Política de uso aceptable

CATAAM es una plataforma de gobernanza, riesgo y cumplimiento (GRC) que combina capacidades de gestión de la superficie de ataque interna (iASM) y de simulación de brechas y ataques (BAS). Está diseñada para ayudar a los equipos de seguridad y cumplimiento a identificar, documentar y remediar riesgos, no para facilitar daños a sistemas, personas u organizaciones.

Esta AUP establece lo que puede y no puede hacer al utilizar el Servicio, sus integraciones conectadas y cualquier dato procesado a través de la plataforma. Al utilizar CATAAM, usted acepta esta AUP. Las infracciones pueden dar lugar a la suspensión o cancelación de su cuenta, según lo establecido en la Sección 10.

Esta AUP se incorpora a y debe leerse junto con los Términos del servicio y la Política de privacidad.

Puede utilizar CATAAM para los siguientes fines, sujeto a los términos de su suscripción:

• ✓Gestionar programas de cumplimiento para los marcos que está autorizado a utilizar (SOC 2, ISO 27001, HIPAA, PCI-DSS, NIST CSF, etc.)
• ✓Recopilar, cargar y revisar evidencias de auditoría para su propia organización o (en el caso de los partners) las organizaciones de sus clientes
• ✓Ejecutar análisis iASM contra entornos en la nube y sistemas que sean de su propiedad, que opere o para cuya prueba cuente con autorización expresa por escrito
• ✓Ejecutar simulaciones de ataque BAS contra sistemas que sean de su propiedad, que opere o para cuya prueba cuente con autorización expresa por escrito
• ✓Conectar integraciones (AWS, GitHub, Jira) a sistemas que controle o a los que esté autorizado a acceder
• ✓Generar informes ejecutivos, puntuaciones de riesgo y paquetes de evidencias para uso interno o para auditores externos
• ✓Que los partners gestionen varias organizaciones cliente a través del Partner Dashboard, siempre que cuenten con acuerdos válidos con cada cliente
• ✓Utilizar los datos exportados de CATAAM en sus propios flujos de trabajo de cumplimiento, documentación del SGSI o envíos de auditoría

No debe utilizar CATAAM para:

• ✕Infringir cualquier ley o reglamento local, provincial, nacional o internacional aplicable
• ✕Vulnerar la propiedad intelectual, la privacidad u otros derechos legales de cualquier tercero
• ✕Cargar, almacenar o transmitir contenido difamatorio, obsceno, acosador o de otro modo ilícito
• ✕Suplantar a cualquier persona o entidad, o tergiversar su afiliación con cualquier organización
• ✕Participar en actividades fraudulentas, incluida la aportación de información falsa durante el registro o la facturación
• ✕Revender, sublicenciar u ofrecer el Servicio como producto de marca blanca a terceros sin el consentimiento previo por escrito de CATAAM
• ✕Utilizar el Servicio para desarrollar un producto competidor, evaluar el Servicio con fines de inteligencia competitiva o extraer contenido o datos del Servicio
• ✕Compartir credenciales de la cuenta con usuarios no autorizados o permitir el acceso al Servicio más allá del número de licencias contratadas

Las capacidades iASM y BAS de CATAAM son potentes herramientas de seguridad. No debe utilizarlas, ni ninguna otra parte del Servicio, para:

• ✕Analizar, sondear o atacar cualquier sistema, red o activo que no sea de su propiedad o para cuya prueba no cuente con autorización expresa por escrito
• ✕Lanzar ataques de denegación de servicio (DoS o DDoS) contra cualquier objetivo, incluida la propia infraestructura de CATAAM
• ✕Intentar obtener acceso no autorizado a los sistemas de CATAAM, a los datos de otros clientes o a sistemas de terceros
• ✕Introducir malware, ransomware, troyanos, exploits o cualquier código malicioso en el Servicio o en las integraciones conectadas
• ✕Explotar vulnerabilidades descubiertas a través del Servicio para atacar sistemas, en lugar de remediarlas mediante una divulgación adecuada
• ✕Utilizar los hallazgos o datos de CATAAM para respaldar operaciones cibernéticas ofensivas contra terceros
• ✕Eludir o desactivar cualquier control de seguridad, límite de velocidad o restricción de acceso implementado en el Servicio
• ✕Realizar análisis automatizados con un volumen o frecuencia que degrade el Servicio para otros usuarios

Requisito de autorización: Todos los análisis iASM y BAS deben dirigirse a sistemas de su propiedad o a sistemas para los que disponga de una autorización vigente y por escrito de pruebas de penetración. Usted es el único responsable de obtener y mantener dicha autorización. CATAAM no verifica la titularidad de los objetivos y no se responsabiliza de los análisis no autorizados realizados a través de la plataforma.

Al utilizar CATAAM para tratar datos personales, usted debe:

• ✓Disponer de una base legal válida para cada categoría de datos personales que cargue o genere dentro del Servicio
• ✓Cumplir con todas las leyes de protección de datos aplicables (GDPR, UK GDPR, PIPEDA, CCPA, etc.) en su recopilación, uso y divulgación de datos personales
• ✓Suscribir el Anexo de protección de datos (DPA) cuando la ley aplicable lo exija, antes de cargar datos personales sujetos al GDPR o a una normativa equivalente
• ✓Garantizar que las evidencias y los documentos de auditoría que contengan datos personales se limiten a lo necesario para la finalidad de cumplimiento declarada (minimización de datos)

No debe:

• ✕Cargar categorías especiales de datos personales (datos de salud, biométricos, origen racial o étnico, etc.) salvo que sea estrictamente necesario para un requisito de evidencia de cumplimiento y cuente con las salvaguardas adecuadas
• ✕Utilizar el Servicio para elaborar expedientes sobre personas con fines ajenos a su programa de cumplimiento declarado
• ✕Compartir el acceso a una cuenta de CATAAM con terceros de una manera que exponga datos personales más allá de lo que dichos terceros están autorizados a recibir

No debe utilizar CATAAM para:

• ✕Cargar, almacenar o distribuir contenido que infrinja derechos de autor, patentes, marcas, secretos comerciales u otros derechos de propiedad intelectual de cualquier parte
• ✕Realizar ingeniería inversa, descompilar, desensamblar o derivar el código fuente de cualquier parte de la plataforma CATAAM
• ✕Eliminar, alterar u ocultar cualquier aviso de derechos de autor, marca o propiedad en el Servicio
• ✕Utilizar el nombre, el logotipo o la marca de CATAAM de cualquier manera que implique respaldo sin consentimiento previo por escrito

Los componentes de código abierto de CATAAM se licencian conforme a sus respectivas licencias (consulte el repositorio de GitHub). Nada de lo dispuesto en esta AUP restringe sus derechos en virtud de dichas licencias con respecto a los componentes de código abierto.

CATAAM se integra con plataformas de terceros, entre ellas AWS, GitHub y Jira. Cuando conecte estas integraciones:

• Debe cumplir con los términos de servicio y las políticas de uso aceptable de dichas plataformas.
• Solo debe otorgar a CATAAM los permisos mínimos necesarios para que la integración funcione.
• Es responsable de revocar el acceso de la integración si su autorización para acceder a dichos sistemas cambia.
• No debe utilizar las integraciones de CATAAM para recopilar datos de plataformas de terceros más allá de lo necesario para su programa de cumplimiento.

Las cuentas CISO Reseller y CPA Partner gestionan entornos de cumplimiento en nombre de organizaciones cliente. Los partners deben:

• Obtener un acuerdo expreso por escrito de cada cliente antes de incorporarlo a la plataforma CATAAM.
• Garantizar que los datos de cada cliente se mantengan estrictamente aislados: los partners no deben acceder, compartir ni cruzar datos entre organizaciones cliente sin el consentimiento expreso de todas las partes afectadas.
• Garantizar que el uso del Servicio por parte de sus clientes, facilitado por el partner, cumpla con esta AUP.
• No incorporar clientes con el fin de acceder a la plataforma a un coste por licencia reducido cuando dichos clientes no sean clientes finales genuinos de los servicios del partner.

CATAAM se reserva el derecho de supervisar el uso del Servicio para detectar infracciones de esta AUP, incluidos volúmenes de análisis anómalos, patrones inusuales de acceso a datos y patrones compatibles con un uso indebido de las herramientas de seguridad. La supervisión se lleva a cabo de acuerdo con nuestra Política de privacidad y el Anexo de protección de datos.

No inspeccionamos de forma rutinaria el contenido de los Datos del cliente almacenados en el Servicio. La supervisión automatizada opera a nivel de metadatos y comportamiento (p. ej., volumen de llamadas a la API, objetivos de análisis) y no a nivel de contenido.

Si determinamos, según nuestro criterio razonable, que usted ha infringido esta AUP, podremos adoptar cualquiera de las siguientes medidas, con o sin previo aviso según la gravedad:

• Advertencia — un aviso por escrito que identifica la infracción y la medida correctiva requerida
• Restricción de funciones — suspensión temporal de capacidades específicas (p. ej., el análisis iASM) mientras se investiga el asunto
• Suspensión de la cuenta — suspensión temporal de todo acceso a la espera de la investigación o corrección
• Cancelación de la cuenta — cancelación permanente de su suscripción por infracciones graves, reiteradas o no resueltas
• Acciones legales — remisión a las autoridades policiales o inicio de procesos civiles cuando las infracciones impliquen actividad delictiva o un daño significativo a terceros

Procuraremos dar aviso y una oportunidad de subsanación antes de adoptar medidas, salvo cuando la infracción suponga un riesgo inmediato de daño a terceros, a la integridad del Servicio o a sistemas de terceros.

Si tiene conocimiento de una infracción de esta AUP, incluido un posible uso indebido de las herramientas de seguridad de CATAAM o un incidente de seguridad, le rogamos que lo notifique de inmediato a:

Seguridad: security@themarkups.com
Consultas generales sobre la AUP: legal@themarkups.com

Se anima a los investigadores de seguridad que descubran vulnerabilidades en la propia plataforma de CATAAM a divulgarlas de forma responsable a través de la misma dirección de correo electrónico de seguridad. No adoptamos medidas contra la investigación de seguridad realizada de buena fe y dentro del alcance previsto.

Podemos actualizar esta AUP en cualquier momento. Los cambios sustanciales se comunicarán por correo electrónico o mediante aviso en la plataforma al menos 14 días antes de su entrada en vigor. El uso continuado del Servicio después de que los cambios entren en vigor constituye su aceptación. La versión vigente está siempre disponible en cataam.com/legal/aup.

Para preguntas sobre esta política:

TheMarkups Canada Inc.
Mississauga, Ontario, Canadá
Correo electrónico: legal@themarkups.com