LP-08 — Warunki korzystania z API TE8

Nazwa dokumentu: Warunki korzystania z API TE8

Kod dokumentu: LP-08

Wersja: 1.0

Status: dokument roboczy do publikacji po uzupełnieniu danych rejestrowych, technicznych, limitów API i polityki bezpieczeństwa

Obowiązuje od: [UZUPEŁNIĆ DATĘ]

Domena główna: te8.pl

Dostawca / Operator API TE8: TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]

Usługa: API TE8

Metryka dokumentu

Dokumenty powiązane

Rozdział I — Postanowienia ogólne

§1. Przedmiot Warunków API

1. Niniejsze Warunki określają zasady korzystania z API TE8, czyli interfejsów programistycznych, endpointów, webhooków, SDK, dokumentacji technicznej, kluczy API, tokenów, środowisk testowych, konsoli deweloperskiej oraz innych narzędzi umożliwiających integrację z usługami TE8.
2. API TE8 może umożliwiać w szczególności:
   1. integrację z Kontem usług TE8,
   2. integrację z Systemem TE8,
   3. integrację z TE8 Store,
   4. integrację z TE8 Update,
   5. integrację z TE8 Repo,
   6. zarządzanie organizacjami,
   7. zarządzanie użytkownikami, rolami i uprawnieniami,
   8. zarządzanie licencjami,
   9. zarządzanie pakietami, komponentami i metadanymi,
   10. automatyzację procesów administracyjnych,
   11. obsługę zdarzeń i webhooków,
   12. obsługę integracji partnerskich,
   13. dostęp do danych technicznych,
   14. dostęp do środowisk testowych, sandbox albo beta, jeżeli zostaną udostępnione.
3. API TE8 jest usługą odrębną od Systemu TE8, Konta usług TE8, TE8 Store, TE8 Update i TE8 Repo, choć może być z nimi technicznie powiązana.
4. Korzystanie z API TE8 może wymagać aktywnego Konta usług TE8, aktywnej organizacji, aktywnej licencji, tokena, klucza API, certyfikatu, aplikacji deweloperskiej, uprawnień administracyjnych, akceptacji niniejszych Warunków oraz spełnienia wymagań technicznych i bezpieczeństwa.
5. API TE8 jest przeznaczone przede wszystkim do zastosowań profesjonalnych, organizacyjnych, technicznych, partnerskich i B2B.

§2. Operator API TE8

1. Operatorem API TE8 jest:

TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]
Adres siedziby: [UZUPEŁNIĆ]
NIP: [UZUPEŁNIĆ]
REGON: [UZUPEŁNIĆ]
KRS/CEIDG: [UZUPEŁNIĆ, JEŻELI DOTYCZY]
E-mail kontaktowy: [UZUPEŁNIĆ, NP. kontakt@te8.pl]
E-mail do spraw API: [UZUPEŁNIĆ, NP. api@te8.pl]
E-mail do spraw bezpieczeństwa: [UZUPEŁNIĆ, NP. security@te8.pl]
E-mail do spraw nadużyć: [UZUPEŁNIĆ, NP. abuse@te8.pl]
E-mail do spraw reklamacji: [UZUPEŁNIĆ, NP. reklamacje@te8.pl]
Strona internetowa: te8.pl

2. TE8 może utrzymywać API TE8 samodzielnie albo z wykorzystaniem infrastruktury, usług, partnerów, dostawców chmurowych, dostawców bezpieczeństwa, dostawców monitoringu, dostawców CDN, operatorów płatności i innych podmiotów wspierających działanie usług TE8.

§3. Charakter API

1. API TE8 może być udostępniane w modelu publicznym, prywatnym, partnerskim, enterprise, testowym, beta, preview, sandbox albo indywidualnym.
2. Zakres dostępnych funkcji API może zależeć od:
   1. typu konta,
   2. typu organizacji,
   3. licencji,
   4. planu,
   5. subskrypcji,
   6. roli użytkownika,
   7. uprawnień administratora,
   8. zakresu tokena,
   9. statusu aplikacji deweloperskiej,
   10. limitu technicznego,
   11. wymagań bezpieczeństwa,
   12. odrębnej umowy z TE8.
3. TE8 może odmówić dostępu do API, ograniczyć dostęp, zawiesić dostęp albo cofnąć dostęp, jeżeli jest to uzasadnione bezpieczeństwem, prawem, nadużyciem, naruszeniem Warunków, naruszeniem licencji, ochroną użytkowników albo stabilnością usług.

Rozdział II — Definicje

§4. Słownik pojęć

Na potrzeby niniejszych Warunków poniższe pojęcia mają następujące znaczenie:

1. API TE8 albo API — interfejsy programistyczne, endpointy, webhooki, SDK, dokumentacja, konsola deweloperska i narzędzia integracyjne udostępniane przez TE8.
2. Aplikacja deweloperska — aplikacja, usługa, integracja, skrypt, automat, system CI/CD, konektor albo inne rozwiązanie korzystające z API TE8.
3. Client ID — identyfikator aplikacji deweloperskiej albo klienta API.
4. Client Secret — poufny sekret aplikacji, który powinien być chroniony jak hasło albo token.
5. Endpoint — konkretny adres, metoda albo funkcja API umożliwiająca wykonanie operacji.
6. Klucz API — poświadczenie techniczne umożliwiające dostęp do API TE8.
7. Konto usług TE8 — odrębna usługa identyfikacji, uwierzytelniania i SSO, objęta LP-01.
8. Limit API — ograniczenie liczby żądań, transferu, operacji, webhooków, tokenów, aplikacji, zapytań, zasobów albo innego parametru korzystania z API.
9. OAuth — mechanizm autoryzacji umożliwiający udzielanie aplikacjom dostępu do zasobów w określonym zakresie, jeżeli zostanie udostępniony przez TE8.
10. Organizacja — firma, instytucja, zespół, klient, partner albo inny podmiot korzystający z usług TE8.
11. Rate limit — limit liczby żądań API w określonym czasie.
12. Scope albo zakres dostępu — uprawnienie przypisane tokenowi albo aplikacji, określające, do jakich zasobów i operacji ma dostęp.
13. SDK — zestaw bibliotek, narzędzi, przykładów kodu albo komponentów programistycznych udostępnianych przez TE8 w celu korzystania z API.
14. Sandbox — środowisko testowe API, oddzielone od środowiska produkcyjnego, jeżeli zostanie udostępnione.
15. System TE8 — odrębne oprogramowanie wirtualnego pulpitu oraz powiązana technologia TE8, objęta LP-04.
16. TE8 — TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ].
17. TE8 Repo — repozytorium pakietów, artefaktów, konfiguracji i zasobów TE8, objęte LP-07.
18. TE8 Store — sklep, katalog, marketplace albo system dystrybucji komponentów, objęty LP-05.
19. TE8 Update — usługa aktualizacji, poprawek, hotfixów, wersji i metadanych TE8, objęta LP-06.
20. Token — poświadczenie techniczne umożliwiające dostęp do API, zasobów, konta, organizacji albo funkcji.
21. Użytkownik API — użytkownik, organizacja, administrator, konto techniczne, aplikacja albo integracja korzystająca z API TE8.
22. Webhook — mechanizm wysyłania przez TE8 powiadomień HTTP lub podobnych komunikatów do wskazanego endpointu użytkownika albo organizacji.
23. Warunki — niniejszy dokument LP-08 — Warunki korzystania z API TE8.
24. Żądanie API — pojedyncze wywołanie endpointu, operacji, webhooka, metody albo funkcji API.

Rozdział III — Dostęp do API TE8

§5. Warunki uzyskania dostępu

1. Dostęp do API TE8 może wymagać:
   1. Konta usług TE8,
   2. aktywnej organizacji,
   3. aktywnej licencji,
   4. aktywnej subskrypcji,
   5. uprawnień administracyjnych,
   6. utworzenia aplikacji deweloperskiej,
   7. uzyskania klucza API albo tokena,
   8. akceptacji niniejszych Warunków,
   9. akceptacji dokumentacji API,
   10. akceptacji DPA, jeżeli API jest używane do przetwarzania danych osobowych w imieniu klienta B2B,
   11. spełnienia wymagań technicznych,
   12. spełnienia wymagań bezpieczeństwa,
   13. weryfikacji aplikacji albo integracji, jeżeli TE8 tego wymaga.
2. TE8 może uzależnić dostęp do wybranych endpointów od dodatkowej autoryzacji, weryfikacji, certyfikacji, umowy partnerskiej, planu enterprise albo ręcznej akceptacji.
3. TE8 może odmówić dostępu do API, jeżeli zachodzi podejrzenie nadużycia, naruszenia bezpieczeństwa, naruszenia prawa, naruszenia licencji, podania nieprawdziwych danych albo działania na szkodę TE8, użytkowników, organizacji lub partnerów.

§6. Konto techniczne i konta serwisowe

1. TE8 może umożliwiać tworzenie kont technicznych, kont serwisowych albo aplikacji systemowych do automatycznego korzystania z API.
2. Konta techniczne powinny mieć minimalny zakres uprawnień niezbędny do wykonania określonego zadania.
3. Organizacja odpowiada za kontrolę kont technicznych, ich właścicieli, tokenów, rotacji poświadczeń, logów i zakresu dostępu.
4. Konta techniczne nie powinny być współdzielone między wieloma niezależnymi systemami bez kontroli dostępu i audytu.

§7. Dostęp organizacyjny

1. Organizacja może zarządzać dostępem do API za pomocą ról, uprawnień, tokenów, aplikacji, zakresów, polityk bezpieczeństwa i ustawień organizacyjnych, jeżeli TE8 udostępni takie funkcje.
2. Administrator organizacji odpowiada za:
   1. nadawanie uprawnień do API,
   2. odbieranie uprawnień,
   3. zarządzanie aplikacjami deweloperskimi,
   4. zarządzanie tokenami i kluczami,
   5. monitorowanie użycia API,
   6. reagowanie na alerty bezpieczeństwa,
   7. usuwanie nieużywanych integracji,
   8. kontrolę dostępu po odejściu pracowników albo współpracowników,
   9. zgodność integracji z politykami organizacji.
3. TE8 nie ponosi odpowiedzialności za skutki błędnego nadania, pozostawienia, rozszerzenia albo wykorzystania uprawnień API przez organizację, administratora albo użytkownika, chyba że przepisy prawa albo odrębna umowa stanowią inaczej.

Rozdział IV — Klucze API, tokeny i autoryzacja

§8. Klucze API i tokeny

1. Korzystanie z API TE8 może wymagać klucza API, tokena, certyfikatu, poświadczenia OAuth, podpisu, sesji technicznej albo innego mechanizmu autoryzacji.
2. Klucze API, tokeny, client secret, certyfikaty i inne poświadczenia należy traktować jak dane poufne.
3. Użytkownik i organizacja odpowiadają za:
   1. bezpieczne przechowywanie poświadczeń,
   2. nieudostępnianie poświadczeń osobom nieuprawnionym,
   3. niewpisywanie poświadczeń w kod publiczny, repozytoria, logi, zgłoszenia, dokumentację albo komunikatory,
   4. ograniczenie zakresu uprawnień tokenów,
   5. rotację tokenów,
   6. usuwanie nieużywanych tokenów,
   7. unieważnianie tokenów po utracie uprawnień użytkownika,
   8. niezwłoczne zgłaszanie wycieku tokena,
   9. stosowanie bezpiecznych mechanizmów przechowywania sekretów.
4. TE8 może unieważnić, ograniczyć, zablokować albo wymusić rotację tokena lub klucza API w przypadku podejrzenia wycieku, nadużycia, naruszenia bezpieczeństwa, przekroczenia limitów, naruszenia Warunków albo naruszenia prawa.

§9. Zakresy dostępu

1. Tokeny i aplikacje API mogą posiadać określone zakresy dostępu.
2. Zakresy dostępu mogą obejmować w szczególności:
   1. odczyt danych profilu,
   2. zarządzanie użytkownikami,
   3. zarządzanie organizacją,
   4. zarządzanie licencjami,
   5. odczyt pakietów,
   6. publikację pakietów,
   7. zarządzanie repozytoriami,
   8. zarządzanie aktualizacjami,
   9. obsługę Store,
   10. odczyt logów,
   11. zarządzanie webhookami,
   12. operacje administracyjne,
   13. operacje płatnicze albo rozliczeniowe, jeżeli zostaną udostępnione.
3. Użytkownik powinien wybierać najwęższy zakres dostępu potrzebny do działania integracji.
4. TE8 może ograniczyć zakresy dostępu albo wymagać dodatkowej weryfikacji dla zakresów wysokiego ryzyka.

§10. OAuth i zgody użytkownika

1. Jeżeli TE8 udostępni OAuth albo podobny mechanizm autoryzacji, aplikacja może uzyskać dostęp do określonych zasobów wyłącznie w zakresie udzielonym przez użytkownika, administratora organizacji albo system uprawnień TE8.
2. Ekran zgody powinien jasno informować o nazwie aplikacji, dostawcy aplikacji, żądanych zakresach dostępu oraz skutkach udzielenia dostępu.
3. Aplikacja nie może żądać zakresów dostępu szerszych niż niezbędne do jej działania.
4. Użytkownik albo administrator organizacji może mieć możliwość cofnięcia dostępu aplikacji.
5. Cofnięcie dostępu może spowodować utratę funkcjonalności aplikacji albo integracji.

§11. Rotacja i wygaśnięcie poświadczeń

1. TE8 może określać okres ważności tokenów, kluczy API, certyfikatów i innych poświadczeń.
2. TE8 może wymagać okresowej rotacji poświadczeń.
3. Poświadczenia mogą wygasnąć automatycznie, zostać unieważnione po zmianie hasła, zmianie uprawnień, usunięciu użytkownika z organizacji, wykryciu ryzyka, zmianie konfiguracji albo zakończeniu licencji.
4. Użytkownik i organizacja odpowiadają za aktualizację integracji po rotacji albo wygaśnięciu poświadczeń.

Rozdział V — Aplikacje deweloperskie i integracje

§12. Rejestracja aplikacji

1. TE8 może wymagać rejestracji aplikacji deweloperskiej przed korzystaniem z API.
2. Rejestracja aplikacji może wymagać podania:
   1. nazwy aplikacji,
   2. opisu aplikacji,
   3. dostawcy aplikacji,
   4. organizacji odpowiedzialnej za aplikację,
   5. adresów callback,
   6. adresów webhook,
   7. domen aplikacji,
   8. zakresów dostępu,
   9. informacji o przetwarzanych danych,
   10. informacji o bezpieczeństwie,
   11. linku do regulaminu aplikacji,
   12. linku do polityki prywatności aplikacji,
   13. danych kontaktowych osoby technicznej,
   14. danych kontaktowych osoby odpowiedzialnej za bezpieczeństwo.
3. Dane aplikacji powinny być prawdziwe, aktualne i niewprowadzające w błąd.
4. TE8 może odmówić rejestracji aplikacji albo usunąć aplikację, jeżeli narusza Warunki, prawo, bezpieczeństwo, prawa osób trzecich albo interes TE8.

§13. Weryfikacja aplikacji

1. TE8 może wymagać weryfikacji aplikacji przed udostępnieniem jej produkcyjnego dostępu do API.
2. Weryfikacja może obejmować:
   1. sprawdzenie tożsamości dostawcy,
   2. sprawdzenie domeny,
   3. sprawdzenie polityki prywatności,
   4. sprawdzenie regulaminu aplikacji,
   5. sprawdzenie zakresów dostępu,
   6. test bezpieczeństwa,
   7. analizę ryzyka,
   8. testy zgodności z dokumentacją API,
   9. testy obciążeniowe,
   10. analizę przetwarzania danych osobowych,
   11. weryfikację DPA, jeżeli dotyczy.
3. Pozytywna weryfikacja aplikacji nie stanowi gwarancji bezpieczeństwa, bezbłędności, zgodności prawnej ani rekomendacji aplikacji przez TE8, chyba że TE8 wyraźnie wskaże inaczej.

§14. Obowiązki dostawcy aplikacji

1. Dostawca aplikacji korzystającej z API TE8 odpowiada za:
   1. legalność działania aplikacji,
   2. bezpieczeństwo aplikacji,
   3. zgodność aplikacji z Warunkami,
   4. zgodność aplikacji z dokumentacją API,
   5. zgodność przetwarzania danych z przepisami,
   6. posiadanie własnego regulaminu, jeżeli jest wymagany,
   7. posiadanie własnej polityki prywatności, jeżeli aplikacja przetwarza dane osobowe,
   8. ochronę tokenów i sekretów,
   9. reagowanie na incydenty bezpieczeństwa,
   10. informowanie użytkowników o zakresie działania aplikacji,
   11. nieżądanie nadmiernych uprawnień,
   12. nieprzechowywanie danych dłużej niż jest to potrzebne,
   13. usuwanie danych po cofnięciu dostępu, jeżeli jest to wymagane.
2. Dostawca aplikacji nie może sugerować, że aplikacja jest oficjalną aplikacją TE8, certyfikowana przez TE8, rekomendowana przez TE8 albo powiązana z TE8, chyba że posiada pisemną zgodę TE8.

§15. Integracje partnerskie

1. Integracje partnerskie mogą wymagać odrębnej umowy partnerskiej, weryfikacji technicznej, weryfikacji bezpieczeństwa i akceptacji dodatkowych warunków.
2. TE8 może przyznać partnerowi rozszerzony dostęp do API, jeżeli wynika to z umowy i jest uzasadnione zakresem integracji.
3. TE8 może cofnąć status integracji partnerskiej, jeżeli partner narusza Warunki, umowę, bezpieczeństwo, prawo, prawa użytkowników albo interes TE8.

Rozdział VI — Dozwolone i niedozwolone użycie API

§16. Dozwolone użycie

1. API TE8 może być używane wyłącznie zgodnie z Warunkami, dokumentacją API, licencjami, przepisami prawa, zasadami bezpieczeństwa oraz przeznaczeniem usług TE8.
2. Dozwolone użycie API może obejmować w szczególności:
   1. integracje administracyjne,
   2. integracje organizacyjne,
   3. automatyzację procesów technicznych,
   4. zarządzanie licencjami,
   5. zarządzanie repozytoriami i pakietami,
   6. pobieranie metadanych,
   7. integrację z Systemem TE8,
   8. integrację z TE8 Store,
   9. integrację z TE8 Update,
   10. integrację z TE8 Repo,
   11. obsługę webhooków,
   12. integracje CI/CD,
   13. raportowanie techniczne,
   14. monitorowanie zgodne z dokumentacją,
   15. integracje partnerskie zaakceptowane przez TE8.

§17. Niedozwolone użycie

Użytkownik nie może używać API TE8 do:

1. działań niezgodnych z prawem,
2. naruszania praw osób trzecich,
3. omijania zabezpieczeń, limitów, licencji, płatności albo kontroli dostępu,
4. uzyskiwania nieautoryzowanego dostępu do kont, organizacji, danych, pakietów albo usług,
5. masowego pobierania danych niezgodnie z przeznaczeniem API,
6. scrapingu, crawlowania albo harvestingu danych poza zakresem dokumentacji API,
7. ataków brute force, credential stuffing, enumeration, fuzzingu albo testów penetracyjnych bez zgody TE8,
8. generowania nadmiernego obciążenia,
9. zakłócania działania API albo usług TE8,
10. omijania rate limitów,
11. tworzenia wielu kont, tokenów albo aplikacji w celu obejścia ograniczeń,
12. rozpowszechniania malware, phishingu, spamu, exploitów albo treści bezprawnych,
13. podszywania się pod TE8, partnera, użytkownika albo organizację,
14. przetwarzania danych bez wymaganej podstawy prawnej,
15. przechowywania danych wbrew zgodzie użytkownika albo organizacji,
16. wykorzystywania API do monitorowania osób w sposób niezgodny z prawem,
17. budowania konkurencyjnej usługi przez kopiowanie istotnych elementów API, dokumentacji, interfejsu, danych albo ekosystemu TE8 w sposób naruszający prawa TE8,
18. udostępniania API osobom nieuprawnionym,
19. sprzedaży, wynajmu, sublicencjonowania albo dalszego udostępniania dostępu do API bez zgody TE8.

§18. Zakaz obchodzenia ograniczeń technicznych

1. Użytkownik nie może obchodzić ani próbować obchodzić zabezpieczeń, limitów, filtrów, mechanizmów antynadużyciowych, mechanizmów licencyjnych, mechanizmów autoryzacji ani mechanizmów kontroli dostępu API TE8.
2. Zakaz obejmuje w szczególności:
   1. rotowanie tokenów w celu obejścia limitów,
   2. tworzenie wielu aplikacji w celu obejścia limitów,
   3. ukrywanie rzeczywistego źródła żądań,
   4. fałszowanie nagłówków,
   5. fałszowanie identyfikatorów aplikacji,
   6. omijanie blokad IP,
   7. omijanie ograniczeń zakresów dostępu,
   8. omijanie wymagań MFA,
   9. omijanie wymagań licencyjnych,
   10. automatyczne odtwarzanie endpointów nieudokumentowanych albo prywatnych.

Rozdział VII — Limity, rate limiting i fair use

§19. Limity API

1. TE8 może stosować limity API w celu ochrony stabilności, bezpieczeństwa, wydajności i uczciwego korzystania z usług.
2. Limity mogą dotyczyć w szczególności:
   1. liczby żądań na sekundę,
   2. liczby żądań na minutę,
   3. liczby żądań na godzinę,
   4. liczby żądań na dobę,
   5. liczby żądań na organizację,
   6. liczby żądań na aplikację,
   7. liczby żądań na token,
   8. liczby żądań na adres IP,
   9. transferu danych,
   10. rozmiaru payloadu,
   11. liczby webhooków,
   12. liczby subskrypcji webhooków,
   13. liczby aplikacji deweloperskich,
   14. liczby aktywnych tokenów,
   15. liczby równoległych połączeń,
   16. czasu wykonywania operacji,
   17. dostępu do endpointów wysokiego kosztu.
3. Limity mogą różnić się w zależności od planu, licencji, endpointu, organizacji, statusu partnera, historii użycia, ryzyka bezpieczeństwa i umowy.

§20. Zmiany limitów

1. TE8 może zmieniać limity API z przyczyn technicznych, bezpieczeństwa, kosztowych, organizacyjnych, biznesowych albo prawnych.
2. TE8 może czasowo zaostrzyć limity w przypadku przeciążenia, awarii, nadużycia, ataku, incydentu bezpieczeństwa albo konieczności ochrony infrastruktury.
3. TE8 może przyznać wyższe limity na podstawie planu enterprise, umowy partnerskiej, indywidualnej zgody albo uzasadnionej potrzeby technicznej.

§21. Przekroczenie limitów

1. Przekroczenie limitów może skutkować:
   1. odrzuceniem żądania,
   2. opóźnieniem odpowiedzi,
   3. zastosowaniem throttlingu,
   4. czasową blokadą tokena,
   5. czasową blokadą aplikacji,
   6. czasową blokadą adresu IP,
   7. ograniczeniem endpointów,
   8. wymogiem kontaktu z TE8,
   9. zawieszeniem dostępu do API,
   10. dodatkowymi opłatami, jeżeli wynika to z planu albo umowy.
2. Użytkownik powinien projektować integracje z uwzględnieniem retry logic, backoff, cache, paginacji, limitów i odporności na czasową niedostępność API.

Rozdział VIII — Dane, prywatność i powierzenie przetwarzania

§22. Przetwarzanie danych przez API

1. W związku z korzystaniem z API TE8 mogą być przetwarzane dane osobowe, dane techniczne, dane organizacyjne, dane licencyjne, dane pakietów, dane logów, dane webhooków i dane integracji.
2. TE8 przetwarza dane osobowe zgodnie z LP-02 — Polityką Prywatności TE8.
3. Jeżeli TE8 przetwarza dane osobowe w imieniu klienta B2B jako podmiot przetwarzający, zastosowanie powinna mieć LP-09 — Umowa powierzenia przetwarzania danych albo inna właściwa umowa powierzenia.
4. Użytkownik i organizacja odpowiadają za posiadanie podstawy prawnej do przesyłania, pobierania, przetwarzania, synchronizowania albo udostępniania danych przez API.

§23. Minimalizacja danych

1. Aplikacja korzystająca z API powinna pobierać i przetwarzać tylko dane niezbędne do realizacji konkretnego celu.
2. Użytkownik API nie powinien pobierać danych masowo, nadmiarowo albo „na zapas”, jeżeli nie jest to uzasadnione funkcją aplikacji, umową, prawem albo dokumentacją.
3. Aplikacja powinna usuwać lub anonimizować dane, które nie są już potrzebne do celu, dla którego zostały pobrane, chyba że dalsze przechowywanie wynika z prawa, umowy albo uzasadnionego obowiązku bezpieczeństwa.

§24. Dane użytkowników końcowych

1. Jeżeli aplikacja korzystająca z API przetwarza dane użytkowników końcowych, dostawca aplikacji odpowiada za:
   1. poinformowanie użytkowników o przetwarzaniu danych,
   2. posiadanie odpowiedniej podstawy prawnej,
   3. realizację praw osób, których dane dotyczą,
   4. bezpieczeństwo danych,
   5. ograniczenie dostępu do danych,
   6. usunięcie danych po cofnięciu dostępu, jeżeli jest wymagane,
   7. zawarcie DPA, jeżeli jest wymagane,
   8. zgodność z politykami organizacji, w imieniu której działa.
2. TE8 może ograniczyć dostęp aplikacji do danych użytkowników końcowych, jeżeli zachodzi ryzyko naruszenia prywatności, bezpieczeństwa, prawa albo Warunków.

§25. Dane szczególnych kategorii i dane wrażliwe

1. API TE8 nie powinno być używane do przesyłania danych szczególnych kategorii, danych wysoce poufnych, haseł, sekretów, kluczy prywatnych, tokenów albo danych wrażliwych, chyba że dokumentacja, umowa albo konkretna funkcja API wyraźnie to dopuszcza i zapewnia odpowiednie zabezpieczenia.
2. Użytkownik odpowiada za klasyfikację danych przesyłanych przez API oraz za stosowanie odpowiednich środków bezpieczeństwa.

Rozdział IX — Logi, monitoring i audyt

§26. Logi API

1. TE8 może rejestrować zdarzenia API w celu zapewnienia działania usługi, bezpieczeństwa, audytu, rozliczeń, diagnostyki, przeciwdziałania nadużyciom i dochodzenia roszczeń.
2. Logi API mogą obejmować w szczególności:
   1. identyfikator użytkownika,
   2. identyfikator organizacji,
   3. identyfikator aplikacji,
   4. identyfikator tokena,
   5. adres IP,
   6. user agent,
   7. endpoint,
   8. metodę HTTP,
   9. czas żądania,
   10. czas odpowiedzi,
   11. kod odpowiedzi,
   12. rozmiar żądania i odpowiedzi,
   13. status autoryzacji,
   14. informacje o limicie,
   15. identyfikator korelacji,
   16. komunikat błędu,
   17. zdarzenia bezpieczeństwa.
3. TE8 nie powinien zapisywać w logach haseł, pełnych tokenów, sekretów, kluczy prywatnych ani danych nadmiarowych, o ile nie jest to absolutnie konieczne z przyczyn bezpieczeństwa lub diagnostyki.

§27. Monitoring użycia API

1. TE8 może monitorować użycie API w celu wykrywania nadużyć, awarii, przeciążeń, błędów integracji, podatności, nieautoryzowanego dostępu i naruszeń Warunków.
2. Monitoring może obejmować analizę wzorców żądań, anomalii, limitów, błędów, prób autoryzacji, geolokalizacji przybliżonej, zachowań aplikacji i ryzyka bezpieczeństwa.
3. Wyniki monitoringu mogą skutkować dodatkowymi zabezpieczeniami, alertem, ograniczeniem, blokadą albo żądaniem wyjaśnień od użytkownika lub organizacji.

§28. Audyt organizacyjny

1. Organizacja może mieć dostęp do logów audytowych dotyczących użycia API przez jej użytkowników, aplikacje, tokeny i integracje, jeżeli TE8 udostępni taką funkcję.
2. Zakres logów audytowych może zależeć od planu, licencji, umowy, DPA, SLA albo konfiguracji organizacji.
3. Organizacja odpowiada za monitorowanie własnych integracji oraz reagowanie na zdarzenia bezpieczeństwa związane z API.

Rozdział X — Webhooki

§29. Zasady działania webhooków

1. TE8 może udostępniać webhooki umożliwiające wysyłanie zdarzeń do endpointów wskazanych przez użytkownika albo organizację.
2. Webhooki mogą dotyczyć w szczególności:
   1. zdarzeń konta,
   2. zdarzeń organizacji,
   3. zdarzeń licencyjnych,
   4. zdarzeń Store,
   5. zdarzeń Update,
   6. zdarzeń Repo,
   7. zdarzeń pakietów,
   8. zdarzeń bezpieczeństwa,
   9. zdarzeń płatniczych, jeżeli zostaną udostępnione,
   10. zdarzeń administracyjnych.
3. TE8 nie gwarantuje, że każdy webhook zostanie dostarczony natychmiast, jednokrotnie, w idealnej kolejności albo bez opóźnienia, chyba że odrębna umowa stanowi inaczej.
4. Użytkownik powinien projektować odbiorniki webhooków jako odporne na opóźnienia, ponowienia, duplikaty, brak kolejności i czasowe błędy dostarczenia.

§30. Bezpieczeństwo webhooków

1. Użytkownik odpowiada za bezpieczeństwo endpointu webhook.
2. Endpoint webhook powinien:
   1. korzystać z HTTPS,
   2. weryfikować podpis webhooka, jeżeli TE8 udostępnia podpisy,
   3. weryfikować timestamp,
   4. chronić przed replay attack,
   5. obsługiwać idempotencję,
   6. ograniczać czas odpowiedzi,
   7. nie ujawniać sekretów w odpowiedziach,
   8. logować zdarzenia w sposób bezpieczny,
   9. posiadać mechanizm retry i dead-letter, jeżeli jest to wymagane,
   10. być monitorowany przez organizację.
3. TE8 może wyłączyć webhook, jeżeli endpoint zwraca błędy, generuje ryzyko bezpieczeństwa, przeciąża usługę, narusza Warunki albo nie spełnia wymagań technicznych.

§31. Dane w webhookach

1. Webhooki mogą zawierać dane techniczne, identyfikatory, metadane, statusy, informacje o zdarzeniu albo dane osobowe, jeżeli jest to niezbędne dla danego zdarzenia.
2. Użytkownik powinien ograniczyć zakres subskrybowanych webhooków do zdarzeń niezbędnych dla działania integracji.
3. Użytkownik odpowiada za zgodność przetwarzania danych otrzymywanych przez webhooki z prawem, Polityką Prywatności, DPA i własnymi obowiązkami wobec osób, których dane dotyczą.

Rozdział XI — Wersjonowanie, zmiany i wycofywanie API

§32. Wersje API

1. API TE8 może być wersjonowane.
2. Wersjonowanie może dotyczyć:
   1. endpointów,
   2. schematów danych,
   3. metod,
   4. scope,
   5. webhooków,
   6. SDK,
   7. formatów odpowiedzi,
   8. formatów błędów,
   9. mechanizmów autoryzacji,
   10. limitów,
   11. środowisk sandbox i produkcyjnych.
3. Użytkownik powinien wskazywać i obsługiwać wersję API zgodnie z dokumentacją.

§33. Zmiany kompatybilne i niekompatybilne

1. TE8 może wprowadzać zmiany kompatybilne bez uprzedniego powiadomienia, jeżeli nie powinny one zakłócać prawidłowo zaprojektowanych integracji.
2. Zmiany kompatybilne mogą obejmować w szczególności:
   1. dodanie nowego pola,
   2. dodanie nowego endpointu,
   3. dodanie nowego kodu błędu,
   4. dodanie nowego typu zdarzenia,
   5. poprawę wydajności,
   6. poprawę bezpieczeństwa,
   7. doprecyzowanie dokumentacji.
3. Zmiany niekompatybilne mogą wymagać migracji integracji.
4. TE8 może wprowadzić zmianę niekompatybilną szybciej niż standardowo, jeżeli wymaga tego bezpieczeństwo, prawo, ochrona danych, ochrona użytkowników albo stabilność usług.

§34. Wycofanie endpointów

1. TE8 może oznaczyć endpoint, wersję, webhook, SDK albo funkcję API jako przestarzałą, wycofywaną albo niewspieraną.
2. TE8 może wskazać termin zakończenia wsparcia oraz rekomendowaną ścieżkę migracji, o ile jest to możliwe i uzasadnione.
3. Po zakończeniu wsparcia endpoint może zostać usunięty, zablokowany, ograniczony albo pozostawiony bez gwarancji działania.
4. Użytkownik odpowiada za aktualizację integracji przed zakończeniem wsparcia używanej wersji API.

§35. Środowiska beta, preview i sandbox

1. TE8 może udostępniać API w wersji beta, preview, dev, sandbox albo eksperymentalnej.
2. Takie środowiska mogą zawierać błędy, zmienne schematy, ograniczone dane, niestabilne endpointy, inne limity albo funkcje, które nie zostaną wdrożone produkcyjnie.
3. API beta, preview i sandbox nie powinno być używane w środowisku produkcyjnym, chyba że TE8 wyraźnie dopuści takie użycie albo organizacja świadomie przyjmie związane z tym ryzyko.
4. TE8 może zmienić, zresetować, ograniczyć albo usunąć środowisko beta, preview albo sandbox bez zachowania kompatybilności wstecznej.

Rozdział XII — SDK, dokumentacja i przykłady kodu

§36. Dokumentacja API

1. TE8 może udostępniać dokumentację API, specyfikacje, opisy endpointów, przykłady, changelog, schematy, SDK, biblioteki, CLI albo inne narzędzia deweloperskie.
2. Dokumentacja może być aktualizowana wraz z rozwojem API.
3. TE8 dokłada starań, aby dokumentacja była aktualna i użyteczna, ale nie gwarantuje, że będzie wolna od błędów, kompletna albo odpowiednia do każdego przypadku użycia.

§37. SDK i biblioteki

1. SDK i biblioteki udostępniane przez TE8 mogą podlegać odrębnym licencjom.
2. SDK może być udostępniane w wersji stabilnej, beta, preview albo open source.
3. Użytkownik powinien sprawdzić licencję SDK, zależności, kompatybilność, wersję i wymagania techniczne przed użyciem.
4. TE8 może zakończyć wsparcie dla SDK, biblioteki, języka programowania albo wersji narzędzia, jeżeli jest to uzasadnione bezpieczeństwem, technologią, kosztami, popytem albo cyklem życia produktu.

§38. Przykłady kodu

1. Przykłady kodu udostępniane przez TE8 mają charakter pomocniczy.
2. Użytkownik odpowiada za dostosowanie przykładów do własnego środowiska, bezpieczeństwa, wydajności, prawa i wymagań organizacji.
3. Przykłady kodu nie powinny być używane produkcyjnie bez przeglądu, testów, zabezpieczeń i dostosowania do konkretnego zastosowania.

Rozdział XIII — Bezpieczeństwo API

§39. Środki bezpieczeństwa TE8

1. TE8 stosuje środki techniczne i organizacyjne mające na celu ochronę API TE8, użytkowników, organizacji i infrastruktury.
2. Środki te mogą obejmować w szczególności:
   1. szyfrowaną transmisję,
   2. autoryzację tokenową,
   3. OAuth,
   4. MFA dla administratorów,
   5. zakresy dostępu,
   6. rate limiting,
   7. throttling,
   8. monitoring anomalii,
   9. logi bezpieczeństwa,
   10. blokady IP,
   11. weryfikację aplikacji,
   12. rotację poświadczeń,
   13. podpisy webhooków,
   14. ochronę przed CSRF tam, gdzie ma zastosowanie,
   15. ochronę przed replay attack,
   16. filtry antynadużyciowe,
   17. procedury reagowania na incydenty.
3. Żadne środki bezpieczeństwa nie gwarantują całkowitego wyeliminowania błędów, podatności, awarii, ataków albo nadużyć.

§40. Obowiązki bezpieczeństwa użytkownika API

1. Użytkownik API i organizacja powinni:
   1. chronić tokeny, klucze API, certyfikaty i sekrety,
   2. stosować zasadę minimalnych uprawnień,
   3. stosować bezpieczne przechowywanie sekretów,
   4. nie umieszczać sekretów w kodzie źródłowym,
   5. nie umieszczać sekretów w repozytoriach publicznych,
   6. nie umieszczać sekretów w logach,
   7. stosować TLS,
   8. weryfikować certyfikaty,
   9. obsługiwać błędy bez ujawniania danych poufnych,
   10. rotować poświadczenia,
   11. monitorować użycie API,
   12. usuwać nieużywane aplikacje i tokeny,
   13. zgłaszać podejrzenia wycieku,
   14. testować integracje przed wdrożeniem produkcyjnym,
   15. stosować zabezpieczenia webhooków,
   16. przestrzegać polityk bezpieczeństwa organizacji.

§41. Testy bezpieczeństwa

1. Użytkownik nie może prowadzić testów penetracyjnych, skanowania, fuzzingu, testów obciążeniowych, prób obejścia zabezpieczeń ani innych działań ingerujących w bezpieczeństwo API TE8 bez uprzedniej pisemnej zgody TE8.
2. TE8 może udostępnić odrębny program odpowiedzialnego ujawniania podatności albo program bug bounty.
3. Zgłoszenia bezpieczeństwa należy kierować na adres: [UZUPEŁNIĆ, NP. security@te8.pl].

Rozdział XIV — Incydenty i podatności

§42. Zgłaszanie incydentów

1. Użytkownik powinien niezwłocznie zgłosić TE8 podejrzenie:
   1. wycieku tokena,
   2. wycieku klucza API,
   3. przejęcia aplikacji deweloperskiej,
   4. nieautoryzowanego dostępu do API,
   5. nietypowego użycia tokena,
   6. nadużycia webhooka,
   7. podatności API,
   8. błędu autoryzacji,
   9. błędu kontroli dostępu,
   10. wycieku danych przez API,
   11. fałszywych żądań albo spoofingu,
   12. ataków na integrację użytkownika.
2. Zgłoszenie powinno zawierać możliwie dokładny opis problemu, identyfikator aplikacji, endpointy, czas zdarzenia, wpływ, logi techniczne i dane kontaktowe zgłaszającego.
3. Użytkownik nie powinien przesyłać do TE8 pełnych tokenów, haseł, kluczy prywatnych ani danych nadmiarowych.

§43. Działania awaryjne TE8

1. W przypadku podejrzenia incydentu TE8 może podjąć działania awaryjne, w szczególności:
   1. unieważnić token,
   2. zablokować klucz API,
   3. zablokować aplikację,
   4. ograniczyć zakres dostępu,
   5. zablokować endpoint,
   6. zablokować adres IP,
   7. wymusić rotację sekretów,
   8. wymusić ponowną autoryzację,
   9. wymusić MFA,
   10. zawiesić organizację,
   11. ograniczyć webhooki,
   12. uruchomić dodatkowy monitoring,
   13. powiadomić użytkowników, organizacje albo organy, jeżeli wymagają tego przepisy prawa.
2. TE8 może podjąć działania awaryjne bez wcześniejszego powiadomienia, jeżeli wymaga tego bezpieczeństwo, ochrona danych, ochrona użytkowników, ochrona infrastruktury albo obowiązek prawny.

Rozdział XV — Opłaty, plany i rozliczenia API

§44. Model płatności

1. API TE8 może być udostępniane bezpłatnie, odpłatnie, w ramach licencji Systemu TE8, w ramach planu organizacji, w ramach subskrypcji, w modelu pay-as-you-go, w modelu enterprise albo na podstawie indywidualnej umowy.
2. Opłaty mogą zależeć od:
   1. liczby żądań,
   2. transferu danych,
   3. liczby tokenów,
   4. liczby aplikacji,
   5. liczby webhooków,
   6. liczby organizacji,
   7. liczby użytkowników,
   8. liczby endpointów premium,
   9. zakresu danych,
   10. poziomu wsparcia,
   11. statusu partnera,
   12. planów enterprise,
   13. nadwyżek ponad limity.
3. Cennik, limity i warunki rozliczeń mogą być określone w panelu, ofercie, zamówieniu, fakturze, umowie albo dokumentacji API.

§45. Nadwyżki i blokady płatnicze

1. Przekroczenie limitów płatnych może skutkować naliczeniem dodatkowych opłat, jeżeli wynika to z planu albo umowy.
2. Brak płatności może skutkować ograniczeniem, zawieszeniem albo zakończeniem dostępu do API.
3. TE8 może wymagać ustawienia limitów kosztowych, progów ostrzegawczych albo zatwierdzania nadwyżek, jeżeli funkcje takie zostaną udostępnione.

Rozdział XVI — Własność intelektualna

§46. Prawa TE8

1. API TE8, dokumentacja, SDK, przykłady, schematy, endpointy, nazwy, struktury, metadane, interfejsy, mechanizmy techniczne, znaki towarowe, logotypy i elementy identyfikacji TE8 są chronione prawem i stanowią własność TE8 albo właściwych uprawnionych.
2. Korzystanie z API TE8 nie powoduje przeniesienia na użytkownika żadnych praw własności intelektualnej do API TE8, Systemu TE8, usług TE8, dokumentacji, SDK, znaków towarowych ani innych elementów ekosystemu TE8.
3. Użytkownik otrzymuje wyłącznie ograniczone prawo korzystania z API w zakresie określonym w Warunkach, dokumentacji, planie, licencji albo umowie.

§47. Licencja na SDK i przykłady

1. SDK, biblioteki i przykłady kodu mogą podlegać odrębnej licencji.
2. Jeżeli odrębna licencja nie została wskazana, użytkownik może korzystać z SDK i przykładów wyłącznie w celu integracji z API TE8 zgodnie z niniejszymi Warunkami.
3. Użytkownik nie może usuwać informacji o prawach autorskich, licencjach, znakach towarowych albo zastrzeżeniach TE8.

§48. Informacje zwrotne

1. Użytkownik może przekazywać TE8 sugestie, raporty błędów, propozycje zmian, pomysły, usprawnienia albo informacje zwrotne dotyczące API.
2. TE8 może wykorzystywać takie informacje do rozwoju API i usług TE8 bez obowiązku zapłaty wynagrodzenia, chyba że strony wyraźnie uzgodnią inaczej.
3. Użytkownik nie powinien przekazywać informacji, do których nie posiada praw albo które są objęte tajemnicą przedsiębiorstwa osób trzecich.

Rozdział XVII — Poufność

§49. Informacje poufne TE8

1. Niepubliczne API, dokumentacja, endpointy, tokeny testowe, informacje o zabezpieczeniach, plany rozwoju, funkcje beta, komunikaty prywatne, wyniki testów i informacje techniczne przekazane użytkownikowi przez TE8 mogą stanowić informacje poufne.
2. Użytkownik nie może ujawniać informacji poufnych TE8 osobom trzecim bez zgody TE8, chyba że obowiązek ujawnienia wynika z bezwzględnie obowiązujących przepisów prawa.
3. Użytkownik powinien chronić informacje poufne TE8 co najmniej z taką starannością, z jaką chroni własne informacje poufne o podobnym znaczeniu.

§50. Informacje poufne użytkownika

1. TE8 stosuje środki organizacyjne i techniczne służące ochronie informacji poufnych użytkowników i organizacji.
2. Użytkownik nie powinien przekazywać TE8 haseł, pełnych tokenów, kluczy prywatnych, sekretów ani innych danych poufnych, jeżeli nie jest to konieczne do obsługi zgłoszenia albo świadczenia usługi.

Rozdział XVIII — Dostępność, utrzymanie i SLA

§51. Dostępność API

1. TE8 dokłada należytej staranności w celu zapewnienia działania API TE8.
2. TE8 nie gwarantuje nieprzerwanej dostępności API przez 100% czasu, chyba że odrębny dokument SLA stanowi inaczej.
3. API może być czasowo niedostępne albo ograniczone z powodu:
   1. prac technicznych,
   2. aktualizacji,
   3. awarii,
   4. incydentów bezpieczeństwa,
   5. przeciążenia,
   6. ataków,
   7. działania dostawców infrastruktury,
   8. działania operatorów sieci,
   9. działania dostawców chmurowych,
   10. zmian prawnych,
   11. siły wyższej,
   12. ochrony użytkowników, organizacji albo infrastruktury.

§52. Prace serwisowe

1. TE8 może prowadzić planowane albo awaryjne prace serwisowe API.
2. Jeżeli jest to możliwe i uzasadnione, TE8 może poinformować użytkowników o planowanych pracach z wyprzedzeniem.
3. Prace awaryjne mogą zostać przeprowadzone bez wcześniejszego powiadomienia, jeżeli wymaga tego bezpieczeństwo, stabilność albo ochrona usług.

§53. SLA

1. Niniejsze Warunki nie stanowią SLA.
2. Poziomy dostępności, czasy reakcji, czasy naprawy, rekompensaty i procedury eskalacji, jeżeli są oferowane, powinny wynikać z LP-10 — SLA TE8 albo indywidualnej umowy.
3. Brak odrębnego SLA oznacza, że TE8 nie zobowiązuje się do określonego poziomu dostępności, czasu reakcji ani czasu usunięcia błędu API.

Rozdział XIX — Zawieszenie, ograniczenie i zakończenie dostępu

§54. Ograniczenie albo zawieszenie dostępu

1. TE8 może ograniczyć, zawiesić albo zablokować dostęp do API, aplikacji, tokena, klucza, endpointu, webhooka, organizacji albo użytkownika, jeżeli:
   1. użytkownik narusza Warunki,
   2. zachodzi podejrzenie naruszenia Warunków,
   3. zachodzi ryzyko bezpieczeństwa,
   4. zachodzi podejrzenie wycieku tokena,
   5. API jest używane niezgodnie z prawem,
   6. API jest używane do nadużyć,
   7. integracja generuje nadmierne obciążenie,
   8. aplikacja narusza prywatność użytkowników,
   9. aplikacja żąda nadmiernych uprawnień,
   10. aplikacja narusza prawa osób trzecich,
   11. organizacja utraciła licencję albo plan,
   12. użytkownik nie uiścił wymaganych opłat,
   13. zachodzi obowiązek wynikający z przepisów prawa albo decyzji organu,
   14. ograniczenie jest konieczne dla ochrony TE8, użytkowników, organizacji, partnerów albo infrastruktury.
2. Ograniczenie może mieć charakter tymczasowy albo trwały.
3. TE8 może poinformować użytkownika o przyczynie ograniczenia, chyba że byłoby to sprzeczne z prawem, bezpieczeństwem, interesem postępowania wyjaśniającego albo ochroną innych użytkowników.

§55. Zakończenie dostępu przez użytkownika

1. Użytkownik albo organizacja mogą zaprzestać korzystania z API w dowolnym czasie, z zastrzeżeniem obowiązków wynikających z umowy, licencji, subskrypcji, DPA albo przepisów prawa.
2. Przed zakończeniem korzystania z API użytkownik powinien:
   1. usunąć albo unieważnić tokeny,
   2. wyłączyć webhooki,
   3. usunąć nieużywane aplikacje,
   4. zatrzymać automatyzacje,
   5. usunąć dane pobrane przez API, jeżeli jest to wymagane,
   6. zabezpieczyć logi i dowody techniczne, jeżeli są potrzebne,
   7. zaktualizować integracje zależne od API.

§56. Skutki zakończenia dostępu

1. Zakończenie dostępu do API może skutkować:
   1. brakiem działania integracji,
   2. brakiem działania automatyzacji,
   3. brakiem odbioru webhooków,
   4. brakiem dostępu do danych API,
   5. brakiem możliwości zarządzania zasobami przez API,
   6. ograniczeniem funkcji Systemu TE8 albo usług powiązanych,
   7. koniecznością ręcznej obsługi procesów,
   8. koniecznością migracji do innego rozwiązania.
2. TE8 nie ponosi odpowiedzialności za skutki zakończenia dostępu wynikające z naruszenia Warunków, braku płatności, utraty licencji, decyzji organizacji albo działań użytkownika, w zakresie dopuszczalnym przez prawo.

Rozdział XX — Odpowiedzialność

§57. Zasady ogólne

1. TE8 dokłada należytej staranności w celu zapewnienia bezpiecznego, stabilnego i prawidłowego działania API TE8.
2. Ze względu na złożoność systemów informatycznych, zależność od integracji, sieci, infrastruktury zewnętrznej, aplikacji użytkowników, tokenów, konfiguracji, limitów i środowisk organizacji, TE8 nie może zagwarantować całkowitej bezbłędności, nieprzerwanej dostępności ani kompatybilności API z każdą integracją.
3. Użytkownik korzysta z API świadomie, z uwzględnieniem ryzyk właściwych dla integracji, automatyzacji, przetwarzania danych, zmian wersji, limitów, bezpieczeństwa tokenów i zależności technicznych.
4. Żadne postanowienie Warunków nie wyłącza ani nie ogranicza odpowiedzialności TE8 w zakresie, w jakim takie wyłączenie albo ograniczenie byłoby niedopuszczalne na podstawie bezwzględnie obowiązujących przepisów prawa.

§58. Wyłączenia odpowiedzialności

W zakresie dopuszczalnym przez przepisy prawa TE8 nie ponosi odpowiedzialności za:

1. skutki błędnej integracji z API,
2. skutki błędnego użycia endpointu,
3. skutki używania nieaktualnej wersji API,
4. skutki nieuwzględnienia limitów, timeoutów, paginacji, retry logic albo zmian API,
5. skutki wycieku tokena, klucza API, client secret albo certyfikatu z winy użytkownika, organizacji albo dostawcy aplikacji,
6. skutki nadania zbyt szerokich uprawnień aplikacji,
7. skutki błędnej konfiguracji webhooków,
8. skutki błędów aplikacji użytkownika,
9. skutki działania aplikacji partnerów albo podmiotów trzecich,
10. skutki przekroczenia limitów API,
11. skutki czasowego zawieszenia albo ograniczenia API z przyczyn bezpieczeństwa,
12. skutki wycofania endpointu albo wersji API zgodnie z Warunkami,
13. utratę, uszkodzenie, nadpisanie albo niezgodność danych wynikającą z działania integracji użytkownika,
14. niezgodność aplikacji użytkownika z przepisami prawa albo politykami organizacji,
15. naruszenie przez użytkownika zasad ochrony danych osobowych,
16. działanie sieci, Internetu, dostawców chmury, hostingu, CDN albo operatorów telekomunikacyjnych,
17. przerwy w działalności użytkownika albo organizacji,
18. utracone korzyści, utratę przychodów, utratę kontraktów, utratę reputacji, utratę możliwości biznesowych albo szkody pośrednie w relacjach B2B.

§59. Limit odpowiedzialności B2B

1. W relacjach B2B, jeżeli odrębna umowa nie stanowi inaczej, łączna odpowiedzialność TE8 wobec użytkownika albo organizacji z tytułu API TE8 jest ograniczona do kwoty netto faktycznie zapłaconej TE8 za usługę API, plan, licencję albo subskrypcję, z którą związane było zdarzenie, w okresie 12 miesięcy poprzedzających zdarzenie będące podstawą roszczenia.
2. Jeżeli API TE8 jest udostępniane nieodpłatnie, w wersji testowej, sandbox, beta, preview albo pilotażowej, odpowiedzialność TE8 w relacjach B2B jest ograniczona do zakresu, w jakim przepisy prawa nie pozwalają na jej wyłączenie.
3. Ograniczenia odpowiedzialności nie dotyczą szkód wyrządzonych umyślnie ani przypadków, w których bezwzględnie obowiązujące przepisy prawa nie pozwalają na ograniczenie odpowiedzialności.

§60. Odpowiedzialność użytkownika API

1. Użytkownik, organizacja i dostawca aplikacji odpowiadają za skutki naruszenia Warunków, prawa, licencji, bezpieczeństwa, prywatności, praw osób trzecich albo dokumentacji API.
2. W relacjach B2B organizacja zobowiązuje się zwolnić TE8 z odpowiedzialności w zakresie roszczeń osób trzecich wynikających z działań organizacji, jej administratorów, pracowników, współpracowników, aplikacji, dostawców, kont technicznych albo osób, którym organizacja umożliwiła korzystanie z API, o ile jest to dopuszczalne przez prawo.

Rozdział XXI — Konsumenci i osoby objęte ochroną konsumencką

§61. Ochrona konsumencka

1. API TE8 jest przeznaczone przede wszystkim do zastosowań profesjonalnych, technicznych, organizacyjnych i B2B.
2. Jeżeli użytkownik jest konsumentem albo osobą fizyczną korzystającą z ochrony przyznanej konsumentom przez bezwzględnie obowiązujące przepisy prawa, postanowienia Warunków nie ograniczają praw, których nie można wyłączyć ani ograniczyć umową.
3. W przypadku sprzeczności Warunków z bezwzględnie obowiązującymi przepisami chroniącymi konsumenta, zastosowanie mają te przepisy.

Rozdział XXII — Reklamacje i wsparcie

§62. Reklamacje

1. Reklamacje dotyczące API TE8 można składać:
   1. pocztą elektroniczną na adres: [UZUPEŁNIĆ, NP. reklamacje@te8.pl],
   2. pocztą elektroniczną na adres API: [UZUPEŁNIĆ, NP. api@te8.pl],
   3. przez panel zgłoszeniowy, jeżeli został udostępniony,
   4. przez panel organizacji, jeżeli funkcja taka jest dostępna,
   5. w inny sposób wskazany przez TE8.
2. Reklamacja powinna zawierać:
   1. dane użytkownika albo organizacji,
   2. adres e-mail kontaktowy,
   3. identyfikator aplikacji, jeżeli dotyczy,
   4. identyfikator organizacji, jeżeli dotyczy,
   5. endpoint albo funkcję API, której dotyczy problem,
   6. czas wystąpienia problemu,
   7. kod odpowiedzi API,
   8. identyfikator korelacji, jeżeli jest dostępny,
   9. opis problemu,
   10. środowisko techniczne,
   11. żądanie użytkownika, jeżeli jest możliwe do określenia.
3. TE8 rozpatruje reklamację w terminie do 30 dni od dnia jej otrzymania, chyba że przepisy prawa albo odrębna umowa wymagają innego terminu.
4. Jeżeli rozpatrzenie reklamacji wymaga dodatkowych informacji, TE8 może zwrócić się do użytkownika o ich uzupełnienie.

§63. Wsparcie API

1. Zakres wsparcia API zależy od planu, licencji, umowy, typu organizacji, statusu partnera, SLA albo dokumentacji.
2. Wsparcie może obejmować w szczególności:
   1. problemy z autoryzacją,
   2. problemy z tokenami,
   3. problemy z endpointami,
   4. problemy z limitami,
   5. problemy z webhookami,
   6. problemy z SDK,
   7. problemy z dokumentacją,
   8. problemy z integracją,
   9. diagnostykę błędów,
   10. obsługę zgłoszeń bezpieczeństwa.
3. TE8 może odmówić wsparcia albo je ograniczyć, jeżeli problem wynika z naruszenia Warunków, błędnej integracji, nieobsługiwanej wersji API, nieautoryzowanego użycia, nadużycia, przekroczenia limitów albo użycia niezgodnego z dokumentacją.

Rozdział XXIII — Zmiany Warunków

§64. Przyczyny zmian

1. TE8 może zmienić Warunki z ważnych przyczyn, w szczególności w przypadku:
   1. zmiany przepisów prawa,
   2. zmiany interpretacji przepisów albo praktyki organów,
   3. rozwoju API TE8,
   4. wprowadzenia nowych endpointów,
   5. wprowadzenia nowych modeli autoryzacji,
   6. wprowadzenia nowych limitów,
   7. wprowadzenia nowych planów albo opłat,
   8. zmiany dokumentacji API,
   9. zmiany zasad bezpieczeństwa,
   10. zmiany integracji z Kontem usług TE8, Systemem TE8, TE8 Store, TE8 Update albo TE8 Repo,
   11. zmiany polityki wersjonowania,
   12. zmiany polityki wycofywania endpointów,
   13. konieczności przeciwdziałania nadużyciom,
   14. konieczności doprecyzowania postanowień.

§65. Informowanie o zmianach

1. Aktualna wersja Warunków jest publikowana w domenie te8.pl albo w innym miejscu wskazanym przez TE8.
2. TE8 może poinformować użytkowników o zmianie Warunków za pośrednictwem dokumentacji API, konsoli deweloperskiej, Konta usług TE8, wiadomości e-mail, panelu organizacji, komunikatu w Systemie TE8 albo innego kanału komunikacji.
3. Dalsze korzystanie z API po wejściu zmian w życie oznacza akceptację zmienionych Warunków, o ile przepisy prawa nie wymagają odrębnej zgody.
4. Jeżeli użytkownik nie akceptuje zmian, powinien zaprzestać korzystania z API i usunąć albo unieważnić tokeny oraz aplikacje, których zmiany dotyczą.

Rozdział XXIV — Prawo właściwe i spory

§66. Prawo właściwe

1. Warunki podlegają prawu Rzeczypospolitej Polskiej oraz właściwym przepisom prawa Unii Europejskiej.
2. Wybór prawa polskiego nie pozbawia konsumenta ochrony przyznanej mu przez przepisy, których nie można wyłączyć umownie na podstawie prawa właściwego dla miejsca jego zwykłego pobytu, jeżeli takie przepisy mają zastosowanie.

§67. Spory

1. Strony będą dążyć do polubownego rozwiązania sporów wynikających z Warunków.
2. W relacjach B2B sądem właściwym do rozstrzygania sporów jest sąd właściwy dla siedziby TE8, chyba że bezwzględnie obowiązujące przepisy prawa stanowią inaczej.
3. W przypadku konsumentów właściwość sądu ustalana jest zgodnie z obowiązującymi przepisami prawa.

Rozdział XXV — Postanowienia końcowe

§68. Dostępność Warunków

1. Warunki są udostępniane nieodpłatnie przed rozpoczęciem korzystania z API oraz w trakcie korzystania z usługi.
2. Warunki są udostępniane w sposób umożliwiający ich pozyskanie, odtwarzanie i utrwalanie.
3. Użytkownik powinien zapisać albo wydrukować Warunki na potrzeby własnej dokumentacji.

§69. Nieważność części postanowień

1. Jeżeli którekolwiek postanowienie Warunków okaże się nieważne, bezskuteczne albo niewykonalne, nie wpływa to na ważność pozostałych postanowień.
2. W miejsce postanowienia nieważnego, bezskutecznego albo niewykonalnego stosuje się odpowiednie przepisy prawa albo ważne postanowienie najbliższe celowi gospodarczemu i prawnemu pierwotnego postanowienia, o ile jest to dopuszczalne przez prawo.

§70. Wejście w życie

1. Warunki wchodzą w życie z dniem [UZUPEŁNIĆ DATĘ].
2. Warunki obowiązują do czasu zastąpienia ich nową wersją albo zakończenia świadczenia API TE8.

Załącznik A — Rekomendowany komunikat przy pierwszym użyciu API

API TE8 umożliwia programistyczny dostęp do wybranych usług, danych i funkcji TE8. Korzystanie z API wymaga ochrony tokenów, przestrzegania limitów, zasad bezpieczeństwa, dokumentacji API, licencji, przepisów prawa oraz zasad przetwarzania danych osobowych.

Zapoznałem(-am) się z Warunkami korzystania z API TE8 i akceptuję ich postanowienia.

Załącznik B — Rekomendowany komunikat przy generowaniu klucza API

Klucz API i tokeny dostępowe są poufnymi poświadczeniami technicznymi. Nie wolno umieszczać ich w publicznym kodzie, repozytoriach, logach, zgłoszeniach, dokumentacji ani przekazywać osobom nieuprawnionym. W razie podejrzenia wycieku należy natychmiast unieważnić klucz i wygenerować nowy.

Rozumiem, że odpowiadam za bezpieczne przechowywanie klucza API, tokenów i sekretów oraz za skutki ich nieuprawnionego użycia.

Załącznik C — Minimalne pola aplikacji deweloperskiej

Załącznik D — Rekomendowany zapis audytowy żądania API

Załącznik E — Przykładowa tabela limitów API

Załącznik F — Checklist bezpieczeństwa API dla organizacji

• Włączyć MFA dla administratorów i użytkowników zarządzających API.
• Stosować zasadę minimalnych uprawnień dla tokenów i aplikacji.
• Nie przechowywać tokenów w kodzie źródłowym.
• Nie przechowywać tokenów w repozytoriach publicznych.
• Nie logować pełnych tokenów ani sekretów.
• Stosować menedżer sekretów albo bezpieczny vault.
• Regularnie rotować tokeny i klucze API.
• Usuwać nieużywane tokeny i aplikacje.
• Monitorować logi API i anomalie użycia.
• Stosować timeouty, retry z backoff i obsługę rate limitów.
• Weryfikować podpisy webhooków.
• Stosować HTTPS dla wszystkich callbacków i webhooków.
• Testować integracje w sandboxie przed produkcją.
• Utrzymywać aktualne SDK i biblioteki.
• Dokumentować właściciela każdej aplikacji deweloperskiej.
• Ustanowić procedurę reakcji na wyciek tokena.
• Sprawdzać, czy aplikacja pobiera tylko niezbędne dane.
• Zawrzeć DPA, jeżeli API przetwarza dane osobowe w imieniu organizacji.

Załącznik G — Checklist wdrożeniowy dla TE8 API

• Uzupełnić dane rejestrowe TE8.
• Uzupełnić datę wejścia w życie Warunków.
• Uzupełnić adresy e-mail: api, security, abuse, reklamacje, kontakt.
• Określić typy API: publiczne, prywatne, partnerskie, enterprise, sandbox, beta.
• Określić modele autoryzacji: API key, OAuth, token techniczny, certyfikat, konto serwisowe.
• Określić listę scope i endpointów wysokiego ryzyka.
• Wdrożyć zasadę minimalnych uprawnień dla tokenów.
• Wdrożyć rotację i wygasanie tokenów.
• Wdrożyć unieważnianie tokenów po usunięciu użytkownika z organizacji.
• Wdrożyć rate limiting i throttling.
• Wdrożyć limity dla aplikacji, organizacji, tokenów i IP.
• Wdrożyć monitoring anomalii API.
• Wdrożyć logi audytowe bez pełnych tokenów i sekretów.
• Wdrożyć podpisy webhooków.
• Wdrożyć retry policy dla webhooków.
• Wdrożyć sandbox dla testów, jeżeli API będzie publiczne lub partnerskie.
• Wdrożyć politykę wersjonowania i wycofywania endpointów.
• Wdrożyć changelog API.
• Wdrożyć status page albo komunikaty awarii, jeżeli API będzie krytyczne.
• Wdrożyć procedurę zgłaszania podatności API.
• Wdrożyć procedurę blokowania aplikacji nadużywających API.
• Wdrożyć wzór DPA dla klientów B2B korzystających z API do przetwarzania danych osobowych.
• Sprawdzić zgodność z LP-01, LP-02, LP-03, LP-04, LP-05, LP-06, LP-07, LP-09 i LP-10.