Acuerdo del Investigador — BORRADOR

⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No publicar ni entregar a ningún investigador sin la revisión y el ajuste de un abogado colegiado en Perú.

Es el primer documento del repositorio que firma quien investiga. Los otros los firma el titular del sistema (la Carta de Autorización y sus adendas) o los firma AlySec (el Safe Harbor). Hasta ahora la única cobertura del investigador era una frase de la Adenda de Bug Bounty —el titular autoriza pruebas de "personas físicas acreditadas por AlySec"—, de modo que le amparaba estar acreditado y no haber aceptado nada. Este documento cierra esa asimetría.

1. Quién firma, y qué no está declarando

Firma una persona física acreditada en el programa privado de AlySec, con la cuenta que se le creó y el handle con el que se le acredita el trabajo.

Quien firma no es titular de los sistemas que va a mirar, y este documento no le pide que lo declare. La diferencia con la Atestación de Titularidad —que sí firma un cliente— es deliberada: pedirle a un investigador que declare ser dueño de lo que va a probar sería pedirle que firme algo falso, y una declaración falsa no ampara a nadie. Lo que quien firma acepta es cómo va a comportarse sobre sistemas ajenos cuyo titular ya autorizó la prueba por escrito.

La autorización sobre cada sistema concreto viene siempre del titular, nunca de este acuerdo. Este acuerdo es la contrapartida: lo que AlySec puede exigirle a quien entra.

2. Qué recibe quien firma

1. Acreditación en el programa privado, con handle propio y estable.
2. Alcances asignados por escrito, cada uno con su lista de aplicaciones, su fecha de inicio y su fecha de cierre, y con sus credenciales de prueba cuando las haya.
3. El compromiso del Safe Harbor: mientras se cumplan las reglas, AlySec no acciona legalmente y entrega la constancia de la acreditación, del alcance vigente y de la autorización del titular si un tercero acciona.
4. Respuesta a todos los reportes, se acepten o no, con el motivo por escrito cuando se descarten.
5. Crédito por el trabajo. Lo que el equipo acredita al triar queda en el expediente de quien lo encontró y no lo puede editar su propio dueño, que es lo que hace que valga como prueba de lo hecho.
6. Derecho a divulgar conforme al plazo de la regla P5.

3. Reglas de enganche

Quien firma acepta las diez Reglas de Enganche —cinco permitidas (P1–P5) y cinco prohibidas (X1–X5)— en su versión vigente el día de cada reporte.

Se aceptan aquí en general y se vuelven a aceptar por cada programa, aplicadas a un cliente y un alcance concretos, en la Aceptación de Programa.

4. Confidencialidad y divulgación

1. Todo hallazgo es confidencial desde que se encuentra. No se comparte con terceros, ni en privado, ni en foros, ni en redes, ni como material de formación, hasta que se cumpla el plazo de P5.
2. La confidencialidad se debe a una empresa concreta, y esa obligación no se fija aquí: la fija la Aceptación de Programa de cada cliente, que nombra a quién se le debe.
3. El plazo es el de P5: al remediarse el hallazgo o a los 90 días del reporte, lo que ocurra primero. No se pedirá silencio indefinido ni se condicionará el crédito a renunciar a divulgar.
4. Nunca se negocia la no divulgación a cambio de nada. Condicionar el silencio a un pago, a un acceso o a cualquier otra contraprestación rompe este acuerdo de inmediato y puede constituir delito con independencia de él.
5. La obligación de confidencialidad sobrevive al cierre del alcance y a la baja de la cuenta.

5. Datos personales

Rige la Ley N.º 29733 de Protección de Datos Personales y su reglamento.

1. No se accede, no se descarga y no se conserva ningún dato personal de terceros, aunque sea para demostrar el hallazgo (regla X2). El impacto se demuestra con cuentas propias o de prueba.
2. Si durante una prueba se tropieza con datos personales sin buscarlo: parar de inmediato, avisar a AlySec el mismo día, borrar lo que se haya descargado y decir qué se borró.
3. Una captura que se adjunte como evidencia no puede contener datos de personas reales. Si es inevitable para demostrar el fallo, se oculta lo identificable antes de adjuntarla y se dice que se hizo.

6. Qué no es este acuerdo

1. No es una relación laboral ni de locación de servicios. No genera vínculo de dependencia, ni horario, ni exclusividad.
2. No garantiza pago. El programa está en fase inicial y reconoce el trabajo con crédito nominal, muro de investigadores y acceso prioritario; no con dinero. Si eso cambiara, se pactará aparte y por escrito.
3. No garantiza alcances. Que AlySec acredite a alguien no le obliga a asignarle ningún programa, ni a asignarle uno en particular.
4. No obliga a aceptar ningún programa. Cada asignación se firma o se declina por separado, y declinar no tiene consecuencia sobre la acreditación.

7. Consecuencias de incumplir

Romper cualquiera de las diez reglas, o los puntos 4 o 5 de este acuerdo:

1. Cierra el acceso al programa y a todos los alcances asignados.
2. Deja el Safe Harbor sin efecto desde el momento del incumplimiento. El compromiso de AlySec de no accionar se sostiene sobre que la conducta esté autorizada por el titular; fuera de las reglas no lo está.
3. No despenaliza nada. Ningún acuerdo privado excluye la acción del Ministerio Público bajo la Ley N.º 30096 (mod. Ley N.º 30171) si la conducta excedió lo autorizado.

Avisar de buena fe y a tiempo no es incumplir. El punto 4 del Safe Harbor cubre el error honesto, y existe porque a AlySec le interesa más enterarse que castigar.

8. Vigencia, ley aplicable y constancia

• Vigencia. Desde la aceptación y mientras la cuenta siga acreditada. Los puntos 4 y 5 sobreviven a la baja.
• Versiones. Si este acuerdo se modifica, se pedirá aceptar la versión nueva antes de seguir reportando. La versión que aplica a un reporte es la vigente el día de ese reporte, nunca una posterior, y las aceptaciones anteriores se conservan como estaban.
• Ley aplicable. Legislación peruana. Para cualquier controversia, los juzgados y tribunales de Arequipa, Perú.

Qué queda registrado al aceptar

La aceptación es electrónica y dentro de la plataforma. Es la diferencia con los documentos que firma un cliente, que se firman fuera de banda y de los que sólo se guarda la referencia (signed_doc_ref): el investigador acepta en el mismo sitio donde recibe el alcance, así que la constancia se genera ahí.

Se registra, y nada más que esto:

La bitácora es una cadena de hashes SHA-256 verificable: cada entrada incluye el hash de la anterior, de modo que alterar o borrar una rompe la cadena y se detecta. No es una firma digital cualificada en el sentido de la Ley N.º 27269 ni lleva certificado de entidad acreditada: acredita que el registro no ha sido alterado desde que se creó, no la identidad de quien lo creó. La identidad la acredita el acceso autenticado a la cuenta.

El texto completo no se guarda en la base: se guarda su hash, y el documento versionado vive en el repositorio. El hash permite demostrar que el texto de esta versión es exactamente el que se mostró.

Versión del documento: 2026-09-v1-BORRADOR. Su aceptación se registra en la bitácora como researcher_agreement_signed.