Deze voorwaarden gelden voor elke offerte en opdracht van HackIndex. Ze zijn bewust kort. Afspraken per opdracht, zoals scope, spelregels, geheimhouding en de verwerking van gegevens, staan in de SLA, de geheimhoudingsovereenkomst en de verwerkersovereenkomst. Bij elke offerte zit een pdf van deze voorwaarden.
Versie 1.0, 13 november 2026.
Deze voorwaarden gelden voor alle offertes, opdrachten en werkzaamheden van HackIndex. Voorwaarden van de klant gelden niet, ook niet als een inkooporder ernaar verwijst. Spreken documenten elkaar tegen, dan gaat het specifiekere voor: de verwerkersovereenkomst, dan de geheimhoudingsovereenkomst, dan de SLA, dan de offerte en als laatste deze voorwaarden. Afwijken kan alleen schriftelijk, een mail telt ook.
HackIndex mag een opdracht met alle rechten en plichten overdragen aan een rechtsopvolger, zoals een eigen besloten vennootschap. De klant hoort dat vooraf schriftelijk. Voor de klant verandert er verder niets. Niet direct naleven van een bepaling betekent niet dat HackIndex of de klant het recht daarop verliest.
Een offerte is vrijblijvend, 30 dagen geldig en gebaseerd op wat de klant bij het afbakenen heeft verteld. De opdracht ontstaat zodra de klant de offerte schriftelijk of per mail aanvaardt. Klopt die informatie niet of verandert de scope, dan volgt een aanvulling op de offerte. Extra werk begint pas na akkoord. Een kennelijke fout in een offerte, zoals een reken- of typfout, bindt HackIndex niet. Mondelinge afspraken gelden pas als HackIndex ze schriftelijk heeft bevestigd, een mail telt ook.
Geeft een bureau of andere tussenpersoon de opdracht, dan is die de klant en betaalt die de facturen, ook als het rapport op naam van zijn opdrachtgever komt. De eigenaar van de systemen geeft de toestemming uit artikel 3. Een akkoord per mail is een schriftelijk akkoord. Artikel 6:227b en 6:227c van het Burgerlijk Wetboek zijn niet van toepassing.
Er wordt pas getest na schriftelijke toestemming van de eigenaar van alle systemen in de scope. De klant staat ervoor in dat hij die toestemming mag geven, en regelt waar nodig ook toestemming van hosting-, cloud- en SaaS-partijen. De klant vrijwaart HackIndex voor aanspraken van derden die ontstaan doordat die toestemming ontbrak. Is er twijfel over de toestemming, dan mag HackIndex het testen stilleggen tot dat is opgelost.
HackIndex voert de opdracht uit naar beste kunnen en volgens gangbare werkwijzen in het vak. Dat is een inspanningsverplichting. Een test is een momentopname: er is geen garantie dat alle kwetsbaarheden worden gevonden, of dat een systeem na de test veilig is. Dreigt een test iets te verstoren, dan mag HackIndex hem pauzeren. Onderaannemers worden niet ingezet.
HackIndex houdt tijdens de test bij wat er is gedaan, wanneer en vanaf welk IP-adres. Dat logboek geldt als bewijs van wat er wel en niet is gebeurd, tenzij de klant het tegendeel aantoont.
De klant zorgt op tijd voor toegang, testaccounts, een contactpersoon met een noodnummer en recente back-ups. Testen kan ondanks alle zorg tot een verstoring leiden. De klant aanvaardt dat restrisico, binnen wat artikel 10 regelt. Loopt de opdracht vertraging op door de klant, dan wordt die opnieuw ingepland. Extra kosten daarvan worden eerst besproken. Een certificatie-instelling die het werk van HackIndex beoordeelt, mag onder geheimhouding meekijken bij een test en het dossier van een opdracht inzien.
Zet HackIndex op verzoek een testomgeving op, dan levert de klant daarvoor toegang tot de hosting, een back-up of de code. HackIndex gebruikt die alleen voor de opdracht, bewaart de kopie versleuteld en verwijdert hem uiterlijk 30 dagen na de hertest, of na het einde van de opdracht als er geen hertest is. Staan er persoonsgegevens in de kopie, dan geldt de verwerkersovereenkomst.
Het rapport is vertrouwelijk en gaat alleen naar de contactpersonen van de klant. De klant gebruikt het intern en mag het delen met een accountant, auditor, toezichthouder of de leverancier die de bevindingen oplost. Een hertest van de gemelde bevindingen valt binnen de termijn die in de offerte staat.
Bevindingen oplossen hoort niet bij een test. HackIndex kan het doen als aparte opdracht met een eigen offerte, voor applicaties in Laravel, WordPress, WooCommerce, Magento, andere PHP-frameworks, Node.js en Python. Lost HackIndex een bevinding zelf op, dan staat dat bij de hertest in het rapport.
Prijzen zijn vast en exclusief btw, tenzij de offerte iets anders zegt. Gefactureerd wordt bij oplevering van het rapport, of zoals de offerte afspreekt. Een factuur wordt binnen 14 dagen betaald. Daarna is de wettelijke handelsrente verschuldigd, en bij incasso ook de incassokosten. Verrekenen is niet toegestaan.
Facturen worden per mail verstuurd. Bezwaar tegen een factuur meldt de klant binnen 14 dagen na de factuurdatum, daarna geldt de factuur als aanvaard. Is een factuur niet op tijd betaald, dan mag HackIndex het werk, de levering van het rapport of de hertest uitstellen tot er betaald is.
Beide partijen houden vertrouwelijke informatie van de ander geheim, ook na het einde van de opdracht. De geheimhoudingsovereenkomst regelt de details. Bewijs en testgegevens worden versleuteld bewaard en na de termijn uit de SLA verwijderd. Voor persoonsgegevens geldt de verwerkersovereenkomst. HackIndex mag vertrouwelijke informatie delen met zijn eigen jurist, accountant en verzekeraar, voor zover dat nodig is en zij zelf tot geheimhouding verplicht zijn.
HackIndex houdt de rechten op zijn werkwijzen, tools, sjablonen en kennis. Na betaling mag de klant het rapport onbeperkt intern gebruiken. HackIndex mag algemene kennis uit een opdracht opnieuw gebruiken, maar nooit op een manier die naar de klant herleidbaar is.
HackIndex is alleen aansprakelijk voor directe schade, tot maximaal het bedrag dat voor de opdracht is gefactureerd, exclusief btw. Bij een doorlopende opdracht is dat het bedrag van de laatste 12 maanden. Indirecte schade, zoals gevolgschade, gederfde winst, verlies van gegevens en reputatieschade, valt erbuiten. Voor schade door handelingen binnen de afgesproken scope en spelregels is HackIndex niet aansprakelijk. Deze beperkingen gelden niet bij opzet of bewuste roekeloosheid van de leiding van HackIndex. Schade wordt binnen 30 dagen na ontdekking gemeld. Een vordering vervalt 12 maanden nadat de schade is ontstaan.
Een test verplaatsen kan kosteloos tot 5 werkdagen voor de start. Daarna mag HackIndex de gereserveerde dagen in rekening brengen. Stopt de klant tussentijds, dan wordt het werk betaald dat al is gedaan. Beide partijen mogen de opdracht beëindigen bij faillissement van de ander, of bij een ernstige tekortkoming die na een schriftelijke aanmaning niet wordt hersteld. Bij overmacht worden de verplichtingen opgeschort. Overmacht is een omstandigheid buiten de schuld van een partij die nakomen redelijkerwijs onmogelijk maakt, zoals ziekte van de tester, storingen bij hosting-, cloud- of internetproviders en maatregelen van de overheid. HackIndex laat de klant zo snel mogelijk weten als overmacht de planning raakt, en de test wordt dan in overleg opnieuw ingepland. Duurt de overmacht langer dan 60 dagen, dan mogen beide partijen de opdracht beëindigen.
Nederlands recht is van toepassing. Een geschil gaat naar de bevoegde rechter in de vestigingsplaats van HackIndex. De Nederlandse tekst van deze voorwaarden gaat voor de Engelse. Is een artikel ongeldig, dan blijven de andere gelden en komt er een regel voor in de plaats die het dichtst bij het doel komt. HackIndex mag deze voorwaarden aanpassen. Voor een lopende opdracht blijft de versie gelden die gold toen de offerte werd aanvaard.
