Regulamin portalu Meldora

§ 1. Postanowienia ogólne

Usługodawcą i operatorem portalu Meldora (dalej: „Portal”) jest , prowadzący działalność gospodarczą pod firmą , , NIP , e-mail: , telefon: (dalej: „Usługodawca”).

Portal jest narzędziem wspierającym świadczenie przez Usługodawcę usług doradczych w zakresie obsługi podatności oprogramowania i zgodności z rozporządzeniem (UE) 2024/2847 (Cyber Resilience Act). Usługi są świadczone na podstawie odrębnej umowy zawartej z Klientem (dalej: „Umowa”). W razie sprzeczności między Regulaminem a Umową pierwszeństwo ma Umowa.

Regulamin jest dostępny bezpłatnie w Portalu w sposób umożliwiający jego pobranie, utrwalenie i wydrukowanie. Korzystanie z Portalu wymaga akceptacji Regulaminu przez każdego Użytkownika przy pierwszym logowaniu oraz po każdej zmianie Regulaminu.

§ 2. Definicje

1. Klient: przedsiębiorca, który zawarł z Usługodawcą Umowę i na rzecz którego prowadzone jest konto firmy w Portalu.
2. Użytkownik: osoba fizyczna korzystająca z Portalu w imieniu Klienta na podstawie indywidualnego konta.
3. Konto: zbiór zasobów i uprawnień w Portalu przypisany do Użytkownika, chroniony hasłem i drugim składnikiem uwierzytelnienia (MFA).
4. Dane Klienta: dane wprowadzone do Portalu przez Klienta lub w jego imieniu, w szczególności dane produktów, listy komponentów (SBOM), decyzje, wiadomości i załączniki.
5. Raport: dokument przygotowany przez Usługodawcę w Portalu, zawierający ocenę podatności, decyzję w sprawie zgłoszenia i proponowane treści zgłoszenia.
6. Zgłoszenie: powiadomienie do ENISA lub właściwego CSIRT, do którego Klient jest zobowiązany na podstawie art. 14 Cyber Resilience Act.

§ 3. Wymagania techniczne

Do korzystania z Portalu potrzebne są: aktualna przeglądarka internetowa z obsługą JavaScript, dostęp do internetu, adres e-mail oraz aplikacja uwierzytelniająca (TOTP), klucz sprzętowy lub passkey. Do otrzymywania powiadomień o pilnych sprawach potrzebny jest numer telefonu komórkowego.

Portal korzysta wyłącznie z niezbędnych mechanizmów pamięci przeglądarki (sesja, wybrany język, motyw). Nie stosuje plików cookie marketingowych ani analitycznych.

§ 4. Konta i bezpieczeństwo

1. Pierwsze konto Klienta zakłada Usługodawca na podstawie Umowy. Kolejne konta zakładają Użytkownicy Klienta, wysyłając zaproszenie z Portalu. Klient odpowiada za to, kogo dopuszcza do Portalu.
2. Konto jest osobiste. Zabronione jest udostępnianie danych logowania innym osobom, także w obrębie firmy Klienta.
3. Logowanie wymaga hasła i drugiego składnika (MFA). Sesja wygasa po 30 minutach bezczynności i najpóźniej po 12 godzinach.
4. Użytkownik niezwłocznie zgłasza Usługodawcy utratę kontroli nad kontem, utratę urządzenia z aplikacją uwierzytelniającą lub podejrzenie nieuprawnionego dostępu.
5. Usługodawca może zablokować konto lub sesję, jeżeli stwierdzi zagrożenie bezpieczeństwa Portalu lub Danych Klienta, informując o tym Klienta bez zbędnej zwłoki.
6. Klient odpowiada za działania Użytkowników w Portalu jak za działania własne.

§ 5. Zakres działania Portalu

Portal umożliwia w szczególności: prowadzenie listy produktów i ich wersji, przechowywanie SBOM, ciągłe porównywanie komponentów z publicznymi bazami podatności, powiadamianie o dopasowaniach, przekazywanie dopasowań Usługodawcy do oceny, udostępnianie Raportów, prowadzenie dziennika zdarzeń, wymianę wiadomości oraz przygotowywanie treści Zgłoszeń.

Portal nie jest połączony z platformą zgłoszeń ENISA i nie wysyła Zgłoszeń. Treści Zgłoszeń przygotowane w Portalu są propozycjami, które Klient weryfikuje i wysyła samodzielnie.

Wyniki monitoringu zależą od kompletności i poprawności SBOM przekazanego przez Klienta oraz od zawartości publicznych baz podatności. Brak dopasowania nie oznacza, że produkt jest wolny od podatności.

Raporty są przygotowywane w terminach określonych w Umowie. Terminy w dniach roboczych nie obejmują sobót, niedziel i dni ustawowo wolnych od pracy w Polsce. Jeżeli przygotowanie Raportu wymaga informacji od Klienta, termin ulega wstrzymaniu do czasu jej przekazania, co jest odnotowywane w dzienniku zlecenia.

§ 6. Obowiązki Klienta

1. Utrzymywanie aktualnych danych produktów, w tym wersji, rynków UE i okresu wsparcia, oraz przekazywanie SBOM po każdym wydaniu.
2. Wskazanie i aktualizowanie kontaktu awaryjnego z numerem telefonu, dostępnego w sprawach pilnych.
3. Podejmowanie decyzji o dopasowaniach i odpowiadanie na pytania Usługodawcy bez zbędnej zwłoki, z uwagi na terminy wynikające z Cyber Resilience Act.
4. Samodzielne wysyłanie Zgłoszeń z własnego konta na platformie ENISA oraz odnotowywanie w Portalu faktu i daty ich wysłania.
5. Niezwłoczne informowanie Usługodawcy o incydentach bezpieczeństwa dotyczących produktów oraz o informacjach o podatnościach uzyskanych innymi kanałami, ponieważ mogą one uruchamiać terminy ustawowe.
6. Korzystanie z Portalu zgodnie z prawem, Regulaminem i Umową.

§ 7. Niedozwolone działania

Zabronione jest w szczególności:

1. podejmowanie prób uzyskania dostępu do danych innych klientów Usługodawcy lub do części Portalu nieprzeznaczonych dla Użytkownika,
2. prowadzenie testów bezpieczeństwa, skanowania lub testów obciążeniowych Portalu bez uprzedniej pisemnej zgody Usługodawcy,
3. wgrywanie plików zawierających złośliwy kod lub treści niezgodne z przeznaczeniem Portalu,
4. automatyczne pobieranie danych z Portalu w inny sposób niż przez udostępniony interfejs API i tokeny wydane dla Klienta,
5. udostępnianie tokenów API osobom spoza organizacji Klienta,
6. udostępnianie Raportów w sposób naruszający Umowę lub prawa Usługodawcy.

Osoby, które zauważą podatność w samym Portalu, prosimy o zgłoszenie na adres . Usługodawca stosuje zasady skoordynowanego ujawniania podatności i nie będzie podejmował działań prawnych wobec zgłaszających działających w dobrej wierze.

§ 8. Dane Klienta i prawa własności intelektualnej

1. Dane Klienta pozostają własnością Klienta. Klient udziela Usługodawcy niewyłącznego prawa do ich przetwarzania wyłącznie w celu i w zakresie niezbędnym do świadczenia usług objętych Umową, przez czas jej trwania oraz okres przechowywania określony w § 14.
2. Usługodawca nie wykorzystuje Danych Klienta do innych celów, w szczególności nie udostępnia ich innym klientom ani nie wykorzystuje do uczenia modeli statystycznych bez wyraźnej zgody Klienta.
3. Raporty stanowią utwory, do których prawa autorskie przysługują Usługodawcy. Z chwilą udostępnienia Raportu w Portalu Klient uzyskuje bezterminową, niewyłączną licencję na korzystanie z Raportu na potrzeby własnej działalności, w tym na przekazywanie go organom publicznym, ENISA, CSIRT, audytorom, jednostkom notyfikowanym i odbiorcom produktów.
4. Portal, jego oprogramowanie, układ i treści pomocy są chronione prawem autorskim i przysługują Usługodawcy. Klient nie nabywa do nich praw poza prawem do korzystania z Portalu zgodnie z Regulaminem.

§ 9. Poufność

Usługodawca zachowuje w poufności Dane Klienta, Raporty i treść komunikacji oraz zabezpiecza je zgodnie z opisem w polityce prywatności i w Umowie. Informacje te nie są ujawniane osobom trzecim, z wyjątkiem podwykonawców niezbędnych do świadczenia usługi (hosting, poczta, SMS), związanych obowiązkiem poufności, oraz przypadków, gdy ujawnienia wymaga prawo.

§ 10. Dostępność i prace techniczne

1. Usługodawca dokłada starań, aby Portal był dostępny całodobowo. Przerwy techniczne są w miarę możliwości zapowiadane z co najmniej 24-godzinnym wyprzedzeniem i planowane poza godzinami pracy; nie dotyczy to przerw niezbędnych do usunięcia awarii lub zagrożenia bezpieczeństwa.
2. Monitoring podatności zależy od dostępności zewnętrznych baz danych (m.in. NVD, OSV, GitHub Advisories, CISA KEV, EUVD). Portal pokazuje czas ostatniej synchronizacji każdego źródła.
3. Usługodawca wykonuje kopie zapasowe danych co najmniej raz na dobę i przechowuje je w szyfrowanej postaci na terenie Unii Europejskiej.
4. Usługodawca może zmieniać funkcje Portalu, o ile nie ogranicza to zakresu usług określonego w Umowie. O istotnych zmianach Klient jest informowany w Portalu.

§ 11. Odpowiedzialność

1. Portal i Raporty wspierają decyzje Klienta. Decyzje o ocenie wpływu podatności na produkt, o treści i wysłaniu Zgłoszenia oraz o działaniach naprawczych podejmuje Klient jako producent w rozumieniu Cyber Resilience Act i to on ponosi odpowiedzialność wynikającą z tego rozporządzenia.
2. Usługodawca nie odpowiada za skutki niekompletnych lub nieaktualnych Danych Klienta, w szczególności SBOM, za treść i terminowość Zgłoszeń wysyłanych przez Klienta, za działanie platformy ENISA ani zewnętrznych baz podatności.
3. Odpowiedzialność Usługodawcy z tytułu świadczonych usług regulują Umowa i przepisy prawa. O ile Umowa nie stanowi inaczej, odpowiedzialność Usługodawcy jest ograniczona do szkody rzeczywistej i do wysokości wynagrodzenia zapłaconego przez Klienta w okresie 12 miesięcy poprzedzających zdarzenie. Ograniczenie nie dotyczy szkody wyrządzonej umyślnie.
4. Raporty i treści pomocy w Portalu nie stanowią porady prawnej. W sprawach wymagających wykładni prawa Klient powinien zasięgnąć opinii prawnika.

§ 12. Dane osobowe

Zasady przetwarzania danych osobowych Użytkowników opisuje polityka prywatności dostępna w Portalu. W zakresie danych kont Użytkowników Usługodawca jest administratorem. Jeżeli Klient umieszcza w Portalu dane osobowe innych osób (np. w wiadomościach lub załącznikach), Usługodawca przetwarza je jako podmiot przetwarzający na podstawie umowy powierzenia stanowiącej część Umowy.

§ 13. Reklamacje

Reklamacje dotyczące działania Portalu można składać na adres . Reklamacja powinna zawierać opis problemu, czas jego wystąpienia i dane kontaktowe. Usługodawca odpowiada na reklamację w terminie 14 dni od jej otrzymania.

§ 14. Zakończenie korzystania z Portalu

1. Dostęp do Portalu przysługuje przez czas trwania Umowy. Po jej zakończeniu Klient może przez 30 dni pobrać z Portalu swoje Dane, Raporty i dziennik zdarzeń.
2. Po upływie tego okresu Usługodawca usuwa Dane Klienta i klucz szyfrujący firmy, z zastrzeżeniem danych, które musi przechowywać na podstawie przepisów prawa (np. dokumenty rozliczeniowe) lub które są niezbędne do ustalenia, dochodzenia lub obrony roszczeń, oraz z zastrzeżeniem kopii Raportów i dziennika, jeżeli Klient zażąda ich dłuższego przechowywania jako dowodu wypełnienia obowiązków.
3. Usługodawca może zablokować dostęp Użytkownika lub Klienta, który narusza Regulamin, po uprzednim wezwaniu do zaprzestania naruszeń, a w razie zagrożenia bezpieczeństwa Portalu lub danych innych klientów niezwłocznie.

§ 15. Zmiany Regulaminu

Usługodawca może zmienić Regulamin z ważnych przyczyn, w szczególności zmiany przepisów, zmiany funkcji Portalu lub wymagań bezpieczeństwa. O zmianie Klient jest informowany w Portalu i e-mailem co najmniej 14 dni przed jej wejściem w życie. Przy pierwszym logowaniu po tym terminie Użytkownik akceptuje nową wersję. Klient, który nie akceptuje zmian, może wypowiedzieć Umowę na zasadach w niej określonych.

§ 16. Postanowienia końcowe

1. Regulamin podlega prawu polskiemu.
2. Spory wynikające z korzystania z Portalu rozstrzyga sąd właściwy dla siedziby Usługodawcy, chyba że Umowa stanowi inaczej.
3. Jeżeli którekolwiek postanowienie Regulaminu okaże się nieważne, pozostałe postanowienia pozostają w mocy.
4. Regulamin wchodzi w życie z dniem 06.11.2026.