Normas del Programa: Divulgación Responsable, Confidencialidad y Garantías para el Investigador

Documento legal de la plataforma de Bug Bounty de Grayback.

Aviso legal: Este documento regula la participación de investigadores de seguridad ("Hunters") en los programas gestionados a través de la plataforma Grayback. Se recomienda su revisión periódica y su validación por asesoría jurídica especializada antes de cualquier modificación sustancial.

Parte I. Cómo gestionamos la divulgación de vulnerabilidades

Cuando un hunter envía un informe, este queda visible de inmediato para el equipo de seguridad correspondiente y se mantiene en carácter privado mientras se trabaja en su corrección. Solo una vez cerrado y confirmado como resuelto podrá plantearse su publicación, y esa publicación exigirá siempre el visto bueno previo, por escrito, de la empresa afectada (la "Compañía"), aun cuando el fallo ya esté solucionado.

Grayback coordinará junto al hunter los términos concretos de esa publicación, incluyendo el momento, el contenido y el alcance, procurando que coincida, en la medida de lo posible, con el despliegue de una solución y con el aviso correspondiente a los usuarios afectados.

Como referencia general, se busca cerrar cada caso en un plazo no superior a 90 días desde su confirmación, aunque este objetivo se ajustará según la complejidad técnica, los sistemas implicados y el nivel de riesgo real que suponga la vulnerabilidad.

Cuando un hallazgo afecte simultáneamente a otras organizaciones distintas de la Compañía, se notificará en todo caso al Instituto Nacional de Ciberseguridad (INCIBE), en incidencias@incibe-cert.es, con independencia de que se opte o no por una divulgación pública.

Se espera una comunicación fluida y de buena fe entre el hunter y el equipo de Grayback a la hora de fijar estos plazos.

Qué se considera dentro del programa

Únicamente se entiende cubierta la actividad realizada sobre los activos, dominios, entornos y condiciones que Grayback y la Compañía hayan detallado expresamente para cada programa concreto. Cualquier actuación fuera de ese perímetro, como acceder a sistemas no incluidos, ir más allá de la prueba mínima necesaria para demostrar el fallo, copiar o modificar datos reales, provocar caídas de servicio, dirigirse a empleados o usuarios mediante ingeniería social, o intentar acceso físico a instalaciones, no forma parte del programa y no cuenta con ningún respaldo por parte de Grayback ni de la Compañía. Quien la lleve a cabo asume, en exclusiva y a título personal, toda la responsabilidad que de ella se derive.

El hunter entiende y acepta que Grayback opera como intermediario tecnológico entre investigadores y empresas: facilita la plataforma, gestiona los informes y coordina los pagos, pero no supervisa en tiempo real ni tiene control técnico sobre lo que cada investigador ejecuta contra los sistemas de la Compañía. Por ese motivo, Grayback queda al margen de cualquier responsabilidad derivada de actuaciones ilícitas, negligentes o realizadas fuera del alcance autorizado.

Parte II. Compromiso de confidencialidad

Este compromiso entra en vigor desde el momento en que el Hunter acepta digitalmente estas normas dentro de la plataforma Grayback.

Quiénes intervienen

Al aceptar este documento a través del formulario correspondiente, quedan vinculados: de un lado, la persona registrada como investigador en la plataforma (el "Hunter"); de otro, GRAYBACK SECURITY TECHNOLOGIES, S.L., con NIF B27578301 (en adelante, "Grayback"). Ambos se referirán conjuntamente como las "Partes".

Se parte de las siguientes premisas:

• El Hunter participa, o va a participar, en un programa impulsado por Grayback cuyo fin es detectar vulnerabilidades en sistemas de una empresa colaboradora.
• Como parte de esa participación, el Hunter podrá acceder a información sensible que deberá compartir con Grayback en beneficio de dicha empresa.
• El Hunter interviene como investigador independiente y por cuenta propia: no existe entre él y Grayback ni relación laboral, ni mercantil de representación, ni de agencia de ningún tipo.

Qué se entiende por información confidencial

Todo dato, documento, informe, credencial, configuración técnica, código, arquitectura o metodología, y en general cualquier información, vinculado a las vulnerabilidades detectadas, analizadas o relacionadas con los sistemas de la empresa colaboradora, así como cualquier otro contenido que Grayback facilite dentro del programa, tiene la consideración de información confidencial.

Quedan al margen de esa consideración:

• Aquello que ya fuera público antes de que exista incumplimiento alguno de este documento.
• Aquello cuya divulgación venga impuesta por una norma legal.

Obligaciones del Hunter

El Hunter se obliga a guardar en secreto toda la información confidencial a la que tenga acceso con motivo de su participación en el programa, siendo consciente de que su valor es elevado y de que revelarla sin autorización podría causar un perjuicio serio tanto a la empresa colaboradora como a Grayback.

En concreto, el Hunter se compromete a:

• Guardar la máxima reserva sobre dicha información.
• Aplicar medidas de seguridad razonables para preservar su confidencialidad, integridad y secreto.
• Avisar de inmediato a Grayback, y si procede a la empresa colaboradora, en cuanto detecte una fuga o divulgación no permitida, para poder actuar conjuntamente y limitar el daño.
• Limitar el acceso a esta información solo a quien resulte estrictamente necesario para el propósito de este documento.
• Pedir autorización previa y por escrito a Grayback antes de compartir información confidencial con terceros externos a su organización (abogados, asesores, peritos u otros).
• Responder personalmente frente a quienes reciban esa información si se produce un incumplimiento, manteniendo indemne a Grayback y a la empresa colaboradora ante cualquier reclamación derivada.
• Devolver o destruir, cuando así se le solicite, toda la información confidencial recibida, asegurándose de que quienes la hayan recibido de forma legítima hagan lo mismo.

Responsabilidad exclusiva del Hunter frente a actos ilícitos

El Hunter responderá, indemnizará y mantendrá indemne a Grayback y a la empresa colaboradora, así como a sus socios, empleados y colaboradores, ante cualquier reclamación, multa, daño, gasto o coste (incluidos honorarios legales razonables) que traiga causa de:

• Un acto ilícito, negligente o intencionado del Hunter durante su actividad de investigación, se haya producido dentro o fuera del alcance autorizado del programa.
• El incumplimiento de este documento, de las normas de divulgación de vulnerabilidades o del apartado de garantías para el investigador (Parte III), o de la normativa vigente.
• El acceso, copia, alteración, borrado o filtración no autorizados de datos o sistemas pertenecientes a la empresa colaboradora o a terceros.

Grayback y la empresa colaboradora no asumen frente a terceros ninguna responsabilidad solidaria, subsidiaria ni de garantía por la conducta del Hunter; dicha responsabilidad recae, en su totalidad, sobre quien la haya generado.

Duración

Este compromiso de confidencialidad no tiene fecha de caducidad: se mantiene vigente mientras la información siga teniendo carácter confidencial.

Si alguna cláusula deja de ser válida

Si una parte de este documento resultase inválida por imperativo legal, el resto seguirá aplicándose salvo que esa invalidez afecte a un aspecto esencial. Llegado el caso, las Partes negociarán de buena fe una redacción alternativa que respete en lo posible el sentido original y resulte jurídicamente válida.

Anexos

Cualquier anexo referenciado y adjunto a este documento forma parte del mismo a todos los efectos.

Tratamiento de datos personales

Cada Parte trata los datos personales de la otra como responsable de su propio tratamiento, con base en la ejecución de este documento y con la finalidad de sostener la relación de colaboración acordada. Los datos se conservarán mientras dure dicha relación y, después, durante el tiempo exigido por la normativa aplicable (laboral, mercantil, fiscal u otra).

Los datos solo se cederán, cuando exista obligación legal de hacerlo, a Administraciones Públicas competentes o a entidades bancarias y financieras en lo necesario para gestionar los pagos acordados.

Quien quiera ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad o limitación puede dirigirse por escrito a la dirección de notificaciones designada o al correo electrónico facilitado por la otra Parte. Si la respuesta no resulta satisfactoria, cabe reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Ley aplicable y jurisdicción

Este documento se rige por la legislación española. Cualquier controversia sobre su interpretación o cumplimiento se someterá a los Juzgados y Tribunales competentes conforme a dicha legislación.

Cómo se acepta

Al pulsar "Aceptar" (o equivalente) en la plataforma, el Hunter confirma haber leído y entendido este documento, queda vinculado por él desde ese instante, y reconoce que actúa como investigador independiente bajo su propia y exclusiva responsabilidad, asumiendo personalmente cualquier consecuencia legal que se derive de actuaciones fuera del alcance autorizado del programa.

Parte III. Garantías para el Investigador (Safe Harbor)

Siempre que la investigación se realice conforme a estas normas, Grayback la considera:

• Amparada frente a la normativa penal aplicable a los delitos informáticos, incluidos los artículos del Código Penal español relativos al acceso no autorizado y al descubrimiento de secretos (art. 197 y siguientes). No promoveremos ni apoyaremos acciones legales por infracciones accidentales y de buena fe cometidas conforme a estas normas.
• Amparada frente a la normativa sobre elusión de medidas tecnológicas de protección prevista en el derecho español o europeo, siempre que se realice con fines de investigación y respetando estas normas.
• Exceptuada de las restricciones de nuestros términos legales generales (Términos y Condiciones, Política de Uso Aceptable) en lo que puedan chocar con una investigación de seguridad legítima. Esa exención se concede de forma limitada, únicamente para permitir una investigación responsable.
• Lícita y de utilidad para la seguridad general de Internet cuando se realiza de buena fe, entendiéndose amparada por los principios de proporcionalidad y finalidad legítima que recogen las normas de protección de datos y ciberseguridad.

Se espera, en todo caso, el cumplimiento de la legalidad vigente. Si un tercero emprendiera acciones legales contra un investigador que haya actuado conforme a estas normas, Grayback adoptará las medidas a su alcance para dejar constancia de que su actuación se ajustó a ellas.

Dónde termina esta garantía

Esta garantía cubre únicamente lo realizado estrictamente dentro del alcance autorizado de cada programa, con la mínima intrusión necesaria para acreditar el fallo, y sin tocar datos reales de usuarios o de la empresa colaboradora más allá de lo imprescindible para demostrar el hallazgo.

Quedan fuera de esta garantía, y por tanto sin ninguna cobertura frente a Grayback o a la empresa colaboradora, conductas como:

• Copiar, exfiltrar, publicar o vender datos personales o confidenciales reales.
• Provocar denegaciones de servicio o degradar la disponibilidad de un sistema.
• Recurrir a ingeniería social o phishing contra empleados o usuarios sin autorización expresa.
• Actuar sobre activos, dominios o condiciones no incluidos en el alcance definido del programa.
• Condicionar el pago de una recompensa a no revelar la vulnerabilidad, o cualquier forma de extorsión.

Toda responsabilidad, ya sea penal, civil o administrativa, que se derive de estas conductas corresponde en exclusiva a quien las cometa; ni Grayback ni la empresa colaboradora asumirán consecuencia legal, económica o reputacional alguna por ellas.

Esta garantía solo alcanza a las reclamaciones legales que dependan de la Compañía adherida a este programa, por lo que no vincula a terceros ajenos a ella.

Ante cualquier duda sobre si una investigación concreta encaja dentro de estas normas, lo correcto es enviar una consulta a través de los canales oficiales de Grayback antes de actuar.

Parte IV. En resumen: qué protege esto a Grayback

A modo de síntesis de lo ya recogido en las partes anteriores:

• Los hunters participan como investigadores independientes, sin relación laboral, de representación ni de agencia con Grayback.
• Salirse del alcance autorizado de un programa deja esa actuación fuera del Safe Harbor y de este documento, y la responsabilidad pasa a ser personal y exclusiva del hunter.
• El hunter indemniza y mantiene indemne a Grayback y a la empresa colaboradora ante reclamaciones derivadas de actos ilícitos, negligentes o fuera de alcance.
• Grayback actúa como intermediario tecnológico entre investigadores y empresas, sin garantizar ni responder por la conducta de los primeros.

Recomendación práctica: para que esta protección sea plenamente efectiva, conviene enlazar y referenciar este documento desde los Términos y Condiciones generales de grayback.es, y registrar cada aceptación (fecha, IP, versión del texto aceptada) como evidencia ante un eventual conflicto.