Snyk API & Web – Nachtrag zum Snyk Software-as-a-Service-Vertrag und zu den Nutzungsbedingungen

Snyk API & Web – Nachtrag zum Snyk Software-as-a-Service-Vertrag und zu den Nutzungsbedingungen

Dieser Nachtrag zu den Master Services für Snyk API & Web („Nachtrag“) ändert den Snyk Software-as-a-Service-Vertrag oder die Nutzungsbedingungen, je nachdem, was zutrifft („Snyk MSA“), der zwischen Snyk und dem im Snyk MSA genannten Kunden („Sie“) im Hinblick auf die Bereitstellung von Snyk API & Web geschlossen wurde. Dieser Nachtrag legt zusätzliche Bedingungen fest, die Ihren Zugriff auf Snyk API & Web und dessen Nutzung regeln. Snyk gestattet Ihnen die Nutzung von Snyk API & Web ausschließlich gemäß den Bedingungen des Snyk MSA und dieses Nachtrags („Vertrag“). Im Falle eines Widerspruchs zwischen diesem Nachtrag und dem Snyk MSA haben die Bestimmungen des Nachtrags Vorrang, jedoch ausschließlich im Hinblick auf Snyk API & Web. In diesem Nachtrag verwendete, aber nicht darin definierte Begriffe in Großschreibung haben die im Snyk MSA festgelegte Bedeutung. Im Falle eines Widerspruchs zwischen den Bedingungen dieses Nachtrags und den Bedingungen eines Bestellformulars gilt folgende Rangfolge: (1) die Bedingungen des Nachtrags, (2) die Bedingungen des Snyk MSA und (3) die Bedingungen eines Bestellformulars. 

Diese Bedingungen regeln Ihren Zugriff auf die cloudbasierte Lösung Web Application Vulnerability Scanner, die von uns oder einem beauftragten Dritten („Snyk API & Web“) bereitgestellt wird, und deren Nutzung. 

Sie erklären sich damit einverstanden, dass bestimmte in den geltenden Bestelldokumenten beschriebene Implementierungs-, Support- und/oder Professional Services sowie verwaltete Scan-Services für Snyk API & Web entweder von Snyk-Mitarbeitenden oder von einem von Snyk zugelassenen Partner unter der Leitung und Aufsicht von Snyk erbracht werden können. In beiden Fällen bleibt Snyk in vollem Umfang für die Erbringung dieser Services und die Einhaltung der Vertragsbedingungen durch seine Partner verantwortlich und haftbar.

1. ZUGRIFF AUF SNYK API & WEB 

   1. Snyk API & Web ist für Webanwendungen vorgesehen und so konzipiert, dass es mit jeder Webanwendung funktioniert, sofern eine Verbindung zwischen den Servern von Snyk und dem Server besteht, auf dem die zu testende Webanwendung gehostet wird.

2. ZULÄSSIGE NUTZUNG

   1. WIR EMPFEHLEN DRINGEND, SNYK API & WEB AUSSCHLIESSLICH AUF STAGING- UND TESTSITES UND NICHT AUF EINER PRODUKTIONS-SITE ZU VERWENDEN. WENN SIE DEN DIENST AUF EINER PRODUKTIONS-SITE VERWENDEN, TUN SIE DIES AUF EIGENES RISIKO.

   2. Sie verpflichten sich, weder selbst noch durch Ermutigung oder Unterstützung Dritter auf eine Weise auf Snyk API & Web zuzugreifen oder den Dienst zu nutzen, die darauf abzielt, Gebühren unrechtmäßig zu umgehen oder Nutzungsgrenzen oder Kontingente zu überschreiten. Als Self-Service-Kunde haben Sie keinen Anspruch auf gleichzeitige Scans desselben Ziels oder auf mehr als 60 Scans desselben Ziels pro Monat.

3. SERVICE-LEVEL-BEDINGUNGEN

   1. Snyk unternimmt angemessene Anstrengungen, um die ständige Verfügbarkeit von Snyk API & Web sicherzustellen. Bei kostenpflichtigem Zugriff auf Snyk API & Web gewährleistet Snyk eine Verfügbarkeit von 99,9 %, berechnet über einen Zeitraum von 90 Tagen und unter Ausschluss von Feiertagen, Wochenenden und planmäßigen Wartungsarbeiten. Verlangt der Kunde Wartungsarbeiten während dieser Zeiten, bleiben die davon betroffenen Zeiträume bei der Berechnung der Betriebs- oder Ausfallzeit unberücksichtigt. Darüber hinaus werden folgende Ausfallzeiten bei einer solchen Berechnung nicht berücksichtigt: (a) Probleme mit Verbindungen oder Versorgungsleistungen Dritter oder andere Gründe außerhalb der Kontrolle von Snyk; (b) Handlungen oder Unterlassungen Ihrerseits; (c) Ausfälle oder Fehlfunktionen von Geräten, Anwendungen oder Systemen, die sich nicht im Besitz oder unter der Kontrolle von Snyk befinden; (d) Unstimmigkeiten oder Änderungen in Ihrer Quellumgebung, einschließlich beabsichtigter oder unbeabsichtigter Verbindungen oder Trennungen zur Umgebung; (e) Ereignisse höherer Gewalt; (f) eine Aussetzung von Snyk API & Web gemäß dem Vertrag; (g) Ihre Nutzung von Snyk API & Web entgegen unserer Dokumentation; (h) planmäßige Ausfallzeiten; oder (i) Notfall-Ausfallzeiten.

   2. Erreicht Snyk in einem Kalendermonat nicht die garantierte Verfügbarkeit („Ausfallzeit“), haben Sie vorbehaltlich der sonstigen Bestimmungen dieser Vereinbarung Anspruch auf eine Gutschrift, wie nachstehend beschrieben. 

1. Die Ausfallzeit beginnt, sobald Sie (nach Mitteilung an Snyk) feststellen, dass ein Ausfall vorliegt, und endet, wenn Snyk API & Web wieder verfügbar ist. Um eine Servicegutschrift zu erhalten, müssen Sie Snyk innerhalb von 24 Stunden nach Beginn der Ausfallzeit schriftlich benachrichtigen. Unterbleibt diese Mitteilung, verfällt Ihr Anspruch auf eine Servicegutschrift. Servicegutschriften sind Ihr einziges und ausschließliches Rechtsmittel bei Nichterfüllung dieser Verfügbarkeitsverpflichtungen. Servicegutschriften werden auf die nächste Rechnung angerechnet, nachdem Sie den Antrag gestellt und Snyk die Anwendbarkeit der Gutschriften bestätigt hat. Liegt die Verfügbarkeit (a) drei Monate in Folge oder (b) innerhalb eines Zeitraums von zwölf Monaten in drei beliebigen Monaten unter 95 %, können Sie diesen Vertrag durch schriftliche Mitteilung an Snyk kündigen.

2. Die Sperrung von Datenkommunikation oder anderen Teilen von Snyk API & Web durch Snyk gemäß den Richtlinien gilt nicht als Nichterbringung angemessener Service-Levels gemäß diesen Bedingungen.

Snyk API & Web – DPA-Nachtrag zum Snyk-Datenverarbeitungsnachtrag 

Dieser DPA-Nachtrag zu Snyk API & Web („DPA-Nachtrag“) ändert den Snyk-Datenverarbeitungsnachtrag („Snyk DPA“), der dem Snyk MSA beigefügt ist, in der durch den Nachtrag geänderten Fassung, im Hinblick auf die Bereitstellung von Snyk API & Web. Dieser DPA-Nachtrag legt Bedingungen fest, die Ihren Zugriff auf Snyk API & Web und dessen Nutzung regeln. Snyk gestattet Ihnen die Nutzung von Snyk API & Web ausschließlich gemäß den Bedingungen des Vertrags, einschließlich des geänderten Snyk DPA. Im Falle eines Widerspruchs zwischen diesem DPA-Nachtrag und dem Snyk DPA haben die Bestimmungen des DPA-Nachtrags Vorrang, jedoch ausschließlich im Hinblick auf Snyk API & Web. In diesem DPA-Nachtrag verwendete, aber nicht darin definierte Begriffe in Großschreibung haben die im Snyk MSA festgelegte Bedeutung.

1. Alle Abschnitte des Snyk MSA, die auf den Informationssicherheitsnachtrag von Snyk Bezug nehmen, gelten nicht für Snyk API & Web und werden vollständig durch Folgendes ersetzt: „Snyk setzt Sicherheitsmaßnahmen ein, die dem Schutz von Kundendaten gemäß dem nachstehenden Anhang B dienen.“

2. Der Kunde erteilt Snyk die allgemeine Genehmigung, Dritte mit der Verarbeitung personenbezogener Daten zu beauftragen („Unterauftragsverarbeiter“). Snyk führt eine aktuelle Liste der Unterauftragsverarbeiter unter https://snyk.io/policies/subprocessors/ sowie der in Anhang A zu diesem DPA-Nachtrag aufgeführten Unterauftragsverarbeiter. Snyk benachrichtigt den Kunden dreißig (30) Tage („Mitteilungsfrist“) vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters, indem entsprechende Angaben unter https://snyk.io/policies/subprocessors/ und/oder https://snyk.io/policies/snyk-api-and-web-master-services-addendum/ veröffentlicht werden (je nach Kontext).

3. Anhang 2 (Technische und organisatorische Maßnahmen) gilt als Verweis auf Anhang B dieses DPA-Nachtrags.

Anlage 1 des Snyk DPA wird wie folgt geändert:

1. „Kategorien betroffener Personen“ umfassen auch betroffene Personen, deren personenbezogene Daten im Zuge der Nutzung von Snyk API & Web durch den Kunden beiläufig verarbeitet werden können.

2. „Kategorien personenbezogener Daten“ umfassen auch personenbezogene Daten, die im Zuge der Nutzung von Snyk API & Web durch den Kunden beiläufig verarbeitet werden können.

3. Angaben zu Übermittlungen an Unterauftragsverarbeiter umfassen die in Anhang A aufgeführten Unterauftragsverarbeiter.

Anhang A: Unterauftragsverarbeiter von Snyk API & Web

Für die Bereitstellung von Snyk API & Web setzt Snyk weitere Unterauftragsverarbeiter ein. Diese sind nachstehend zusammen mit einer Beschreibung des jeweiligen Dienstes und dem Standort der Datenverarbeitung aufgeführt. Snyk kann diese Liste von Zeit zu Zeit aktualisieren:

Anhang B: Technische und organisatorische Maßnahmen

Die folgende Liste enthält eine nicht abschließende Auswahl der Sicherheitskontrollen, die wir für Snyk API & Web implementiert haben:

• Wir setzen Verschlüsselungstechnologie nach Industriestandard ein.

• Unsere gesamte Infrastruktur wird bei einem erstklassigen Cloud-Anbieter gehostet, dessen Sicherheit gründlich geprüft wurde. Die Sicherheitsfunktionen und -kontrollen unseres Cloud-Anbieters sind so konfiguriert, dass unsere Servicenetzwerke voneinander getrennt und überwacht werden, Audit-Protokolle erstellt und Sicherheitsereignisse verwaltet werden. Frontend-, Backend- und Datenbankserver nutzen private, durch Sicherheitsgruppen kontrollierte Netzwerke, die voneinander getrennt sind.

• Wo dies angemessen ist, setzen wir folgende Sicherheitspraktiken um, unter anderem:

  • Prinzip der geringsten Berechtigungen (für den Zugriff auf unsere Systeme und Daten)

  • Absicherung von Servern und Sicherheitsupdates

  • Verpflichtende Zwei-Faktor-Authentifizierung

  • Zentrale Protokollierung

  • Sicherer Softwareentwicklungslebenszyklus, einschließlich regelmäßiger Sicherheitsbewertungen 

Ungeachtet der beschriebenen Sicherheitsmaßnahmen sollten Sie beachten, dass die Übertragung von Daten über das Internet möglicherweise nicht vollständig sicher ist. Wir empfehlen Ihnen daher, bei der Übertragung von Daten über das Internet geeignete Vorsichtsmaßnahmen zu treffen.