بموجب هذا العقد المبرم بين الطرفين المبيّنة بياناتهما الكاملة في نموذج التعاقد المرفق، ويُشار إليهما فيه بـ«الطرف الأول» (مزود خدمة اختبار الاختراق / الفريق الأمني) و«الطرف الثاني» (العميل / صاحب الأنظمة)، ومجتمعين بـ«الطرفين». طبقًا لأحكام القانون المدني المصري رقم 131 لسنة 1948، والقانون التجاري رقم 17 لسنة 1999، وقانون حماية البيانات الشخصية رقم 151 لسنة 2020، وقانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018، وقانون تنظيم التجارة الإلكترونية رقم 15 لسنة 2022، والقوانين واللوائح السارية في جمهورية مصر العربية تهدف هذه الاتفاقية إلى تنظيم علاقة إجراء اختبارات الاختراق الأمني بين الطرف الأول (مزود خدمة اختبار الاختراق / الفريق الأمني) والطرف الثاني (العميل / صاحب الأنظمة)، حيث يلتزم مزود الخدمة بإجراء اختبارات اختراق أمني محاكاة للهجمات الإلكترونية على أنظمة العميل، وشبكاته، وتطبيقاته، وبنياته التحتية، بهدف اكتشاف الثغرات الأمنية، وتقييم مستوى الأمان، وتقديم توصيات لمعالجتها، مع تحديد نطاق الاختبار، والمنهجية، والتصاريح، والقيود، وشروط السرية، وحماية البيانات، والمسؤولية، والتعويض، وشروط التعويض والجزاءات، وذلك في إطار من الشفافية والالتزام بأعلى معايير الأمن السيبراني والقوانين المنظمة في جمهورية مصر العربية، وقد اتفق الطرفان على ما يلي:

المادة (1) تعريفات الاتفاقية
1- يكون للألفاظ والعبارات التالية - حيثما وردت في هذه الاتفاقية - المعاني المبينة قرين كل منها، ما لم يقتضِ سياق النص معنى آخر:
2- الاتفاقية: يقصد بها اتفاقية اختبار الاختراق هذه بكامل بنودها وملاحقها، وتعد مقدمتها جزءًا لا يتجزأ منها.
3- مزود الخدمة: الطرف الأول في هذه الاتفاقية، وهو الفريق أو الشركة المتخصصة في إجراء اختبارات الاختراق الأمني، والمؤهلة والمرخصة لمزاولة هذا النشاط.
4- العميل: الطرف الثاني في هذه الاتفاقية، وهو الشخص الطبيعي أو الاعتباري الذي يطلب إجراء اختبارات الاختراق على أنظمته وشبكاته وتطبيقاته.
5- اختبار الاختراق (Penetration Testing): عملية محاكاة للهجمات الإلكترونية على أنظمة العميل وشبكاته وتطبيقاته، بهدف اكتشاف الثغرات الأمنية، وتقييم مستوى الأمان، وتقديم توصيات لمعالجتها.
6- نطاق الاختبار: الأنظمة، والشبكات، والتطبيقات، والبنيات التحتية، والعناصر المستهدفة في اختبار الاختراق، والمحددة في ملحق (1) من هذه الاتفاقية.
7- المنهجية: الإجراءات والأساليب والتقنيات التي يستخدمها مزود الخدمة في إجراء اختبار الاختراق، والمحددة في ملحق (2) من هذه الاتفاقية.
8- الثغرة الأمنية (Vulnerability): أي ضعف أو خلل في الأنظمة، أو الشبكات، أو التطبيقات، أو الإجراءات الأمنية، يمكن استغلاله من قبل المهاجم لتنفيذ هجوم إلكتروني.
9- الاختراق (Breach): أي وصول غير مصرح به إلى الأنظمة، أو الشبكات، أو البيانات، أو أي انتهاك لسياسات الأمن، يتم اكتشافه أثناء اختبار الاختراق.
10- التقرير الفني: التقرير المفصل الذي يقدمه مزود الخدمة للعميل بعد انتهاء اختبار الاختراق، ويتضمن الثغرات المكتشفة، وتقييم خطورتها، وتوصيات لمعالجتها.
11- التصريح (Authorization): الموافقة الخطية المسبقة من العميل لمزود الخدمة لإجراء اختبارات الاختراق على أنظمته وشبكاته وتطبيقاته.
12- البيئة: البيئة التي يتم فيها إجراء اختبار الاختراق (بيئة إنتاج، بيئة اختبار، بيئة تطوير).
13- نافذة الاختبار (Testing Window): الفترة الزمنية المحددة التي يتم خلالها إجراء اختبار الاختراق، والمحددة في المادة (3) من هذه الاتفاقية.
14- فترة الاتفاقية: المدة الزمنية التي تلتزم خلالها الأطراف بأحكام هذه الاتفاقية، والمحددة في المادة (3) من هذه الاتفاقية.
15- رسوم الخدمة: المبلغ المالي الذي يلتزم العميل بسداده لمزود الخدمة مقابل إجراء اختبار الاختراق، والمحدد في المادة (5) من هذه الاتفاقية.
16- الأطراف المرتبطة: تشمل الشركات التابعة، والشركات الأم، والشركات الشقيقة، وكذلك المديرين والموظفين والمقاولين والمستشارين والوكلاء والممثلين.

المادة (2) موضوع الاتفاقية ونطاق اختبار الاختراق
1- أولاً: اختبار الاختراق المطلوب:
2- يُجري مزود الخدمة للعميل اختبار اختراق أمني وفقًا للمواصفات التالية، والمحددة تفصيليًا في ملحق (1) من هذه الاتفاقية:
3- نوع الاختبار:  
4- نطاق الاختبار:  
5- الأنظمة المستهدفة:  
6- التطبيقات المستهدفة:  
7- البيئة:  
8- منهجية الاختبار:  
9- مستوى الاختبار:  
10- التقنيات المسموح بها:  
11- التقنيات المحظورة:  
12- عدد المحاولات:  
13- ثانياً: مخرجات الاختبار:
14- التقرير الفني: تقرير مفصل يتضمن جميع الثغرات المكتشفة، وتقييم خطورتها (حرجة، عالية، متوسطة، منخفضة)، والأدلة (Evidence) على وجود الثغرات، وتوصيات لمعالجتها.
15- التقرير التنفيذي: ملخص تنفيذي للتقرير الفني، موجه للإدارة العليا، يتضمن النتائج الرئيسية، والمخاطر، والتوصيات الاستراتيجية.
16- جلسة عرض النتائج: جلسة عبر الإنترنت أو حضورية لعرض نتائج اختبار الاختراق ومناقشتها مع فريق العميل.
17- البيانات الأولية: سجلات الاختبار، وبيانات الأدوات المستخدمة، وأي مواد أخرى تم جمعها أثناء الاختبار.
18- ثالثاً: استثناءات الاختبار:
19- لا يشمل اختبار الاختراق الأنشطة التالية:
20- اختبار الأنظمة أو التطبيقات غير المحددة في نطاق الاختبار.
21- استخدام تقنيات قد تؤدي إلى توقف الخدمة (DDoS) أو فقدان البيانات أو تدميرها.
22- الوصول إلى البيانات الشخصية للمستخدمين النهائيين أو تعديلها (ما لم يكن ذلك ضروريًا لإثبات ثغرة أمنية وبموافقة خطية مسبقة).
23- أي أنشطة خارج نطاق الاختبار المتفق عليه.

المادة (3) مدة الاتفاقية ونافذة الاختبار
1- أولاً: مدة الاتفاقية الأساسية:
2- تُبرم هذه الاتفاقية لمدة  ، تبدأ من تاريخ  ، وتتنهي في  .
3- ثانياً: نافذة الاختبار:
4- تاريخ بدء الاختبار:  
5- تاريخ انتهاء الاختبار:  
6- ساعات الاختبار المسموح بها:  
7- أيام الاختبار المسموح بها:  
8- ثالثاً: التسليم النهائي:
9- يلتزم مزود الخدمة بتسليم التقرير الفني والتنفيذي خلال   يومًا من تاريخ انتهاء الاختبار.
10- يلتزم مزود الخدمة بعقد جلسة عرض النتائج خلال   يومًا من تاريخ تسليم التقارير.