Términos y Condiciones

Los servicios descritos en el presente instrumento son prestados por Santiago Barclay, persona humana, con domicilio en la República Argentina, inscripto como Monotributista ante la Administración Federal de Ingresos Públicos (AFIP/ARCA), bajo el nombre comercial Adroit Security (en adelante, “Adroit” o el “Proveedor”).

Las presentes condiciones se rigen por el derecho vigente en la República Argentina y en particular por la Ley N.º 24.240 de Defensa del Consumidor (en lo que resulte aplicable a relaciones entre empresas), el Código Civil y Comercial de la Nación, y demás normativa aplicable.

Adroit presta servicios de Penetration Testing (Pentest) White-Box asistido por Inteligencia Artificial. El servicio consiste en el análisis de seguridad ofensiva de aplicaciones web, APIs y sistemas de software mediante el acceso temporal al código fuente del Cliente y la ejecución de pruebas de explotación reales desde internet.

El servicio puede incluir, sin limitarse a:

• Análisis estático y dinámico del código fuente.
• Identificación y validación de vulnerabilidades mediante explotación controlada.
• Generación de reportes con hallazgos, pruebas de concepto (PoC) y recomendaciones de remediación.

El alcance exacto de cada servicio queda definido en el documento de alcance (scope) acordado entre las partes antes de la ejecución del test.

Al contratar el servicio, el Cliente otorga a Adroit autorización expresa, escrita e inequívoca para realizar pruebas de penetración sobre los sistemas, aplicaciones y entornos especificados en el scope acordado, durante el período de tiempo definido para la ejecución del test.

El Cliente declara y garantiza que:

• Tiene plena capacidad legal y autoridad para conceder dicha autorización.
• Es propietario legítimo o cuenta con autorización de los legítimos titulares de todos los sistemas incluidos en el scope.
• Los sistemas a testear no pertenecen ni afectan a terceros no autorizados.
• Ha informado y obtenido los consentimientos internos necesarios en su organización.

Cualquier test realizado fuera del scope acordado requerirá autorización adicional por escrito. Adroit no asume responsabilidad alguna por consecuencias derivadas de declaraciones falsas del Cliente respecto de su autorización.

El Cliente se compromete a:

• Proveer acceso oportuno al repositorio de código fuente y a la información necesaria para la ejecución del test.
• Designar un punto de contacto técnico disponible durante la ejecución del pentest.
• Notificar a Adroit de inmediato ante cualquier incidente o anomalía detectada durante el período de testeo.
• No compartir el reporte de hallazgos con terceros no autorizados sin implementar previamente las remediaciones correspondientes.
• Utilizar los hallazgos exclusivamente con fines defensivos y de remediación.
• No utilizar las vulnerabilidades identificadas en el reporte para fines ilícitos o para atacar sistemas de terceros.

5.1 Servicio de Mejor Esfuerzo (Best Effort)

El servicio de penetration testing es, por su propia naturaleza, un servicio de mejor esfuerzo. Adroit se compromete a aplicar metodologías profesionales, herramientas actualizadas e inteligencia artificial avanzada para identificar vulnerabilidades en los sistemas del Cliente dentro del alcance acordado.

Sin embargo, ningún pentest —sea manual, automatizado o asistido por IA— puede garantizar la detección de la totalidad de las vulnerabilidades existentes en un sistema. La seguridad informática es un campo en constante evolución, y la ausencia de hallazgos en un reporte no implica ni garantiza que el sistema esté libre de vulnerabilidades.

5.2 Ausencia de Garantía de Exhaustividad

ADROIT NO GARANTIZA QUE EL SERVICIO SEA EXHAUSTIVO EN LA IDENTIFICACIÓN DE TODAS LAS AMENAZAS, VULNERABILIDADES O RIESGOS DE SEGURIDAD PRESENTES EN LOS SISTEMAS DEL CLIENTE. El pentest evalúa el sistema tal como se encontraba en el momento de su ejecución, dentro del scope definido, y puede estar sujeto a las siguientes limitaciones inherentes:

• Limitaciones de scope: Solo se analizan los sistemas, aplicaciones y entornos expresamente incluidos en el alcance acordado.
• Limitaciones temporales: El análisis refleja el estado del sistema en el momento del test. Cambios posteriores pueden introducir nuevas vulnerabilidades.
• Vulnerabilidades de día cero: No es posible identificar vulnerabilidades desconocidas públicamente al momento de la ejecución del test (zero-days).
• Limitaciones tecnológicas: Determinadas configuraciones de infraestructura, dependencias de terceros o integraciones externas pueden estar fuera del alcance o ser inaccesibles al análisis.
• Evolución del sistema: Modificaciones realizadas al código o la infraestructura después del test invalidan parcial o totalmente los resultados.

5.3 Deslinde de Responsabilidad ante Brechas de Seguridad

Si, luego de la realización de un pentest por parte de Adroit, el sistema del Cliente sufriera una brecha de seguridad, un acceso no autorizado o cualquier incidente relacionado con una vulnerabilidad no identificada en el reporte de Adroit, el Proveedor no será responsable de dichos daños, pérdidas, costos o consecuencias, incluyendo sin limitación:

• Pérdida o exposición de datos personales o confidenciales.
• Daños directos, indirectos, incidentales, especiales, consecuentes o punitivos.
• Lucro cesante, pérdida de contratos o interrupción de negocios.
• Costos de notificación a afectados, multas regulatorias o gastos legales.
• Daño reputacional.

Esta limitación aplica independientemente de que el daño sea previsible o de que Adroit haya sido advertido de la posibilidad de tal daño. La responsabilidad máxima y agregada de Adroit frente al Cliente, por cualquier concepto derivado de la prestación del servicio, no podrá exceder el monto total facturado y efectivamente percibido por el test específico en cuestión.

Nota importante: Esta limitación de responsabilidad es inherente a la naturaleza de los servicios de ethical hacking y penetration testing en la industria de ciberseguridad. Es una práctica estándar reconocida internacionalmente. Un sistema que ha pasado por un pentest está en mejor posición que uno que no, pero ninguna evaluación de seguridad elimina por completo el riesgo de brechas.

5.4 Riesgos Inherentes al Pentest

El Cliente reconoce y acepta que las actividades de penetration testing involucran, por su naturaleza, la ejecución de técnicas de ataque controladas sobre sistemas en producción o en entornos de staging. Adroit tomará todos los recaudos razonables para minimizar el impacto sobre la disponibilidad y el funcionamiento de los sistemas, pero no puede garantizar la ausencia absoluta de interrupciones, degradaciones de performance o efectos colaterales durante la ejecución del test.

Se recomienda al Cliente realizar backups completos de todos sus sistemas antes del inicio del pentest.

Adroit trata el código fuente y cualquier otro activo digital del Cliente con la máxima confidencialidad. A tal efecto:

• Los repositorios de código fuente compartidos con Adroit son eliminados permanentemente al concluir cada pentest.
• Adroit no conserva, almacena ni retiene el código fuente del Cliente más allá del tiempo estrictamente necesario para la ejecución del servicio.
• Adroit no utiliza el código fuente ni los hallazgos de sus clientes para entrenar modelos de inteligencia artificial propios ni para ningún otro propósito comercial o de investigación.
• El único propósito del acceso al código fuente es la identificación de vulnerabilidades de seguridad en beneficio del Cliente.

Adroit emplea las APIs de Anthropic (proveedor de modelos de IA, incluyendo Claude) como componente central de su motor de análisis. Ello implica que fragmentos del código fuente del Cliente y datos relacionados con los hallazgos de seguridad son enviados a los servidores de Anthropic para su procesamiento.

Al contratar el servicio, el Cliente acepta expresamente dicho procesamiento por parte de Anthropic. El uso de los datos por parte de Anthropic se rige por sus propios Términos de Servicio y Política de Privacidad. Adroit no controla las políticas internas de Anthropic, pero selecciona proveedores con estándares de seguridad reconocidos y solo transmite la información mínima necesaria para la prestación del servicio.

Para mayor información sobre el tratamiento de datos, véase la Política de Privacidad de Adroit.

Ambas partes se comprometen a mantener la más estricta confidencialidad respecto de toda información intercambiada en el marco del servicio, incluyendo el código fuente, los hallazgos, los reportes, las metodologías empleadas y cualquier dato sensible del negocio.

La obligación de confidencialidad subsistirá por un período de tres (3) años desde la finalización del servicio, salvo disposición legal en contrario que obligue a la divulgación.

Los reportes de findings son documentos confidenciales. El Cliente no debe publicarlos ni divulgarlos a terceros mientras existan vulnerabilidades sin remediar.

El Cliente retiene todos los derechos de propiedad intelectual sobre su código fuente, aplicaciones y sistemas. Adroit no adquiere ningún derecho de propiedad sobre los activos del Cliente.

Los reportes de pentest generados por Adroit son propiedad intelectual de Adroit y se licencian al Cliente para su uso interno exclusivo. Adroit se reserva el derecho de publicar, con previa anonimización completa, estadísticas o tendencias de vulnerabilidades agregadas basadas en su experiencia, sin identificar al Cliente ni revelar información específica de sus sistemas.

El precio del servicio y las condiciones de pago son las acordadas por escrito entre las partes previo al inicio de cada test. Adroit emite factura de Monotributo conforme a la normativa argentina vigente.

El servicio se ejecuta previa confirmación del pago o acuerdo escrito de las condiciones comerciales. En caso de cancelación por parte del Cliente luego de iniciado el servicio, no habrá lugar a devolución del importe abonado.

Adroit se reserva el derecho de modificar los presentes Términos y Condiciones en cualquier momento. Las modificaciones serán publicadas en este sitio web con indicación de la fecha de actualización. El uso continuado del servicio luego de la publicación de cambios implicará la aceptación de los nuevos términos.

Los presentes Términos y Condiciones se rigen e interpretan de conformidad con las leyes de la República Argentina. Para cualquier controversia que pudiera suscitarse en relación con la interpretación, validez o ejecución de estos términos, las partes se someten a la jurisdicción de los Tribunales Ordinarios de la Ciudad Autónoma de Buenos Aires, renunciando a cualquier otro fuero o jurisdicción que pudiera corresponderles.

Para consultas relacionadas con estos Términos y Condiciones, podés escribirnos a: privacy@adroit-security.net