LP-07 — Regulamin TE8 Repo

Nazwa dokumentu: Regulamin TE8 Repo

Kod dokumentu: LP-07

Wersja: 1.0

Status: dokument roboczy do publikacji po uzupełnieniu danych rejestrowych, technicznych, bezpieczeństwa i polityki publikacji pakietów

Obowiązuje od: [UZUPEŁNIĆ DATĘ]

Domena główna: te8.pl

Dostawca / Operator TE8 Repo: TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]

Usługa: TE8 Repo

Metryka dokumentu

Dokumenty powiązane

Rozdział I — Postanowienia ogólne

§1. Przedmiot Regulaminu

1. Niniejszy Regulamin określa zasady korzystania z usługi TE8 Repo, służącej do przechowywania, pobierania, publikowania, wersjonowania, udostępniania, weryfikowania i dystrybucji pakietów, komponentów, artefaktów, konfiguracji, manifestów, zależności, metadanych oraz innych zasobów technicznych.
2. TE8 Repo może działać jako:
   1. repozytorium pakietów TE8,
   2. repozytorium komponentów Systemu TE8,
   3. repozytorium zależności,
   4. repozytorium organizacyjne,
   5. repozytorium prywatne,
   6. repozytorium publiczne, jeżeli TE8 udostępni taką funkcję,
   7. repozytorium partnerskie,
   8. źródło pakietów dla TE8 Update,
   9. źródło komponentów dla TE8 Store,
   10. źródło artefaktów dla API TE8,
   11. system dystrybucji plików, manifestów, podpisów, sum kontrolnych i metadanych bezpieczeństwa.
3. TE8 Repo jest usługą odrębną od Systemu TE8, Konta usług TE8, TE8 Store, TE8 Update i API TE8, chociaż może być z nimi technicznie powiązana.
4. Korzystanie z TE8 Repo może wymagać Konta usług TE8, aktywnej organizacji, aktywnej licencji, tokena, klucza API, certyfikatu, uprawnień, połączenia z Internetem albo spełnienia wymagań technicznych.
5. TE8 Repo może być udostępniane w modelu bezpłatnym, płatnym, prywatnym, publicznym, partnerskim, enterprise, testowym, beta albo innym modelu wskazanym przez TE8.

§2. Operator TE8 Repo

1. Operatorem TE8 Repo jest:

TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]
Adres siedziby: [UZUPEŁNIĆ]
NIP: [UZUPEŁNIĆ]
REGON: [UZUPEŁNIĆ]
KRS/CEIDG: [UZUPEŁNIĆ, JEŻELI DOTYCZY]
E-mail kontaktowy: [UZUPEŁNIĆ, NP. kontakt@te8.pl]
E-mail do spraw repozytorium: [UZUPEŁNIĆ, NP. repo@te8.pl]
E-mail do spraw nadużyć: [UZUPEŁNIĆ, NP. abuse@te8.pl]
E-mail do spraw bezpieczeństwa: [UZUPEŁNIĆ, NP. security@te8.pl]
E-mail do spraw reklamacji: [UZUPEŁNIĆ, NP. reklamacje@te8.pl]
Strona internetowa: te8.pl

2. TE8 może utrzymywać TE8 Repo samodzielnie albo z wykorzystaniem infrastruktury, usług, partnerów, dostawców chmurowych, dostawców CDN, systemów bezpieczeństwa, systemów skanowania podatności, systemów podpisywania, systemów przechowywania plików oraz innych podmiotów wspierających działanie usługi.

§3. Charakter zasobów w TE8 Repo

1. Zasoby udostępniane w TE8 Repo mogą mieć charakter:
   1. oficjalnych pakietów TE8,
   2. komponentów Systemu TE8,
   3. pakietów aktualizacji,
   4. pakietów bezpieczeństwa,
   5. dodatków i modułów,
   6. pakietów partnerskich,
   7. pakietów użytkowników lub organizacji,
   8. komponentów open source,
   9. artefaktów technicznych,
   10. obrazów, plików, binariów, bibliotek albo zależności,
   11. manifestów, sum kontrolnych, podpisów i metadanych,
   12. konfiguracji, szablonów, profili, polityk albo skryptów,
   13. dokumentacji technicznej,
   14. innych zasobów dopuszczonych przez TE8.
2. Dostępność zasobu w TE8 Repo nie oznacza automatycznej gwarancji jego kompatybilności z każdym środowiskiem, każdą wersją Systemu TE8, każdą konfiguracją, każdą platformą albo każdym przypadkiem użycia.
3. Użytkownik powinien każdorazowo sprawdzić opis zasobu, licencję, wymagania, zależności, wersję, kompatybilność, podpis, sumę kontrolną i informacje bezpieczeństwa przed pobraniem, instalacją albo użyciem zasobu.

Rozdział II — Definicje

§4. Słownik pojęć

Na potrzeby niniejszego Regulaminu poniższe pojęcia mają następujące znaczenie:

1. Artefakt — plik, pakiet, binarium, obraz, konfiguracja, manifest, biblioteka, zależność, dokumentacja albo inny zasób techniczny przechowywany lub dystrybuowany w TE8 Repo.
2. Autor pakietu — użytkownik, organizacja, partner, TE8 albo inny podmiot publikujący pakiet w TE8 Repo.
3. Build — konkretna kompilacja, wydanie albo wariant pakietu lub komponentu.
4. Checksum albo suma kontrolna — wartość techniczna służąca do weryfikacji integralności pliku albo pakietu.
5. Dependency confusion — ryzyko polegające na niezamierzonym pobraniu pakietu z niewłaściwego źródła, w szczególności z repozytorium publicznego zamiast prywatnego albo organizacyjnego.
6. Dostawca pakietu — TE8, partner TE8, organizacja, użytkownik albo podmiot trzeci udostępniający pakiet w TE8 Repo.
7. Klucz API — poświadczenie techniczne umożliwiające dostęp do TE8 Repo albo jego funkcji przez API.
8. Komponent — moduł, dodatek, biblioteka, pakiet, agent, sterownik, konektor, integracja, konfiguracja albo inny element używany z Systemem TE8 lub usługami TE8.
9. Konto usług TE8 — odrębna usługa identyfikacji, uwierzytelniania i SSO, objęta LP-01.
10. Manifest — plik lub rekord opisujący pakiet, wersję, zależności, wymagania, sumy kontrolne, podpisy, licencje, metadane albo sposób instalacji.
11. Mirror — kopia całości albo części repozytorium lub pakietów, utrzymywana w innym miejscu niż główne TE8 Repo.
12. Namespace albo przestrzeń nazw — logiczna przestrzeń identyfikująca pakiety użytkownika, organizacji, partnera albo TE8.
13. Organizacja — firma, instytucja, zespół, klient, partner albo inny podmiot korzystający z usług TE8.
14. Pakiet — uporządkowany zasób techniczny przeznaczony do pobrania, instalacji, dystrybucji, aktualizacji albo użycia przez System TE8, TE8 Update, TE8 Store, API TE8 albo użytkownika.
15. Repozytorium — przestrzeń techniczna w TE8 Repo służąca do przechowywania, wersjonowania, publikowania, pobierania albo udostępniania pakietów i artefaktów.
16. Repozytorium prywatne — repozytorium dostępne wyłącznie dla uprawnionych użytkowników, organizacji albo integracji.
17. Repozytorium publiczne — repozytorium dostępne publicznie albo szerzej niż dla jednej organizacji, jeżeli TE8 udostępni taki model.
18. Repozytorium organizacyjne — repozytorium przypisane do organizacji.
19. SBOM — Software Bill of Materials, czyli zestawienie komponentów, zależności i informacji o składzie oprogramowania, jeżeli zostanie udostępnione albo wymagane.
20. SemVer — semantyczne wersjonowanie pakietów, jeżeli jest stosowane.
21. System TE8 — odrębne oprogramowanie wirtualnego pulpitu oraz powiązana technologia TE8, objęta LP-04.
22. TE8 — TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ].
23. TE8 Repo albo Repo — usługa repozytorium pakietów, artefaktów, zależności, konfiguracji, komponentów i zasobów technicznych TE8.
24. TE8 Store — sklep, katalog, marketplace albo system dystrybucji komponentów, objęty LP-05.
25. TE8 Update — usługa aktualizacji, poprawek, hotfixów, wersji i metadanych TE8, objęta LP-06.
26. Token — techniczne poświadczenie, klucz, sekret albo identyfikator autoryzacyjny umożliwiający dostęp do TE8 Repo.
27. Użytkownik — osoba fizyczna korzystająca z TE8 Repo, w tym osoba działająca w imieniu organizacji.
28. Wersja — oznaczenie wydania pakietu, komponentu albo artefaktu.

Rozdział III — Dostęp do TE8 Repo

§5. Warunki dostępu

1. Dostęp do TE8 Repo może wymagać:
   1. Konta usług TE8,
   2. aktywnej organizacji,
   3. aktywnej licencji,
   4. aktywnej subskrypcji,
   5. uprawnień użytkownika,
   6. tokena,
   7. klucza API,
   8. certyfikatu,
   9. konfiguracji klienta repozytorium,
   10. akceptacji niniejszego Regulaminu,
   11. akceptacji dodatkowych warunków pakietu,
   12. spełnienia wymagań bezpieczeństwa,
   13. braku blokady konta, organizacji, tokena albo repozytorium.
2. TE8 może ograniczyć dostęp do TE8 Repo albo wybranych zasobów w zależności od typu konta, organizacji, planu, licencji, regionu, kanału, statusu bezpieczeństwa, limitów, uprawnień albo decyzji TE8.
3. TE8 może wymagać dodatkowej weryfikacji przed przyznaniem dostępu do repozytoriów prywatnych, organizacyjnych, partnerskich, enterprise albo zawierających zasoby wrażliwe.

§6. Organizacje i role

1. TE8 Repo może umożliwiać zarządzanie repozytoriami w ramach organizacji.
2. Role w TE8 Repo mogą obejmować w szczególności:
   1. właściciela organizacji,
   2. administratora repozytorium,
   3. maintainera pakietu,
   4. publikującego,
   5. czytającego,
   6. audytora,
   7. użytkownika technicznego,
   8. integrację CI/CD,
   9. konto serwisowe,
   10. gościa albo partnera.
3. Organizacja odpowiada za prawidłowe nadawanie, odbieranie i kontrolowanie uprawnień użytkowników, kont technicznych, tokenów, kluczy API i integracji.
4. TE8 nie ponosi odpowiedzialności za skutki błędnego nadania, pozostawienia, rozszerzenia albo wykorzystania uprawnień przez organizację, administratora albo użytkownika, chyba że przepisy prawa albo odrębna umowa stanowią inaczej.

§7. Tokeny i klucze dostępu

1. Dostęp do TE8 Repo może być realizowany z użyciem tokenów, kluczy API, certyfikatów, sekretów, poświadczeń technicznych albo innych mechanizmów autoryzacyjnych.
2. Tokeny i klucze dostępu należy traktować jak dane poufne.
3. Użytkownik i organizacja odpowiadają za:
   1. bezpieczne przechowywanie tokenów,
   2. ograniczenie zakresu uprawnień tokenów,
   3. rotację tokenów,
   4. usuwanie tokenów nieużywanych,
   5. nieudostępnianie tokenów osobom nieuprawnionym,
   6. niewpisywanie tokenów w publiczne repozytoria, logi, zgłoszenia albo dokumentację,
   7. niezwłoczne zgłaszanie wycieku tokena,
   8. unieważnianie tokenów po utracie uprawnień użytkownika.
4. TE8 może unieważnić, ograniczyć albo zablokować token w przypadku podejrzenia wycieku, nadużycia, naruszenia bezpieczeństwa, przekroczenia limitów, naruszenia Regulaminu albo naruszenia prawa.

Rozdział IV — Repozytoria, przestrzenie nazw i pakiety

§8. Tworzenie repozytoriów

1. TE8 może umożliwiać tworzenie repozytoriów przez użytkowników, organizacje, partnerów albo TE8.
2. Utworzenie repozytorium może wymagać:
   1. odpowiednich uprawnień,
   2. aktywnej organizacji,
   3. aktywnej licencji albo planu,
   4. wyboru typu repozytorium,
   5. wyboru widoczności,
   6. wyboru przestrzeni nazw,
   7. akceptacji zasad publikacji,
   8. spełnienia wymagań bezpieczeństwa,
   9. braku naruszeń na koncie lub organizacji.
3. TE8 może odmówić utworzenia repozytorium albo zablokować repozytorium, jeżeli nazwa, przestrzeń, zawartość albo sposób użycia narusza prawo, Regulamin, prawa osób trzecich, bezpieczeństwo albo interes TE8.

§9. Przestrzenie nazw

1. TE8 Repo może stosować przestrzenie nazw służące do identyfikacji pakietów, organizacji, partnerów, projektów albo komponentów.
2. Użytkownik nie może rejestrować przestrzeni nazw:
   1. wprowadzających w błąd,
   2. naruszających znaki towarowe,
   3. naruszających prawa osób trzecich,
   4. podszywających się pod TE8, partnera albo inny podmiot,
   5. służących do ataków dependency confusion,
   6. służących do phishingu, malware albo nadużyć,
   7. sprzecznych z prawem albo dobrymi obyczajami.
3. TE8 może zarezerwować, odebrać, zmienić, zablokować albo przenieść przestrzeń nazw, jeżeli jest to uzasadnione prawem, bezpieczeństwem, ochroną znaków, ochroną użytkowników, sporem o uprawnienie albo koniecznością zapobiegania nadużyciom.

§10. Nazwy pakietów

1. Nazwy pakietów powinny być zgodne z wymaganiami technicznymi TE8 Repo.
2. Nazwa pakietu nie może:
   1. wprowadzać w błąd co do pochodzenia pakietu,
   2. podszywać się pod oficjalny pakiet TE8,
   3. podszywać się pod pakiet innego dostawcy,
   4. naruszać znaków towarowych,
   5. naruszać praw autorskich,
   6. sugerować autoryzacji TE8 bez zgody TE8,
   7. służyć do ataku dependency confusion albo typosquattingu,
   8. zawierać treści bezprawnych, obraźliwych albo technicznie szkodliwych.
3. TE8 może zablokować albo zmienić nazwę pakietu, jeżeli jest to uzasadnione bezpieczeństwem, prawem, ochroną użytkowników albo ochroną ekosystemu TE8.

Rozdział V — Publikowanie pakietów

§11. Warunki publikacji

1. Publikowanie pakietów w TE8 Repo może być dostępne wyłącznie dla uprawnionych użytkowników, organizacji, partnerów albo kont technicznych.
2. TE8 może wymagać spełnienia dodatkowych warunków przed publikacją, w szczególności:
   1. weryfikacji konta,
   2. weryfikacji organizacji,
   3. MFA,
   4. podpisywania pakietów,
   5. weryfikacji licencji,
   6. skanowania bezpieczeństwa,
   7. akceptacji zasad publikacji,
   8. potwierdzenia praw do pakietu,
   9. uzupełnienia metadanych,
   10. dodania manifestu,
   11. dodania informacji o zależnościach,
   12. dodania informacji o licencji,
   13. dodania SBOM, jeżeli jest wymagany,
   14. akceptacji dodatkowej umowy partnerskiej.
3. TE8 może odmówić publikacji pakietu albo wstrzymać jego publikację, jeżeli pakiet budzi wątpliwości prawne, techniczne, licencyjne, bezpieczeństwa albo jakościowe.

§12. Oświadczenia publikującego

1. Publikujący pakiet oświadcza, że:
   1. posiada prawo do publikacji pakietu,
   2. pakiet nie narusza praw osób trzecich,
   3. pakiet nie zawiera złośliwego oprogramowania,
   4. pakiet nie zawiera nielegalnych treści,
   5. pakiet nie zawiera nieuprawnionych danych osobowych,
   6. pakiet nie zawiera sekretów, haseł, tokenów ani kluczy prywatnych, chyba że jest to celowo i bezpiecznie zaprojektowany element pakietu,
   7. pakiet jest zgodny z deklarowaną licencją,
   8. pakiet nie podszywa się pod pakiety TE8 ani pod pakiety osób trzecich,
   9. metadane pakietu są prawdziwe, aktualne i niewprowadzające w błąd,
   10. publikacja pakietu nie narusza umów, przepisów eksportowych, sankcji ani innych ograniczeń prawnych.
2. Publikujący odpowiada za skutki naruszenia powyższych oświadczeń.

§13. Metadane pakietu

1. Pakiet powinien zawierać metadane wymagane przez TE8 Repo.
2. Metadane mogą obejmować w szczególności:
   1. nazwę pakietu,
   2. przestrzeń nazw,
   3. wersję,
   4. opis,
   5. autora lub dostawcę,
   6. licencję,
   7. zależności,
   8. wymagania techniczne,
   9. kompatybilność z Systemem TE8,
   10. kompatybilność z innymi komponentami,
   11. sumy kontrolne,
   12. podpisy,
   13. manifest,
   14. SBOM, jeżeli dotyczy,
   15. informacje o podatnościach,
   16. informacje o danych przetwarzanych przez pakiet,
   17. informacje o uprawnieniach wymaganych przez pakiet,
   18. link do dokumentacji,
   19. link do polityki prywatności, jeżeli dotyczy,
   20. informacje o wsparciu.
3. TE8 może wymagać uzupełnienia, poprawy albo usunięcia metadanych, jeżeli są niepełne, błędne, wprowadzające w błąd albo naruszają Regulamin.

§14. Wersjonowanie

1. Pakiety mogą być wersjonowane zgodnie z zasadami określonymi przez TE8 albo przez publikującego, jeżeli TE8 dopuszcza własny model wersjonowania.
2. TE8 może wymagać stosowania określonego formatu wersji, w szczególności SemVer albo innego standardu zgodnego z ekosystemem TE8.
3. Publikujący powinien unikać praktyk destabilizujących środowisko użytkowników, takich jak nadpisywanie stabilnych wersji, usuwanie zależności bez ostrzeżenia albo oznaczanie wersji testowych jako stabilnych.
4. TE8 może ograniczyć możliwość nadpisywania, usuwania albo zmiany już opublikowanych wersji, jeżeli jest to wymagane dla bezpieczeństwa, audytu, stabilności albo zgodności łańcucha dostaw.

Rozdział VI — Pobieranie i używanie pakietów

§15. Pobieranie pakietów

1. Pakiety powinny być pobierane wyłącznie z autoryzowanych źródeł TE8 Repo albo źródeł wskazanych przez TE8.
2. Pobranie pakietu może wymagać:
   1. uprawnień do repozytorium,
   2. aktywnej licencji,
   3. aktywnej subskrypcji,
   4. aktywnego tokena,
   5. klucza API,
   6. akceptacji licencji pakietu,
   7. akceptacji dodatkowych warunków,
   8. spełnienia wymagań bezpieczeństwa.
3. TE8 może ograniczyć, opóźnić albo zablokować pobieranie pakietów w przypadku przekroczenia limitów, naruszenia bezpieczeństwa, ryzyka nadużycia, błędnej konfiguracji, naruszenia licencji albo problemów technicznych.

§16. Weryfikacja pakietów

1. Przed użyciem pakietu użytkownik powinien zweryfikować jego pochodzenie, licencję, wersję, podpis, sumę kontrolną, wymagania techniczne, zależności, kompatybilność i ryzyka bezpieczeństwa.
2. TE8 może udostępniać narzędzia albo metadane wspierające weryfikację, w szczególności:
   1. sumy kontrolne,
   2. podpisy cyfrowe,
   3. certyfikaty,
   4. manifesty,
   5. listy zależności,
   6. SBOM,
   7. wyniki skanowania,
   8. informacje o podatnościach,
   9. ostrzeżenia o wycofaniu,
   10. informacje o reputacji pakietu, jeżeli taka funkcja zostanie udostępniona.
3. Udostępnienie metadanych bezpieczeństwa nie zwalnia użytkownika ani organizacji z obowiązku oceny pakietu w kontekście własnego środowiska i ryzyka.

§17. Używanie pakietów

1. Użytkownik może używać pakietu wyłącznie zgodnie z jego licencją, dokumentacją, wymaganiami technicznymi, przeznaczeniem i przepisami prawa.
2. Użytkownik odpowiada za skutki instalacji, uruchomienia, integracji, aktualizacji albo użycia pakietu w swoim środowisku.
3. Przed użyciem pakietu w środowisku produkcyjnym organizacja powinna wykonać testy, analizę bezpieczeństwa i kopię zapasową, jeżeli charakter środowiska tego wymaga.

Rozdział VII — Licencje, prawa autorskie i open source

§18. Licencje pakietów

1. Każdy pakiet może podlegać odrębnej licencji.
2. Licencja pakietu może być licencją TE8, licencją partnera, licencją podmiotu trzeciego, licencją organizacji, licencją open source albo inną licencją wskazaną w metadanych pakietu.
3. Pobranie pakietu nie oznacza nabycia własności pakietu ani przeniesienia praw autorskich.
4. Użytkownik otrzymuje wyłącznie prawo korzystania z pakietu w zakresie określonym przez właściwą licencję.
5. Użytkownik odpowiada za przestrzeganie licencji pakietów, zależności i komponentów stron trzecich.

§19. Pakiety TE8

1. Pakiety oficjalne TE8 mogą podlegać licencjom TE8, w szczególności LP-04, licencji komponentu, licencji enterprise albo innym warunkom wskazanym w metadanych pakietu.
2. Pakiet oznaczony jako oficjalny pakiet TE8 może być publikowany wyłącznie przez TE8 albo podmiot wyraźnie upoważniony przez TE8.
3. Użytkownik nie może oznaczać swoich pakietów jako oficjalnych pakietów TE8 bez uprzedniej zgody TE8.

§20. Pakiety partnerów i podmiotów trzecich

1. Pakiety partnerów i podmiotów trzecich mogą podlegać odrębnym licencjom, regulaminom, politykom prywatności, warunkom wsparcia i ograniczeniom.
2. TE8 nie udziela licencji na pakiety partnerów i podmiotów trzecich, chyba że wyraźnie wynika to z dokumentacji, karty pakietu, zamówienia albo umowy.
3. TE8 nie odpowiada za zgodność, legalność, bezpieczeństwo, aktualność ani działanie pakietów partnerów i podmiotów trzecich, chyba że przepisy prawa albo odrębna umowa stanowią inaczej.

§21. Open source

1. Pakiety open source podlegają właściwym licencjom open source.
2. Niniejszy Regulamin nie ogranicza praw, które użytkownik posiada bezpośrednio na podstawie właściwej licencji open source.
3. Publikujący pakiet open source powinien prawidłowo wskazać licencję, informacje o autorach, wymagane noty prawne, pliki LICENSE, NOTICE i inne informacje wymagane przez daną licencję.
4. Użytkownik odpowiada za ocenę zgodności użycia pakietu open source z własnym modelem biznesowym, środowiskiem, dystrybucją, produktem i obowiązkami licencyjnymi.

Rozdział VIII — Bezpieczeństwo łańcucha dostaw

§22. Środki bezpieczeństwa TE8 Repo

1. TE8 może stosować środki mające na celu ochronę bezpieczeństwa łańcucha dostaw oprogramowania.
2. Środki te mogą obejmować w szczególności:
   1. weryfikację kont publikujących,
   2. MFA dla publikujących,
   3. podpisywanie pakietów,
   4. weryfikację podpisów,
   5. sumy kontrolne,
   6. skanowanie malware,
   7. skanowanie podatności,
   8. skanowanie sekretów,
   9. analizę zależności,
   10. analizę SBOM,
   11. wykrywanie typosquattingu,
   12. wykrywanie dependency confusion,
   13. limity pobrań i publikacji,
   14. blokady podejrzanych pakietów,
   15. monitoring nadużyć,
   16. rejestrowanie zdarzeń audytowych,
   17. procedury wycofywania pakietów,
   18. powiadomienia bezpieczeństwa.
3. Żaden mechanizm bezpieczeństwa nie gwarantuje całkowitego wyeliminowania błędów, podatności, malware, nadużyć, problemów licencyjnych albo ryzyk związanych z pakietami.

§23. Obowiązki bezpieczeństwa publikującego

1. Publikujący pakiety powinien:
   1. chronić konto, tokeny i klucze publikacji,
   2. stosować MFA, jeżeli jest dostępne albo wymagane,
   3. publikować pakiety wyłącznie z zaufanego środowiska,
   4. weryfikować zależności,
   5. skanować pakiety pod kątem malware i podatności,
   6. nie publikować sekretów, haseł, tokenów ani kluczy prywatnych,
   7. prawidłowo oznaczać wersje testowe, beta i eksperymentalne,
   8. prawidłowo oznaczać licencje,
   9. reagować na zgłoszenia podatności,
   10. usuwać albo poprawiać pakiety naruszające bezpieczeństwo,
   11. niezwłocznie zgłaszać TE8 podejrzenie przejęcia konta publikującego albo pakietu.

§24. Obowiązki bezpieczeństwa pobierającego

1. Użytkownik pobierający pakiety powinien:
   1. weryfikować źródło pakietu,
   2. weryfikować podpisy i sumy kontrolne, jeżeli są dostępne,
   3. sprawdzać licencję pakietu,
   4. sprawdzać zależności,
   5. sprawdzać metadane bezpieczeństwa,
   6. testować pakiety przed użyciem produkcyjnym,
   7. monitorować aktualizacje bezpieczeństwa,
   8. nie instalować pakietów z nieznanych albo podejrzanych źródeł,
   9. stosować zasady minimalnych uprawnień,
   10. wykonywać kopie zapasowe przed instalacją albo aktualizacją.

§25. Malware, sekrety i pakiety szkodliwe

1. Zabrania się publikowania, przechowywania, dystrybucji albo promowania pakietów zawierających malware, ransomware, spyware, backdoory, trojany, exploit-kity, botnety, credential stealery, phishing, mechanizmy omijania zabezpieczeń albo inne szkodliwe elementy.
2. Zabrania się publikowania pakietów zawierających nieuprawnione sekrety, hasła, tokeny, klucze prywatne, dane dostępowe, certyfikaty, dane osobowe, dane poufne albo tajemnice przedsiębiorstwa.
3. TE8 może automatycznie albo ręcznie blokować, usuwać, kwarantannować, ukrywać albo ograniczać pakiety, jeżeli zachodzi podejrzenie naruszenia bezpieczeństwa.
4. TE8 może zawiadomić właściwe osoby, organizacje albo organy, jeżeli wymaga tego prawo, bezpieczeństwo albo ochrona użytkowników.

Rozdział IX — Zależności, SBOM i metadane bezpieczeństwa

§26. Zależności

1. Pakiety mogą posiadać zależności wobec innych pakietów, bibliotek, wersji Systemu TE8, komponentów, usług online, API, konfiguracji albo środowiska.
2. Publikujący powinien wskazać zależności w metadanych pakietu, jeżeli są one wymagane do prawidłowego działania pakietu.
3. Użytkownik odpowiada za ocenę, czy zależności pakietu są zgodne z jego środowiskiem, licencjami, wymaganiami bezpieczeństwa i politykami organizacji.
4. TE8 może ostrzegać przed znanymi problemami zależności, ale nie gwarantuje wykrycia wszystkich problemów, podatności, konfliktów albo naruszeń licencji.

§27. SBOM

1. TE8 może wymagać albo umożliwiać dołączenie SBOM do pakietu.
2. SBOM może obejmować w szczególności:
   1. listę komponentów,
   2. wersje komponentów,
   3. licencje,
   4. zależności bezpośrednie,
   5. zależności pośrednie,
   6. identyfikatory pakietów,
   7. sumy kontrolne,
   8. informacje o dostawcach,
   9. informacje o znanych podatnościach,
   10. format SBOM, jeżeli jest wymagany.
3. Jeżeli SBOM jest wymagany, brak SBOM, błędny SBOM albo wprowadzający w błąd SBOM może skutkować odmową publikacji, ograniczeniem widoczności, blokadą albo usunięciem pakietu.

§28. Informacje o podatnościach

1. TE8 może publikować informacje o podatnościach dotyczących pakietów, wersji, zależności albo komponentów.
2. Informacje o podatnościach mogą obejmować:
   1. identyfikator podatności,
   2. opis ryzyka,
   3. wersje dotknięte problemem,
   4. wersje naprawione,
   5. zalecane działania,
   6. obejścia,
   7. priorytet,
   8. status poprawki,
   9. datę publikacji komunikatu.
3. Publikujący powinien współpracować z TE8 przy obsłudze podatności pakietu, jeżeli pakiet jest dostępny w TE8 Repo.

Rozdział X — Usuwanie, blokowanie i wycofywanie pakietów

§29. Usunięcie pakietu przez publikującego

1. TE8 może umożliwiać publikującemu usunięcie pakietu albo jego wersji, o ile nie narusza to zasad stabilności repozytorium, bezpieczeństwa, audytu, praw użytkowników albo umów.
2. TE8 może ograniczyć możliwość usunięcia pakietu, jeżeli pakiet:
   1. jest zależnością innych pakietów,
   2. jest elementem aktualizacji,
   3. jest elementem Systemu TE8,
   4. jest objęty zamówieniem albo licencją,
   5. jest potrzebny do audytu,
   6. jest potrzebny do bezpieczeństwa,
   7. jest objęty postępowaniem reklamacyjnym,
   8. jest objęty sporem,
   9. musi być przechowywany na podstawie przepisów prawa.
3. Usunięcie pakietu z TE8 Repo nie musi oznaczać usunięcia jego kopii z cache, mirrorów, instalacji użytkowników, kopii zapasowych, logów albo środowisk organizacji.

§30. Blokada albo wycofanie pakietu przez TE8

1. TE8 może zablokować, ukryć, ograniczyć, oznaczyć, wycofać albo usunąć pakiet, jeżeli:
   1. pakiet narusza prawo,
   2. pakiet narusza Regulamin,
   3. pakiet narusza prawa osób trzecich,
   4. pakiet narusza licencję,
   5. pakiet zawiera malware,
   6. pakiet zawiera podatność krytyczną,
   7. pakiet zawiera sekrety albo dane poufne,
   8. pakiet wprowadza w błąd,
   9. pakiet podszywa się pod inny pakiet,
   10. pakiet służy do ataku dependency confusion,
   11. pakiet stanowi ryzyko dla TE8, użytkowników, organizacji albo infrastruktury,
   12. publikujący utracił uprawnienie do publikacji,
   13. zachodzi obowiązek wynikający z przepisów prawa albo decyzji organu,
   14. dalsza dostępność pakietu jest sprzeczna z interesem bezpieczeństwa ekosystemu TE8.
2. TE8 może poinformować publikującego albo organizację o blokadzie, chyba że byłoby to sprzeczne z prawem, bezpieczeństwem, interesem postępowania wyjaśniającego albo ochroną innych użytkowników.
3. TE8 może udostępnić komunikat dla użytkowników pakietu, jeżeli jest to uzasadnione bezpieczeństwem albo stabilnością.

§31. Kwarantanna

1. TE8 może przenieść pakiet do kwarantanny w celu analizy bezpieczeństwa, prawnej albo technicznej.
2. Pakiet w kwarantannie może być niedostępny do pobrania, instalacji, publikacji, aktualizacji albo widoczności publicznej.
3. Kwarantanna może zostać zastosowana automatycznie albo ręcznie.
4. TE8 może zakończyć kwarantannę przez przywrócenie pakietu, ograniczenie pakietu, oznaczenie pakietu, wycofanie pakietu albo trwałe usunięcie pakietu.

Rozdział XI — Cache, mirrory i repozytoria lokalne

§32. Cache

1. TE8 Repo może wykorzystywać cache w celu poprawy wydajności, dostępności, bezpieczeństwa i stabilności usługi.
2. Pakiety, metadane, manifesty, sumy kontrolne albo inne zasoby mogą pozostawać w cache przez określony czas po zmianie, aktualizacji, wycofaniu albo usunięciu.
3. TE8 może czyścić cache, odświeżać cache albo unieważniać cache, jeżeli jest to uzasadnione bezpieczeństwem, prawem, stabilnością albo poprawnością działania.

§33. Mirrory

1. Tworzenie mirrorów TE8 Repo wymaga zgody TE8, chyba że TE8 wyraźnie dopuści taką możliwość w dokumentacji, licencji albo umowie.
2. Mirror powinien zachowywać integralność pakietów, podpisów, sum kontrolnych, licencji, metadanych i informacji o pochodzeniu.
3. Organizacja utrzymująca mirror odpowiada za:
   1. aktualność mirroru,
   2. integralność pakietów,
   3. kontrolę dostępu,
   4. bezpieczeństwo infrastruktury,
   5. usuwanie pakietów wycofanych,
   6. stosowanie komunikatów bezpieczeństwa,
   7. przestrzeganie licencji,
   8. brak modyfikacji pakietów bez uprawnienia.
4. TE8 nie ponosi odpowiedzialności za skutki korzystania z nieautoryzowanego, przestarzałego, zmodyfikowanego, błędnie skonfigurowanego albo niezabezpieczonego mirroru.

§34. Repozytoria lokalne enterprise

1. TE8 może udostępnić funkcję lokalnego repozytorium enterprise dla organizacji.
2. Lokalne repozytorium enterprise może służyć do:
   1. kontrolowanej dystrybucji pakietów,
   2. przechowywania zatwierdzonych wersji,
   3. działania w środowisku offline,
   4. kontroli zależności,
   5. ograniczenia dostępu do repozytoriów publicznych,
   6. spełnienia wymagań bezpieczeństwa organizacji,
   7. audytu pakietów,
   8. wdrożeń w środowiskach zamkniętych.
3. Zakres odpowiedzialności TE8 za lokalne repozytorium enterprise powinien wynikać z umowy, dokumentacji, planu albo SLA.

Rozdział XII — Limity, nadużycia i dostęp techniczny

§35. Limity

1. TE8 może stosować limity techniczne, organizacyjne albo licencyjne dotyczące korzystania z TE8 Repo.
2. Limity mogą dotyczyć w szczególności:
   1. liczby repozytoriów,
   2. liczby pakietów,
   3. liczby wersji,
   4. rozmiaru pakietów,
   5. łącznej przestrzeni dyskowej,
   6. liczby pobrań,
   7. liczby publikacji,
   8. częstotliwości żądań,
   9. transferu danych,
   10. liczby tokenów,
   11. liczby kluczy API,
   12. liczby użytkowników,
   13. liczby organizacji,
   14. zakresu retencji logów,
   15. zakresu skanowania bezpieczeństwa.
3. TE8 może zmieniać limity w zależności od planu, licencji, umowy, bezpieczeństwa, kosztów infrastruktury albo stabilności usługi.

§36. Nadużycia

1. TE8 może ograniczyć albo zablokować konto, token, repozytorium, pakiet, adres IP, organizację albo integrację w przypadku podejrzenia nadużycia.
2. Nadużycia obejmują w szczególności:
   1. masowe pobieranie sprzeczne z przeznaczeniem,
   2. scraping,
   3. atak DDoS,
   4. credential stuffing,
   5. brute force,
   6. publikację malware,
   7. publikację fałszywych pakietów,
   8. podszywanie się pod TE8 albo inny podmiot,
   9. naruszanie limitów,
   10. obchodzenie zabezpieczeń,
   11. automatyzację naruszającą dokumentację albo interes TE8,
   12. wykorzystanie TE8 Repo jako hostingu ogólnego, magazynu kopii zapasowych albo CDN bez zgody TE8,
   13. naruszenie praw autorskich albo licencji.

§37. Automatyzacja i CI/CD

1. TE8 Repo może być używane w procesach automatyzacji, CI/CD, build, deployment, testowania albo integracji technicznej, jeżeli odbywa się to zgodnie z dokumentacją, limitami, licencją i zasadami bezpieczeństwa.
2. Użytkownik i organizacja odpowiadają za prawidłową konfigurację integracji CI/CD, w szczególności za:
   1. bezpieczne przechowywanie tokenów,
   2. ograniczenie uprawnień,
   3. rotację sekretów,
   4. kontrolę logów,
   5. blokadę publikacji nieautoryzowanych pakietów,
   6. weryfikację podpisów,
   7. testy bezpieczeństwa,
   8. kontrolę zależności,
   9. monitorowanie pobrań i publikacji.

Rozdział XIII — Integracja z TE8 Store, TE8 Update i API TE8

§38. Relacja do TE8 Store

1. TE8 Store może korzystać z TE8 Repo jako źródła pakietów, komponentów, metadanych, podpisów, manifestów, licencji albo plików instalacyjnych.
2. Publikacja pakietu w TE8 Repo nie oznacza automatycznej publikacji w TE8 Store.
3. Publikacja pakietu w TE8 Store może wymagać dodatkowej weryfikacji, opisu produktu, licencji, informacji o prywatności, ceny, wsparcia, kompatybilności i akceptacji LP-05.

§39. Relacja do TE8 Update

1. TE8 Update może korzystać z TE8 Repo jako źródła pakietów aktualizacji, hotfixów, metadanych, manifestów i zależności.
2. Pakiet opublikowany w TE8 Repo może być użyty przez TE8 Update wyłącznie wtedy, gdy spełnia wymagania aktualizacji, bezpieczeństwa, licencji i kompatybilności.
3. Korzystanie z TE8 Update podlega LP-06.

§40. Relacja do API TE8

1. Dostęp do TE8 Repo może być realizowany przez API TE8.
2. API TE8 może służyć do:
   1. pobierania pakietów,
   2. publikowania pakietów,
   3. zarządzania metadanymi,
   4. zarządzania wersjami,
   5. zarządzania repozytoriami,
   6. zarządzania tokenami,
   7. sprawdzania uprawnień,
   8. sprawdzania sum kontrolnych,
   9. pobierania manifestów,
   10. integracji CI/CD.
3. Korzystanie z API TE8 podlega LP-08 — Warunkom korzystania z API TE8.

Rozdział XIV — Dane osobowe i prywatność

§41. Przetwarzanie danych

1. W związku z TE8 Repo TE8 może przetwarzać dane osobowe i dane techniczne zgodnie z LP-02 — Polityką Prywatności TE8.
2. Dane mogą być przetwarzane w szczególności w celu:
   1. obsługi konta,
   2. obsługi organizacji,
   3. kontroli dostępu,
   4. zarządzania repozytoriami,
   5. publikacji pakietów,
   6. pobierania pakietów,
   7. obsługi tokenów i kluczy API,
   8. prowadzenia logów audytowych,
   9. zapewnienia bezpieczeństwa,
   10. skanowania nadużyć,
   11. obsługi zgłoszeń,
   12. obsługi reklamacji,
   13. obsługi rozliczeń, jeżeli dotyczy,
   14. dochodzenia roszczeń i obrony przed roszczeniami,
   15. wypełniania obowiązków prawnych.
3. Jeżeli TE8 przetwarza dane osobowe w imieniu klienta B2B jako podmiot przetwarzający, zastosowanie powinna mieć LP-09 — Umowa powierzenia przetwarzania danych albo inna właściwa umowa.

§42. Dane techniczne TE8 Repo

1. TE8 Repo może przetwarzać dane techniczne, w szczególności:
   1. identyfikator użytkownika,
   2. identyfikator organizacji,
   3. identyfikator repozytorium,
   4. identyfikator pakietu,
   5. identyfikator wersji,
   6. identyfikator tokena,
   7. adres IP,
   8. user agent,
   9. logi pobrań,
   10. logi publikacji,
   11. logi błędów,
   12. logi bezpieczeństwa,
   13. logi audytowe,
   14. sumy kontrolne,
   15. podpisy,
   16. metadane pakietów,
   17. informacje o zależnościach,
   18. status skanowania,
   19. status blokad albo kwarantanny.
2. Dane techniczne mogą być wykorzystywane do bezpieczeństwa, audytu, zgodności licencyjnej, diagnostyki, działania usługi, wsparcia, rozliczeń i przeciwdziałania nadużyciom.

§43. Sekrety i dane poufne

1. Użytkownik nie powinien publikować w TE8 Repo sekretów, haseł, tokenów, kluczy prywatnych, danych dostępowych, danych osobowych, tajemnic przedsiębiorstwa ani danych poufnych, chyba że usługa została wyraźnie zaprojektowana do bezpiecznego przechowywania takiego rodzaju danych i TE8 dopuści takie użycie.
2. Jeżeli użytkownik opublikuje sekret albo dane poufne, powinien niezwłocznie:
   1. usunąć albo zablokować zasób,
   2. unieważnić ujawnione poświadczenie,
   3. zgłosić incydent właściwym osobom w organizacji,
   4. zgłosić sprawę do TE8, jeżeli zasób mógł zostać ujawniony osobom nieuprawnionym.
3. TE8 może automatycznie blokować albo usuwać zasoby zawierające wykryte sekrety, jeżeli jest to uzasadnione bezpieczeństwem.

Rozdział XV — Dostępność, retencja i utrzymanie usługi

§44. Dostępność TE8 Repo

1. TE8 dokłada należytej staranności w celu zapewnienia działania TE8 Repo.
2. TE8 nie gwarantuje nieprzerwanej dostępności TE8 Repo przez 100% czasu, chyba że odrębny dokument SLA stanowi inaczej.
3. TE8 Repo może być czasowo niedostępne albo ograniczone z powodu:
   1. prac technicznych,
   2. aktualizacji infrastruktury,
   3. awarii,
   4. incydentów bezpieczeństwa,
   5. przeciążenia,
   6. działań dostawców infrastruktury,
   7. działań CDN,
   8. działań operatorów sieci,
   9. siły wyższej,
   10. przyczyn prawnych,
   11. ochrony użytkowników, organizacji albo infrastruktury.

§45. Retencja pakietów i logów

1. TE8 może określać zasady retencji pakietów, metadanych, wersji, logów, cache, mirrorów, kopii zapasowych i danych audytowych.
2. Retencja może zależeć od:
   1. planu,
   2. licencji,
   3. typu repozytorium,
   4. statusu organizacji,
   5. statusu płatności,
   6. statusu bezpieczeństwa,
   7. obowiązków prawnych,
   8. potrzeb audytu,
   9. postępowań wyjaśniających,
   10. roszczeń,
   11. SLA albo DPA.
3. Usunięcie pakietu przez użytkownika nie musi oznaczać natychmiastowego usunięcia wszystkich kopii technicznych, logów, backupów, cache albo metadanych.

§46. Kopie zapasowe TE8 Repo

1. TE8 może wykonywać kopie zapasowe TE8 Repo zgodnie z własną polityką backupu.
2. Kopie zapasowe TE8 Repo służą ochronie ciągłości działania TE8, a nie zastępują strategii backupu organizacji, chyba że odrębna umowa stanowi inaczej.
3. Organizacja powinna przechowywać własne kopie krytycznych pakietów, konfiguracji i artefaktów, jeżeli są one istotne dla jej działalności.

Rozdział XVI — Zakazane działania

§47. Zakazy ogólne

Użytkownik nie może:

1. korzystać z TE8 Repo niezgodnie z prawem, Regulaminem, dokumentacją albo przeznaczeniem,
2. publikować pakietów bez praw do ich publikacji,
3. publikować malware, exploitów, backdoorów albo pakietów szkodliwych,
4. publikować pakietów naruszających prawa autorskie, znaki towarowe, tajemnicę przedsiębiorstwa albo licencje,
5. publikować sekretów, haseł, tokenów, kluczy prywatnych albo danych dostępowych,
6. podszywać się pod TE8, partnera, dostawcę pakietu albo innego użytkownika,
7. stosować typosquattingu, dependency confusion albo innych technik wprowadzających w błąd,
8. obchodzić zabezpieczeń, limitów, licencji, kontroli dostępu albo mechanizmów autoryzacji,
9. udostępniać tokenów albo kluczy API osobom nieuprawnionym,
10. tworzyć nieautoryzowanych mirrorów,
11. używać TE8 Repo jako ogólnego hostingu plików, backupu, CDN albo magazynu danych bez zgody TE8,
12. zakłócać działania TE8 Repo,
13. prowadzić nieautoryzowanego skanowania, testów penetracyjnych, fuzzingu albo prób obejścia zabezpieczeń,
14. używać botów, crawlerów albo automatyzacji w sposób sprzeczny z dokumentacją albo stabilnością usługi,
15. usuwać informacji licencyjnych, podpisów, sum kontrolnych, metadanych autorstwa albo oznaczeń praw,
16. wykorzystywać TE8 Repo do phishingu, spamu, oszustw, naruszeń prawa albo naruszeń bezpieczeństwa.

§48. Zakaz obchodzenia zabezpieczeń

1. Użytkownik nie może obchodzić ani próbować obchodzić mechanizmów bezpieczeństwa TE8 Repo.
2. Zakaz obejmuje w szczególności:
   1. omijanie kontroli dostępu,
   2. omijanie limitów,
   3. omijanie skanowania bezpieczeństwa,
   4. omijanie podpisów i weryfikacji integralności,
   5. modyfikowanie pakietów po podpisaniu,
   6. fałszowanie metadanych,
   7. fałszowanie pochodzenia pakietów,
   8. fałszowanie wyników skanowania,
   9. ukrywanie malware,
   10. ukrywanie zależności albo licencji.

Rozdział XVII — Zgłoszenia, nadużycia i moderacja

§49. Zgłaszanie naruszeń

1. Naruszenia dotyczące pakietów, repozytoriów, treści, praw autorskich, znaków towarowych, malware, sekretów, podatności albo innych nadużyć można zgłaszać na adres: [UZUPEŁNIĆ, NP. abuse@te8.pl] albo przez formularz zgłoszeniowy, jeżeli zostanie udostępniony.
2. Zgłoszenie powinno zawierać:
   1. identyfikację pakietu albo repozytorium,
   2. opis naruszenia,
   3. uzasadnienie zgłoszenia,
   4. dane kontaktowe zgłaszającego, jeżeli oczekuje odpowiedzi,
   5. dowody albo informacje potwierdzające naruszenie, jeżeli są dostępne,
   6. wskazanie, czy sprawa dotyczy bezpieczeństwa, prawa autorskiego, licencji, danych osobowych, tajemnicy przedsiębiorstwa albo innego naruszenia.
3. TE8 może poprosić o dodatkowe informacje, jeżeli są potrzebne do rozpatrzenia zgłoszenia.

§50. Działania TE8 po zgłoszeniu

1. Po otrzymaniu zgłoszenia TE8 może:
   1. pozostawić pakiet bez zmian,
   2. poprosić publikującego o wyjaśnienia,
   3. oznaczyć pakiet ostrzeżeniem,
   4. ograniczyć widoczność pakietu,
   5. przenieść pakiet do kwarantanny,
   6. zablokować pobieranie,
   7. usunąć pakiet,
   8. zablokować repozytorium,
   9. zawiesić konto albo organizację,
   10. unieważnić tokeny,
   11. powiadomić użytkowników,
   12. powiadomić właściwe organy, jeżeli wymaga tego prawo albo bezpieczeństwo.
2. TE8 może odmówić podjęcia działania, jeżeli zgłoszenie jest oczywiście bezzasadne, niewystarczające, nadużyciowe albo nie dotyczy zasobów TE8 Repo.

§51. Odwołanie od decyzji

1. Jeżeli TE8 udostępni mechanizm odwoławczy, publikujący może odwołać się od decyzji o blokadzie, usunięciu albo ograniczeniu pakietu.
2. Odwołanie powinno zawierać uzasadnienie, identyfikację pakietu, dane publikującego i informacje potwierdzające zgodność pakietu z Regulaminem.
3. TE8 może utrzymać, zmienić albo uchylić decyzję po rozpatrzeniu odwołania.

Rozdział XVIII — Reklamacje i wsparcie

§52. Reklamacje

1. Reklamacje dotyczące TE8 Repo można składać:
   1. pocztą elektroniczną na adres: [UZUPEŁNIĆ, NP. reklamacje@te8.pl],
   2. pocztą elektroniczną na adres repozytorium: [UZUPEŁNIĆ, NP. repo@te8.pl],
   3. przez panel zgłoszeniowy, jeżeli został udostępniony,
   4. przez panel organizacji, jeżeli funkcja taka jest dostępna,
   5. w inny sposób wskazany przez TE8.
2. Reklamacja powinna zawierać:
   1. dane użytkownika albo organizacji,
   2. adres e-mail kontaktowy,
   3. identyfikator repozytorium,
   4. identyfikator pakietu, jeżeli dotyczy,
   5. wersję pakietu, jeżeli dotyczy,
   6. opis problemu,
   7. datę i godzinę wystąpienia problemu,
   8. kod błędu, jeżeli jest dostępny,
   9. źródło problemu, np. panel, CLI, API, CI/CD, TE8 Update, TE8 Store,
   10. środowisko techniczne,
   11. żądanie użytkownika, jeżeli jest możliwe do określenia.
3. TE8 rozpatruje reklamację w terminie do 30 dni od dnia jej otrzymania, chyba że przepisy prawa albo odrębna umowa wymagają innego terminu.
4. Jeżeli rozpatrzenie reklamacji wymaga dodatkowych informacji, TE8 może zwrócić się do użytkownika o ich uzupełnienie.

§53. Wsparcie techniczne

1. Zakres wsparcia TE8 Repo zależy od planu, licencji, umowy, typu organizacji, statusu usługi, SLA albo dokumentacji.
2. Wsparcie może obejmować w szczególności:
   1. problemy z dostępem,
   2. problemy z pobieraniem,
   3. problemy z publikacją,
   4. problemy z tokenami,
   5. problemy z uprawnieniami,
   6. problemy z integracją CI/CD,
   7. problemy z TE8 Update,
   8. problemy z TE8 Store,
   9. diagnostykę błędów,
   10. obsługę zgłoszeń bezpieczeństwa.
3. TE8 może odmówić wsparcia albo je ograniczyć, jeżeli problem wynika z naruszenia Regulaminu, nieautoryzowanego mirroru, nieobsługiwanego środowiska, nadużycia, modyfikacji pakietu, naruszenia licencji albo użycia niezgodnego z dokumentacją.

§54. Zgłoszenia bezpieczeństwa

1. Zgłoszenia podatności, malware, przejęcia pakietu, wycieku sekretów, fałszywych pakietów albo innych incydentów bezpieczeństwa należy kierować na adres: [UZUPEŁNIĆ, NP. security@te8.pl].
2. Zgłoszenie powinno zawierać możliwie dokładny opis problemu, identyfikację pakietu, wersję, repozytorium, kroki odtworzenia, potencjalny wpływ i dane kontaktowe zgłaszającego.
3. Użytkownik nie może prowadzić nieautoryzowanych testów bezpieczeństwa TE8 Repo bez uprzedniej pisemnej zgody TE8.

Rozdział XIX — Odpowiedzialność

§55. Zasady ogólne

1. TE8 dokłada należytej staranności w celu zapewnienia bezpiecznego, stabilnego i prawidłowego działania TE8 Repo.
2. Ze względu na złożoność repozytoriów, zależności, pakietów, komponentów, tokenów, integracji, środowisk użytkowników, infrastruktury i oprogramowania stron trzecich, TE8 nie może zagwarantować pełnej bezbłędności, nieprzerwanej dostępności, wykrycia wszystkich zagrożeń ani pełnej kompatybilności wszystkich pakietów.
3. Użytkownik korzysta z TE8 Repo świadomie, z uwzględnieniem ryzyk właściwych dla pobierania, publikowania, instalowania, aktualizowania i używania pakietów oraz komponentów cyfrowych.
4. Żadne postanowienie Regulaminu nie wyłącza ani nie ogranicza odpowiedzialności TE8 w zakresie, w jakim takie wyłączenie albo ograniczenie byłoby niedopuszczalne na podstawie bezwzględnie obowiązujących przepisów prawa.

§56. Wyłączenia odpowiedzialności

W zakresie dopuszczalnym przez przepisy prawa TE8 nie ponosi odpowiedzialności za:

1. pakiety publikowane przez użytkowników, organizacje, partnerów albo podmioty trzecie, jeżeli TE8 nie jest ich dostawcą,
2. naruszenie licencji przez użytkownika albo publikującego,
3. naruszenie praw autorskich, znaków towarowych albo praw osób trzecich przez publikującego,
4. skutki pobrania pakietu z nieautoryzowanego źródła,
5. skutki użycia niezweryfikowanego pakietu,
6. skutki zainstalowania pakietu w niekompatybilnym środowisku,
7. skutki błędnej konfiguracji repozytorium, uprawnień, tokenów albo CI/CD,
8. skutki udostępnienia tokena osobie nieuprawnionej,
9. utratę, uszkodzenie albo niedostępność danych wynikającą z braku kopii zapasowej,
10. działanie mirrorów, cache albo lokalnych repozytoriów utrzymywanych przez organizację,
11. działanie sieci, Internetu, operatorów telekomunikacyjnych, dostawców hostingu, dostawców chmury albo CDN,
12. brak wykrycia wszystkich podatności, malware, sekretów albo problemów licencyjnych,
13. wycofanie, blokadę albo usunięcie pakietu uzasadnione bezpieczeństwem, prawem, licencją albo ochroną użytkowników,
14. przerwy w działalności użytkownika albo organizacji,
15. utracone korzyści, utratę przychodów, utratę kontraktów, utratę reputacji albo szkody pośrednie w relacjach B2B.

§57. Limit odpowiedzialności B2B

1. W relacjach B2B, jeżeli odrębna umowa nie stanowi inaczej, łączna odpowiedzialność TE8 wobec użytkownika albo organizacji z tytułu TE8 Repo jest ograniczona do kwoty netto faktycznie zapłaconej TE8 za usługę TE8 Repo albo plan, z którym związane było zdarzenie, w okresie 12 miesięcy poprzedzających zdarzenie będące podstawą roszczenia.
2. Jeżeli TE8 Repo jest udostępniane nieodpłatnie, w wersji testowej, beta, preview albo pilotażowej, odpowiedzialność TE8 w relacjach B2B jest ograniczona do zakresu, w jakim przepisy prawa nie pozwalają na jej wyłączenie.
3. Ograniczenia odpowiedzialności nie dotyczą szkód wyrządzonych umyślnie ani przypadków, w których bezwzględnie obowiązujące przepisy prawa nie pozwalają na ograniczenie odpowiedzialności.

§58. Odpowiedzialność użytkownika i publikującego

1. Użytkownik, organizacja i publikujący odpowiadają za skutki naruszenia Regulaminu, licencji, prawa, praw osób trzecich, bezpieczeństwa albo zasad korzystania z TE8 Repo.
2. Publikujący odpowiada za pakiety, które publikuje, w tym za ich legalność, licencję, metadane, bezpieczeństwo, zależności i brak naruszeń praw osób trzecich.
3. W relacjach B2B organizacja zobowiązuje się zwolnić TE8 z odpowiedzialności w zakresie roszczeń osób trzecich wynikających z działań organizacji, jej administratorów, pracowników, współpracowników, użytkowników technicznych albo osób, którym organizacja umożliwiła korzystanie z TE8 Repo, o ile jest to dopuszczalne przez prawo.

Rozdział XX — Konsumenci i osoby objęte ochroną konsumencką

§59. Ochrona konsumencka

1. TE8 Repo jest przeznaczone przede wszystkim do zastosowań profesjonalnych, technicznych, organizacyjnych i B2B.
2. Jeżeli użytkownik jest konsumentem albo osobą fizyczną korzystającą z ochrony przyznanej konsumentom przez bezwzględnie obowiązujące przepisy prawa, postanowienia Regulaminu nie ograniczają praw, których nie można wyłączyć ani ograniczyć umową.
3. W przypadku sprzeczności Regulaminu z bezwzględnie obowiązującymi przepisami chroniącymi konsumenta, zastosowanie mają te przepisy.

Rozdział XXI — Zmiany Regulaminu

§60. Przyczyny zmian

1. TE8 może zmienić Regulamin z ważnych przyczyn, w szczególności w przypadku:
   1. zmiany przepisów prawa,
   2. zmiany interpretacji przepisów albo praktyki organów,
   3. rozwoju TE8 Repo,
   4. wprowadzenia nowych typów repozytoriów,
   5. wprowadzenia nowych modeli publikacji pakietów,
   6. wprowadzenia nowych zasad bezpieczeństwa,
   7. wprowadzenia nowych limitów,
   8. zmiany integracji z TE8 Store, TE8 Update albo API TE8,
   9. zmiany procedur moderacji albo zgłoszeń,
   10. zmiany zasad skanowania pakietów,
   11. zmiany polityki retencji,
   12. zmiany modelu płatności,
   13. konieczności przeciwdziałania nadużyciom,
   14. konieczności doprecyzowania postanowień.

§61. Informowanie o zmianach

1. Aktualna wersja Regulaminu jest publikowana w domenie te8.pl albo w innym miejscu wskazanym przez TE8.
2. TE8 może poinformować użytkowników o zmianie Regulaminu za pośrednictwem TE8 Repo, Konta usług TE8, wiadomości e-mail, panelu organizacji, API, dokumentacji, komunikatu w Systemie TE8 albo innego kanału komunikacji.
3. Dalsze korzystanie z TE8 Repo po wejściu zmian w życie oznacza akceptację zmienionego Regulaminu, o ile przepisy prawa nie wymagają odrębnej zgody.
4. Jeżeli użytkownik nie akceptuje zmian, powinien zaprzestać korzystania z TE8 Repo.

Rozdział XXII — Prawo właściwe i spory

§62. Prawo właściwe

1. Regulamin podlega prawu Rzeczypospolitej Polskiej oraz właściwym przepisom prawa Unii Europejskiej.
2. Wybór prawa polskiego nie pozbawia konsumenta ochrony przyznanej mu przez przepisy, których nie można wyłączyć umownie na podstawie prawa właściwego dla miejsca jego zwykłego pobytu, jeżeli takie przepisy mają zastosowanie.

§63. Spory

1. Strony będą dążyć do polubownego rozwiązania sporów wynikających z Regulaminu.
2. W relacjach B2B sądem właściwym do rozstrzygania sporów jest sąd właściwy dla siedziby TE8, chyba że bezwzględnie obowiązujące przepisy prawa stanowią inaczej.
3. W przypadku konsumentów właściwość sądu ustalana jest zgodnie z obowiązującymi przepisami prawa.

Rozdział XXIII — Postanowienia końcowe

§64. Dostępność Regulaminu

1. Regulamin jest udostępniany nieodpłatnie przed rozpoczęciem korzystania z TE8 Repo oraz w trakcie korzystania z usługi.
2. Regulamin jest udostępniany w sposób umożliwiający jego pozyskanie, odtwarzanie i utrwalanie.
3. Użytkownik powinien zapisać albo wydrukować Regulamin na potrzeby własnej dokumentacji.

§65. Nieważność części postanowień

1. Jeżeli którekolwiek postanowienie Regulaminu okaże się nieważne, bezskuteczne albo niewykonalne, nie wpływa to na ważność pozostałych postanowień.
2. W miejsce postanowienia nieważnego, bezskutecznego albo niewykonalnego stosuje się odpowiednie przepisy prawa albo ważne postanowienie najbliższe celowi gospodarczemu i prawnemu pierwotnego postanowienia, o ile jest to dopuszczalne przez prawo.

§66. Wejście w życie

1. Regulamin wchodzi w życie z dniem [UZUPEŁNIĆ DATĘ].
2. Regulamin obowiązuje do czasu zastąpienia go nową wersją albo zakończenia świadczenia usługi TE8 Repo.

Załącznik A — Rekomendowany komunikat przy pierwszym użyciu TE8 Repo

TE8 Repo służy do przechowywania, pobierania, publikowania i dystrybucji pakietów, komponentów, artefaktów, zależności, konfiguracji i metadanych technicznych. Korzystanie z TE8 Repo wymaga przestrzegania zasad bezpieczeństwa łańcucha dostaw, ochrony tokenów, przestrzegania licencji pakietów oraz weryfikacji pakietów przed użyciem.

Zapoznałem(-am) się z Regulaminem TE8 Repo i akceptuję jego postanowienia.

Załącznik B — Rekomendowany komunikat przy publikacji pakietu

Publikując pakiet w TE8 Repo, potwierdzasz, że posiadasz prawa do jego publikacji, pakiet nie narusza praw osób trzecich, nie zawiera malware, nieuprawnionych sekretów, danych poufnych ani treści bezprawnych, a jego metadane, licencja i zależności są prawidłowe.

Potwierdzam, że pakiet jest zgodny z Regulaminem TE8 Repo, właściwymi licencjami i przepisami prawa.

Załącznik C — Minimalne pola metadanych pakietu

Załącznik D — Rekomendowany zapis audytowy publikacji pakietu

Załącznik E — Rekomendowany zapis audytowy pobrania pakietu

Załącznik F — Checklist wdrożeniowy dla TE8 Repo

• Uzupełnić dane rejestrowe TE8.
• Uzupełnić datę wejścia w życie Regulaminu.
• Uzupełnić adresy e-mail: repo, security, abuse, reklamacje, kontakt.
• Określić typy repozytoriów: publiczne, prywatne, organizacyjne, partnerskie, enterprise.
• Określić politykę przestrzeni nazw i nazw pakietów.
• Określić role i uprawnienia repozytorium.
• Wdrożyć MFA dla publikujących i administratorów repozytoriów.
• Wdrożyć tokeny o ograniczonym zakresie uprawnień.
• Wdrożyć rotację i unieważnianie tokenów.
• Wdrożyć podpisywanie pakietów albo obsługę podpisów.
• Wdrożyć sumy kontrolne i manifesty pakietów.
• Wdrożyć skanowanie malware.
• Wdrożyć skanowanie sekretów.
• Wdrożyć skanowanie podatności i zależności.
• Wdrożyć mechanizmy ochrony przed typosquattingiem i dependency confusion.
• Określić, czy SBOM jest wymagany dla pakietów TE8, partnerów albo enterprise.
• Wdrożyć procedurę kwarantanny pakietów.
• Wdrożyć procedurę zgłaszania naruszeń i nielegalnych pakietów.
• Wdrożyć procedurę zgłaszania podatności.
• Określić limity pakietów, transferu, wersji, repozytoriów i tokenów.
• Określić politykę retencji pakietów, wersji, cache, logów i backupów.
• Określić zasady mirrorów i repozytoriów lokalnych enterprise.
• Wdrożyć zapis audytowy publikacji i pobrań.
• Sprawdzić zgodność z LP-01, LP-02, LP-03, LP-04, LP-05, LP-06, LP-08, LP-09 i LP-10.