Divulgación responsable

Puedes escribir en español o en inglés, usando tu nombre o un alias. También recibimos hallazgos sin identificación, aunque sólo podremos responder si disponemos de un medio de contacto. Describe el problema con la información mínima necesaria.

Si el detalle es sensible, envía primero una descripción general sin adjuntos comprometidos. Acordaremos un medio apropiado para recibir la información necesaria. No envíes por correo contraseñas, claves de acceso ni copias completas de bases de datos.

No necesitas explotar una falla para advertirnos de su posible existencia. Un resultado de una herramienta puede ser útil como antecedente, pero no lo consideramos una vulnerabilidad confirmada sin evaluarlo.

La investigación debe tener como propósito identificar y reportar una vulnerabilidad para mejorar la seguridad, dentro del permiso otorgado. No debe perseguir fraude, apropiación o uso de información ajena, extorsión, daño ni aprovechamientos fuera de ese fin.

No publiques ni compartas información explotable o confidencial obtenida durante la investigación sin el acuerdo y las habilitaciones que correspondan. Esto no limita el cumplimiento de obligaciones legales ni la comunicación con una autoridad competente. Infórmanos de esa comunicación sólo cuando esté permitido y no interfiera con una obligación o instrucción de la autoridad.

Una discrepancia razonable sobre la gravedad de un hallazgo no se considera, por sí sola, mala fe. Las condiciones aplicables son las del permiso vigente durante la actuación. Cualquier cambio de alcance requiere un acuerdo previo; no se aplicarán condiciones nuevas retroactivamente.

Aexis no iniciará acciones por el solo hecho de realizar una investigación comprendida en la autorización escrita que haya otorgado y cumplida dentro de sus condiciones. Podrá acreditar ese permiso cuando corresponda, a partir de los antecedentes conservados y respetando las reglas de protección de datos.

Este compromiso sólo vincula a Aexis dentro de sus facultades. No obliga a terceros ni limita las atribuciones del Ministerio Público, los tribunales u otras autoridades. Tampoco ampara actuaciones fuera del permiso ni elimina obligaciones legales de denuncia o colaboración.

La autorización de Aexis y la exención especial prevista para determinadas investigaciones en el artículo 2 de la Ley 21.459 son cuestiones distintas. La exención exige cumplir todos sus requisitos legales; esta política y un permiso de Aexis no los sustituyen ni garantizan inmunidad penal. Puedes consultar la norma vigente en https://www.bcn.cl/leychile/navegar?idNorma=1177743.

Para gestionar el reporte podemos necesitar tu nombre o alias, el medio de contacto, la descripción, las evidencias mínimas y nuestras comunicaciones. Los utilizamos para evaluar y corregir la falla, coordinar la gestión y comunicarnos contigo. No los incorporamos a listas comerciales.

La recepción de un hallazgo y el ejercicio de derechos sobre tus datos no exigen aceptar usos adicionales. Si un tratamiento requiere tu autorización, te informaremos de su finalidad y alcance y la recabaremos de forma expresa y escrita antes de realizarlo. Puedes revocarla por escrito, sin efecto retroactivo.

El expediente técnico se conserva mientras sea necesario para gestionar el caso y, como máximo, durante doce meses desde su cierre. Se elimina antes la información que deje de ser necesaria, incluidas copias, credenciales o datos ajenos recibidos accidentalmente.

El comprobante del permiso se conserva por separado del expediente técnico. Contiene sólo la identificación o alias y contacto necesarios, quién autorizó, los activos, el alcance, las fechas, la versión aplicable y la referencia de cierre. Se conserva hasta cinco años desde el cierre documentado de la actuación autorizada, para acreditar el permiso y gestionar eventuales controversias, con revisión anual de necesidad.

Antes de tramitar un permiso que requiera tus datos, te informaremos del registro, su finalidad, acceso, plazo y fundamento. Bajo el régimen anterior a la reforma recabaremos la autorización expresa y escrita para ese tratamiento. Los nuevos permisos posteriores se sujetarán a las bases y garantías explicadas en la Política de tratamiento de datos personales de Aexis. Si una obligación legal o una controversia concreta justifica conservar antecedentes por más tiempo, se retendrá únicamente lo necesario, con fundamento aplicable, acceso restringido y revisión de su duración.

No revelamos tu identidad al público ni a terceros ajenos a la gestión sin una habilitación válida. Podremos comunicar la información necesaria a quienes intervengan legítimamente en la corrección, a los proveedores que nos prestan servicios o a una autoridad cuando corresponda, según la ley y las políticas de datos. La entrega a una autoridad de un permiso no implica divulgar automáticamente toda tu identidad o el reporte completo.

La información sobre destinatarios, proveedores, transferencias y ejercicio de derechos está en https://aexis.cl/privacidad/ y https://aexis.cl/tratamiento-de-datos/. Para ejercer tus derechos o consultar por tu información, escribe a privacidad@aexis.cl.

La versión y fecha de vigencia de esta política aparecen al inicio. Los cambios operan hacia el futuro y no modifican retroactivamente permisos otorgados. Puedes solicitar una versión anterior o aclaraciones a seguridad@aexis.cl.

Un archivo security.txt facilita encontrar el canal de seguridad cuando se encuentre publicado y vigente; no concede permisos de prueba ni amplía esta política. La autorización aplicable será siempre la que conste por escrito para la actuación específica.