Contrat de licence d'utilisateur final NuajLens

Traduction de courtoisie. Seule la version anglaise fait foi — voir la section « Langue ».

Le présent contrat est la licence de NuajLens. Il est l'une des deux ententes que vous acceptez : celle-ci, qui couvre tout ce qui est propre à NuajLens, et les Conditions générales Nuaj, qui portent tout ce qui est identique pour chaque produit Nuaj — les conditions commerciales, la limite de responsabilité, les obligations rattachées à la prestation de services à des tiers et les dispositions juridiques générales.

Les termes définis dans les Conditions générales ont ici le même sens.

En demandant l'accès à NuajLens, en le téléchargeant, en l'installant ou en l'utilisant, vous acceptez le présent contrat et les Conditions générales.

NuajLens est gratuit, et NuajLens est un analyseur. Ces deux faits façonnent le présent contrat plus que tout le reste. Gratuit signifie que Nuaj ne vous doit ni soutien, ni mises à jour, ni continuité — section 6. Analyseur signifie que vous dirigez un outil de test vers des infrastructures en production, ce qui n'est licite qu'avec une autorisation que vous devez détenir et que Nuaj ne peut vérifier — section 4. Lisez ces deux sections avant le reste.

1. Parties et Produit

NuajLens est concédé sous licence par :

Nuaj Company Inc.
8250 Lawson Rd., Suite 201
Milton (Ontario) L9T 5C6
Canada

Demandes générales et juridiques : legal@nuaj.com
Signalements de sécurité : security@nuaj.com

Il s'agit de l'établissement de Nuaj et de son adresse pour les avis, comme l'énoncent les Conditions générales.

« NuajLens », le Produit visé par le présent contrat, désigne le Logiciel — l'analyseur NuajLens, sa console, les modèles d'analyse que Nuaj fournit avec lui et tout logiciel connexe fourni par Nuaj sous forme de code objet, ainsi que toute mise à jour que Nuaj choisit de rendre disponible. Il n'existe sous le présent contrat ni Service hébergé, ni Micrologiciel, ni Appareil, et les dispositions des Conditions générales visant le matériel ne s'appliquent pas à NuajLens.

NuajLens fonctionne entièrement sur vos propres systèmes. Il n'a pas de clé de licence et n'établit aucun contact avec Nuaj à l'exécution : il ne valide pas de licence, ne vérifie pas de version, n'émet pas de signal de présence et ne déclare ni ce que vous analysez ni ce qu'il trouve. Nuaj ne peut savoir si une copie donnée est installée ou en cours d'exécution.

Deux conséquences en découlent, et elles vous incombent toutes deux :

Nuaj ne peut joindre votre installation. Il n'existe aucun canal par lequel Nuaj pourrait livrer un correctif, désactiver une version défectueuse ou vous avertir d'une vulnérabilité de NuajLens lui-même. La seule voie dont Nuaj dispose vers vous est l'adresse de contact que vous avez fournie en demandant l'accès au portail de téléchargement. Il vous appartient de la tenir à jour et de vérifier la parution de nouvelles versions.
Nuaj ne conserve aucun registre de votre utilisation. Nuaj ne peut vous dire ce que vous avez analysé, ne peut reconstituer une constatation et ne peut récupérer vos données. La Politique de confidentialité l'énonce comme un engagement plutôt que comme une absence, et prend l'engagement qu'une version de NuajLens qui communiquerait avec Nuaj y serait divulguée avant sa publication.

2. Concession de licence

NuajLens est fourni à titre gratuit. Sous réserve du respect par vous du présent contrat et des Conditions générales, Nuaj vous concède une licence non exclusive, non transférable, non cessible et révocable, aussi longtemps que vous vous y conformez, pour installer et exécuter le Logiciel sur des systèmes que vous détenez ou contrôlez, ou sur des systèmes appartenant à une partie à laquelle vous fournissez un service, et pour l'utiliser afin d'analyser des actifs que vous êtes autorisé à analyser au sens de la section 4.

La licence couvre l'utilisation pour autrui. Elle permet tant votre usage interne que l'utilisation de NuajLens pour fournir un service à des Clients finaux, que vous le facturiez ou non — ce qui, pour un analyseur, est le cas ordinaire et non l'exception. Les obligations qui en découlent — répercussion des obligations, indemnisation, absence d'engagement de niveau de service en aval, et les autres — sont énoncées à Prestation de services à des tiers dans les Conditions générales et s'appliquent intégralement. La licence elle-même demeure la vôtre et ne peut être transférée, cédée ni revendue en tant que licence.

Aucun décompte, aucune limite. NuajLens ne compte rien et n'impose aucun quota. Le présent contrat ne prévoit ni limite de points d'extrémité, ni limite d'actifs, ni limite d'analyses.

Gratuit ne veut pas dire sans licence. Le téléchargement du Logiciel, ou la réception d'une copie de quiconque, ne vous confère aucun droit sur celui-ci. Vos droits sont uniquement ceux concédés ci-dessus, et ils prennent fin comme le décrit la section 8.

Aucune redistribution. Vous ne pouvez redistribuer le Logiciel. Lorsque vous fournissez un service au moyen de celui-ci, c'est vous qui l'exécutez — vous ne le fournissez pas à votre Client final. Un Client final qui souhaite sa propre copie doit l'obtenir de Nuaj et accepter lui-même le présent contrat.

3. Restrictions

Sauf dans la mesure où une restriction est interdite par le droit applicable, ou expressément permise par la licence d'un composant tiers ou libre, vous ne pouvez :

procéder à l'ingénierie inverse, décompiler, désassembler, déchiffrer ni autrement tenter de dériver le code source, les algorithmes, la structure ou la conception interne du Logiciel, ni aider quiconque à le faire;
copier le Logiciel autrement que dans la mesure nécessaire à son installation et à sa sauvegarde;
le modifier, l'adapter ni en créer des œuvres dérivées — sauf que vous pouvez rédiger, modifier et exécuter vos propres modèles d'analyse dans les formats pris en charge par NuajLens, et un modèle que vous rédigez vous appartient;
distribuer, publier, louer, prêter, concéder en sous-licence, revendre ni transférer le Logiciel, ni le mettre à la disposition d'un tiers autrement que dans le cadre d'un service que vous fournissez au titre de Prestation de services à des tiers dans les Conditions générales;
supprimer, masquer ni altérer une mention de propriété, de droit d'auteur, de licence ou de produit, l'identification du Produit par Nuaj, ou l'avis d'attribution des tiers décrit à la section 6;
contourner, désactiver ni entraver une mesure d'intégrité, de mise à jour ou de sécurité du Logiciel;
utiliser NuajLens pour développer, entraîner ou améliorer un produit ou service concurrent, ni y donner accès à un concurrent à cette fin.

La manière dont NuajLens peut être utilisé, contre quelles infrastructures et à quelles fins est régie par la Politique d'utilisation acceptable, qui s'applique à ce Produit comme à tout produit Nuaj.

Un manquement à la présente section ou à la Politique d'utilisation acceptable constitue un manquement essentiel. Nuaj peut y donner suite au titre de Suspension et résiliation dans les Conditions générales, et ce manquement met fin à la licence concédée ci-dessus.

Ces restrictions survivent à la licence. Les interdictions d'ingénierie inverse, de copie et de transfert du Logiciel continuent de s'appliquer à toute copie demeurant en votre possession après la fin de la licence, et la fin de la licence ne vous en libère pas.

4. Vos déclarations — autorisation d'analyser

NuajLens envoie du trafic vers des systèmes afin d'y déceler des faiblesses. Le faire à l'égard d'un système que vous n'êtes pas autorisé à tester est illicite dans la plupart des territoires, quelle que soit votre intention, et aucune autorisation ne peut être fournie par un outil. NuajLens n'est pas une plateforme de tests d'intrusion et ne remplace pas une autorisation.

Vous déclarez et garantissez, pour chaque actif que vous inscrivez, analysez ou visez autrement avec NuajLens, au moment où vous le faites :

que vous détenez ou exploitez cet actif, ou que vous détenez une autorisation écrite documentée de la partie qui le détient, couvrant l'analyse que vous effectuez et la période durant laquelle vous l'effectuez;
que cette autorisation s'étend à l'hébergeur, à la plateforme infonuagique ou à l'exploitant de réseau concerné, lorsque leurs conditions exigent leur permission distincte pour effectuer des tests;
que vous avez l'autorité légale d'effectuer ces tests au regard du droit applicable en matière d'usage abusif d'ordinateur, d'accès non autorisé, de télécommunications et de vie privée, dans chaque territoire que le trafic touche;
que vous avez fait toute divulgation et obtenu tout consentement qu'exigent votre entente avec le propriétaire de l'actif ou la loi; et
que l'analyse n'est pas dirigée vers une personne, une entité ou un système situé dans un territoire visé par des sanctions globales, ou inscrit à un programme de sanctions ou de contrôle des exportations applicable, comme le décrit Conformité aux contrôles à l'exportation et aux sanctions dans les Conditions générales.

Nuaj n'a aucune relation avec le propriétaire d'un actif que vous analysez, ne peut obtenir ces autorisations pour vous, ne les vérifie pas et — n'ayant aucun contact avec votre installation à l'exécution — n'a aucun moyen de savoir ce que vous avez analysé ni quand.

Indemnisation. Vous défendrez et indemniserez Nuaj, ses sociétés affiliées et leur personnel, et les tiendrez indemnes, à l'égard de toute réclamation, demande, procédure, perte, dommage, amende, pénalité ou dépense, y compris les honoraires juridiques raisonnables, découlant d'une analyse ou d'une autre utilisation de NuajLens que vous n'étiez pas autorisé à effectuer, ou qui a contrevenu à la présente section, à la Politique d'utilisation acceptable ou au droit applicable. Cette indemnisation s'ajoute à toute indemnisation prévue aux Conditions générales, n'est pas assujettie au plafond prévu à Limitation de responsabilité dans les Conditions générales, et survit à la résiliation du présent contrat.

Vous êtes également responsable de la sécurité de l'installation NuajLens et de sa console, du contrôle des personnes qui y ont accès, et de la confidentialité des constatations qu'elles produisent — lesquelles décrivent, en détail opérationnel, comment attaquer les systèmes qu'elles visent.

5. Nature et limites de l'analyse

Une analyse peut briser ce qu'elle analyse, et un rapport vierge n'est pas une preuve de sécurité. Ces deux propositions sont des propriétés de l'analyse de vulnérabilités en tant que discipline, et non des lacunes propres à ce produit. Un risque résiduel subsiste toujours, et il demeure le vôtre.

En particulier, et sans limiter Absence de garantie dans les Conditions générales, vous reconnaissez que :

L'analyse est intrusive par nature. Une analyse peut faire planter un service, épuiser les limites de processeur, de mémoire, de connexions ou de descripteurs de fichiers d'un appareil, remplir des journaux et des disques, verrouiller des comptes par des tentatives d'authentification répétées, déclencher un système de détection d'intrusion ou de protection contre les abus et vous faire bloquer, déclencher des alertes et mobiliser des personnes, et générer des requêtes, du trafic ou une mise à l'échelle facturables sur une plateforme facturée à l'usage. Le choix de la fenêtre d'analyse, du débit, des modèles et de la procédure de gestion du changement vous appartient et n'est pas décidé par le Produit à votre place.
Des faiblesses passeront inaperçues. La détection repose sur des modèles, des empreintes de version, des signatures de réponse et des heuristiques, tous incomplets et toujours en retard sur les divulgations. Un actif peut être gravement vulnérable et présenter un rapport vierge.
Des constatations peuvent être erronées. L'identification d'empreinte se trompe, les correctifs rétroportés rendent une chaîne de version trompeuse, et un modèle peut correspondre à une condition qui n'est pas exploitable dans votre configuration. Vérifiez une constatation avant d'y donner suite : une correction appliquée à une constatation non vérifiée peut elle-même provoquer une panne.
Un rapport vierge n'est ni une certification, ni une attestation, ni un artefact de conformité. Il consigne ce que cette version de NuajLens a cherché, sur ces actifs, à cette date, et n'a pas trouvé.
Un actif jamais analysé ne produit aucune constatation. Les lacunes de couverture sont silencieuses, et un résultat vide n'est pas un risque absent. Le Produit affiche le nombre d'actifs jamais analysés précisément pour rendre cela visible; passer outre est à votre risque.
La gravité est une opinion. Les étiquettes de gravité et les scores publiés sont hors contexte. Ce que vaut une faiblesse dépend de l'exposition, des mesures compensatoires et de la valeur de ce qu'elle protège — que vous connaissez et que le Produit ignore.
NuajLens comportera lui-même des défauts, y compris des défauts de sécurité. Il analyse syntaxiquement des sorties hostiles provenant des systèmes qu'il examine, soit exactement la position qu'un attaquant choisirait. Les vulnérabilités présumées peuvent être signalées à security@nuaj.com au titre de la Politique de divulgation des vulnérabilités publiée à nuaj.com/security. Nuaj n'ayant aucun canal vers votre installation, un correctif ne vous parvient que si vous allez le chercher.

NuajLens est un instrument, non un programme de sécurité. Il ne remplace ni l'application de correctifs, ni la gestion des actifs, ni le durcissement des configurations, ni les tests d'intrusion menés par des personnes qualifiées, ni la surveillance, ni la conservation des journaux, ni un plan de réponse aux incidents, ni un avis professionnel indépendant, et il ne vous rend conforme par lui-même à aucune loi, réglementation ou norme.

Aucune déclaration figurant dans du matériel de commercialisation, un banc d'essai, une démonstration, une feuille de route ou une documentation ne constitue une garantie, une déclaration ou un engagement de résultat en matière de sécurité.

Lorsque vous utilisez NuajLens pour un Client final, la présente section décrit ce que vous lui livrez, et vous ne devez pas prétendre autre chose.

6. Logiciel gratuit — soutien, mises à jour et continuité

NuajLens est fourni à titre gratuit, et gratuit veut dire gratuit. Pour dissiper tout doute :

Aucun engagement de soutien. Soutien dans les Conditions générales décrit le soutien fourni dans le cadre d'un forfait payant et ne s'applique pas à NuajLens. Nuaj peut répondre à une question sur NuajLens par courtoisie; ce faisant, elle ne crée ni obligation, ni niveau de service, ni usage entre les parties.
Aucune obligation de mise à jour. Nuaj peut publier des mises à jour, y compris des mises à jour de sécurité et de nouveaux modèles d'analyse, et peut cesser de le faire à tout moment. Aucune période de soutien ne s'applique à NuajLens, et l'engagement de période de soutien donné pour un autre produit Nuaj ne s'y étend pas.
Aucun engagement de disponibilité ni de continuité. Nuaj peut modifier NuajLens, en restreindre la distribution, le retirer, ou commencer à le facturer, lui ou une version future, à tout moment et sans préavis. Une copie que vous détenez déjà demeure concédée sous le présent contrat aussi longtemps que vous vous y conformez; l'obtention d'une autre copie, d'une mise à jour ou du maintien de l'accès au portail de téléchargement, non.
Aucune garantie d'aucune sorte. Absence de garantie dans les Conditions générales s'applique intégralement à NuajLens : il est fourni « TEL QUEL » et « SELON LA DISPONIBILITÉ ». Aucune garantie matérielle ne s'applique, puisque aucun matériel n'est fourni au titre du présent contrat.

L'obtention des mises à jour vous incombe. NuajLens ne recherche pas de mises à jour et Nuaj ne peut vous en transmettre. Nuaj publie les versions et les avis de sécurité par le portail de téléchargement et par courriel à l'adresse de contact associée à votre autorisation d'accès.

Composants tiers et libres. NuajLens comprend des logiciels tiers et un corpus de modèles d'analyse assujettis à leurs propres licences. Le Logiciel intègre un avis d'attribution énumérant ces composants et les licences applicables, accessible depuis le Produit lui-même. Dans la mesure où l'une de ces licences vous confère des droits plus étendus que le présent contrat, cette licence prévaut pour ce composant, et rien ici ne limite un droit que vous en tirez.

7. Rapports, constatations et tiers

Un rapport NuajLens décrit des faiblesses exploitables dans des systèmes identifiés. Entre de mauvaises mains, c'est un plan d'attaque, et le présent contrat le traite comme tel.

Ce que produit NuajLens est à vous, et à vous seul. Les constatations, inventaires d'actifs et rapports sont générés sur vos systèmes et y demeurent. Nuaj ne les reçoit jamais, ne peut vous aider à les récupérer et n'en est pas sous-traitant — l'Entente de traitement des données n'a donc rien à quoi se rattacher pour ce Produit.
Diffuser un rapport est votre décision et votre responsabilité. Lorsque vous transmettez un rapport à un Client final ou à quiconque, vous êtes responsable de la licéité de cette divulgation, de ce que vous affirmez sur sa foi, et de vous assurer que le destinataire a le droit de connaître les faiblesses des systèmes qu'il décrit.
Constatations visant un tiers. Lorsqu'une analyse que vous étiez autorisé à mener révèle une faiblesse dans l'infrastructure d'autrui — un hébergement partagé, un hébergeur, un service en amont, le fournisseur d'un client —, il vous incombe de gérer cette divulgation de façon licite et responsable. La Politique de divulgation des vulnérabilités de Nuaj régit les signalements visant les produits de Nuaj et n'autorise rien de ce que vous faites d'une constatation visant un tiers.
Renseignements personnels dans les constatations. Une analyse peut incidemment révéler des renseignements personnels — dans un corps de réponse, une page d'erreur, un répertoire exposé ou un espace de stockage mal configuré. Le cas échéant, ces renseignements se trouvent sur vos systèmes et vous en êtes le responsable du traitement, avec les obligations qui en découlent.

8. Incorporation, acceptation et préséance

Le présent contrat incorpore les documents suivants et doit être lu avec eux :

les Conditions générales Nuaj;
la Politique d'utilisation acceptable; et
la Politique de confidentialité.

Chacun est publié, est lié depuis l'écran où vous acceptez le présent contrat, et peut être lu avant votre acceptation. Avec le présent contrat, ils constituent les Documents. L'Entente de traitement des données est incorporée aux Conditions générales et s'applique partout où Nuaj traite des données personnelles pour votre compte; pour NuajLens, Nuaj n'en traite aucune.

En cas de conflit, l'ordre de préséance prévu à Le contrat et l'ordre de préséance des Conditions générales s'applique : le droit impératif d'abord, puis une entente signée, puis la Politique de confidentialité et l'Entente de traitement des données pour les questions de données personnelles, puis le présent contrat, puis la Politique d'utilisation acceptable, puis les Conditions générales, puis toute autre politique référencée.

Acceptation. Il vous est demandé d'accepter le présent contrat à deux moments : lorsque Nuaj accorde à votre organisation l'accès au portail de téléchargement download.nuaj.com, et à la première utilisation de la console NuajLens. L'acceptation est consignée comme le décrit Acceptation, pouvoir et registres dans les Conditions générales — le compte acceptant, la date et l'heure, l'adresse IP source, la version, la version linguistique affichée et une empreinte cryptographique du texte exact accepté. NuajLens n'ayant aucun contact avec Nuaj à l'exécution, l'acceptation en console est consignée dans votre propre installation; le registre que détient Nuaj est celui pris lors de l'octroi de l'accès au téléchargement. En cas de modification importante de version, la version courante s'applique à toute copie obtenue après cette modification, et à votre utilisation continue d'une copie déjà détenue à compter du moment où la console vous demande de l'accepter.

Durée et résiliation. Le présent contrat s'applique dès votre première acceptation, votre premier téléchargement ou votre première utilisation de NuajLens et se poursuit jusqu'à sa résiliation. Vous pouvez le résilier à tout moment en cessant toute utilisation et en supprimant le Logiciel de vos systèmes. Nuaj peut résilier la licence en cas de manquement essentiel au présent contrat ou à la Politique d'utilisation acceptable, et peut retirer votre accès au portail de téléchargement à tout moment. Nuaj n'a aucun moyen de désactiver une copie que vous détenez : la résiliation vous oblige donc à cesser d'utiliser le Logiciel et à le supprimer; elle n'agit pas sur le Logiciel lui-même, et continuer à l'utiliser après la résiliation constitue une utilisation sans licence.

Survie. Parties et Produit, Restrictions, Vos déclarations — autorisation d'analyser y compris l'indemnisation, Nature et limites de l'analyse, Rapports, constatations et tiers et la présente section survivent à la résiliation du présent contrat, de même que les dispositions survivantes des Conditions générales.

Langue. Le présent contrat a été rédigé en langue anglaise, et la version anglaise est la seule version faisant foi et juridiquement contraignante. Toute traduction n'est fournie qu'à titre de commodité et n'a aucun effet juridique. Une version française complète est publiée et mise à votre disposition avant votre acceptation, au moyen du sélecteur de langue de la présente page. Les parties ont expressément demandé et convenu que la présente convention, ainsi que tous les documents et avis qui s'y rapportent, soient rédigés en langue anglaise, et que la version anglaise prévale. Nuaj consigne la version linguistique qui vous a été affichée au moment de votre acceptation.

Si vous n'acceptez pas ces conditions, ne téléchargez pas, n'installez pas et n'utilisez pas NuajLens.