Clausola di remediation autonoma — Piano Serenity

Versione: 2.0 Data di entrata in vigore: da fissare al deployment Stato: bozza per validazione legale Sostituisce: clausola di supporto e pulizia umana della versione 1.x

Premessa (informativa, non vincolante)

Questa clausola definisce il mandato di remediation che lei concede a PrestaSecure nell'ambito del suo abbonamento Serenity. Sostituisce i paragrafi precedenti, limitati all'intervento umano in caso di incidente; aggiunge un quadro chiaro per le azioni eseguite a distanza sul suo store dal nostro team o dalla nostra infrastruttura automatizzata, per suo conto.

L'obiettivo: spiegarle precisamente cosa facciamo sul suo store, in quali condizioni, con quali garanzie, e quali sono i suoi diritti in qualsiasi momento per annullare o revocare il mandato.

Articolo 1 — Oggetto

Nell'ambito dell'abbonamento Serenity, PrestaSecure può eseguire a distanza sul suo store PrestaShop azioni di remediation di sicurezza. Tali azioni includono, senza limitarsi ad esse:

1. l'applicazione e il rollback di patch di vulnerabilità (patch CVE) sui file del core PrestaShop, su moduli di terze parti o sul firewall software integrato;
2. la quarantena, l'eliminazione o il ripristino di file identificati come infetti, sospetti o modificati rispetto allo stato originale di PrestaShop;
3. la disinstallazione di moduli orfani, disattivati o compromessi;
4. l'adeguamento della configurazione del firewall (categorie di attacchi bloccate, liste bianche e nere di indirizzi IP);
5. gli interventi umani di pulizia post-incidente, ad esempio rimozione di webshell, ripristino di file dall'archivio ufficiale PrestaShop, hardening dei permessi.

La presente clausola si applica soltanto agli store coperti da un abbonamento Serenity attivo. Gli abbonamenti Essentials e Advance non sono mai oggetto di azioni di remediation autonoma o a distanza.

Articolo 2 — Modalità di esecuzione

Per ogni store Serenity, lei sceglie una modalità di esecuzione tra quattro livelli di autonomia. La modalità è modificabile in qualsiasi momento dalla sua dashboard e applicabile immediatamente.

La modalità predefinita alla sottoscrizione è Operatore. Può passare a Autonoma con un click; questa modifica costituisce un opt-in esplicito ed è registrata.

Articolo 3 — Perimetro delle azioni

PrestaSecure non agisce mai al di fuori dello store oggetto dell'abbonamento. Concretamente:

• nessuna azione tocca il database commerciale (ordini, clienti, catalogo prodotti);
• nessuna azione modifica i file di personalizzazione visiva (temi, override visibili lato front-office);
• le modifiche riguardano esclusivamente file e configurazioni che presentano una vulnerabilità di sicurezza nota o un rischio di compromissione identificato dal nostro motore di rilevamento o dal nostro team.

I limiti tecnici precisi di ogni tipo di azione sono descritti nella documentazione tecnica disponibile su prestasecure.com e accessibili dalla sua dashboard.

Articolo 4 — Impegni di PrestaSecure

4.1 Salvaguardie tecniche

Prima di qualsiasi azione di remediation, autonoma o eseguita da un operatore, si applicano le seguenti salvaguardie:

• ogni patch viene testata tramite una suite di invarianti che copre la preservazione del codice non interessato, l'idempotenza (l'azione può essere replay senza effetti collaterali), la reversibilità (rollback disponibile), il limite di versione (al di fuori delle versioni supportate, l'azione viene saltata silenziosamente) e la validità sintattica del codice dopo modifica;
• ogni azione è preceduta da un punto di ripristino che permette il ritorno byte-per-byte allo stato precedente;
• in caso di fallimento durante l'esecuzione, il motore si arresta e la avverte senza lasciare il sistema in uno stato intermedio.

4.2 SLA di rollback

In caso di regressione osservata sul suo store come conseguenza diretta di un'azione di remediation, PrestaSecure si impegna a ripristinare lo stato precedente entro due ore lavorative (lunedì-venerdì, 8-20 ora di Parigi) dalla notifica, via email o dalla dashboard. Al di fuori dell'orario lavorativo, il rollback è garantito entro le 9 del giorno lavorativo successivo.

4.3 Trasparenza

Ogni azione eseguita sul suo store è registrata in un journal accessibile:

1. dal suo back-office PrestaShop, nel tab "Cronologia" del modulo PrestaSecure;
2. dalla sua dashboard prestasecure.com, nella sezione "Attività PrestaSecure";
3. in un'email di riepilogo settimanale, disattivabile in qualsiasi momento dalle sue preferenze di notifica.

Ogni voce del journal indica il tipo di azione, data e ora, origine (sistema autonomo, operatore PrestaSecure o cron), stato (successo, fallimento, rollback eseguito) e, se applicabile, un link al dettaglio tecnico.

Articolo 5 — Impegni del cliente

Affinché il servizio funzioni, lei si impegna a:

• mantenere attivo e raggiungibile il cron HTTP o il cron di sistema che permette al suo store di comunicare con la nostra infrastruttura (URL comunicato all'installazione del modulo);
• non bloccare né filtrare le email tecniche che le inviamo (notifiche di incidente, richieste di consenso esplicito in modalità Suggerimento o dopo un rifiuto, riepiloghi settimanali se non disattivati);
• informarci entro tempi ragionevoli di qualsiasi modifica strutturale apportata al suo store (cambio di versione PrestaShop, migrazione di hosting, ripristino di backup) che possa impattare il corretto svolgimento delle azioni di remediation.

Il mancato rispetto ripetuto di tali impegni può comportare la sospensione automatica del servizio in modalità Suggerimento, previa notifica.

Articolo 6 — Modifica e revoca

Può, in qualsiasi momento, dalla sua dashboard:

• modificare la modalità di esecuzione di uno store (per esempio passare da Autonoma a Operatore o viceversa);
• rifiutare integralmente la presente clausola di remediation a distanza.

In caso di rifiuto, il suo abbonamento Serenity non viene sospeso. Il servizio prosegue in una configurazione equivalente a quella anteriore alla versione 2.0:

• nessuna azione di remediation viene eseguita a distanza, né in modo autonomo né da un operatore, senza il suo consenso esplicito raccolto via email o telefono per ogni incidente;
• gli altri componenti di Serenity (scansione antivirus, firewall, supporto prioritario, intervento umano su incidente su sua richiesta) restano invariati e pienamente attivi.

Il rifiuto è revocabile in qualsiasi momento; può accettare la clausola in seguito dalla dashboard senza alcun ulteriore passo commerciale.

Articolo 7 — Limitazione di responsabilità

PrestaSecure mette in opera una diligenza professionale di livello industriale per prevenire qualsiasi regressione causata da un'azione di remediation: test automatizzati, fixture di versione, rollback automatico in caso di fallimento parziale, supervisione umana in modalità Operatore.

Nonostante tali precauzioni, se un'azione di remediation causa una regressione effettiva sul suo store, la responsabilità di PrestaSecure si limita a:

1. l'esecuzione del rollback entro il termine previsto all'articolo 4.2;
2. ove applicabile, il rimborso del tempo di indisponibilità direttamente attribuibile all'azione, calcolato pro-rata sulla tariffa mensile dell'abbonamento Serenity e limitato a un mese di servizio.

Sono espressamente esclusi dal perimetro di responsabilità i danni indiretti (perdita di fatturato e-commerce, perdita di posizionamento, danno d'immagine), i danni derivanti da uno stato anteriore dello store non rilevabile dal nostro motore (ad esempio un'infezione preesistente che la prima azione rimedia solo parzialmente) e le regressioni causate da modifiche esterne intervenute tra la scansione e l'esecuzione dell'azione (deployment cliente, intervento di terzi).

Articolo 8 — Dati e riservatezza

Le azioni di remediation si basano sulla trasmissione, verso la nostra infrastruttura, di metadati tecnici relativi al suo store: percorsi di file, hash di file, versione di PrestaShop, versione di PHP, identificativo di attivazione, journal delle azioni.

Nessun dato commerciale (clienti, ordini, catalogo) viene trasmesso nell'ambito di questa clausola. Il trattamento di tali metadati è disciplinato dalla nostra informativa sulla privacy, accessibile da prestasecure.com, che dettaglia le durate di conservazione, i sub-fornitori tecnici e i suoi diritti di accesso, rettifica e cancellazione ai sensi del Regolamento Generale sulla Protezione dei Dati.

Articolo 9 — Entrata in vigore

La presente clausola entra in vigore alla data della sua accettazione esplicita tramite la finestra di validazione presentata al suo prossimo accesso alla dashboard prestasecure.com, o per default alla data di firma del contratto per qualsiasi nuova sottoscrizione Serenity successiva alla pubblicazione della versione 2.0.

Gli abbonamenti Serenity in corso alla data di pubblicazione continuano sotto la versione precedente fino a quando l'accettazione esplicita non viene registrata. La sua dashboard le presenta, ad ogni accesso, una finestra di validazione non bloccante per registrare la sua decisione.

Allegato tecnico (informativo, non vincolante)

Tipi di azione e livello di fiducia

Audit trail — dati conservati per azione

• identificativo univoco di esecuzione
• identificativo dello store
• tipo di azione e target (percorso file, identificativo CVE, ecc.)
• origine (sistema autonomo, operatore, cron, cliente manuale)
• timestamp di inizio e di fine
• stato finale (successo, fallimento, rollback)
• dettagli tecnici (diff applicato, messaggio di errore se presente)
• identificativo dell'eventuale azione di rollback associata

Riferimento delle modalità nell'interfaccia tecnica

I valori full_auto, operator_review, suggest_only e disabled sono gli identificativi tecnici utilizzati nell'API e nel database. La dashboard li presenta con la loro denominazione localizzata.

← Retour à l'accueil