Sector · Software y plataformas digitales
Ley 29733 para empresas de software, apps y SaaS
Una plataforma digital trata datos a escala y casi siempre en servidores fuera del Perú. Además, cuando aloja datos de sus clientes, es su encargado del tratamiento y tiene que poder demostrarlo.
Una plataforma suele necesitar más bancos de los que parece: usuarios, cobros, registros técnicos y datos de terceros que tus usuarios invitan. Si además alojas datos de tus clientes, eres su «encargado del tratamiento»: firma la cláusula de encargo.
Riesgos que vemos en software y saas
- Clientes corporativos que piden la cláusula de encargo y el documento de seguridad.
- Transferencia internacional por usar AWS, Google Cloud o Azure.
- Logs con IP y datos de uso que nadie declaró.
- Reidentificación de datos seudonimizados enviados a proveedores de IA
- Subencargados sin contrato de encargo
- Acceso del equipo de soporte a datos de usuarios sin registro
Bancos de datos que normalmente debes inscribir
Inscripción gratuita en el SIPDP. Guía paso a paso para inscribirlos.
Colaboradores y postulantesDatos sensibles
Contratos, planilla, CVs de postulantes, descansos médicos.
Conservación: Mientras dure el vínculo laboral y hasta 5 años tras el cese por exigencia laboral y tributaria.
Usuarios y cuentas de la plataforma
Registro con correo o Google, foto de perfil, idioma, preferencias y actividad dentro de la app.
Conservación: Mientras la cuenta esté activa y hasta 5 años después de su cierre, por obligaciones legales y defensa ante reclamaciones.
Facturación, pagos y suscripciones
Cobros mensuales con tarjeta, renovaciones automáticas, contracargos y facturas.
Conservación: 5 años desde el último cobro (obligaciones tributarias y contables).
Registros de seguridad y analítica
Logs del servidor, dirección IP, intentos de inicio de sesión, errores de la app.
Conservación: 30 días para registros técnicos y de errores; mínimo 2 años para los registros de acceso exigidos por el art. 46.3 del Reglamento.
Contactos de terceros e invitaciones
Invitaciones por correo a un amigo, familia o equipo para una meta o función compartida.
Conservación: 90 días si la invitación no se acepta; mientras la función compartida esté activa si la persona acepta.
Libro de Reclamaciones
Hojas de reclamo físicas o virtuales exigidas por INDECOPI.
Conservación: Mínimo 2 años desde la fecha del reclamo, conforme al Reglamento del Libro de Reclamaciones.
Prospectos y suscriptores de promociones
Listas de difusión de WhatsApp, newsletters, campañas por correo o SMS.
Conservación: Hasta que la persona solicite darse de baja o revoque su consentimiento.
Normas que aplican a tu sector
- Servicio digital con cuentas de usuario: aplican los arts. 28 a 30 del DS N.° 016-2024-JUS (tratamiento por medios tecnológicos tercerizados) y el art. 46 (seguridad en plataformas y aplicaciones, con registros de interacción conservados por mínimo 2 años).
- Cuando alojas datos de tus clientes empresas, eres su encargado: no puedes asumir la titularidad de esos datos ni usarlos para tus fines (art. 29.2) y debes eliminarlos al terminar el servicio (art. 30.4).
- Inteligencia artificial: Ley N.° 31814 y su reglamento. Si tomas decisiones o perfilas, informa (art. 6.1.8) y permite intervención humana (art. 87). Una EIPD es recomendable (art. 40).
- Menores de 14 años en servicios digitales: consentimiento de sus padres o tutores y esfuerzos razonables de verificación (art. 25).
- Si no tienes establecimiento en el Perú, designa un representante en el país e infórmalo en la política (art. 7).
Cuánto tiempo conservar cada dato
| Dato | Plazo | Fundamento |
|---|---|---|
| Cuenta y perfil | Mientras la cuenta esté activa y hasta 5 años tras su cierre | Ejecución del contrato y defensa de reclamaciones |
| Registros de interacción con datos personales | Mínimo 2 años | Art. 46.3 del DS N.° 016-2024-JUS |
| Registros técnicos y errores | 30 días | Diagnóstico |
| Copias de respaldo | 30 días rotativos | Recuperación ante desastres |
| Datos tratados por encargo de clientes empresa | Hasta el fin del servicio; supresión acreditada | Arts. 30.4 y 31.2 |
| Facturación y pagos | 5 años desde el último cobro | Obligaciones tributarias |
| Hojas del Libro de Reclamaciones | Mínimo 2 años desde el reclamo | Reglamento del Libro de Reclamaciones (DS N.° 011-2011-PCM) |
Documentos que necesitas
- Política de privacidad publicada en tu web
- Documento de seguridad y política de retención
- Aviso y consentimiento para trabajadores
- Confidencialidad para el personal y cláusulas de encargo con proveedores
- Procedimiento para solicitudes ARCO
- Contrato de encargo para tus propios clientes
- Libro de Reclamaciones
- Términos y condiciones y política de cookies
- Evaluación de impacto (EIPD), si tratas datos a gran escala
Medidas de seguridad clave
- Registro continuo de acciones sobre datos personales (acceso, modificación, eliminación, importación, exportación) con cuentas, horas de inicio y cierre de sesión; legible y conservado 2 años (art. 46.3).
- Revisión semestral de privilegios de administradores y del personal de soporte (art. 46.1.c).
- Ambientes de prueba sin datos reales de usuarios.
- Plan de capacitación del personal según su rol (art. 46.2).
Contenido informativo basado en la Ley 29733, el DS 016-2024-JUS y la normativa sectorial citada. Cada empresa debe declarar solo los bancos que realmente tiene.