⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No usar sin la revisión y ajuste de un abogado colegiado en Perú.
Por qué existe esta adenda. La Carta de Autorización autoriza pruebas automatizadas, de solo lectura y no destructivas, ejecutadas por el Proveedor. No cubre un programa de bug bounty: no menciona a investigadores externos, no autoriza pruebas manuales de explotación, y no contiene compromiso alguno del Titular de no accionar contra quien investiga.
Un programa privado operado sólo con la carta base dejaría al investigador trabajando fuera de la autorización del titular, y al Safe Harbor sin más fuerza que la palabra de AlySec. Esta adenda es lo que cierra ese hueco. Sin ella firmada, no debe abrirse ningún programa.
Lugar y fecha: ____, __ de __ de 20____
Adenda a la Carta de Autorización de fecha __, suscrita por el mismo Titular, cuyos términos se mantienen en todo lo que no contradiga la presente.
Autorizo que, sobre las aplicaciones incluidas en el alcance de este programa, realicen pruebas de seguridad personas físicas acreditadas por AlySec ("los Investigadores"), a quienes no conozco individualmente y cuya identidad AlySec verifica y registra.
Autorizo pruebas manuales de explotación dirigidas a demostrar el impacto de una vulnerabilidad, incluidas —de forma enunciativa— la comprobación de control de acceso entre cuentas de prueba, la escalada de privilegios y la inyección, siempre que se realicen con cuentas de prueba provistas por mí o creadas para tal fin, y que se detengan en cuanto el impacto quede demostrado.
No se autoriza, y AlySec se obliga a exigir a los Investigadores que no realicen:
Esta es la cláusula que da eficacia real al programa.
Me comprometo a no iniciar ni promover acciones legales, penales o civiles, contra un Investigador acreditado que, respecto de una investigación concreta:
Reconozco que, cumplidas esas condiciones, su conducta cuenta con mi consentimiento y no constituye acceso no autorizado a efectos de la Ley N.º 30096 (mod. Ley N.º 30171).
Este compromiso decae respecto de quien se aparte de cualquiera de las tres condiciones.
Acepto que el Investigador pueda divulgar públicamente el hallazgo cuando esté remediado o transcurridos 90 días desde su reporte, lo que ocurra primero.
Si necesito más plazo, lo solicitaré por escrito, con motivo y fecha estimada, a través de AlySec. Entiendo que no puedo imponer un silencio indefinido.
Si pese a las prohibiciones un Investigador accediera de forma incidental a datos personales, AlySec me lo comunicará sin demora, se exigirá su borrado inmediato y quedará registrado en la bitácora. Asumo las obligaciones que la Ley N.º 29733 me imponga como titular del banco de datos.
Firma del Titular / Representante
Firma: ______
Nombre: _____
DNI: ________
Cargo: ______
Versión del documento: 2026-09-v1-BORRADOR. Su referencia se registra junto a
la autorización del programa en la bitácora (authorization_granted).