/legal/aup
AUP
Last updated: 2026-04-25
Esta Política de Uso Aceptable (AUP) define qué está permitido y prohibido en el contexto de los servicios contratados de intrus.io. Es una extensión de los Términos de Uso y del contrato específico de cada engagement. Violaciones pueden resultar en suspensión inmediata, rescisión y responsabilidad legal.
1. Autorización explícita es obligatoria
Toda actividad de pentest, red team o correlativos exige Carta de Autorización (Authorization to Test) firmada por representante autorizado del cliente, especificando objetivos, ventana y alcance.
Está TERMINANTEMENTE PROHIBIDO solicitar a intrus.io cualquier ataque, prueba, escaneo o acción ofensiva contra activos que NO sean propiedad o control del cliente contratante. Intentos de fraude en la autorización son reportados a las autoridades competentes (Ley 12.737/2012 — Carolina Dieckmann en Brasil; equivalentes en otras jurisdicciones).
2. Uso indebido prohibido
Los informes técnicos entregados NO pueden ser usados para: (a) atacar a terceros no autorizados; (b) revender o redistribuir comercialmente; (c) usar como prueba en litigio sin previa anuencia de intrus.io.
Está prohibido usar la relación contractual con intrus.io para finalidades ilícitas, incluyendo lavado de activos, evasión de sanciones, espionaje industrial no autorizado o intimidación de periodistas/disidentes.
3. Límites técnicos
No realizamos pruebas que puedan causar daño físico, lesión corporal o muerte (ej.: ataques directos a sistemas de salud sin entorno espejo, equipos médicos en uso clínico, sistemas de tráfico aéreo en producción).
No realizamos ingeniería social que involucre chantaje, extorsión, suplantación de autoridad pública o acciones ilegales en las jurisdicciones aplicables.
Para entornos OT/SCADA críticos, exigimos entorno de homologación o validación previa por ingeniería de operación del cliente.
4. Tratamiento de vulnerabilidades 0-day
Vulnerabilidades inéditas descubiertas en productos/sistemas de terceros durante engagement se tratan conforme Coordinated Vulnerability Disclosure (CVD): notificación al cliente, luego al fabricante afectado con ventana razonable de corrección (90 días estándar), luego divulgación responsable.
No comercializamos exploits ni los pasamos a brokers de vulnerabilidad.
5. Confidencialidad post-contrato
Tras cierre del engagement, información sensible del cliente es retenida por máximo 90 días y luego eliminada. Comprobante de destrucción se emite bajo solicitud.
Acuerdos de confidencialidad (NDA) permanecen en vigor por el plazo contratado, aún después del cierre.
6. Reporte de violaciones
Sospechas de violación de esta AUP por colaboradores intrus.io o clientes pueden ser reportadas confidencialmente a contato@intrusioncyber.com.
Para preguntas específicas sobre este documento, escriba a contato@intrusioncyber.com.