Adenda de Bug Bounty a la Carta de Autorización — BORRADOR

⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No usar sin la revisión y ajuste de un abogado colegiado en Perú.

Por qué existe esta adenda. La Carta de Autorización autoriza pruebas automatizadas, de solo lectura y no destructivas, ejecutadas por el Proveedor. No cubre un programa de bug bounty: no menciona a investigadores externos, no autoriza pruebas manuales de explotación, y no contiene compromiso alguno del Titular de no accionar contra quien investiga.

Un programa privado operado sólo con la carta base dejaría al investigador trabajando fuera de la autorización del titular, y al Safe Harbor sin más fuerza que la palabra de AlySec. Esta adenda es lo que cierra ese hueco. Sin ella firmada, no debe abrirse ningún programa.

ADENDA — PROGRAMA PRIVADO DE BUG BOUNTY

Lugar y fecha: ____, __ de __ de 20____

Adenda a la Carta de Autorización de fecha __, suscrita por el mismo Titular, cuyos términos se mantienen en todo lo que no contradiga la presente.

1. Partes

• Titular: ______ (RUC / DNI: ____)
• Representante que firma: _______
• Cargo / calidad: _________
• Operador del programa: AlySec, que monta el alcance, acredita a los investigadores, realiza el triage y entrega los hallazgos.

2. Qué autoriza el Titular, además de lo ya autorizado

Autorizo que, sobre las aplicaciones incluidas en el alcance de este programa, realicen pruebas de seguridad personas físicas acreditadas por AlySec ("los Investigadores"), a quienes no conozco individualmente y cuya identidad AlySec verifica y registra.

Autorizo pruebas manuales de explotación dirigidas a demostrar el impacto de una vulnerabilidad, incluidas —de forma enunciativa— la comprobación de control de acceso entre cuentas de prueba, la escalada de privilegios y la inyección, siempre que se realicen con cuentas de prueba provistas por mí o creadas para tal fin, y que se detengan en cuanto el impacto quede demostrado.

3. Qué sigue estando prohibido

No se autoriza, y AlySec se obliga a exigir a los Investigadores que no realicen:

• Acceso, descarga o conservación de datos de personas reales.
• Denegación de servicio, pruebas de carga o cualquier acción que degrade el servicio.
• Ingeniería social contra mi personal, clientes o proveedores, y acceso físico a mis instalaciones.
• Pruebas contra infraestructura de terceros que mis aplicaciones utilicen y que no sea de mi titularidad.
• Modificación o borrado de datos o configuraciones.

4. Compromiso del Titular con quien investiga (safe harbor)

Esta es la cláusula que da eficacia real al programa.

Me comprometo a no iniciar ni promover acciones legales, penales o civiles, contra un Investigador acreditado que, respecto de una investigación concreta:

1. se haya mantenido dentro del alcance que yo he autorizado,
2. haya cumplido las prohibiciones del punto 3, y
3. haya reportado el hallazgo a AlySec y no lo haya divulgado antes del plazo acordado.

Reconozco que, cumplidas esas condiciones, su conducta cuenta con mi consentimiento y no constituye acceso no autorizado a efectos de la Ley N.º 30096 (mod. Ley N.º 30171).

Este compromiso decae respecto de quien se aparte de cualquiera de las tres condiciones.

5. Divulgación

Acepto que el Investigador pueda divulgar públicamente el hallazgo cuando esté remediado o transcurridos 90 días desde su reporte, lo que ocurra primero.

Si necesito más plazo, lo solicitaré por escrito, con motivo y fecha estimada, a través de AlySec. Entiendo que no puedo imponer un silencio indefinido.

6. Datos personales

Si pese a las prohibiciones un Investigador accediera de forma incidental a datos personales, AlySec me lo comunicará sin demora, se exigirá su borrado inmediato y quedará registrado en la bitácora. Asumo las obligaciones que la Ley N.º 29733 me imponga como titular del banco de datos.

7. Vigencia y revocación

• Vigencia del programa: del __ al ____.
• Puedo revocar en cualquier momento por escrito. La revocación cierra el alcance y detiene el programa. El compromiso del punto 4 se mantiene respecto de las investigaciones y reportes anteriores a la revocación.

Firma del Titular / Representante

Firma: ______

Nombre: _____

DNI: ________

Cargo: ______

Versión del documento: 2026-09-v1-BORRADOR. Su referencia se registra junto a la autorización del programa en la bitácora (authorization_granted).