gegevens, schade door bedrijfsstilstand en reputatieschade.
3. 14.3 Wij zijn ook niet aansprakelijk voor schade (a) door zwakke plekken die wij niet hebben gevonden of die buiten de scope vallen; (b) door aanvallen, inbraken of andere handelingen van derden, ook als die gebruikmaken van een zwakke plek uit ons rapport; (c) door de bijwerkingen van artikel 6 lid 2, binnen de scope en het testvenster; (d) doordat u onjuiste of onvolledige informatie gaf, geen werkende back-up had of de toestemming van derden niet had geregeld; of (e) door het wel of niet uitvoeren van ons advies, door u of door anderen.
4. 14.4 Zijn wij toch aansprakelijk, dan is dat per gebeurtenis beperkt tot het bedrag dat u voor de betreffende opdracht heeft betaald. Bij een abonnement is dat het bedrag van de laatste 3 maanden vóór de gebeurtenis. Samenhangende gebeurtenissen gelden als één gebeurtenis.
5. 14.5 Keert onze verzekeraar in een geval uit, dan is onze aansprakelijkheid beperkt tot het bedrag dat de verzekeraar uitkeert, vermeerderd met ons eigen risico.
6. 14.6 Recht op schadevergoeding ontstaat alleen als u de schade binnen 30 dagen nadat u die ontdekte schriftelijk bij ons meldt, en ons eerst een redelijke termijn geeft om de tekortkoming te herstellen.
7. 14.7 De beperkingen in dit artikel gelden niet als de schade het gevolg is van opzet of bewuste roekeloosheid van onze bedrijfsleiding. Dat schrijft de wet voor.
8. 14.8 De beperkingen in dit artikel gelden ook voor onze bestuurders, medewerkers en hulppersonen. Zij kunnen daar zelf een beroep op doen.

15. Vrijwaring

1. 15.1 U vrijwaart ons voor alle aanspraken van derden, zoals uw hostingpartij, platform, cloudaanbieder, klanten of een toezichthouder, die te maken hebben met een opdracht die wij binnen de scope en volgens de afspraken hebben uitgevoerd. U vergoedt ook de redelijke kosten van ons verweer.
2. 15.2 Dit geldt in het bijzonder als de toestemmingsverklaring onjuist of onvolledig was, de ondertekenaar niet bevoegd was, of de toestemming van een derde ontbrak.

16. Klachten

1. 16.1 Bent u niet tevreden over ons werk of het rapport, meld dat dan schriftelijk binnen 14 dagen na ontvangst van het rapport, met een duidelijke omschrijving.
2. 16.2 Is de klacht terecht, dan doen wij het betreffende onderdeel opnieuw of verbeteren wij het rapport, zonder extra kosten. Is dat niet meer zinvol, dan betalen wij een redelijk deel van de prijs terug. Dat is dan de enige vergoeding.
3. 16.3 Een klacht geeft geen recht om de betaling op te schorten.

17. Vervaltermijn

1. 17.1 Al uw rechten en vorderingen tegenover ons, om welke reden ook, vervallen 12 maanden nadat u ze kende of redelijkerwijs kon kennen, tenzij u binnen die termijn een rechtszaak bent begonnen.

18. Opschorten en beëindigen

1. 18.1 Wij mogen ons werk opschorten of de opdracht met directe ingang schriftelijk beëindigen als (a) u niet op tijd betaalt; (b) de toestemming ontbreekt of twijfelachtig is; (c) wij redelijkerwijs vermoeden dat u de opdracht wilt gebruiken voor iets dat niet mag, zoals het testen van systemen van een ander; of (d) u failliet gaat, surseance van betaling krijgt of uw bedrijf stopt.
2. 18.2 Beide partijen mogen de opdracht schriftelijk beëindigen als de ander een wezenlijke afspraak niet nakomt, ook niet na een schriftelijke herinnering met een redelijke termijn.
3. 18.3 Wat wij al hebben gedaan, blijft verschuldigd. Wat u vooruit heeft betaald voor werk dat wij nog niet hebben gedaan, betalen wij terug, behalve als de beëindiging komt door lid 1 onder (b), (c) of (d).

19. Overmacht

1. 19.1 Wij zijn niet aansprakelijk als wij door overmacht niet of niet op tijd kunnen leveren. Overmacht is onder meer: ziekte van de tester, storingen bij derden (zoals uw hostingpartij of internetaanbieder), stroomuitval, cyberaanvallen op onze eigen systemen en maatregelen van de overheid.
2. 19.2 Bij overmacht schuiven de termijnen op. Duurt de overmacht langer dan 60 dagen, dan mogen beide partijen de opdracht schriftelijk beëindigen. U krijgt dan terug wat u heeft betaald voor werk dat nog niet is gedaan.

20. Wijzigen van deze voorwaarden

1. 20.1 Wij mogen deze voorwaarden wijzigen. Voor lopende opdrachten blijven de voorwaarden gelden die golden toen de opdracht ontstond. Voor abonnementen gaan wijzigingen in 1 maand nadat wij u erover hebben geïnformeerd. Gaat u niet akkoord, dan mag u opzeggen tegen de datum waarop de wijziging ingaat.

21. Recht en geschillen

1. 21.1 Op alle opdrachten en op deze voorwaarden is Nederlands recht van toepassing.
2. 21.2 Wij proberen een geschil altijd eerst samen op te lossen. Lukt dat niet, dan beslist de bevoegde rechter van de rechtbank Oost-Brabant.
3. 21.3 Onze administratie, de bevestigingen en het logboek van de ondertekenomgeving en ons testlogboek gelden als bewijs, behalve als u het tegendeel bewijst.