Adenda de Programa de Divulgación (VDP) a la Carta de Autorización — BORRADOR

⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No usar sin la revisión y ajuste de un abogado colegiado en Perú.

Por qué existe esta adenda, y por qué no vale la otra. La Adenda de Bug Bounty autoriza pruebas de "personas físicas acreditadas por AlySec", cuya identidad AlySec verifica y registra. Un programa de divulgación no acredita a nadie: publica el alcance y admite a cualquiera. Quien investigue bajo un VDP no está en ninguna lista, no ha firmado nada y AlySec no sabe quién es hasta que manda el reporte.

Amparar un VDP en la adenda de bug bounty dejaría a toda esa gente fuera de la autorización del Titular — es decir, en el supuesto de acceso no autorizado de la Ley N.º 30096 — mientras AlySec publica una página invitándoles a probar. Sin esta adenda firmada, no debe publicarse ningún VDP. El código lo exige: vdp.abrir() rechaza montar un programa sin la referencia del documento firmado.

ADENDA — PROGRAMA DE DIVULGACIÓN DE VULNERABILIDADES

Lugar y fecha: ____, __ de __ de 20____

Adenda a la Carta de Autorización de fecha __, suscrita por el mismo Titular, cuyos términos se mantienen en todo lo que no contradiga la presente.

1. Partes

• Titular: ______ (RUC / DNI: ____)
• Representante que firma: _______
• Cargo / calidad: _________
• Operador del programa: AlySec, que publica el alcance, opera el canal de recepción, realiza el triage y entrega los hallazgos.

2. Qué es un VDP, y en qué se diferencia del programa privado

Declaro entender que:

1. El alcance de este programa será público: las aplicaciones incluidas, las reglas y los plazos se publicarán en una página abierta operada por AlySec, accesible sin cuenta y indexable por buscadores.
2. Podrá investigar cualquier persona, sin acreditación, sin contrato previo y sin que AlySec conozca su identidad antes de recibir su reporte.
3. Publicar un alcance es irreversible en la práctica. Aunque la página se cierre, su contenido puede permanecer en cachés, archivos y buscadores.
4. Un VDP no ofrece recompensa económica. Lo que se ofrece es respuesta, trato correcto y el compromiso de no accionar del punto 5.

3. Qué autoriza el Titular, además de lo ya autorizado

Autorizo que, sobre las aplicaciones que se declaren expresamente dentro del alcance publicado y sólo sobre ellas, realice pruebas de seguridad cualquier persona que se ajuste a las reglas publicadas en esa página.

Autorizo pruebas manuales de comprobación dirigidas a demostrar la existencia de una vulnerabilidad, siempre que se detengan en cuanto quede demostrada y no se persista en la explotación.

Nota para el revisor legal. Ésta es la cláusula de mayor exposición del documento y conviene decidirla expresamente: en un VDP el consentimiento se da a una colectividad indeterminada. Es la práctica internacional habitual (ISO/IEC 29147 para la divulgación e ISO/IEC 30111 para el triage, que es el proceso que AlySec opera; CVD del CERT/CC), pero su encaje en la Ley N.º 30096 no está resuelto por jurisprudencia peruana conocida por este equipo.

Dos apoyos que el equipo sí ha localizado, como punto de partida:

• El MINJUS ha sostenido que las pruebas de vulnerabilidad autorizadas no son sancionables, porque lo punible es el acceso sin autorización. Es la lectura que recoge el artículo 12 de la propia ley, invocado en el punto 5 de esta adenda.
• Existe doctrina peruana publicada sobre la colisión del hacking ético con el artículo 2, que propone ampliar el artículo 12. El debate está abierto, no vacío.

Y una cuestión que el equipo no se atreve a afirmar: el artículo 2 exige que el acceso se realice "con vulneración de medidas de seguridad establecidas para impedirlo". Buena parte de lo que un VDP encuentra —un almacén abierto, una base de datos sin reglas— no tiene medida alguna que vulnerar. Si eso excluye la tipicidad, la exposición de esta cláusula es menor de lo que aparenta.

4. Qué sigue estando prohibido

No se autoriza, y AlySec lo publicará como regla del programa:

• Acceso, descarga o conservación de datos de personas reales. Quien tropiece con ellos debe detenerse y reportarlo. Conservarlos, aunque sea para demostrar el hallazgo, constituye un delito autónomo (artículo 12-A de la Ley N.º 30096, incorporado por el D. Leg. 1700): no es sólo una regla de este programa, y mi autorización no cubre esa conducta.
• Interceptación de comunicaciones o de tráfico, sea de mis sistemas o entre mis usuarios y ellos. Queda fuera de la exención del artículo 12 de la Ley N.º 30096, que no alcanza al delito de interceptación de datos informáticos (artículo 7).
• Denegación de servicio, pruebas de carga, fuerza bruta o cualquier acción que degrade el servicio para terceros.
• Ingeniería social contra mi personal, clientes o proveedores, y acceso físico a mis instalaciones.
• Pruebas contra infraestructura de terceros que mis aplicaciones utilicen y que no sea de mi titularidad (nube, pasarelas de pago, CDN, correo).
• Modificación o borrado de datos o configuraciones, y creación de contenido visible para otros usuarios.
• Spam de reportes automatizados sin verificación previa por quien los manda.

5. Compromiso del Titular con quien investiga (safe harbor público)

Esta es la cláusula que da eficacia real al programa, y aquí alcanza a personas que no conozco.

Me comprometo a no iniciar ni promover acciones legales, penales o civiles, contra cualquier persona que, respecto de una investigación concreta:

1. se haya mantenido dentro del alcance publicado,
2. haya cumplido las prohibiciones del punto 4, y
3. haya reportado el hallazgo por el canal del programa y no lo haya divulgado antes del plazo del punto 7.

Reconozco que, cumplidas esas tres condiciones, su conducta cuenta con mi consentimiento y no constituye acceso no autorizado a efectos de la Ley N.º 30096 (mod. Ley N.º 30171).

Declaro expresamente que las pruebas realizadas dentro del alcance publicado y conforme a las reglas de esta adenda son pruebas autorizadas destinadas a proteger sistemas informáticos, en los términos del artículo 12 de esa misma ley, que exime de responsabilidad penal por las conductas descritas en sus artículos 2, 3, 4 y 10.

Hasta dónde llega este compromiso. El artículo 12 no alcanza a todos los delitos de la ley, y hay dos que mi autorización no puede cubrir. Se advierten aquí porque quien investiga tiene derecho a saber dónde termina su cobertura:

• Interceptación de datos informáticos (artículo 7). No figura en la lista del artículo 12. Por eso el punto 4 la prohíbe expresamente.
• Adquisición, posesión y tráfico ilícito de datos (artículo 12-A, incorporado por el D. Leg. 1700, del 24 de enero de 2026). Es un tipo autónomo que sanciona la posesión de datos, credenciales o bases de datos obtenidos sin consentimiento de su titular. Sus causas de exclusión no pasan por esta adenda, sino por la autorización expresa del titular de los datos conforme a la Ley N.º 29733 — y los datos de mis usuarios no son míos para autorizarlos. Quien conserve datos de personas reales responde por ello aunque haya respetado el alcance publicado; lo único que lo evita es no conservarlos.

Este compromiso decae respecto de quien se aparte de cualquiera de las tres condiciones, y no ampara a quien actúe con ánimo de lucro ilícito, extorsión o daño.

6. Compromiso de respuesta

Acepto que la página publique, y que AlySec cumpla en mi nombre:

• Primera respuesta al reporte en un plazo máximo de ______ días hábiles (por defecto 5).
• Respuesta motivada también cuando el reporte se descarte.
• Sin exigencia de silencio indefinido ni condicionamiento del safe harbor a la firma de un acuerdo posterior.

7. Divulgación

Acepto que quien reporta pueda divulgar públicamente el hallazgo cuando esté remediado o transcurridos ______ días desde su reporte, lo que ocurra primero (por defecto 90).

Si necesito más plazo, lo solicitaré por escrito, con motivo y fecha estimada, a través de AlySec.

8. Datos personales y notificación de brechas

Si pese a las prohibiciones alguien accediera de forma incidental a datos personales, AlySec me lo comunicará dentro de las 24 horas siguientes a tener conocimiento, exigirá su borrado inmediato y dejará constancia en la bitácora. El plazo de AlySec es más corto que el mío a propósito: mi reloj legal corre desde que la brecha se detecta, no desde que AlySec termina el triage.

Asumo, como titular del banco de datos, las obligaciones que me imponen la Ley N.º 29733 y su reglamento vigente (D.S. N.º 016-2024-JUS, en vigor desde el 30 de marzo de 2025). En particular, comunicar la brecha dentro de las 48 horas siguientes a su detección, aunque para entonces ya esté controlada:

1. a la Autoridad Nacional de Protección de Datos Personales;
2. al Centro Nacional de Seguridad Digital, tratándose de un incidente digital;
3. a los titulares afectados, en lenguaje claro y accesible.

9. Titularidad de las aplicaciones publicadas

Declaro que soy titular de todas las aplicaciones que se incluyan en el alcance publicado, o que cuento con autorización escrita de su titular para someterlas a este programa. Entiendo que AlySec verificará el control del dominio de cada una antes de publicarla, y que no publicará ninguna que no supere esa verificación.

10. Vigencia y revocación

• Vigencia del programa: del __ al ____.
• Puedo revocar en cualquier momento por escrito. La revocación despublica la página y cierra el canal de recepción.
• El compromiso del punto 5 se mantiene respecto de las investigaciones y reportes anteriores a la revocación, y respecto de quien actuara confiando en una página que todavía estaba publicada.

Firma del Titular / Representante

Firma: ______

Nombre: _____

DNI: ________

Cargo: ______

Versión del documento: 2026-09-v2-BORRADOR. Su referencia se registra junto a la ficha del programa (vdp_programs.signed_doc_ref) y en la bitácora (vdp_program_opened).

Cambios de v1 a v2, todos sobre el marco legal citado: se invoca el artículo 12 de la Ley N.º 30096 como base de la exención (punto 5); se advierte que esa exención no alcanza al artículo 7 ni al artículo 12-A incorporado por el D. Leg. 1700 (puntos 4 y 5); y el punto 8 se ajusta al reglamento vigente de la Ley N.º 29733 (D.S. N.º 016-2024-JUS), con el plazo de 48 horas que antes no se mencionaba.