Termini e condizioni generali di vendita dei report di sicurezza

Art. 1 — Parti e definizioni

1.1 “Fornitore”: [RAGIONE SOCIALE] [FORMA GIURIDICA], sede [SEDE], P.IVA [P.IVA], REA [REA], capitale sociale [CAPITALE SOCIALE], email [EMAIL], PEC [PEC].

1.2 “Cliente”: l'impresa o il professionista titolare di partita IVA che acquista un Report per i propri scopi professionali.

1.3 “Azienda Valutata”: l'impresa i cui domini, siti o servizi pubblicamente esposti sono oggetto del Report.

1.4 “Valutazione esterna passiva”: l'analisi svolta solo su informazioni accessibili pubblicamente, senza accesso ai sistemi, tentativi di autenticazione, sfruttamento di vulnerabilità o test in grado di alterarne il funzionamento, secondo il metodo descritto nella pagina Metodo.

1.5 “Riepilogo”: la sintesi gratuita della Valutazione, senza dettagli tecnici.

1.6 “Report”: il documento digitale di dettaglio, con i rilievi, le evidenze, la classificazione di gravità e le indicazioni di rimedio.

Art. 2 — Ambito e prevalenza

2.1 Questi Termini regolano la vendita a distanza dei Report tramite il sito [DOMINIO].

2.2 Il servizio è riservato a soggetti che agiscono nell'esercizio della propria attività imprenditoriale o professionale. Il Cliente lo dichiara al momento dell'ordine. Non si applicano le disposizioni del Codice del consumo riservate ai consumatori, incluso il diritto di recesso.

2.3 I penetration test, i servizi di consulenza e ogni attività che comporti test attivi sono regolati da un contratto separato e da una lettera di autorizzazione firmata, non da questi Termini.

2.4 Eventuali condizioni generali del Cliente non si applicano se non accettate per iscritto dal Fornitore.

Art. 3 — Legittimazione all'acquisto

3.1 Il Report può essere acquistato solo dall'Azienda Valutata, o da chi agisce in suo nome e per suo conto con i poteri necessari.

3.2 Prima dell'acquisto il Cliente:

1. dimostra il controllo del dominio valutato con la procedura indicata sul sito (record DNS o conferma da un indirizzo email del dominio);
2. dichiara sotto la propria responsabilità di essere legale rappresentante dell'Azienda Valutata o di agire con i poteri necessari.

3.3 Se la dichiarazione è falsa, il Fornitore può risolvere il contratto ai sensi dell'art. 1456 c.c., bloccare l'accesso al Report e trattenere il corrispettivo a titolo di penale, salvo il maggior danno. Il Cliente risponde verso il Fornitore e verso l'Azienda Valutata dei danni derivanti dalla dichiarazione falsa.

Art. 4 — Conclusione del contratto

4.1 Il contratto si conclude quando il Cliente completa il pagamento, dopo aver accettato questi Termini, le Avvertenze sul Report e le clausole di cui all'art. 15. Il Fornitore invia conferma via email con copia dei documenti accettati.

4.2 Il Fornitore conserva la registrazione elettronica dell'accettazione (versione dei documenti, data e ora, indirizzo IP, identificativo dell'ordine).

Art. 5 — Prezzo, pagamento, fattura

5.1 Il prezzo è quello indicato al momento dell'ordine (Report completo: da 490 € + IVA, salvo diversa indicazione).

5.2 Il pagamento avviene tramite Stripe con i metodi da esso offerti. Il Fornitore non riceve né conserva i dati completi delle carte.

5.3 Il Fornitore emette fattura elettronica tramite il Sistema di Interscambio sulla base dei dati forniti dal Cliente. Il Cliente risponde della loro correttezza.

Art. 6 — Consegna

6.1 Il Report è reso disponibile nell'area riservata subito dopo la conferma del pagamento.

6.2 Il Report è scaricabile per 24 mesi dall'acquisto, poi viene cancellato. Il Cliente è tenuto a conservarne una copia.

6.3 Ogni copia del Report riporta un contrassegno identificativo del Cliente.

Art. 7 — Natura e limiti del servizio

7.1 Il Report descrive lo stato delle informazioni pubblicamente osservabili alla data indicata nel Report. I sistemi cambiano continuamente: il Report non descrive lo stato successivo.

7.2 La Valutazione esterna passiva non è un penetration test né un audit, e non esamina i sistemi interni, le applicazioni dietro autenticazione, le persone o i processi. L'assenza di un rilievo non significa assenza di vulnerabilità.

7.3 Il Report non costituisce attestazione o certificazione di conformità a norme o standard (per esempio GDPR, d.lgs. 138/2024 “NIS2”, ISO/IEC 27001).

7.4 L'obbligazione del Fornitore è di mezzi: il Fornitore si impegna a svolgere la Valutazione con la diligenza professionale richiesta, secondo il metodo pubblicato.

7.5 L'attuazione delle indicazioni di rimedio è decisione e responsabilità del Cliente, che si avvale di personale o fornitori competenti, previa verifica e backup dei propri sistemi.

Art. 8 — Uso consentito e riservatezza

8.1 Il Cliente riceve una licenza non esclusiva e non trasferibile a usare il Report per la sicurezza dei propri sistemi. Può condividerlo con i propri dipendenti, consulenti, fornitori IT e assicuratori vincolati alla riservatezza.

8.2 È vietato pubblicare il Report, cederlo a terzi diversi da quelli del punto 8.1 o usarlo per accedere senza autorizzazione a sistemi propri di terzi o altrui.

8.3 Il Fornitore tratta il Report e i dati dell'Azienda Valutata come informazioni riservate. Non li comunica a terzi salvo obbligo di legge o ordine dell'autorità, e non usa il nome del Cliente come referenza senza il suo consenso scritto.

Art. 9 — Garanzie

9.1 Il Fornitore garantisce che la Valutazione è stata svolta esclusivamente con tecniche passive, come descritto all'art. 1.4.

9.2 Se il Report contiene errori materiali (per esempio un rilievo riferito a un dominio non appartenente all'Azienda Valutata), il Cliente può segnalarli entro 30 giorni dalla consegna. Il Fornitore li corregge gratuitamente oppure, se non è possibile, rimborsa il prezzo.

9.3 Salvo quanto previsto da questo articolo, il Fornitore non presta altre garanzie, espresse o implicite, sui risultati ottenibili con il Report.

Art. 10 — Limitazione di responsabilità

10.1 Salvo i casi di dolo o colpa grave (art. 1229 c.c.) e i casi in cui la legge non consente limitazioni, la responsabilità complessiva del Fornitore derivante dal contratto o a esso connessa non supera il prezzo pagato per il Report.

10.2 Nei medesimi limiti, il Fornitore non risponde di danni indiretti o consequenziali, mancato guadagno, perdita di dati, interruzione dell'attività, né dei danni derivanti:

1. da attacchi o incidenti di terzi;
2. da vulnerabilità non rilevate per i limiti dell'art. 7;
3. dall'esecuzione delle indicazioni di rimedio senza le cautele dell'art. 7.5.

Art. 11 — Rilievi gravi già segnalati

Il Fornitore può aver comunicato gratuitamente all'Azienda Valutata, prima o indipendentemente dall'acquisto, le informazioni minime su criticità gravi necessarie a porvi rimedio. Il Cliente prende atto che questa comunicazione non dipende dall'acquisto e che il Report ne fornisce il dettaglio, la prioritizzazione e le indicazioni di rimedio.

Art. 12 — Reclami

Scrivere a [EMAIL] o [PEC]. Il Fornitore risponde entro 15 giorni lavorativi.

Art. 13 — Dati personali

Il trattamento dei dati è descritto nell'Informativa privacy.

Art. 14 — Legge applicabile e foro

14.1 Il contratto è regolato dalla legge italiana.

14.2 Per ogni controversia è competente in via esclusiva il Foro di [FORO].

Art. 15 — Approvazione specifica

Ai sensi e per gli effetti degli artt. 1341 e 1342 c.c., il Cliente dichiara di approvare specificamente le seguenti clausole:

• 2.2 (esclusione della disciplina dei consumatori e del recesso);
• 3.3 (risoluzione e penale per falsa dichiarazione);
• 6.2 (cancellazione del Report dopo 24 mesi);
• 7 (natura e limiti del servizio);
• 8.2 (divieti d'uso);
• 9.2 e 9.3 (termini di segnalazione e limiti di garanzia);
• 10 (limitazione di responsabilità);
• 14.2 (foro esclusivo).

Avvertenze sull'uso del Report

Le avvertenze seguenti sono stampate nella prima pagina di ogni Report e mostrate prima dell'acquisto.

1. Fotografia a una data. Il Report descrive ciò che era osservabile pubblicamente alla data dell'analisi. Configurazioni, software e minacce cambiano: rilievi assenti oggi possono comparire domani, e viceversa.
2. Analisi esterna e passiva. Abbiamo consultato solo informazioni accessibili a chiunque, senza accedere ai vostri sistemi e senza eseguire test attivi. Il Report non copre sistemi interni, applicazioni dietro autenticazione, dispositivi, persone e processi. L'assenza di un rilievo non garantisce l'assenza di vulnerabilità.
3. Non è una certificazione. Il Report non attesta la conformità a GDPR, NIS2 (d.lgs. 138/2024), ISO/IEC 27001 o altri standard. È uno strumento di supporto alle vostre valutazioni.
4. Gravità. I livelli di gravità sono calcolati con [METRICA, es. CVSS 4.0 adattato] e descritti nella pagina Metodo. Sono stime tecniche, non valutazioni del rischio aziendale, che dipende anche da fattori che non conosciamo.
5. Interventi. Le indicazioni di rimedio sono generali. Prima di applicarle fate un backup, provatele in un ambiente di test se possibile e affidatevi a personale qualificato. Modifiche errate possono interrompere servizi.
6. Riservatezza. Il Report contiene informazioni che potrebbero agevolare un attacco. Conservatelo in modo sicuro e condividetelo solo con chi deve intervenire. Ogni copia porta un contrassegno che identifica il destinatario.
7. Dati personali. Gli indirizzi email eventualmente presenti sono parzialmente mascherati. Il Report non contiene password né credenziali.
8. Responsabilità. Nei limiti dei Termini e condizioni accettati (art. 10), la responsabilità di [RAGIONE SOCIALE] è limitata al prezzo pagato, salvo dolo o colpa grave.