6.1. Plataformas SaaS, gestión documental y flujos digitales

BIGDAVI podrá proveer plataformas para carga, gestión, trazabilidad, archivo, visualización, firma, validación, workflow, notificación, consulta, descarga, integración y conservación de documentos electrónicos. El Cliente es responsable del contenido que cargue, de la legalidad de sus procesos, de las autorizaciones de sus usuarios y de la validez de los documentos que someta a flujos internos o externos.

6.2. Firma digital, firma electrónica y firma remota

Los servicios de firma pueden permitir la suscripción de documentos mediante distintos mecanismos. Para evitar confusiones sobre su eficacia jurídica, se distinguen, de manera referencial, los siguientes niveles reconocidos por la normativa peruana:

• Firma electrónica simple: mecanismos básicos de manifestación de voluntad por medios electrónicos (por ejemplo, aceptación o “clic”), cuya validez probatoria se aprecia según el caso y las pruebas disponibles.
• Firma electrónica con verificación de identidad: incorpora mecanismos adicionales de autenticación (OTP, validación de identidad, evidencias), aportando mayor robustez probatoria.
• Firma digital basada en certificado de la IOFE: generada con un certificado digital emitido por una entidad de certificación acreditada ante el INDECOPI (o por RENIEC). Conforme al artículo 1 de la Ley N.° 27269, esta firma tiene la misma validez y eficacia jurídica que la firma manuscrita.

El Usuario reconoce que la validez jurídica de cada firma dependerá del tipo de firma utilizada, del certificado o mecanismo asociado, del marco normativo aplicable, de la integridad del documento y de la correcta ejecución del flujo. La firma remota se sujetará además a los controles de identidad y custodia de claves exigidos por la normativa de la IOFE cuando corresponda.

BIGDAVI no será responsable por documentos ilegales, incompletos, inconsistentes, no autorizados, emitidos sin facultades suficientes o cargados por el Cliente sin base jurídica. El Cliente debe verificar contenido, firmantes, poderes, orden de firma, finalidad, consentimiento y custodia de evidencias.

6.3. Certificación digital y registro/verificación

Cuando BIGDAVI actúe como Entidad de Registro o Verificación, operador autorizado, aliado tecnológico, canal de atención o proveedor de soporte dentro de procesos de certificación digital de la IOFE, el Usuario deberá cumplir los requisitos de identificación, presencia física o remota, validación documental, aceptación de condiciones, conservación de evidencias y demás obligaciones exigidas por la normativa, la entidad certificadora, las políticas de certificación y las declaraciones de prácticas aplicables.

BIGDAVI podrá denegar, observar o detener solicitudes cuando existan inconsistencias documentales, identidad no verificable, ausencia de representación, indicios de fraude, negativa a la validación, datos incompletos, incumplimiento de requisitos o restricciones impuestas por una autoridad o tercero competente.

6.4. Validación biométrica, videovalidación e identidad digital

Los servicios de validación de identidad pueden incluir captura de imagen, video, voz, prueba de vida, validación facial, contraste con documentos oficiales, validación de documento de identidad, revisión humana, revisión automatizada, generación de evidencias, logs, metadatos y conservación de expediente. El tratamiento de datos biométricos —que el Reglamento de la Ley N.° 29733 considera datos sensibles— se realizará únicamente cuando sea necesario para el Servicio y bajo las bases jurídicas y consentimientos exigidos por la normativa aplicable.

El Usuario no debe someter a validación a personas sin información previa, consentimiento, autorización o base legal suficiente. Tampoco debe manipular documentos ni usar imágenes de terceros, grabaciones, máscaras, deepfakes, documentos alterados o mecanismos de suplantación.

6.5. Casilla electrónica y comunicaciones electrónicas

Los servicios de casilla electrónica, buzón digital o comunicación electrónica pueden permitir envío, recepción, trazabilidad, constancias, alertas, acuses, sellado temporal, consulta y descarga de comunicaciones. El Cliente es responsable de definir destinatarios válidos, reglas de notificación, efectos legales, consentimiento o habilitación normativa para el uso de medios electrónicos, así como de conservar evidencia suficiente de sus comunicaciones.

6.6. Sello de tiempo, evidencias y trazabilidad

Los servicios de sello de tiempo, fechado electrónico, trazabilidad o evidencia digital podrán apoyarse en autoridades de sellado de tiempo, fuentes de tiempo, registros criptográficos, logs, hashes, certificados, repositorios o servicios de terceros. La función del sello o evidencia dependerá del tipo de servicio contratado y de la normativa aplicable al documento o transacción.

6.7. APIs, integraciones y servicios de terceros

El uso de APIs e integraciones se sujeta a credenciales, límites de tasa, documentación técnica, ambientes, niveles de seguridad y políticas de uso. BIGDAVI podrá limitar o suspender una integración si afecta la estabilidad, seguridad, disponibilidad, integridad de datos, reputación, cumplimiento normativo o derechos de terceros.

6.8. Consultoría, desarrollo, soporte e implementación

Los servicios profesionales se prestarán conforme al alcance, cronograma, entregables, responsabilidades, supuestos, dependencias, aceptación, cambios y tarifas indicadas en la Orden de Servicio. Todo requerimiento fuera del alcance será tratado como cambio y podrá generar costo o plazo adicional.

6.9. Servicios de seguridad ofensiva (ethical hacking y pruebas de penetración)

Cuando BIGDAVI preste servicios de seguridad ofensiva —ethical hacking, pruebas de penetración (pentesting), análisis y escaneo de vulnerabilidades, red team o evaluaciones de seguridad de aplicaciones web—, se aplicarán además las siguientes reglas:

• Autorización previa y por escrito: estos servicios se ejecutarán únicamente sobre activos, sistemas, dominios, direcciones IP, aplicaciones o entornos expresamente autorizados por el Cliente en una orden de servicio, carta de autorización o reglas de enfrentamiento (rules of engagement) que definan alcance, objetivos, técnicas permitidas, ventanas de ejecución, contactos de emergencia y restricciones.
• Titularidad y legitimidad: el Cliente declara y garantiza que es titular de los activos a evaluar o que cuenta con autorización suficiente del titular para someterlos a pruebas. BIGDAVI no realizará pruebas sobre sistemas, redes o datos de terceros sin dicha autorización, en cumplimiento de la Ley N.° 30096, Ley de Delitos Informáticos.
• Límites de actuación: BIGDAVI actuará dentro del alcance autorizado y procurará minimizar riesgos de indisponibilidad o afectación a datos. No obstante, el Cliente reconoce que las pruebas de seguridad conllevan riesgos inherentes (por ejemplo, degradación temporal del servicio) y autoriza su realización asumiendo dichos riesgos dentro de lo razonable.
• Confidencialidad y divulgación responsable: los hallazgos, vulnerabilidades, informes, evidencias y datos a los que BIGDAVI acceda durante la prestación son estrictamente confidenciales, se entregarán únicamente al Cliente y no se divulgarán a terceros salvo obligación legal. BIGDAVI seguirá prácticas de divulgación responsable y no explotará las vulnerabilidades más allá de lo necesario para acreditar el hallazgo.
• Tratamiento de datos: cuando las pruebas impliquen acceso a datos personales, BIGDAVI actuará como encargado del tratamiento conforme a las instrucciones del Cliente y al anexo de tratamiento de datos, aplicando minimización, acceso restringido y eliminación o devolución de la información al concluir el servicio.
• Exclusión de responsabilidad: BIGDAVI no es responsable de las vulnerabilidades preexistentes en los sistemas del Cliente, de la falta de corrección de los hallazgos reportados, ni de los daños derivados de pruebas solicitadas por el Cliente fuera de las recomendaciones técnicas o ejecutadas sobre activos respecto de los cuales el Cliente no tenía autorización.

6.10. Intermediación electrónica y servicios sobre cadena de bloques

Cuando BIGDAVI preste servicios de intermediación electrónica o servicios apoyados en tecnologías de registro distribuido o cadena de bloques (por ejemplo, anclaje de evidencias o sellado), su función dependerá del servicio contratado y de la normativa aplicable. El Usuario reconoce que el uso de estas tecnologías puede implicar características técnicas particulares de inmutabilidad, trazabilidad o disponibilidad que se describirán en la Orden de Servicio o documentación técnica correspondiente.