Klausel zur autonomen Remediation — Serenity-Abonnement

Version: 2.0 Inkrafttreten: zum Zeitpunkt des Deployments festzulegen Status: Entwurf zur juristischen Validierung Ersetzt: Klausel zu Support und manueller Bereinigung der Version 1.x

Präambel (informativ, nicht verbindlich)

Diese Klausel definiert das Remediation-Mandat, das Sie PrestaSecure im Rahmen Ihres Serenity-Abonnements erteilen. Sie ersetzt die vorherigen Absätze, die sich auf die manuelle Intervention bei Vorfällen beschränkten; sie fügt einen klaren Rahmen für die durch unser Team oder unsere automatisierte Infrastruktur in Ihrem Auftrag remote auf Ihrem Shop ausgeführten Aktionen hinzu.

Ziel: Ihnen genau zu erläutern, was wir auf Ihrem Shop tun, unter welchen Bedingungen, mit welchen Garantien und welche Rechte Sie jederzeit haben, um das Mandat rückgängig zu machen oder zu widerrufen.

Artikel 1 — Gegenstand

Im Rahmen des Serenity-Abonnements darf PrestaSecure auf Ihrem PrestaShop-Shop remote Sicherheits-Remediation-Aktionen durchführen. Diese Aktionen umfassen, ohne darauf beschränkt zu sein:

1. die Anwendung und das Zurückrollen von Schwachstellenpatches (CVE-Patches) auf PrestaShop-Kerndateien, Drittanbieter-Modulen oder der eingebetteten Software-Firewall;
2. die Quarantäne, Löschung oder Wiederherstellung von Dateien, die als infiziert, verdächtig oder vom PrestaShop-Originalzustand abweichend identifiziert wurden;
3. die Deinstallation verwaister, deaktivierter oder kompromittierter Module;
4. die Anpassung der Firewall-Konfiguration (blockierte Angriffskategorien, IP-Allowlist und -Blocklist);
5. manuelle Bereinigungs-Interventionen nach einem Sicherheitsvorfall, beispielsweise Webshell-Entfernung, Wiederherstellung von Kerndateien aus offiziellem PrestaShop-Archiv oder Verschärfung von Berechtigungen.

Diese Klausel gilt ausschließlich für Shops mit aktivem Serenity-Abonnement. Essentials- und Advance-Abonnements sind niemals Gegenstand autonomer oder remote ausgeführter Remediation-Aktionen.

Artikel 2 — Ausführungsmodi

Für jeden Serenity-Shop wählen Sie einen Ausführungsmodus aus vier Autonomiestufen. Der Modus ist jederzeit über Ihr Dashboard änderbar und sofort wirksam.

Der Standardmodus bei der Anmeldung ist Operator. Sie können mit einem Klick zu Autonom wechseln; diese Änderung gilt als ausdrückliches Opt-in und wird protokolliert.

Artikel 3 — Aktionsumfang

PrestaSecure handelt nie außerhalb des durch das Abonnement abgedeckten Shops. Konkret:

• keine Aktion betrifft die Geschäftsdatenbank (Bestellungen, Kunden, Produktkatalog);
• keine Aktion verändert visuelle Anpassungsdateien (Themes, im Frontend sichtbare Overrides);
• die Änderungen betreffen ausschließlich Dateien und Konfigurationen, die eine bekannte Sicherheitslücke oder ein durch unsere Erkennungsengine bzw. unser Team identifiziertes Kompromittierungsrisiko aufweisen.

Die exakten technischen Grenzen jedes Aktionstyps sind in der technischen Dokumentation auf prestasecure.com beschrieben und über Ihr Dashboard zugänglich.

Artikel 4 — Verpflichtungen von PrestaSecure

4.1 Technische Schutzvorkehrungen

Vor jeder Remediation-Aktion, sei sie autonom oder operator-gesteuert, gelten folgende Schutzvorkehrungen:

• jeder Patch wird durch eine Invariantensuite getestet, die Folgendes abdeckt: Erhalt des nicht betroffenen Codes, Idempotenz (die Aktion kann ohne Nebenwirkung wiederholt werden), Reversibilität (Rollback verfügbar), Versionsgrenze (außerhalb der unterstützten Versionen wird die Aktion stillschweigend übersprungen) und syntaktische Validität des Codes nach der Änderung;
• jeder Aktion geht ein Wiederherstellungspunkt voraus, der ein byteweises Zurücksetzen in den vorherigen Zustand ermöglicht;
• bei Ausführungsfehler hält die Engine an und benachrichtigt Sie, ohne das System in einem Zwischenzustand zu lassen.

4.2 Rollback-SLA

Wird auf Ihrem Shop infolge einer Remediation-Aktion eine Regression festgestellt, verpflichtet sich PrestaSecure, den vorherigen Zustand innerhalb von zwei Geschäftsstunden (Montag-Freitag, 8-20 Uhr Pariser Zeit) ab Benachrichtigung per E-Mail oder über das Dashboard wiederherzustellen. Außerhalb der Geschäftszeiten ist der Rollback bis 9 Uhr des nächsten Geschäftstages garantiert.

4.3 Transparenz

Jede auf Ihrem Shop ausgeführte Aktion wird in einem Journal festgehalten, das zugänglich ist:

1. aus Ihrem PrestaShop-Backoffice, im Tab „Verlauf" des PrestaSecure-Moduls;
2. aus Ihrem prestasecure.com-Dashboard, im Bereich „PrestaSecure-Aktivität";
3. in einer wöchentlichen Zusammenfassungs-E-Mail, jederzeit über Ihre Benachrichtigungseinstellungen deaktivierbar.

Jeder Eintrag im Journal nennt den Aktionstyp, Datum und Uhrzeit, Ursprung (autonomes System, PrestaSecure-Operator oder Cron), Status (Erfolg, Fehler, Rollback durchgeführt) und gegebenenfalls einen Link zum technischen Detail.

Artikel 5 — Verpflichtungen des Kunden

Damit der Dienst funktioniert, verpflichten Sie sich:

• den HTTP-Cron oder den System-Cron, der es Ihrem Shop erlaubt, mit unserer Infrastruktur zu kommunizieren (URL bei der Modul-Installation mitgeteilt), aktiv und erreichbar zu halten;
• die technischen E-Mails, die wir Ihnen senden (Vorfallsbenachrichtigungen, ausdrückliche Zustimmungsanfragen im Vorschlagsmodus oder nach Ablehnung, wöchentliche Zusammenfassungen sofern nicht deaktiviert), nicht zu blockieren oder zu filtern;
• uns innerhalb angemessener Frist über jede strukturelle Änderung Ihres Shops (PrestaShop-Versionswechsel, Hosting-Migration, Backup-Wiederherstellung) zu informieren, die den ordnungsgemäßen Ablauf der Remediation-Aktionen beeinträchtigen könnte.

Wiederholte Verstöße gegen diese Verpflichtungen können nach Benachrichtigung zu einer automatischen Service-Aussetzung im Vorschlagsmodus führen.

Artikel 6 — Änderung und Widerruf

Sie können jederzeit aus Ihrem Dashboard:

• den Ausführungsmodus eines Shops ändern (zum Beispiel von Autonom auf Operator wechseln oder umgekehrt);
• die vorliegende Remote-Remediation-Klausel vollständig ablehnen.

Im Falle einer Ablehnung wird Ihr Serenity-Abonnement nicht ausgesetzt. Der Dienst läuft in einer Konfiguration weiter, die der vor Version 2.0 entspricht:

• es wird keine Remediation-Aktion remote ausgeführt, weder autonom noch durch einen Operator, ohne Ihre ausdrückliche, per E-Mail oder Telefon für jeden einzelnen Vorfall eingeholte Zustimmung;
• die übrigen Serenity-Komponenten (Antivirus-Scan, Firewall, prioritärer Support, manuelle Intervention bei Vorfall auf Ihre Anfrage) bleiben unverändert und voll aktiv.

Die Ablehnung ist jederzeit widerrufbar; Sie können die Klausel später aus Ihrem Dashboard akzeptieren, ohne weiteren kommerziellen Schritt.

Artikel 7 — Haftungsbegrenzung

PrestaSecure setzt eine industrieübliche professionelle Sorgfalt ein, um jede durch eine Remediation-Aktion verursachte Regression zu verhindern: automatisierte Tests, Versions-Fixtures, automatischer Rollback bei Teilausfall, menschliche Überwachung im Operator-Modus.

Sollte trotz dieser Vorkehrungen eine Remediation-Aktion eine effektive Regression auf Ihrem Shop verursachen, beschränkt sich die Haftung von PrestaSecure auf:

1. die Ausführung des Rollbacks innerhalb der in Artikel 4.2 vorgesehenen Frist;
2. gegebenenfalls die Erstattung der direkt der Aktion zurechenbaren Ausfallzeit, anteilig auf den monatlichen Serenity-Tarif berechnet und auf einen Monat Service begrenzt.

Ausdrücklich ausgeschlossen vom Haftungsumfang sind: indirekte Schäden (E-Commerce-Umsatzverlust, SEO-Verlust, Imageschaden), Schäden, die durch einen vorherigen, von unserer Engine nicht erkennbaren Shop-Zustand verursacht wurden (zum Beispiel eine vorbestehende Infektion, die die erste Aktion nur teilweise behebt), und Regressionen, die durch externe Änderungen zwischen Scan und Ausführung der Aktion verursacht wurden (Kunden-Deployment, Intervention eines Dritten).

Artikel 8 — Daten und Vertraulichkeit

Die Remediation-Aktionen beruhen auf der Übertragung technischer Metadaten zu Ihrem Shop an unsere Infrastruktur: Dateipfade, Datei-Hashes, PrestaShop-Version, PHP-Version, Aktivierungskennung, Aktionsjournal.

Im Rahmen dieser Klausel werden keine Geschäftsdaten (Kunden, Bestellungen, Katalog) übertragen. Die Verarbeitung dieser Metadaten unterliegt unserer Datenschutzerklärung, die auf prestasecure.com verfügbar ist und Aufbewahrungsfristen, technische Auftragsverarbeiter sowie Ihre Rechte auf Auskunft, Berichtigung und Löschung gemäß der Datenschutz-Grundverordnung beschreibt.

Artikel 9 — Inkrafttreten

Die vorliegende Klausel tritt am Datum Ihrer ausdrücklichen Annahme über das beim nächsten Login zum prestasecure.com-Dashboard angezeigte Validierungsfenster in Kraft, oder standardmäßig am Vertragsunterzeichnungsdatum für jedes neue Serenity-Abonnement nach der Veröffentlichung der Version 2.0.

Bestehende Serenity-Abonnements zum Veröffentlichungsdatum laufen unter der vorherigen Version weiter, bis die ausdrückliche Annahme erfasst wurde. Ihr Dashboard zeigt bei jedem Login ein nicht blockierendes Validierungsfenster, um Ihre Entscheidung zu erfassen.

Technischer Anhang (informativ, nicht verbindlich)

Aktionstypen und Vertrauensstufe

Audit-Trail — pro Aktion gespeicherte Daten

• eindeutige Ausführungskennung
• Shop-Kennung
• Aktionstyp und Ziel (Dateipfad, CVE-Kennung usw.)
• Ursprung (autonomes System, Operator, Cron, manueller Kunde)
• Start- und Endzeitstempel
• Endstatus (Erfolg, Fehler, Rollback)
• technische Details (angewandtes Diff, Fehlermeldung sofern zutreffend)
• Kennung der gegebenenfalls zugehörigen Rollback-Aktion

Modus-Referenz in der technischen Schnittstelle

Die Werte full_auto, operator_review, suggest_only und disabled sind die in API und Datenbank verwendeten technischen Kennungen. Das Dashboard zeigt sie unter ihrer lokalisierten Bezeichnung an.

← Retour à l'accueil