Estas condições aplicam-se quando uma empresa cria e utiliza o weakestlink — um serviço de formação em segurança e simulação interna autorizada de phishing, operado pela WEAKESTLINK ApS (N.º de registo (CVR, Dinamarca) 46614011), info@weakestlink.io. O serviço é disponibilizado exclusivamente a empresas; a legislação de proteção do consumidor, incluindo o direito de livre resolução, não é aplicável. Ao criar uma conta, aceita estas condições em nome da empresa.

1. Conta e registo

A conta é criada em regime de autosserviço, com um e-mail profissional. Garante que está autorizado a agir em nome da empresa e que as informações fornecidas são corretas. É responsável por manter os seus dados de acesso confidenciais e pela atividade realizada na conta.

2. Período de avaliação

As novas organizações beneficiam de um período de teste gratuito de um mês a partir da criação da conta, com utilizadores ilimitados e acesso total. O teste não exige cartão de pagamento e não transita automaticamente para um plano pago — só é cobrado algo depois de terem registado um cartão.

3. Preços e pagamento

Após o período de teste, é cobrado o preço em vigor por utilizador ativo por mês, conforme indicado na lista de preços em weakestlink.io — atualmente 1 € na Dinamarca. Os preços são sem IVA; em vendas a empresas de outros países da UE, a faturação segue as regras de autoliquidação (reverse charge). Os preços são apresentados a título informativo na moeda local, mas são cobrados em coroas dinamarquesas (DKK) — o valor no extrato da vossa conta pode divergir devido à taxa de câmbio aplicada pela entidade emissora do cartão e a eventuais taxas.

O pagamento é efetuado mensalmente, antecipadamente, e é debitado automaticamente no cartão de pagamento registado. O número de utilizadores ativos é apurado no dia 1 de cada mês; um utilizador é ativo quando está criado na conta e não se encontra desativado (offboarded) no momento do apuramento. Os utilizadores criados durante um mês só são contabilizados a partir do apuramento seguinte, e não há reembolso por utilizadores desativados num mês já pago. Caso o pagamento não possa ser debitado, enviamos um lembrete por e-mail e a conta é colocada em modo limitado (secção 4) até o pagamento ser concluído.

O preço pode variar consoante o mercado. Podemos alterar o preço — inclusive para um único mercado de cada vez — com um aviso prévio mínimo de 30 dias por e-mail; o novo preço aplica-se, no mínimo, a partir do primeiro período de pagamento após o termo do aviso e nunca a um período já pago. Se não desejarem continuar ao novo preço, podem cancelar antes da entrada em vigor e pagam o preço anterior até à cessação. Não existe qualquer período de fidelização.

4. Fim do período de teste e modo limitado

Se o período de teste terminar sem que tenha sido registado um cartão de pagamento — ou se um pagamento não puder ser concluído — a conta é colocada em modo limitado: não é possível enviar novas simulações nem criar novos utilizadores, mas os vossos dados e relatórios são preservados e continuam acessíveis. A conta é desbloqueada assim que o pagamento for registado. Se a conta permanecer em modo limitado durante mais de 90 dias consecutivos, consideramos a relação com o cliente terminada; avisaremos por e-mail com pelo menos 30 dias de antecedência e, depois disso, eliminaremos os dados pessoais nos termos do acordo de subcontratação de dados.

5. Utilização permitida

As simulações de phishing só podem ser enviadas exclusivamente aos próprios colaboradores da organização (ou a pessoas com uma conta junto de si), com base numa autorização escrita da direção da organização e numa ponderação de interesses concluída e aprovada (interesse legítimo, RGPD art. 6.º, n.º 1, alínea f) — e apenas depois de um domínio de remetente ter sido verificado. Não é permitido utilizar o serviço para enviar simulações a terceiros ou para realizar ataques reais. Em caso de utilização abusiva, podemos suspender a conta de imediato e rescindir sem aviso prévio.

6. A vossa responsabilidade pelas simulações

As simulações só são enviadas após a vossa autorização expressa e com base na ponderação de interesses que aprovarem no produto. Garantem que a autorização foi dada por uma pessoa com responsabilidade de direção e que os representantes dos trabalhadores, comissões de trabalhadores, etc., são informados e envolvidos sempre que a legislação ou os acordos aplicáveis no vosso país o exijam. São responsáveis pelas consequências internas de simulações aprovadas — por exemplo, reações de colaboradores, alertas nos vossos sistemas de segurança informática ou escalonamentos indevidos — a menos que o dano resulte de nos termos afastado do conteúdo aprovado ou do grupo de destinatários aprovado.

A entrega das simulações no vosso ambiente de correio eletrónico pressupõe que configurem as exceções recomendadas (allowlisting) no vosso filtro de correio. Não somos responsáveis por simulações que sejam bloqueadas ou alteradas pelos vossos próprios sistemas, e recomendamos que a vossa equipa de TI seja informada antes do envio da primeira simulação.

7. Papéis e dados pessoais

Quando utilizam o serviço para formação de colaboradores, a vossa empresa é a responsável pelo tratamento dos dados dos colaboradores, e a weakestlink é a subcontratante. O tratamento é efetuado nos termos do contrato de subcontratação, aceite no momento da criação da conta. Consulte também a política de privacidade para informações sobre os dados dos quais a weakestlink é ela própria responsável pelo tratamento.

8. Disponibilidade e suporte

Procuramos assegurar um elevado tempo de atividade, mas o serviço é fornecido tal como está e conforme disponível — sem tempo de atividade garantido (SLA) e sem tempos de resposta de suporte garantidos. O suporte é prestado por e-mail em info@weakestlink.io, e respondemos dentro de um prazo razoável em dias úteis. Podemos realizar manutenção e atualizações programadas.

9. Responsabilidade

O serviço é uma ferramenta de formação e de medição. Não constitui aconselhamento de segurança e não é qualquer garantia contra ataques reais nem de alterações de comportamento específicas por parte dos colaboradores.

Nenhuma das partes é responsável por perdas indiretas, incluindo perdas de exploração, perda de dados ou danos consequenciais. A nossa responsabilidade total ao abrigo do contrato está limitada ao montante que tiver pago pelo serviço nos últimos 12 meses. As limitações não se aplicam em caso de dolo ou negligência grosseira, nem quando a lei aplicável não permita a limitação.

10. Conteúdo do cliente e os nossos direitos

O cliente mantém os direitos sobre os dados que insere (por exemplo, listas de colaboradores). O cliente concede-nos apenas o acesso necessário para prestar o serviço. O nosso conteúdo de formação e a nossa biblioteca de simulações pertencem à weakestlink e não podem ser revendidos nem publicados fora da sua organização. Podemos elaborar e utilizar estatísticas de forma anonimizada e agregada, que não permitam identificar a sua organização ou pessoas individuais, para melhorar o serviço e para obter informação sobre ameaças em todo o serviço.

Os modelos de simulação podem imitar remetentes conhecidos e reproduzir nomes e logótipos de terceiros. Estes pertencem aos respetivos titulares, são utilizados apenas para formação interna autorizada, dirigida a um grupo fechado de destinatários, e não implicam qualquer associação com os titulares nem aprovação por parte destes. Caso um titular de direitos se oponha a um modelo, removê-lo-emos.

11. Confidencialidade

As partes tratam de forma confidencial as informações não públicas uma da outra — incluindo relatórios sobre os resultados de formação e simulação da sua organização — e utilizam-nas apenas para os fins do contrato. Esta obrigação mantém-se em vigor mesmo após a cessação do contrato. Não utilizamos o nome ou o logótipo do cliente em ações de marketing sem o seu consentimento.

12. Rescisão e cessação

Podem rescindir a qualquer momento na área de administração ou por escrito para nós; a rescisão produz efeitos a partir do final do período pago. Podemos rescindir com um pré-aviso de 30 dias com efeitos no final de um mês; qualquer pré-pagamento relativo ao período posterior à cessação será reembolsado. Em caso de incumprimento essencial — incluindo utilização abusiva (secção 5) ou falta de pagamento apesar de aviso — podemos suspender a conta de imediato e rescindir sem pré-aviso. Em caso de cessação, eliminamos ou devolvemos os dados pessoais conforme a vossa escolha, nos termos do acordo de subcontratação de dados (o mais tardar 90 dias após a cessação).

13. Força maior

Nenhuma das partes é responsável por circunstâncias fora do seu controlo razoável, incluindo falhas em subfornecedores, cortes de energia, ciberataques, guerra ou determinações de autoridades públicas, enquanto essas circunstâncias persistirem.

14. Cessão

Podemos ceder o contrato no âmbito de uma transmissão total ou parcial da empresa ou de uma reestruturação. Não podem ceder o contrato sem o nosso consentimento por escrito, que não será recusado sem motivo razoável.

15. Alterações às condições

Podemos alterar estas condições. Alterações essenciais serão notificadas por e-mail com um pré-aviso mínimo de 30 dias. Se não desejarem continuar nos termos alterados, podem rescindir antes da sua entrada em vigor; a utilização continuada após essa data equivale a aceitação.

16. Lei aplicável e foro competente

Estas condições regem-se pelo direito dinamarquês. Os litígios serão decididos exclusivamente pelos tribunais dinamarqueses, tendo o tribunal de primeira instância da comarca onde a WEAKESTLINK ApS tem sede como primeira instância.

Dúvidas? Escreva para info@weakestlink.io.