demandas por hackear sitio web?

[basickdagger]

la duda es la siguiente, implementare una tienda en linea para un cliente, pero tengo bastantes dudas, entre ellas q sucede si hackean la forma de pagos, mi cliente puede demandarme a mi pq algún tercero vulnero la seguridad del sitio? de que manera puedo evitar un problema de esos desde un contrato?

saludos

[Orubatosu]

Este tipo de temas requeriría mejor una asistencia de tipo legal, pero dado que tu tienda no va a gestionar el pago en realidad, sino que se hará a través de una pasarela de un tercero (el propio banco, VISA o quien sea) tu no tienes en principio responsabilidad mientras sigas al pie  de la letra los procedimientos que te piden en la pasarela.

Porque tu no gestionas el pago, solo pasas unos datos a un tercero que es quien realmente lo gestiona. Si hackean a ese tercero, la culpa no es tuya

[#!drvy]

Esto se puede ver de varias formas.

Una de ellas seria que no has cumplido con tu obligación de proteger el sistema y seria demostrable solo y únicamente si hay indicios claros de pasar por alto la seguridad o de debilitarla de forma deliberada. Normalmente esos casos no se tratan pero es preferente para un cliente que en la clausula de contrato se haga referencia un punto donde se de por hecho que el programador/desarrollador/administrador hará todo lo posible en sus manos para garantizar la seguridad y que obviamente existen excepciones en los que la seguridad puede verse afectada por factores externos no prevenibles dada la complejidad y/o el carácter del software que se usa para el desarrollo y mantenimiento del servicio.

Por otro lado, están los datos personales. Es decir, que si hackean la tienda y obtienen los datos de los clientes. En España esto se rige por la ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. En especifico, el Articulo 9 punto 1 y 2:

1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.

y por el Real Decreto 1720/2007 que en si mismo explica como se han de tratar los datos personales dependiendo de su carácter. En si, se limita un poco a: cifrar todo, copia de seguridad de todo, prevención de fuga, prevención de acceso no autorizado.

En todo caso, la primera responsabilidad recae sobre el responsable del fichero o el encargado del tratamiento de los datos. La mayoría de las veces, esto sera la empresa o persona física que ofrezca el servicio.

Saludos