Acuerdo de Intermediación con Vendor · CDP v0.1

**Acuerdo de Intermediación · Plantilla Pública v0.1** Este documento es la plantilla base que rige la coordinación Reizan–Vendor en el protocolo CDP v0.1. Las cláusulas son negociables caso a caso. El acuerdo final entre las partes se firma posterior a la negociación específica del engagement.

§1 · Objeto y partes#

El presente acuerdo regula la relación entre Reizan (en adelante, el "Intermediario") y el vendor o proveedor de software afectado por una vulnerabilidad reportada a través del protocolo Coordinated Disclosure Platform v0.1 de Reizan (en adelante, el "Vendor"), con el propósito de gestionar la divulgación coordinada de manera ordenada, dentro del marco legal chileno e internacional aplicable.

El investigador de seguridad que reportó la vulnerabilidad (en adelante, el "Investigador") actúa como parte informada. Sus derechos y obligaciones se rigen por el protocolo CDP v0.1 publicado en /policy/cdp.

§2 · Ventana de divulgación coordinada#

§2.1 La ventana de divulgación coordinada es de 90 días corridos desde la fecha de recepción del reporte por parte de Reizan.

§2.2 Reizan notificará al Vendor dentro de los 10 días hábiles siguientes a la recepción y verificación inicial del reporte (fase de triaje).

§2.3 El Vendor deberá acusar recibo de la notificación dentro de los 5 días hábiles siguientes a su envío.

§2.4 El Vendor deberá entregar un plan de remediación dentro de los 30 días corridos siguientes al acuse de recibo.

§2.5 Las partes podrán acordar una extensión de la ventana, siempre que exista justificación técnica documentada y el Investigador no se oponga. Cualquier extensión se documenta en el sistema CDP y notifica al Investigador.

§2.6 Vencida la ventana sin remediación publicada, Reizan procederá a la divulgación pública conforme al protocolo CDP v0.1 §7, independientemente del estado de la remediación del Vendor.

§3 · Crédito al investigador#

§3.1 El Investigador tiene derecho a crédito público por el hallazgo en el advisory de seguridad publicado por Reizan.

§3.2 El crédito es opt-out: el Investigador puede solicitar por escrito que su identidad (pseudónimo o nombre) no sea mencionada en publicaciones.

§3.3 El Vendor reconoce el derecho de crédito del Investigador y no podrá solicitar a Reizan la supresión del crédito salvo acuerdo expreso del Investigador.

§4 · Bug Bounty Bridge Fee#

§4.1 En los casos en que el Vendor ofrezca una compensación económica (bounty) al Investigador por el hallazgo reportado a través de Reizan, el Vendor abonará a Reizan una tarifa de intermediación equivalente al 20% sobre el monto neto del bounty cuando el monto sea inferior a USD 10.000, o al 30% cuando el monto sea igual o superior a USD 10.000.

§4.2 La tarifa de intermediación se acuerda por escrito antes del pago del bounty. Reizan emitirá la boleta o factura correspondiente conforme a la normativa tributaria vigente.

§4.3 En ausencia de bounty, no se aplica tarifa de intermediación.

§5 · Período de confidencialidad#

§5.1 Desde la recepción del reporte hasta la publicación del advisory de divulgación pública, toda la información intercambiada entre Reizan y el Vendor se trata como confidencial.

§5.2 El Vendor se obliga a no divulgar la existencia, el contenido ni los detalles técnicos del reporte a terceros no autorizados durante el período de confidencialidad.

§5.3 El Investigador está sujeto a las mismas obligaciones de confidencialidad durante el período de divulgación coordinada, conforme al protocolo CDP v0.1 §8.

§5.4 La confidencialidad no aplica cuando exista obligación legal de divulgación (autoridades, reguladores, ANCI).

§6 · Obligaciones del Vendor#

El Vendor se obliga a:

• Acusar recibo de la notificación de Reizan dentro de 5 días hábiles.
• Entregar un plan de remediación dentro de 30 días corridos del acuse.
• Mantener a Reizan informado del estado de la corrección con periodicidad semanal o ante cambios relevantes.
• No iniciar acciones legales contra el Investigador por el hallazgo reportado, siempre que el Investigador haya actuado dentro del ámbito del protocolo CDP v0.1 y sin haber causado daño fuera de las pruebas de concepto controladas.
• Coordinar con Reizan la fecha de publicación del advisory.

§7 · Obligaciones de Reizan#

Reizan se obliga a:

• Notificar al Vendor en el plazo indicado en §2.2.
• Actuar como intermediario neutral entre Investigador y Vendor.
• Mantener la información técnica sensible en formato cifrado.
• No publicar el advisory antes del vencimiento de la ventana de 90 días sin consentimiento del Vendor, salvo en los casos previstos en el protocolo CDP v0.1 §7.3 (riesgo inmediato, explotación activa).
• Notificar a ANCI cuando el sistema afectado corresponda a un Operador de Importancia Vital (OIV) bajo Ley 21.663 art. 9.

§8 · Marco legal#

El presente acuerdo se rige por:

• Ley 19.223 sobre Delitos Informáticos (Chile).
• Ley 21.459 sobre Delitos Informáticos Modernizada (Chile).
• Ley 21.663 art. 9 en lo relativo a notificaciones OIV a ANCI.
• Ley 19.628 sobre Protección de la Vida Privada.
• Ley 21.719 sobre Protección de Datos Personales.

Las partes se someten a la jurisdicción de los tribunales ordinarios de la República de Chile para cualquier controversia derivada del presente acuerdo.

§9 · Descargo de responsabilidad#

Este documento es una plantilla pública v0.1 que opera como punto de partida para la negociación específica entre Reizan y el Vendor. Las cláusulas son de carácter indicativo y están sujetas a revisión y negociación paritaria caso a caso, conforme a la asesoría legal de las partes involucradas en cada engagement.

Para consultas sobre este acuerdo: [email protected] — Asunto: [Reizan CDP] Acuerdo vendor: <nombre empresa>

---

Reizan · Cono Sur · 2026 / Ley 19.628 · Ley 21.719 · Ley 19.223