Algemene voorwaarden

Artikel 1 , Wat wij leveren en wat wij niet leveren

1.1 Firmia (hierna: "wij") analyseert het door de klant (hierna: "fabrikant") aangeleverde firmware-image of de tijdelijk verleende toegang daartoe, en levert op basis daarvan: een componentenlijst (SBOM), een getrieerde kwetsbaarhedenlijst met per item een onderbouwing, een productclassificatie volgens de indeling van de Cyber Resilience Act (Verordening (EU) 2024/2847), documentatie ter ondersteuning van bijlage VII, en bewaring van dit materiaal in een bewijsarchief (hierna gezamenlijk: "het dossier").

1.2 Het dossier is bewijsmateriaal, geen conformiteitsverklaring. Wij stellen vast wat wij in het aangeleverde image aantreffen en onderbouwen waarom een kwetsbaarheid al dan niet van toepassing is op het concrete product. Wij doen geen uitspraak namens de fabrikant over de conformiteit van het product met de essentiële eisen van bijlage I, en wij ondertekenen geen EU-conformiteitsverklaring. Dat is en blijft een verantwoordelijkheid die uitsluitend bij de fabrikant ligt, ongeacht wat ons dossier concludeert.

1.3 Wij versturen geen kwetsbaarheidsmeldingen namens de fabrikant bij het CSIRT of het NCSC. Wij leveren de inhoud die nodig is om een melding te kunnen doen; het indienen en de juridische verantwoordelijkheid voor de melding blijft bij de fabrikant.

1.4 Wij beoordelen bereikbaarheid en toepasselijkheid van een kwetsbaarheid op basis van de informatie die in het aangeleverde image aanwezig is (aanwezige kernelmodules, gecompileerde componenten, architectuur, versienummers). Wij kunnen niet garanderen dat deze analyse alle relevante omstandigheden van het product in de praktijk (zoals runtime- configuratie, netwerktopologie of gebruik buiten het geanalyseerde image) omvat.

Artikel 2 , Verplichtingen van de fabrikant

2.1 De fabrikant is en blijft verantwoordelijk voor de juistheid van de aangeleverde firmware-images, versienummers en productinformatie. Onjuiste of onvolledige aanlevering kan tot een onjuist dossier leiden; wij zijn daarvoor niet aansprakelijk.

2.2 De fabrikant beslist zelf, op basis van ons dossier én zijn eigen kennis van het product, of een kwetsbaarheid gemeld moet worden en of het product voldoet aan de essentiële eisen. Onze triage-onderbouwing is een hulpmiddel bij die beslissing, geen vervanging ervan.

2.3 De fabrikant garandeert dat hij gerechtigd is de aangeleverde firmware te laten analyseren (eigen product, of toestemming van de rechthebbende).

Artikel 3 , Aansprakelijkheid

3.1 Aansprakelijkheidsgrens (de kernbepaling , ook bedoeld voor gebruik in de interface):

> Wij leveren bewijsmateriaal voor uw CRA-dossier; u blijft als fabrikant verantwoordelijk > voor en verklaart zelf de conformiteit van uw product.

3.2 Onze aansprakelijkheid voor schade die voortvloeit uit een fout, omissie of gemiste kwetsbaarheid in het dossier is, voor zover toegestaan onder Nederlands recht, beperkt tot het totaal van de vergoedingen die de fabrikant in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan ons heeft betaald voor het betreffende product, met een absoluut maximum van € 25.000 per gebeurtenis en € 50.000 per kalenderjaar.

3.3 Wij zijn nooit aansprakelijk voor indirecte schade, gevolgschade, gederfde winst, reputatieschade, of boetes die de markttoezichthouder (in Nederland: de RDI) aan de fabrikant oplegt, tenzij sprake is van opzet of bewuste roekeloosheid van onze kant.

3.4 Het bijzondere risico van een onderbouwde niet-melding , expliciet benoemd, niet verstopt in "gemiste CVE". Onze triage-onderbouwing kan door de fabrikant gebruikt worden om te motiveren waarom een kwetsbaarheid *niet* gemeld hoeft te worden (bijvoorbeeld op grond van niet-meegecompileerde kernelsubsystemen of onbereikbare code, conform Commissie-guidance C(2026) 5252, punt 218). Als die onderbouwing feitelijk onjuist blijkt , bijvoorbeeld omdat een subsysteem toch aanwezig was , is het financiële en reputatierisico voor de fabrikant groter dan bij een gemiste CVE die simpelweg op de lijst had moeten staan: een gemiste melding kan een zelfstandige overtreding van artikel 14 van de verordening opleveren, los van de onderliggende kwetsbaarheid zelf. Partijen erkennen dit expliciet als het kernrisico van deze dienst. Om die reden: (a) bevat elk dossier per uitgesloten kwetsbaarheid het concrete bewijs (aanwezige kernelmodules, architectuur, versiebereik) waarop de uitsluiting is gebaseerd, zodat de fabrikant deze zelf kan controleren vóór hij op basis daarvan besluit niet te melden; (b) blijft de eindbeslissing om niet te melden uitdrukkelijk bij de fabrikant, ook waar wij een uitsluiting voorstellen (artikel 2.2); (c) valt deze situatie onder dezelfde aansprakelijkheidsgrens van artikel 3.2 , er is geen aparte, hogere grens voor deze categorie, maar partijen zijn zich bewust dat dit de meest waarschijnlijke bron van een claim is.

3.5 Deze beperkingen gelden niet voor schade die het gevolg is van opzet of bewuste roekeloosheid van ons.

Artikel 4 , Duur, opzegging en de ondersteuningsperiode

4.1 De overeenkomst voor de doorlopende dienst (het abonnement) wordt aangegaan voor onbepaalde tijd met een opzegtermijn van één maand, tenzij expliciet anders overeengekomen.

4.2 De fabrikant erkent dat de wettelijke ondersteuningsperiode van zijn product (artikel 13, lid 8 van de verordening) niet gelijk hoeft te zijn aan vijf jaar en voor producten met een lange verwachte gebruiksduur (bijvoorbeeld industriële machines) kan oplopen tot vijftien à twintig jaar. Dit is een eigen bepaling van de fabrikant, gebaseerd op de criteria van artikel 13, lid 8; wij ondersteunen deze bepaling met feitelijke gegevens uit de SBOM (zoals levensduur/EOL-datums van onderliggende componenten) maar bepalen die periode niet zelf.

Artikel 5 , Bewaartermijn en het archief bij bedrijfsbeëindiging

5.1 Wij bewaren het dossier en het onderliggende bewijsmateriaal per object voor de langste van: (a) tien jaar na de datum van vastlegging, of (b) het einde van de door de fabrikant vastgestelde ondersteuningsperiode, conform artikel 13, leden 9, 13 en 18 van de verordening. Deze termijn kan voor een product met een lange ondersteuningsperiode oplopen tot ver na tien jaar (in het uiterste geval tot circa 2050 voor een product met een twintigjarige ondersteuningsperiode dat nu wordt vastgelegd).

5.2 Continuïteitsmechanisme bij bedrijfsbeëindiging , het primaire mechanisme is doorlopende zelf-export, geen wachten op een noodscenario.

Vanaf de eerste dossierlevering kan de fabrikant te allen tijde, zonder tussenkomst van ons en zonder extra kosten, een volledige, verifieerbare kopie van zijn eigen dossier en bewijsarchief downloaden in een leesbaar, niet-propriëtair formaat (CycloneDX-JSON voor SBOM/VEX, PDF voor documentatie, en de ondertekende resultaatbestanden van de lokale collector die al buiten ons platform verifieerbaar zijn , zie research/ en DECISIONS.md R0-04 over de ondertekening). Dit is geen noodvoorziening maar staand beleid: elke dossierupdate wordt automatisch beschikbaar gemaakt voor download door de fabrikant. Het gevolg is dat de fabrikant, die zelf de wettelijke bewaarplicht van bijlage VIII deel I punt 4.2 draagt, nooit afhankelijk is van het voortbestaan van ons bedrijf om aan die plicht te voldoen.

5.3 Aanvullend, voor bedrijfsbeëindiging specifiek: (a) Bij besluit tot beëindiging van onze dienstverlening (faillissement, staking van de onderneming, of eenzijdige beëindiging door ons) geven wij de fabrikant, of bij faillissement de curator namens ons, minimaal negentig dagen van tevoren schriftelijk bericht, met uitzondering van gevallen waarin dat wettelijk niet mogelijk is. (b) In die periode stellen wij een volledige export van alle bij ons opgeslagen dossiers van alle klanten actief beschikbaar, ook als een fabrikant dat nog niet zelf gedaan had. (c) Als er op het moment van beëindiging klanten zijn met een ondersteuningsperiode die nog niet is verstreken, dragen wij het beheer van het actieve bewijsarchief , voor zover dat na (a) en (b) nog relevant is, namelijk voor fabrikanten die nog geen eigen kopie hadden getrokken , over aan een door ons vooraf aangewezen opvolgende partij of, bij gebreke daarvan, aan een Nederlandse notaris of escrow-dienst, tegen betaling uit de boedel voor zover beschikbaar. (d) Dit mechanisme (b)+(c) is een aanvulling op, geen vervanging van, het zelf-exportrecht van 5.2 , reden: een juridisch bindende escrow-clausule bij een eenmansbedrijf zonder vooraf gestort waarborgfonds is in de praktijk zwak (er is geen garantie dat er geld is om een notaris/escrow-dienst te betalen op het moment dat het bedrijf ophoudt te bestaan). Het zelf-exportrecht van 5.2 kost niets, hangt niet af van onze solvabiliteit, en is daarom het mechanisme waarop de fabrikant zich werkelijk kan verlaten. Aanbeveling aan de fabrikant, niet afdwingbaar in deze voorwaarden: trek zelf periodiek (bijvoorbeeld jaarlijks) een export, in plaats van te wachten op een aankondiging.

Artikel 6 , Geheimhouding

6.1 Firmware-images, broncodefragmenten en productinformatie van de fabrikant zijn vertrouwelijk. Zie nda-template.md voor de volledige geheimhoudingsbepalingen, die onderdeel uitmaken van deze overeenkomst.

Artikel 7 , Gegevensverwerking

7.1 Voor zover wij bij de uitvoering van de dienst persoonsgegevens verwerken (in de praktijk beperkt tot contactgegevens van de fabrikant, zie verwerkersovereenkomst.md), geldt de verwerkersovereenkomst als bijlage bij deze algemene voorwaarden.

7.2 Alle opslag en verwerking van klantgegevens en firmware vindt plaats binnen de Europese Unie (regio europe-west4 of gelijkwaardig), conform DECISIONS.md R0-04. Dit is een contractuele toezegging, geen inspanningsverplichting.

Artikel 8 , Slotbepaling: herhaling van de kernbepaling

8.1 Ter voorkoming van elk misverstand herhalen wij artikel 1.2 en 3.1 hier: wij leveren bewijsmateriaal; de fabrikant verklaart zelf de conformiteit van zijn product. Deze bepaling kan niet stilzwijgend worden gewijzigd door de wijze waarop wij ons product of onze dienst in marketinguitingen beschrijven.

8.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van onze vestigingsplaats.

_Openstaand voor de boss: dit is een concept met de juiste inhoudelijke posities, geen door een jurist gecontroleerde tekst. Zie HUMAN-TODO.md voor de stap "laat dit controleren door een jurist voordat de eerste klant tekent"._