Användarvillkor

Det här är en översättning som tillhandahålls för din information. Vid skillnader mellan versionerna gäller den engelska originaltexten.

Dessa villkor gäller för din användning av Merula. Genom att skapa ett konto godkänner du dem. Om du inte godkänner dem ber vi dig att inte använda tjänsten.

1. Parterna

”Merula” eller ”vi” avser Adspace Nordic AB, ett svenskt bolag. ”Du” avser den organisation som innehar kontot.

2. Behörighet

Merula erbjuds till företag som är etablerade inom EU/EES för användning i näringsverksamhet. Genom att registrera dig bekräftar du att:

• Du är en organisation som är etablerad i en medlemsstat inom EU/EES, eller en fysisk person som använder tjänsten i en näringsverksamhet som är baserad inom EU/EES.
• Du registrerar dig för den organisationens räkning och med bindande verkan för den.
• Du är inte konsument i den mening som avses i EU:s konsumentskyddslagstiftning; tjänsten är en produkt som riktar sig från företag till företag.

Free-planen kräver att ett giltigt land inom EU/EES väljs vid registreringen; inget momsregistreringsnummer krävs. Merula förbehåller sig rätten att stänga av Free-konton vars användning inte motsvarar behörighetskraven ovan.

Betalda planer (Pro och MSP) kräver ett giltigt momsregistreringsnummer inom EU/EES som anges vid uppgraderingen. Numret valideras mot Europeiska kommissionens VIES-tjänst via Stripe Tax; en uppgradering kan inte slutföras utan ett nummer som kan verifieras. Omvänd skattskyldighet för moms tillämpas i förekommande fall; Stripe Tax sköter beräkningen och anteckningarna på fakturan.

Köp av betalda planer via självbetjäning kräver ett momsregistreringsnummer som kan valideras via VIES. Företag i EES-länder utanför EU vars momsregistreringsnummer inte kan valideras via VIES kan behöva ett manuellt godkännande av faktureringen eller en separat faktureringsordning.

Flerfaktorsautentisering (MFA) krävs för varje kontomedlem på betalda planer. Nya betalda konton har en respitperiod på 14 dagar efter uppgraderingen under vilken befintliga medlemmar kan aktivera MFA; därefter spärras medlemmar utan MFA från känsliga åtgärder (att bjuda in medlemmar, visa signeringshemligheter för webhooks, byta plan) tills de har aktiverat MFA. MFA är frivilligt men tillgängligt på Free.

3. Vad vi tillhandahåller

Merula övervakar den publika konfigurationen och säkerhetsläget hos domäner som du kontrollerar eller har behörighet att övervaka. Detta kan omfatta DNS-poster, TLS-certifikat, e-postautentisering, transportsäkerhet, HTTP-säkerhetshuvuden, tillgänglighet, webbhygien, domänens livscykel samt signaler om routning/RPKI.

Vi ändrar inte dina DNS-poster, certifikat, inställningar hos din domänregistrar eller din e-postkonfiguration. Merula observerar, registrerar ändringar, förklarar fynd och skickar larm i enlighet med din plan och dina inställningar.

Merula är en tjänst för övervakning och observerbarhet. Den utgör inte en certifiering av regelefterlevnad, en juridisk bedömning, en säkerhetsrevision, en sårbarhetsskanner, en hanterad säkerhetstjänst eller en tjänst för incidenthantering.

4. Vad du får göra

Lägga till domäner som du äger eller uttryckligen har behörighet att övervaka. Ta emot larm. Bjuda in teammedlemmar i enlighet med din plan. Säga upp din prenumeration enligt vad som beskrivs i avsnitt 8 och 14.

5. Vad du inte får göra

• Övervaka domäner som du inte äger eller inte uttryckligen har behörighet att övervaka.
• Använda tjänsten för att kartlägga, bevaka eller trakassera tredje part.
• Vidareförsälja Merula, tillhandahålla Merula under eget varumärke (white-label) eller tillhandahålla Merula som en hanterad tjänst, annat än genom MSP-/partnerplanen eller ett separat skriftligt avtal som tillåter det.
• Bakåtkompilera tjänsten (reverse engineering) eller försöka kringgå användningsbegränsningar.

6. Immateriella rättigheter och äganderätt till dina data

Merula – plattformen, dess programvara, dess kontrollmotor, design, dokumentation och kunskapsbas – tillhör Adspace Nordic AB, dess licensgivare och dess leverantörer. Vi ger dig en icke-exklusiv, icke-överlåtbar rätt att använda tjänsten i din egen verksamhet så länge din prenumeration är aktiv och du följer dessa villkor; den rätten upphör när din prenumeration upphör. Ingenting i dessa villkor överför äganderätten till plattformen till dig, och de rättigheter som beskrivs i dessa villkor är de enda som du erhåller.

Dina data förblir dina. De domäner du övervakar, din kontrollhistorik, dina accepterade baslinjer, dina inställningar och de rapporter du tar emot förblir dina. Vi behandlar dem för att tillhandahålla tjänsten och i enlighet med vårt integritetsmeddelande (Privacy Notice) och vårt personuppgiftsbiträdesavtal (Data Processing Addendum). Du kan exportera dina data när som helst – se avsnitt 14.

7. Planer, priser och fakturering

Planer och priser beskrivs på vår prissida och bekräftas vid köpet. Priserna anges i EUR och exklusive moms om inte annat anges. Årsvis fakturering innebär tolv månader till priset av tio på de direktplaner där det erbjuds. Vi använder Stripe för betalningar, skatteberäkning och fakturering.

Alla publika planer omfattar samma grunduppsättning av kontroller av domänernas säkerhetsläge. Betalda planer prissätts per övervakad domän utifrån domänens angivna klassificering (sändande eller icke-sändande); när domäner läggs till, tas bort eller klassificeras om justeras prenumerationen proportionerligt. Vi ändrar aldrig själva en domäns klassificering – vi kan föreslå en klassificering utifrån vad vi observerar, men en klassificering (och därmed faktureringen) ändras endast när du bekräftar den. Tolkning av aggregerade DMARC- och TLS-RPT-rapporter ingår i betalda planer utan fakturering baserad på meddelandevolym och utan rapporttak per plannivå – rapportvolym faktureras aldrig.

En provperiod av Pro-planen finns tillgänglig en gång per konto: 14 dagar, full funktionalitet, inget betalningsmedel krävs. Om provperioden löper ut utan att en prenumeration har tecknats återgår kontot automatiskt till Free-planen; övervakningen fortsätter och historiken sparas inom Free-planens lagringsperiod.

Ändringar av listpriser gäller endast nya prenumerationer; en befintlig prenumeration behåller de priser som gällde när den tecknades. Om vi behöver ändra priset eller planstrukturen för en befintlig prenumeration meddelar vi kontots administratörer minst 30 dagar i förväg via e-post, ändringen träder i kraft tidigast från och med nästa faktureringsperiod och du kan säga upp prenumerationen innan ändringen börjar gälla.

8. Återbetalning

Vi kan erbjuda direktkunder återbetalning inom 14 dagar av den första betalda fakturan om Merula inte motsvarar förväntningarna. Därefter löper planerna under den valda perioden. En uppsägning stoppar framtida debitering; vi återbetalar inte outnyttjad tid proportionellt på månadsplaner om det inte krävs enligt lag eller anges vid köpet.

9. Detekteringens omfattning och begränsningar

Merula observerar den publikt observerbara konfigurationen hos de domäner som du aktiverar för övervakning. Närmare bestämt:

• Vad vi övervakar: DNS-poster, TLS-certifikat och den förhandlade sessionen, HTTP-tillgänglighet och säkerhetshuvuden, poster för e-postautentisering (SPF, DKIM, DMARC), transportsäkerhet för SMTP (STARTTLS, MTA-STS, TLS-RPT, DANE/TLSA där sådana publiceras), auktorisering av certifikatutfärdande på DNS-nivå (CAA), signaler om webbhygien såsom robots.txt, sitemap.xml och security.txt (RFC 9116), signaler om domänens livscykel såsom registreringens utgångsdatum hos registret där sådana uppgifter finns, samt signaler om validering av routningsursprung via routning/RPKI för de nätverk som betjänar din domän – inom det konfigurerade intervallet och längs den publika IP-vägen mellan våra kontrollservrar och dina värdar.
• Vad vi inte övervakar: autentiserade slutpunkter, applikationsinternt beteende, innehåll i svarskroppar, interna nätverkstillstånd, sårbarheter i kod eller körmiljö, exponering av tjänster på portnivå eller något annat som inte är observerbart för en publik, oautentiserad klient.

Vissa kontroller är beroende av externa datakällor såsom register, RDAP-slutpunkter, DNS-resolvrar, certifikatutfärdare, e-postservrar och slutpunkter som kunden kontrollerar. Dessa källor kan vara otillgängliga, inkonsekventa, hastighetsbegränsade eller ofullständiga.

Detekteringsintervallet gäller i mån av förmåga (best effort). Som standard kör vi de flesta kontroller varje timme, STARTTLS och DANE/TLSA var sjätte timme, registreringens utgångsdatum och överföringslås dagligen och RPKI varje vecka. En konfigurationsändring som görs några minuter efter en genomsökning kanske inte syns förrän nästa genomsökning har slutförts. DNS-spridning, anycast-routning och cachning i resolvrar kan innebära att vi tillfälligt observerar ett annat tillstånd än det som en slutanvändare observerar. Avbrott i nätverksförbindelser eller driftstörningar hos tredje part kan leda till att enskilda kontroller returnerar unknown (okänt) i stället för ett entydigt resultat.

Merula ersätter inte din egen övervakning, din egen incidenthantering eller ditt eget program för regelefterlevnad. Du ansvarar fortfarande för konfigurationen, säkerheten och driften av dina domäner och de tjänster som de identifierar.

10. Tjänstens tillgänglighet

Vi driver tjänsten i mån av förmåga (best effort). Vi garanterar inte att driften är oavbruten, felfri eller sker i rätt tid, och vi åtar oss inte någon avtalad servicenivå (SLA) på direktplaner. Varje annat åtagande måste avtalas separat och skriftligen.

Information om plattformsincidenter publiceras påmerula.io/sv/status. Vid längre driftavbrott eller incidenter som påverkar kunddata mejlar vi kontoadministratörerna.

Vi kan skicka tjänstemeddelanden till kontoadministratörer om fakturering, säkerhet, juridiska meddelanden, produktändringar, driftavbrott och andra driftsrelaterade frågor. Dessa är inte marknadsföringsmejl och kan skickas även om marknadsföringskommunikation är avaktiverad.

Tjänsten är beroende av infrastruktur från tredje part (AWS, vår kedja av auktoritativa DNS-resolvrar, våra leveransvägar för e-post och webhooks). Driftavbrott eller försämringar hos dessa leverantörer kan leda till att genomsökningar försenas, att larm skjuts upp eller att instrumentpanelen inte går att nå. Vi kommer att vidta skäliga åtgärder för att informera kunder om längre driftavbrott via e-post eller via en statuskanal.

Leveransen av larm sker på samma sätt i mån av förmåga. E-postleverans förutsätter att din e-postleverantör tar emot meddelandet; leverans via webhook förutsätter att din slutpunkt är nåbar och tar emot vår begäran. Vi gör nya försök med misslyckade webhook-leveranser, med allt längre intervall mellan försöken, men vi kan inte garantera att ett larm når sin destination inom något visst tidsfönster.

Vi klassificerar varje ändring efter allvarlighetsgrad för att avgöra vad som når dig omedelbart och vad som samlas i den dagliga eller veckovisa sammanfattning du har valt. Klassificeringen av allvarlighetsgrad och tidpunkten för sammanfattningen sker i mån av förmåga: en ändring som vi klassificerar under kritisk nivå levereras i takt med din sammanfattning snarare än omedelbart, och vi kan ibland klassificera en ändring annorlunda än du skulle ha gjort. Larm skickas endast till mottagare som du har verifierat; innan en mottagare har verifierats, och om det inte finns någon verifierad mottagare, skickas inga larm. Konfigurera och verifiera dina mottagare, välj din takt och upprätthåll oberoende skyddsmekanismer för allt som du anser vara kritiskt.

11. Kundens ansvar

• Lägg till de domäner som du avser att övervaka och håll den listan aktuell.
• Konfigurera minst en verifierad larmmottagare (e-post eller webhook) och kontrollera att de konfigurerade mottagarna fungerar. Innan en mottagare har verifierats skickas inga larm till den; utan någon verifierad mottagare får du inga larm.
• Gå igenom larm inom rimlig tid; tjänsten upptäcker och meddelar, men åtgärderna är ditt ansvar.
• Upprätthåll oberoende övervakning eller skyddsmekanismer för system som du anser vara kritiska. Gör inte Merula till en enskild felpunkt (single point of failure) för din insyn i säkerhetsläget.
• Följ alla regulatoriska skyldigheter som gäller för din verksamhet. Merula kan tillhandahålla tekniska iakttagelser och referenser som stöder säkerhetsstyrning, förberedelser inför revision och NIS2-relaterat riskhanteringsarbete, men användningen av Merula utgör inte i sig regelefterlevnad.

12. Ändringar av tjänsten

Funktionerna utvecklas. Vi kan lägga till, ändra eller ta bort funktionalitet. Om ett väsentligt borttagande avsevärt påverkar betald funktionalitet kommer vi att lämna skäligt varsel när det är praktiskt möjligt.

13. Sekretess

Under avtalsförhållandet kan vardera parten få kännedom om icke-offentlig information om den andra – vi om din konfiguration och dina fynd, du om våra priser, våra säkerhetsåtgärder och hur tjänsten fungerar. Vardera parten ska hålla den andra partens icke-offentliga information konfidentiell, använda den endast för att fullgöra sina åtaganden enligt dessa villkor och skydda den med samma omsorg som den ägnar sin egen konfidentiella information. Detta omfattar inte information som redan är offentlig, som en part redan innehade utan tystnadsplikt, eller som en part är skyldig att lämna ut enligt lag eller beslut av behörig myndighet – och när utlämnande är tvingande underrättar den utlämnande parten den andra parten i den mån den lagligen får göra det. Skyldigheten består i tre år efter att avtalsförhållandet har upphört.

14. Uppsägning och dataexport

Du kan när som helst avsluta ditt konto. Vi kan avsluta ett konto som bryter mot dessa villkor eller hotar tjänstens integritet, med skäligt varsel när det är möjligt. När avtalet upphör raderar eller bevarar vi data enligt de tidsplaner som anges i integritetsmeddelandet, personuppgiftsbiträdesavtalet och tillämpliga rättsliga skyldigheter.

Ta med dig dina data. Innan dina data raderas kan du exportera dem. Export på kontonivå finns i instrumentpanelen medan kontot är öppet, och dina data kan fortfarande exporteras under den respitperiod före radering som beskrivs i integritetsmeddelandet innan de raderas permanent. Vi håller inte dina data som gisslan, och vi tar inte betalt för att lämna tillbaka dem till dig.

15. Dataskydd

Vårt integritetsmeddelande förklarar hur vi behandlar personuppgifter som personuppgiftsansvarig (controller) för uppgifter om konton, webbplatsen, fakturering och administration av tjänsten.

När Merula behandlar kundkontrollerade uppgifter om domänövervakning eller uppgifter i DMARC-rapporter för en kunds räkning gäller personuppgiftsbiträdesavtalet i den mån det krävs enligt dataskyddsförordningen (GDPR).

Du ansvarar för att din användning av Merula följer tillämplig dataskyddslagstiftning, inklusive eventuella skyldigheter att informera dina användare, anställda, kunder eller intressenter i domänerna när det är relevant.

16. Ansvar

Ansvar som inte kan uteslutas. Ingenting i dessa villkor begränsar eller utesluter någon av parternas ansvar i den mån det skulle vara olagligt att göra det – inklusive ansvar vid grov vårdslöshet, uppsåt eller annat ansvar som inte kan begränsas enligt tillämplig tvingande lag. Detta stycke har företräde framför varje annan begränsning i detta avsnitt.

”I befintligt skick”. Utöver vad som uttryckligen anges tillhandahålls tjänsten ”i befintligt skick” (as is), utan några garantier, vare sig uttryckliga eller underförstådda, inklusive lämplighet för ett visst ändamål. Vi garanterar inte att varje konfigurationsändring upptäcks, att varje larm levereras eller att tjänsten är ständigt tillgänglig; detektering och larm sker i mån av förmåga och beskrivs i avsnitt 9 och 10.

Undantagen skada. Med förbehåll för första stycket ansvarar ingen av parterna för indirekt skada, följdskada, särskild skada eller oförutsedd skada (incidental loss), eller för utebliven intäkt, utebliven vinst, förlust av eller skada på data, förlust av goodwill eller anspråk från tredje part, oavsett hur dessa uppkommit – inklusive till följd av en missad detektering, ett försenat eller uteblivet larm eller ett avbrott i tjänsten.

Sammanlagt ansvarstak. Med förbehåll för första stycket är vardera partens totala sammanlagda ansvar som uppkommer till följd av eller i samband med tjänsten begränsat, per tolvmånadersperiod, till det högre av de avgifter som du har betalat till oss under den perioden och 100 EUR. För Free-planen och kostnadsfria provperioder gäller ett tak på 50 EUR.

Din skadebegränsning. Du bekräftar att Merula är en signal bland dina kontrollåtgärder, inte en ersättning för din egen övervakning och incidenthantering (avsnitt 11), och att en underlåtenhet att upprätthålla oberoende skyddsmekanismer för system som du anser vara kritiska är relevant för varje anspråk.

17. Klagomål och tidsfrist för anspråk

Om något i tjänsten brister, meddela oss snarast – mejla hello@merula.io, eller öppna ett supportärende om din plan omfattar det – med tillräckligt många detaljer för att vi ska kunna återskapa och åtgärda problemet. Vi rättar hellre till ett problem än låter det bestå. Ett anspråk som uppkommer till följd av tjänsten ska framställas skriftligen inom skälig tid efter att du upptäckt, eller rimligen borde ha upptäckt, den omständighet som ger upphov till anspråket, och under alla förhållanden inom tolv månader från den; att framställa det snarast gör att omständigheterna fortfarande är färska och ger oss möjlighet att rätta till det.

18. Din behörighet att övervaka och ditt skadeslöshetsåtagande

Du får lägga till en domän endast om du äger den eller uttryckligen har behörighet från dess ägare att övervaka den. Genom att lägga till en domän garanterar du att du har sådan äganderätt eller behörighet, och du åtar dig att visa underlag för detta om vi skäligen begär det. Övervakningen läser endast publikt observerbar konfiguration; den ger dig ingen rätt till en domän som du inte kontrollerar, och vi kan ta bort en domän eller stänga av ett konto när det föreligger verkligt tvivel om behörigheten.

Du åtar dig att hålla Adspace Nordic AB skadeslöst för varje anspråk från tredje part, och för varje skälig förlust eller kostnad (inklusive advokatkostnader) som anspråket orsakar, som uppkommer till följd av:

• din övervakning av en domän som du inte ägde eller inte hade behörighet att övervaka;
• ditt brott mot dessa villkor, eller mot tillämplig lag, vid din användning av tjänsten; eller
• data som du har instruerat oss att behandla för din räkning, när vår behandling följde dina instruktioner.

Vi underrättar dig snarast om ett sådant anspråk, låter dig leda försvaret mot det med vårt skäliga samarbete och på din bekostnad, och ingår inte förlikning om det på ett sätt som innebär ett medgivande av skuld för din räkning utan ditt samtycke.

19. Överlåtelse

Du får inte överlåta ditt avtal med oss, eller dina rättigheter och skyldigheter enligt det, till någon annan utan vårt skriftliga samtycke – ditt konto är knutet till din organisation. Vi får överlåta vårt avtal till en efterträdande enhet – till exempel som ett led i en omorganisation eller en försäljning av den verksamhet som driver Merula – förutsatt att efterträdaren övertar dessa villkor och att ditt skydd enligt dem består. Vi meddelar dig om det sker.

20. Händelser utanför vår kontroll (force majeure)

Ingen av parterna ansvarar för underlåtenhet eller dröjsmål som orsakas av händelser utanför partens rimliga kontroll – inklusive fel i internet, molninfrastruktur eller DNS, fel hos certifikatutfärdare eller e-postleverantörer, ström- eller nätverksavbrott, överbelastningsattacker (denial-of-service), naturhändelser eller åtgärder från myndigheter eller tillsynsorgan. Berörda åtaganden skjuts upp så länge händelsen pågår; betalningsförpliktelser som redan har uppkommit bortfaller inte. Om en sådan händelse pågår i mer än trettio dagar får vardera parten säga upp den berörda prenumerationen utan påföljd.

21. Tillämplig lag

Dessa villkor regleras av svensk lag. Tvister avgörs av behörig domstol i Stockholm, om inte tvingande lag föreskriver ett annat forum.