Términos del servicio

Estos Términos del Servicio (“Términos”) regulan el uso de la plataforma de detección de vulnerabilidades operada bajo el nombre comercial “Musha Security” (“Musha”, “nosotros”), conforme a la legislación de la República de Colombia, disponible en mushasec.com y app.mushasec.com (el “Servicio”). Cuando creas una cuenta o usas el Servicio, aceptas estos Términos en su totalidad. Si no estás de acuerdo con ellos, te pedimos que no uses el Servicio.

01. Definiciones

• Cliente: la organización (empresa, entidad legal) que contrata el Servicio
• Usuario: persona natural autorizada por el Cliente para acceder al Servicio
• Suscripción: el plan contratado (Starter, Team, Business, Enterprise) con su nivel asociado
• Período de prueba: 14 días de prueba inicial, sin tarjeta. Una prueba por dominio de correo corporativo; el acceso de pago requiere suscripción activa al terminar la prueba
• Hallazgos: vulnerabilidades, configuraciones inseguras o secretos detectados por el Servicio
• Datos del Cliente: toda la información que el Cliente carga, conecta o procesa a través del Servicio (incluyendo URLs de repositorios, ramas, hallazgos y registros de auditoría)
• Información confidencial: toda información no pública intercambiada entre las partes en el contexto del Servicio, marcada o razonablemente entendida como confidencial
• Día hábil: lunes a viernes, excluyendo festivos oficiales colombianos, en horario UTC-5

02. El Servicio

Musha es una plataforma SaaS de detección automática de vulnerabilidades que cubre análisis estático de código fuente (SAST), análisis de composición de software (SCA), análisis estático de infraestructura como código (IaC) y detección de secretos (Secret Scanning). El Servicio se integra con tu proveedor de Git mediante webhook, clona tu repositorio en un entorno efímero, ejecuta los análisis y reporta los hallazgos mediante un comentario automático en el pull request y un panel de control.

El Servicio es una herramienta automatizada. No reemplaza un pentest manual con humanos, ni una auditoría formal de seguridad, ni la asesoría de un CISO. Hacemos nuestro mejor esfuerzo para detectar vulnerabilidades conocidas, pero no podemos garantizar que las detectemos todas.

03. Suscripción y niveles

El Servicio se ofrece en cuatro niveles (Starter, Team, Business, Enterprise) con límites de desarrolladores activos y análisis por mes documentados en la página de precios. El Cliente puede elegir facturación mensual (sin compromiso, cancelable en cualquier momento) o anual con un descuento del 20 % (pago anticipado por 12 meses).

Renovación automática: las suscripciones se renuevan automáticamente al final del período facturado a menos que el Cliente cancele antes. Notificamos por email 7 días antes de cada renovación.

Mejora de plan: permitida en cualquier momento; la proración se aplica automáticamente. Reducción de plan: se aplica al inicio del siguiente ciclo facturado.

04. Pagos

Los pagos de Starter, Team y Business se procesan a través de un tercero autorizado que emite las facturas, recauda los impuestos aplicables (IVA, VAT, sales tax) y actúa como vendedor frente al Cliente según la jurisdicción de este.

Toda la moneda es USD (dólares estadounidenses). Métodos de pago aceptados: tarjetas Visa, Mastercard, American Express y métodos locales soportados por el tercero autorizado.

El nivel Enterprise se factura mediante factura con términos Net 30 o Net 60 según contrato individual.

05. Cancelación y reembolsos

Plan mensual: cancelable en cualquier momento. El plan sigue activo hasta el final del mes pagado. Sin reembolso del mes en curso.

Plan anual: cancelable en cualquier momento. El plan sigue activo hasta el final del año pagado. Garantía de devolución de 30 días desde la fecha del cobro inicial: si cancelas dentro de esos 30 días, te reembolsamos el pago completo (sujeto a la política de uso razonable).

Política de uso razonable: el reembolso de 30 días aplica a clientes que evalúan el Servicio de buena fe. El uso excesivo durante el período de reembolso (definido como exceder 2 veces el límite mensual de análisis de tu nivel, o analizar más de 50 repositorios en 30 días) anula la elegibilidad para el reembolso.

06. Comportamiento al exceder límites

Si el Cliente excede el límite de análisis por mes de su nivel:

• 80 % del límite: aviso amarillo y email informativo
• 100 % del límite: aviso rojo; los análisis continúan durante un período de gracia de 7 días
• Día 8 desde el 100 %: bloqueo; los nuevos análisis quedan bloqueados hasta mejorar el plan o iniciar el siguiente ciclo

Musha nunca cobra excedentes automáticamente. La mejora de plan es voluntaria.

07. Uso aceptable

El Cliente acepta usar el Servicio únicamente para analizar código fuente propio o que tenga autorización legal para analizar. Está prohibido:

• La ingeniería inversa, descompilación o intento de extracción del código fuente de Musha
• Usar el Servicio para denegación de servicio, scraping abusivo o creación de cargas anómalas
• Evadir los límites técnicos del nivel (por ejemplo, múltiples cuentas para un mismo proyecto)
• Usar el Servicio para actividades ilegales o violación de derechos de terceros
• Compartir credenciales de cuenta entre múltiples personas no autorizadas por el Cliente

08. Propiedad intelectual

Musha retiene todos los derechos de propiedad intelectual sobre la plataforma, el código del Servicio, los motores y algoritmos de análisis, las reglas de SAST e IaC y los patrones de detección de secretos. Estos no se transfieren al Cliente bajo ningún concepto.

El Cliente retiene todos los derechos sobre su código fuente, sus datos y los hallazgos generados sobre su código. Musha procesa estos datos únicamente para entregar el Servicio.

Musha no comparte ni transfiere el código fuente del Cliente a terceros bajo ningún concepto. El código se procesa de forma temporal durante cada análisis y se elimina automáticamente al terminar. Cuando alguien de la organización del Cliente abre un hallazgo, el token que el Cliente otorgó lee las líneas alrededor. Esas líneas no se almacenan, cada lectura queda registrada y un administrador puede desactivarlo.

09. SLA y créditos de servicio

Los compromisos de SLA por nivel se documentan en la página de precios. Resumen:

Nivel	Disponibilidad	Tiempo de respuesta
Starter	Mejor esfuerzo	24-48 h
Team	99.5 %	12 h
Business	99.9 %	4 h
Enterprise	99.95 %	1 h

Los créditos de servicio aplican solo al nivel Enterprise por contrato individual. Para Starter, Team y Business no aplican créditos.

10. Limitación de responsabilidad

En la máxima medida permitida por la ley:

• La responsabilidad total de Musha frente al Cliente por cualquier reclamación se limita al monto pagado por el Cliente en los últimos 12 meses previos al evento que origina la reclamación
• Musha no es responsable de daños indirectos, lucro cesante, pérdida de datos, daño reputacional o daños consecuenciales
• El Servicio se proporciona “tal cual”, sin garantías expresas ni implícitas de comerciabilidad, idoneidad para un propósito particular o no infracción
• Musha no garantiza que el Servicio detectará todas las vulnerabilidades. Una vulnerabilidad no detectada por Musha no constituye incumplimiento de estos Términos

Responsabilidad por incidentes de seguridad del Cliente: si el Cliente sufre un incidente de seguridad, brecha de datos, ransomware, compromiso de credenciales o cualquier evento adverso derivado de una vulnerabilidad en su código fuente, dependencias, infraestructura, configuración o prácticas operativas, y dicha vulnerabilidad no fue detectada, fue reportada tardíamente, clasificada erróneamente o ignorada por el Servicio, ello no constituye incumplimiento de Musha ni genera responsabilidad alguna a su cargo. El Servicio es una herramienta automatizada de ayuda complementaria; la responsabilidad por la seguridad del software, sistemas e infraestructura del Cliente recae exclusivamente en el Cliente, quien debe mantener prácticas adicionales de seguridad (pentest manual, revisiones de código, monitoreo, defensa en profundidad).

11. Indemnización del Cliente

El Cliente acepta indemnizar, defender y mantener indemne a Musha y a su titular de y frente a toda reclamación, demanda, responsabilidad, daño, costo, gasto u honorario legal (incluyendo honorarios razonables de abogado) que se derive de o esté relacionado con:

• El uso del Servicio para analizar código fuente o infraestructura sobre los cuales el Cliente no tenga la autorización legal correspondiente del titular de los derechos
• La violación de derechos de propiedad intelectual, secretos comerciales o derechos de privacidad de terceros mediante el Servicio
• El uso del Servicio en violación de estos Términos, de la Política de Privacidad o de cualquier ley aplicable
• La conducta dolosa o gravemente culposa del Cliente, sus empleados, contratistas o agentes

Esta obligación de indemnización sobrevive a la terminación de la relación contractual.

12. Confidencialidad y datos

El tratamiento de datos personales se rige por nuestra Política de Privacidad. Para clientes Business y superiores ofrecemos un Acuerdo de Tratamiento de Datos (DPA) firmado bajo solicitud.

Musha mantiene confidencial toda la información del Cliente a la que accede durante la prestación del Servicio. Empleados y proveedores están sujetos a obligaciones de confidencialidad equivalentes.

13. Modificación de los Términos

Musha puede modificar estos Términos. Los cambios materiales se notifican al email registrado del Cliente con al menos 60 días de anticipación. Si no aceptas los cambios, puedes cancelar tu suscripción sin penalización antes de la fecha efectiva. El uso continuado después de la fecha efectiva implica aceptación.

Precios: Musha puede ajustar precios. Los cambios de precio nunca aplican a clientes existentes sin aviso de 60 días. Los clientes existentes mantienen su precio salvo renovación con un nivel distinto.

14. Terminación

El Cliente puede terminar la relación en cualquier momento cancelando su suscripción.

Musha puede suspender o terminar el Servicio con causa justa, incluyendo (sin limitarse a): violación de estos Términos, uso prohibido del Servicio, falta de pago por más de 17 días, actividad fraudulenta o requerimiento legal. Notificaremos al Cliente con la mayor anticipación razonable.

Tras la cancelación o terminación, la cuenta pasa a modo de solo lectura durante 30 días: el Cliente puede ingresar y consultar su información, pero no crear análisis ni nuevos recursos. Cinco días antes del borrado avisamos por correo a los administradores de la cuenta. Al día 31 los datos se eliminan de forma definitiva y automática, según la Política de Privacidad.

15. Ley aplicable y jurisdicción

Estos Términos se rigen por las leyes de la República de Colombia. Cualquier disputa derivada de o relacionada con estos Términos se someterá a la jurisdicción exclusiva de los tribunales de Bogotá D.C., Colombia, salvo que la ley imperativa del domicilio del consumidor disponga lo contrario.

Idioma controlante: en caso de discrepancia entre las versiones en español e inglés de estos Términos, prevalece la versión en español.

16. Disposiciones generales

• Acuerdo completo: estos Términos, junto con la Política de Privacidad y el DPA (si aplica), constituyen el acuerdo completo entre las partes
• Separabilidad: si una cláusula se declara inválida, las demás permanecen en pleno vigor
• Cesión: el Cliente no puede ceder estos Términos sin consentimiento escrito de Musha. Musha puede cederlos en caso de fusión, adquisición o reestructuración corporativa
• No renuncia: el no ejercicio de un derecho por una parte no constituye renuncia al mismo
• Fuerza mayor: ninguna parte es responsable por incumplimientos derivados de eventos fuera de su control razonable

17. Contacto

Nombre comercial	Musha Security
Domicilio	Bogotá D.C., Colombia
Soporte general	[email protected]
Privacidad / Habeas Data	[email protected]
Ventas Enterprise	[email protected]
Legal y contratos	[email protected]
Seguridad / divulgación de vulnerabilidades	[email protected]

La identificación legal completa del titular (razón social, registros, NIT, dirección física) se entrega por escrito a clientes que firmen un contrato del Servicio, o a autoridades competentes (SIC, DIAN, juzgados) previa solicitud a [email protected].