Safe Harbor — Compromiso de AlySec con quien investiga — BORRADOR

⚠️ BORRADOR pendiente de revisión legal. Redactado por el equipo técnico como punto de partida. No publicar ni entregar a ningún investigador sin la revisión y el ajuste de un abogado colegiado en Perú.

Es un compromiso jurídico real: al firmarlo, AlySec renuncia a accionar contra alguien que ataca sistemas que no son suyos. Su eficacia depende por completo de que el titular de esos sistemas haya asumido el mismo compromiso en la Adenda de Bug Bounty. Sin esa adenda firmada, este documento sólo obliga a AlySec y no protege al investigador frente a quien de verdad podría denunciarlo: el cliente.

1. A quién protege

A la persona acreditada en el programa privado de AlySec que, en una investigación concreta:

1. se mantiene dentro del alcance que AlySec le comunique por escrito al darle acceso a ese programa (es un programa privado: el alcance no es público, se entrega a cada persona acreditada),
2. cumple las diez reglas de enganche —cinco permitidas (P1–P5) y cinco prohibidas (X1–X5)—, y
3. reporta el hallazgo a AlySec y a nadie más, antes de divulgarlo.

Las tres condiciones son acumulativas. Quien se sale de cualquiera de ellas queda fuera de este compromiso desde ese momento, aunque el resto de su trabajo haya sido impecable.

2. Qué se compromete AlySec

Mientras se cumplan las condiciones del punto 1:

1. No iniciaremos ni promoveremos acciones legales contra ti por esa investigación, ni penales bajo la Ley N.º 30096 (mod. Ley N.º 30171) ni civiles por daños.
2. Consideramos tu actividad autorizada. Existe consentimiento documentado y con fecha del titular del sistema, y tu acreditación consta en nuestra bitácora. No es acceso no autorizado.
3. Si un tercero acciona contra ti —el titular, un proveedor de hosting, un operador de infraestructura— te lo comunicaremos sin demora y te entregaremos la constancia de tu acreditación, del alcance vigente y de la autorización firmada que amparaba la prueba, para que puedas aportarla.
4. Responderemos todos tus reportes, se acepten o no, y te daremos el motivo por escrito cuando se descarten.
5. No te pediremos silencio indefinido. Puedes divulgar conforme al plazo de la regla 5: cuando el hallazgo esté remediado o a los 90 días de tu reporte, lo que ocurra primero.
6. No condicionaremos este compromiso a que aceptes un acuerdo posterior, ni a que renuncies al crédito por el hallazgo.

3. Qué NO cubre, dicho claro

Este documento no es un permiso general. No te protege si:

• Actúas fuera del alcance que se te comunicó, incluida la infraestructura de terceros que la aplicación utilice (proveedores de nube, pasarelas de pago, CDN). Esos sistemas no son del titular y el titular no puede autorizarlos.
• Accedes, descargas o conservas datos de personas reales, aunque sea para demostrar el hallazgo. Demuéstralo con tus propias cuentas de prueba y detente en cuanto quede demostrado.
• Causas denegación de servicio, degradación o pérdida de datos.
• Recurres a ingeniería social o acceso físico.
• Divulgas antes de tiempo, o negocias la no divulgación a cambio de algo.

Tampoco es asesoramiento legal, ni renuncia a derechos de terceros que no han firmado nada, ni te exime de la ley penal frente al Ministerio Público si tu conducta excede lo autorizado. Un compromiso privado no despenaliza nada: lo que te protege es que la conducta esté efectivamente autorizada por el titular.

4. Si algo sale mal sin querer

Pasa. Si durante una prueba accedes a datos reales sin buscarlo, provocas una caída o te das cuenta de que te saliste del alcance:

1. Para de inmediato.
2. Escríbenos en el mismo día, contando qué pasó y qué viste.
3. No conserves nada. Borra lo que hayas descargado y dinos qué borraste.

Avisar de buena fe y a tiempo mantiene el compromiso del punto 2. Ocultarlo lo rompe. Esta cláusula existe porque un error honesto no debería costarte una denuncia, y porque nos interesa más enterarnos que castigarte.

5. Vigencia

• Este compromiso aplica desde tu acreditación y por cada programa al que se te dé acceso.
• Si lo modificamos, la versión que te aplica es la vigente el día de tu reporte, nunca una posterior.
• Si el titular de un programa revoca su autorización, te lo comunicaremos y el alcance se cierra; lo ya reportado sigue amparado.

Versión del documento: 2026-09-v1-BORRADOR. Debe registrarse junto con la acreditación del investigador en la bitácora (researcher_admitted).