Cláusula de remediación autónoma — Plan Serenity

Versión: 2.0 Fecha de entrada en vigor: por fijar al despliegue Estado: borrador para validación jurídica Sustituye: cláusula de soporte y limpieza humana de la versión 1.x

Preámbulo (informativo, no vinculante)

Esta cláusula define el mandato de remediación que usted concede a PrestaSecure en el marco de su suscripción Serenity. Sustituye los párrafos anteriores que se limitaban a la intervención humana en caso de incidente; añade un marco claro para las acciones realizadas a distancia sobre su tienda por nuestro equipo o por nuestra infraestructura automatizada, en su nombre.

El propósito: explicarle exactamente lo que hacemos en su tienda, en qué condiciones, con qué garantías y cuáles son sus derechos en cualquier momento para revertir o revocar el mandato.

Artículo 1 — Objeto

En el marco de la suscripción Serenity, PrestaSecure puede realizar a distancia sobre su tienda PrestaShop acciones de remediación de seguridad. Estas acciones incluyen, sin limitarse a ellas:

1. la aplicación y la retirada de parches de vulnerabilidad (parches CVE) sobre los archivos del núcleo PrestaShop, sobre módulos de terceros o sobre el cortafuegos software embebido;
2. la cuarentena, la eliminación o la restauración de archivos identificados como infectados, sospechosos o modificados respecto al estado original de PrestaShop;
3. la desinstalación de módulos huérfanos, desactivados o comprometidos;
4. el ajuste de la configuración del cortafuegos (categorías de ataques bloqueadas, listas blancas y negras de direcciones IP);
5. las intervenciones humanas de limpieza tras incidente, por ejemplo eliminación de webshells, restauración de archivos desde archivo oficial PrestaShop, endurecimiento de permisos.

Esta cláusula se aplica únicamente a las tiendas asociadas a una suscripción Serenity activa. Las suscripciones Essentials y Advance no dan lugar nunca a acciones de remediación autónoma ni a distancia.

Artículo 2 — Modos de ejecución

Para cada tienda Serenity, usted elige un modo de ejecución entre cuatro niveles de autonomía. El modo es modificable en cualquier momento desde su panel de control y aplicable de inmediato.

El modo predeterminado en la suscripción es Operador. Puede cambiar a Autónomo con un clic; este cambio constituye una opt-in explícita y queda registrado.

Artículo 3 — Alcance de las acciones

PrestaSecure nunca actúa fuera de la tienda objeto de la suscripción. Concretamente:

• ninguna acción afecta a la base de datos de negocio (pedidos, clientes, catálogo);
• ninguna acción modifica los archivos de personalización visual (temas, sobrecargas visibles en el front);
• las modificaciones se centran exclusivamente en archivos y configuraciones que presentan una vulnerabilidad de seguridad conocida o un riesgo de compromiso identificado por nuestro motor de detección o por nuestro equipo.

Los límites técnicos precisos de cada tipo de acción están descritos en la documentación técnica disponible en prestasecure.com y accesible desde su panel.

Artículo 4 — Compromisos de PrestaSecure

4.1 Salvaguardas técnicas

Antes de cualquier acción de remediación, autónoma o realizada por un operador, se aplican las siguientes salvaguardas:

• cada parche se prueba mediante una serie de invariantes que cubren la preservación del código no afectado, la idempotencia (la acción puede repetirse sin efecto secundario), la reversibilidad (rollback disponible), el límite de versión (fuera de las versiones soportadas, la acción se omite silenciosamente) y la validez sintáctica del código tras modificación;
• cada acción va precedida de un punto de restauración que permite volver byte a byte al estado anterior;
• en caso de fallo durante la ejecución, el motor se detiene y le notifica sin dejar el sistema en un estado intermedio.

4.2 SLA de rollback

Si se observa una regresión en su tienda como consecuencia directa de una acción de remediación, PrestaSecure se compromete a restaurar el estado anterior en un plazo de dos horas hábiles (lunes-viernes, 8h-20h hora de París) desde la notificación, por correo o desde el panel. Fuera del horario laboral, el rollback se garantiza para las 9h del siguiente día hábil.

4.3 Transparencia

Toda acción realizada sobre su tienda queda registrada en un journal accesible:

1. desde su back-office PrestaShop, en la pestaña "Historial" del módulo PrestaSecure;
2. desde su panel prestasecure.com, en la sección "Actividad PrestaSecure";
3. en un correo de resumen semanal, desactivable en cualquier momento desde sus preferencias de notificación.

Cada entrada del journal indica el tipo de acción, fecha y hora, origen (sistema autónomo, operador PrestaSecure o cron), estado (éxito, fallo, rollback realizado) y, en su caso, un enlace al detalle técnico.

Artículo 5 — Compromisos del cliente

Para que el servicio funcione, usted se compromete a:

• mantener activo y accesible el cron HTTP o el cron del sistema que permite a su tienda comunicarse con nuestra infraestructura (URL comunicada en la instalación del módulo);
• no bloquear ni filtrar los correos técnicos que le enviamos (notificaciones de incidente, peticiones de consentimiento explícito en modo Sugerencia o tras un rechazo, resúmenes semanales si no están desactivados);
• informarnos en un plazo razonable de cualquier cambio estructural en su tienda (cambio de versión PrestaShop, migración de hosting, restauración de copia de seguridad) que pueda afectar a las acciones de remediación.

El incumplimiento reiterado de estos compromisos puede provocar la suspensión automática del servicio en modo Sugerencia, previa notificación.

Artículo 6 — Modificación y revocación

Puede, en cualquier momento, desde su panel:

• cambiar el modo de ejecución de una tienda (por ejemplo pasar de Autónomo a Operador o viceversa);
• rechazar íntegramente la presente cláusula de remediación a distancia.

En caso de rechazo, su suscripción Serenity no se suspende. El servicio continúa en una configuración equivalente a la anterior a la versión 2.0:

• no se ejecuta ninguna acción de remediación a distancia, ni de forma autónoma ni por un operador, sin su consentimiento explícito recogido por correo o teléfono para cada incidente;
• los demás componentes de Serenity (escaneo antivirus, cortafuegos, soporte prioritario, intervención humana en incidente bajo su petición) permanecen sin cambios y plenamente activos.

El rechazo es revocable en cualquier momento; puede aceptar la cláusula posteriormente desde su panel sin ningún paso comercial adicional.

Artículo 7 — Limitación de responsabilidad

PrestaSecure aplica una diligencia profesional de nivel industrial para prevenir cualquier regresión causada por una acción de remediación: pruebas automatizadas, fixtures de versión, rollback automático en caso de fallo parcial, supervisión humana en modo Operador.

Pese a estas precauciones, si una acción de remediación causa una regresión efectiva sobre su tienda, la responsabilidad de PrestaSecure se limita a:

1. ejecutar el rollback dentro del plazo previsto en el artículo 4.2;
2. en su caso, reembolsar el tiempo de indisponibilidad directamente atribuible a la acción, calculado a prorrata sobre la tarifa mensual Serenity y limitado a un mes de servicio.

Quedan expresamente excluidos los daños indirectos (pérdida de cifra de negocio e-commerce, pérdida de posicionamiento, daño a la imagen), los daños derivados de un estado anterior de la tienda no detectable por nuestro motor (por ejemplo una infección previa que la primera acción solo remedia parcialmente) y las regresiones causadas por modificaciones externas sobrevenidas entre el escaneo y la ejecución de la acción (despliegue del cliente, intervención de un tercero).

Artículo 8 — Datos y confidencialidad

Las acciones de remediación se basan en la transmisión a nuestra infraestructura de metadatos técnicos relativos a su tienda: rutas de archivo, hashes de archivo, versión de PrestaShop, versión de PHP, identificador de activación, journal de acciones.

Ningún dato comercial (clientes, pedidos, catálogo) se transmite en el marco de esta cláusula. El tratamiento de estos metadatos se rige por nuestra política de privacidad, accesible desde prestasecure.com, que detalla los plazos de conservación, los subencargados técnicos y sus derechos de acceso, rectificación y supresión bajo el Reglamento General de Protección de Datos.

Artículo 9 — Entrada en vigor

La presente cláusula entra en vigor en la fecha de su aceptación explícita mediante la ventana de validación que aparece en su próxima conexión al panel prestasecure.com, o por defecto en la fecha de firma del contrato para cualquier nueva suscripción Serenity posterior a la publicación de la versión 2.0.

Las suscripciones Serenity en curso a la fecha de publicación continúan bajo la versión anterior hasta que se registre la aceptación explícita. Su panel le presenta, en cada conexión, una ventana de validación no bloqueante para registrar su decisión.

Anexo técnico (informativo, no vinculante)

Tipos de acción y nivel de confianza

Audit trail — datos conservados por acción

• identificador único de ejecución
• identificador de tienda
• tipo de acción y objetivo (ruta de archivo, identificador CVE, etc.)
• origen (sistema autónomo, operador, cron, cliente manual)
• marca de tiempo de inicio y de fin
• estado final (éxito, fallo, rollback)
• detalles técnicos (diff aplicado, mensaje de error en su caso)
• identificador de la acción de rollback asociada si la hay

Referencia de modos en interfaz técnica

Los valores full_auto, operator_review, suggest_only y disabled son los identificadores técnicos utilizados en la API y en la base de datos. El panel los presenta bajo su denominación localizada.

← Retour à l'accueil