Algemene voorwaarden

1. Definities

1.1 In deze algemene voorwaarden worden de onderstaande begrippen als volgt gedefinieerd:
– Opdrachtnemer: Cybernext B.V.
– Opdrachtgever: de wederpartij van Opdrachtnemer.
– Opdracht: een wederkerige schriftelijke overeenkomst tussen Opdrachtnemer en Opdrachtgever tot het leveren van een dienst, en/of Optreden, ten behoeve van Opdrachtgever.
– Optreden: een wederkerige schriftelijke overeenkomst tussen Opdrachtnemer en Opdrachtgever tot het leveren van een lezing, training, presentatie, optreden als dagvoorzitter of spreker en alle andere vormen van spreken.
– Beveiligingsonderzoek: een penetratietest, social-engineeringtest, security scan of andere technische toetsing van systemen, netwerken of processen van Opdrachtgever.
– Waiver: het schriftelijke autorisatiedocument waarin scope, doel, testperiode en randvoorwaarden van een Beveiligingsonderzoek zijn vastgelegd.
– Pentest Portaal: het online platform van een derde partij waarvan Opdrachtnemer gebruik maakt voor het vastleggen en beheren van bevindingen, rapportages en opvolgstatus van Beveiligingsonderzoeken. Opdrachtnemer is geen eigenaar of exploitant van het Pentest Portaal.

2. Toepasselijkheid

2.1 Deze voorwaarden zijn van toepassing op iedere aanbieding en iedere Opdracht tussen Opdrachtnemer en Opdrachtgever.
2.2 De eigen voorwaarden van Opdrachtgever zijn niet van toepassing, tenzij Opdrachtnemer deze schriftelijk en uitdrukkelijk heeft aanvaard.
2.3 Indien schriftelijk en uitdrukkelijk door partijen is overeengekomen, kan van deze voorwaarden worden afgeweken.
2.4 Bij strijdigheid tussen deze voorwaarden en bepalingen opgenomen in een aanbieding, overeenkomst of Opdracht, prevaleren de bepalingen die zijn opgenomen in de aanbieding, overeenkomst of Opdracht.
2.5 Daar waar schriftelijkheid een vereiste is, kan dit ook geschieden via elektronische weg.

3. De offerte

3.1 Alle offertes door Opdrachtnemer zijn vrijblijvend en geldig gedurende 30 dagen, tenzij schriftelijk anders is aangegeven. Opdrachtnemer is slechts gebonden aan de offerte indien de wederpartij binnen 30 dagen de aanbieding schriftelijk aanvaardt.
3.2 Een Opdracht komt tot stand via ondertekening door Opdrachtgever van een offerte uitgebracht door Opdrachtnemer, of door een schriftelijke bevestiging door Opdrachtnemer van een door Opdrachtgever verleende Opdracht.
3.3 Kennelijke fouten of vergissingen in een aanbieding, offerte of overeenkomst zijn niet bindend voor Opdrachtnemer, in het bijzonder wanneer Opdrachtgever redelijkerwijs had kunnen begrijpen dat sprake was van een fout.
3.4 Prijzen in de offertes van Opdrachtnemer zijn exclusief reis- en verblijfkosten, tenzij anders overeengekomen.
3.5 Alle genoemde prijzen in de offerte zijn, tenzij anders is vermeld, exclusief BTW.

4. Uitvoering overeenkomst

4.1 Opdrachtnemer verplicht haarzelf de Opdracht naar beste weten te verrichten met inachtneming van de daarop betrekking hebbende stand van de wetenschap en regelgeving.
4.2 Opdrachtnemer garandeert niet dat de diensten zonder onderbrekingen of fouten zullen zijn, noch geeft zij garanties over de te behalen resultaten. Bij Beveiligingsonderzoeken kan Opdrachtnemer niet garanderen dat alle kwetsbaarheden worden ontdekt.
4.3 Is in de Opdracht een termijn overeengekomen voor voltooiing, dan is dit uitdrukkelijk geen fatale termijn maar een streefdatum. In geval de Opdracht strekt tot een Optreden, is er wel sprake van een fatale termijn.
4.4 Indien er sprake is van overmacht kan Opdrachtnemer de werkzaamheden tijdelijk staken.
4.5 Indien de aard van de Opdracht daartoe aanleiding geeft, staat het Opdrachtnemer vrij zich te bedienen van diensten van derden. Opdrachtnemer zal Opdrachtgever hiervan op de hoogte stellen.

5. Verplichtingen Opdrachtgever

5.1 Opdrachtgever is verplicht om Opdrachtnemer in staat te stellen de overeengekomen diensten te verrichten. Alle noodzakelijke informatie, gegevens en inlichtingen zullen tijdig door Opdrachtgever worden verstrekt.
5.2 Ingeval overeengekomen is dat Opdrachtgever materialen, programmatuur of gegevens ter beschikking stelt, zullen deze voldoen aan de specificaties die noodzakelijk zijn voor de uitvoering van de Opdracht.
5.3 Opdrachtgever is gehouden reeds verrichte werkzaamheden en werkzaamheden die niet onmiddellijk gestaakt kunnen worden te vergoeden, wanneer Opdrachtgever de Opdracht tussentijds beëindigt.

6. Meerwerk

6.1 Onder meerwerk wordt verstaan: a) Aantoonbare verzwaring en/of uitbreiding van werkzaamheden als gevolg van aanvullende wensen van Opdrachtgever. b) Extra werkzaamheden die noodzakelijk zijn om de Opdracht goed uit te voeren, in overleg met Opdrachtgever.
6.2 Opdrachtnemer is niet verplicht meerwerk zonder meer aan te nemen en kan verlangen dat hiervoor een afzonderlijke schriftelijke Opdracht wordt afgesloten.
6.3 Opdrachtgever aanvaardt dat meerwerk tot gevolg kan hebben dat het tijdstip van voltooiing wordt beïnvloed.
6.4 Meerwerk wordt door Opdrachtnemer aan Opdrachtgever in rekening gebracht.

7. Annulering

7.1 Annulering van een Optreden dient direct, maar in ieder geval binnen 7 dagen, schriftelijk aan Opdrachtnemer kenbaar gemaakt te worden.
7.2 Méér dan 60 dagen voorafgaand: 0% van het factuurbedrag verschuldigd.
7.3 30–60 dagen voorafgaand: 40% verschuldigd.
7.4 15–30 dagen voorafgaand: 60% verschuldigd.
7.5 10–15 dagen voorafgaand: 75% verschuldigd.
7.6 Minder dan 10 dagen voorafgaand: 100% verschuldigd.
7.7 Afwijkende annuleringsbepalingen in de overeenkomst gaan voor.

8. Beëindiging

8.1 Indien de Opdracht voor onbepaalde tijd is aangegaan, kan deze schriftelijk door één der partijen opgezegd worden met een opzegtermijn van 1 maand.
8.2 Partijen kunnen de Opdracht onmiddellijk ontbinden bij faillissement, surseance van betaling, schuldsanering, overname, liquidatie of stillegging van de wederpartij.
8.3 Beëindiging ontslaat Opdrachtgever niet van de betalingsverplichting voor reeds uitgevoerde werkzaamheden.

9. Betalingen en facturering

9.1 Betaling dient te geschieden binnen de termijn op de factuur. Bij gebrek aan termijn geldt 14 dagen.
9.2 Een eventueel overeengekomen aanbetaling dient voldaan te zijn voordat werkzaamheden beginnen.
9.3 Indien Opdrachtgever niet tijdig betaalt, is deze zonder ingebrekestelling in verzuim en is de wettelijke handelsrente verschuldigd.
9.4 Facturen die niet binnen 10 dagen na factuurdatum worden betwist, worden als onbetwist beschouwd.
9.5 Betalingen strekken steeds tot vereffening van de oudste openstaande schuld.

10. Aansprakelijkheid en verzekering

10.1 De aansprakelijkheid van Opdrachtnemer voor directe schade is begrensd tot het bedrag dat door de beroepsaansprakelijkheidsverzekering wordt uitgekeerd. Indien de verzekering niet uitkeert, is de aansprakelijkheid beperkt tot de hoogte van de overeengekomen prijs voor de Opdracht. In geen geval zal de totale vergoeding voor directe schade meer bedragen dan €50.000 per incident en €100.000 per kalenderjaar.
10.2 Opdrachtnemer houdt een beroepsaansprakelijkheidsverzekering aan die ten minste de in art. 10.1 genoemde maxima dekt.
10.3 De aansprakelijkheid voor indirecte schade is uitgesloten. Onder indirecte schade valt onder meer gederfde winst, gevolgschade, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie en alle andere niet-directe schade.
10.4 Is de schade het directe gevolg van een werkwijze die noodzakelijk was door eisen van Opdrachtgever, dan is Opdrachtnemer nimmer aansprakelijk, tenzij Opdrachtgever schriftelijk bezwaar tegen deze werkwijze heeft gemaakt.
10.5 Alle schade als gevolg van onjuiste informatie of inlichtingen door Opdrachtgever is nimmer voor vergoeding vatbaar.
10.6 Opdrachtnemer is niet aansprakelijk voor schade die niet binnen 2 weken na ontdekking is gemeld.
10.7 De genoemde beperkingen gelden niet bij opzet of bewuste roekeloosheid van Opdrachtnemer.

11. Vrijwaring en indemniteit

11.1 Opdrachtgever vrijwaart Opdrachtnemer tegen alle aanspraken van derden die voortvloeien uit of verband houden met de uitvoering van de Opdracht, waaronder aanspraken wegens schade aan systemen, netwerken of gegevens van derden.
11.2 Opdrachtgever is gehouden de geleden schade door Opdrachtnemer of haar werknemers te vergoeden, indien deze schade is ontstaan door uitvoering van de Opdracht of op terreinen van Opdrachtgever.
11.3 Bij Beveiligingsonderzoeken kunnen tests ondanks zorgvuldigheid storingen of schade veroorzaken. Herstelkosten zijn voor rekening van Opdrachtgever, tenzij er sprake is van opzet of grove schuld van Opdrachtnemer.

12. Geheimhouding

12.1 Alle vertrouwelijke informatie die voortvloeit uit de Opdracht dient door partijen geheim gehouden te worden. Als vertrouwelijk geldt in ieder geval: a) Informatie uit een Beveiligingsonderzoek, inclusief resultaten. b) Alle door Opdrachtgever verstrekte informatie. c) Alle informatie op gegevensdragers of netwerken van Opdrachtgever.
12.2 Partijen treffen technische en organisatorische maatregelen om vertrouwelijke informatie veilig op te bergen.
12.3 Het verbod geldt niet wanneer: a) de verstrekkende partij schriftelijk toestemming heeft gegeven, b) de informatie reeds algemeen bekend is, c) openbaarmaking wettelijk of rechterlijk verplicht is.

13. Privacy en gegevensverwerking

13.1 Beide partijen dragen zorg voor juiste omgang met persoonsgegevens conform toepasselijke wet- en regelgeving.
13.2 Opdrachtgever is zich bewust dat uitvoering van een Opdracht verwerking van persoonsgegevens met zich mee kan brengen en neemt hiervoor alle wettelijke vereisten in acht.
13.3 Indien verwerking van persoonsgegevens plaatsvindt, sluit Opdrachtgever op verzoek een verwerkersovereenkomst. Opdrachtgever voert, indien vereist, een DPIA uit.
13.4 Alle aanspraken van betrokkenen komen voor rekening van Opdrachtgever, tenzij er sprake is van opzet of bewuste roekeloosheid van Opdrachtnemer.

14. Intellectuele eigendom

14.1 Alle intellectuele eigendomsrechten die als gevolg van de Opdracht ontstaan, behoren toe aan Opdrachtnemer. Een Opdracht houdt geen overdracht van intellectuele eigendomsrechten in.
14.2 Rapporten, adviezen, presentaties en andere werken mogen zonder toestemming van Opdrachtnemer nimmer openbaar gemaakt of verveelvoudigd worden.
14.3 Wanneer Opdrachtgever haar volledige financiële verplichtingen heeft voldaan, verkrijgt Opdrachtgever een niet-exclusief gebruiksrecht voor intern gebruik.
14.4 Opdrachtnemer behoudt het recht om door de uitvoering verkregen kennis voor andere doeleinden te gebruiken, mits geen vertrouwelijke informatie aan derden wordt verstrekt.

15. Overmacht

15.1 Opdrachtnemer kan verplichtingen opschorten bij overmacht, waaronder storingen in elektriciteit, telecom, cloud- of hostingproviders, overheidsmaatregelen en tekortkomingen van derden.
15.2 Indien opschorting langer dan één maand duurt, kunnen beide partijen de Opdracht schriftelijk ontbinden. De betalingsverplichting voor uitgevoerde werkzaamheden vervalt niet.

16. Klimaatgerelateerde wensen en omstandigheden

16.1 Opdrachtgever informeert Opdrachtnemer tijdig over wensen of omstandigheden die verband houden met klimaatveranderingen en die van invloed kunnen zijn op de uitvoering.
16.2 Indien Opdrachtgever nalaat dergelijke informatie te verstrekken, komen de gevolgen voor rekening van Opdrachtgever.
16.3 Aanpassingen als gevolg hiervan kunnen leiden tot meerwerk conform artikel 6.

17. Beveiligingsonderzoek en autorisatie

17.1 Opdrachtnemer voert een Beveiligingsonderzoek uitsluitend uit na ontvangst van een door Opdrachtgever ondertekende Waiver. Zonder getekende Waiver vangt geen Beveiligingsonderzoek aan.
17.2 In de Waiver worden ten minste vastgelegd: scope, testperiode, betrokken systemen en netwerken, contactpersonen, escalatieprocedures en eventuele beperkingen.
17.3 Opdrachtgever garandeert dat zij bevoegd is toestemming te verlenen voor het Beveiligingsonderzoek. Indien systemen van derden in scope zijn, draagt Opdrachtgever zorg voor schriftelijke toestemming van deze derden (Letter of Authority).
17.4 Opdrachtgever vrijwaart Opdrachtnemer van alle aanspraken van derden die voortvloeien uit het Beveiligingsonderzoek binnen de overeengekomen scope en conform de getekende Waiver.

18. Scopewijzigingen bij beveiligingsonderzoeken

18.1 Wijzigingen in scope dienen vooraf schriftelijk te worden overeengekomen. De Waiver wordt in dat geval aangepast.
18.2 Indien tijdens uitvoering aanvullende systemen relevant blijken, meldt Opdrachtnemer dit. Testen hiervan geschiedt uitsluitend na schriftelijke toestemming en kan als meerwerk worden gefactureerd.
18.3 Ingrijpende scopewijzigingen of additionele retests worden vooraf schriftelijk bevestigd en separaat gefactureerd.

19. Escalatieprocedure en kritieke bevindingen

19.1 Wordt tijdens een Beveiligingsonderzoek productie-impact vastgesteld, dan pauzeert Opdrachtnemer onmiddellijk de betreffende testactiviteiten en stelt de in de Waiver genoemde contactpersoon hiervan zo spoedig mogelijk op de hoogte. Hervatting vindt pas plaats na schriftelijk akkoord van Opdrachtgever.
19.2 Kritieke bevindingen worden door Opdrachtnemer onverwijld gemeld aan de contactpersoon van Opdrachtgever. Opdrachtnemer bepaalt op basis van ernst en CVSS-score of een melding als kritiek wordt aangemerkt.
19.3 Opdrachtgever is zelf verantwoordelijk voor het nemen van mitigerende maatregelen. Opdrachtnemer kan adviseren maar draagt geen verantwoordelijkheid voor de implementatie.

20. Dataminimalisatie en vernietiging van testdata

20.1 Opdrachtnemer verzamelt uitsluitend gegevens die noodzakelijk zijn voor het Beveiligingsonderzoek en past dataminimalisatie toe.
20.2 Testdata wordt versleuteld opgeslagen en intern beperkt gedeeld.
20.3 Na oplevering en na een bewaartermijn van 90 dagen worden alle testdata en lokale kopieën veilig vernietigd, tenzij schriftelijk anders overeengekomen. Bevindingen in het Pentest Portaal blijven beschikbaar zolang Opdrachtgever toegang heeft.
20.4 Eventuele persoonsgegevens die tijdens het Beveiligingsonderzoek worden aangetroffen, worden direct gemeld aan Opdrachtgever en niet langer bewaard dan strikt noodzakelijk.

21. Beperking van impact door beveiligingsonderzoeken

21.1 Opdrachtnemer voert Beveiligingsonderzoeken zorgvuldig uit maar kan niet garanderen dat tests geen invloed hebben op de beschikbaarheid van systemen.
21.2 Opdrachtgever draagt zorg voor adequate backups voorafgaand aan het Beveiligingsonderzoek.
21.3 Herstelkosten als gevolg van het Beveiligingsonderzoek zijn voor rekening van Opdrachtgever, tenzij er sprake is van opzet of grove schuld van Opdrachtnemer.
21.4 DDoS-aanvallen, het vernietigen of wijzigen van data en andere destructieve technieken worden niet uitgevoerd, tenzij dit uitdrukkelijk in de Waiver is opgenomen.

22. Pentest Portaal

22.1 Bevindingen worden vastgelegd in het Pentest Portaal. Bij elke pentest zijn de eerste twee maanden portaaltoegang inbegrepen, tenzij anders bepaald.
22.2 Na de inbegrepen periode kan Opdrachtgever een maandelijks abonnement afsluiten. Bij PTAAS-abonnementen is het portaal altijd inbegrepen.
22.3 Het Pentest Portaal wordt aangeboden op basis van beschikbaarheid. Beschikbaarheid en onderhoud zijn afhankelijk van de leverancier van het platform. Opdrachtnemer kan geen garanties geven ten aanzien van ononderbroken toegang.
22.4 De gegevens in het Pentest Portaal zijn en blijven eigendom van Opdrachtgever. Bij beëindiging heeft Opdrachtgever het recht voorafgaand alle rapportages te downloaden. Opdrachtnemer spant zich in om gegevens na beëindiging te laten verwijderen, voor zover de leverancier dit faciliteert.
22.5 Opdrachtgever is verantwoordelijk voor het beheer van eigen inloggegevens en toegangsrechten.
22.6 Op het gebruik van het Pentest Portaal kunnen aanvullend de voorwaarden van de leverancier van toepassing zijn. Opdrachtnemer is niet aansprakelijk voor tekortkomingen, storingen of dataverlies die het gevolg zijn van handelen of nalaten van de leverancier.

23. Publiciteit en referentie

23.1 Opdrachtnemer mag de naam en het logo van Opdrachtgever gebruiken als referentie in commerciële uitingen, tenzij Opdrachtgever dit schriftelijk afwijst vóór aanvang van de Opdracht.
23.2 Opdrachtnemer zal hierbij geen vertrouwelijke informatie over de aard of resultaten van de Opdracht openbaar maken.

24. Non-sollicitatie

24.1 Het is Opdrachtgever verboden om gedurende de looptijd van de Opdracht en tot twaalf maanden na afloop hiervan, medewerkers of door Opdrachtnemer ingeschakelde derden zonder voorafgaande schriftelijke toestemming in dienst te nemen of direct dan wel indirect te benaderen voor indiensttreding.
24.2 Bij overtreding van dit verbod is Opdrachtgever een direct opeisbare boete verschuldigd van €5.000 per dag dat de overtreding voortduurt, met een maximum van €100.000, onverminderd het recht van Opdrachtnemer om volledige schadevergoeding te vorderen.

25. Overdracht van rechten

25.1 Partijen mogen hun rechten en verplichtingen uit de Opdracht niet zonder voorafgaande schriftelijke toestemming van de andere partij aan derden overdragen.
25.2 Opdrachtnemer mag subcontractors inschakelen conform artikel 4.5.

26. Wijziging van deze voorwaarden

26.1 Opdrachtnemer kan deze voorwaarden te allen tijde wijzigen. De actuele versie is beschikbaar op de website van Opdrachtnemer.
26.2 Wijzigingen zijn bindend voor Opdrachtgever zodra deze schriftelijk zijn medegedeeld en 14 dagen na de kennisgeving zijn verstreken. Bij bezwaren treedt Opdrachtgever in overleg met Opdrachtnemer.

27. Salvatorische clausule

27.1 Indien een of meer bepalingen van deze voorwaarden ongeldig of niet-afdwingbaar worden verklaard, blijven de overige bepalingen onverminderd van kracht.
27.2 Partijen zullen in overleg treden om de ongeldige bepaling te vervangen door een geldige bepaling die zoveel mogelijk dezelfde strekking heeft.

28. Toepasselijk recht en geschillen

28.1 Op alle overeenkomsten tussen Opdrachtgever en Opdrachtnemer is uitsluitend Nederlands recht van toepassing.
28.2 Geschillen worden in eerste instantie in onderling overleg opgelost. Indien dit niet tot een oplossing leidt, worden geschillen exclusief voorgelegd aan de bevoegde Nederlandse rechter in het arrondissement Overijssel.