Anexo de tratamiento de datos
Versión 2026-10-13.
Anexo de tratamiento de datos personales: encargo y comunicación de datos
Modelo, versión 2026-10-13. Sustituye a la versión 2026-10-10. Se firma con cada organización que vaya a consultar datos de identidad en NexoID, como documento negociado entre las partes. Los clientes de los sistemas que presta el titular del servicio —las clínicas, por ejemplo— no lo firman aparte: su contrato de encargo del software lo incluye.
Partes
| Encargado | VICTOR AMADEUS LLERENA CABALLERO, RUC 10724923530, con domicilio en Jr. Argentina 371, Cajamarca, Perú, que presta el servicio NexoID |
| Responsable | ……………………………………………………, RUC ………………………, con domicilio en ……………………………………………………, representado por ……………………………………………, con documento de identidad ……………………… |
1. Objeto
Este anexo regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable al prestarle el servicio de consulta de identidad de NexoID, y la comunicación de datos desde la copia del padrón de la SUNAT del Encargado. Forma parte del acuerdo de servicio entre ambos.
Se firma antes de que el Responsable consulte datos de identidad. Sin él, el sistema responde
403 finalidad_no_declarada a toda consulta de DNI o de RUC de persona natural.
2. Papeles
- El Responsable decide la finalidad del tratamiento y responde ante las personas cuyos documentos consulta.
- El Encargado trata los datos solo siguiendo las instrucciones de este anexo, y nunca para fines propios.
- Cuando el servicio responde con datos de su copia del padrón público de la SUNAT, el Encargado actúa como responsable de esa comunicación y la limita a la finalidad declarada por el Responsable. En lo demás, actúa por cuenta del Responsable.
3. Lo que declara el Responsable
| Finalidad concreta | …………………………………………………………………………………… |
| Base legal (Ley 29733, arts. 13 y 14) | …………………………………………………………………………………… |
| Personas cuyos documentos consultará | …………………………………………………………………………………… |
| ¿Incluye menores de edad? | ☐ No · ☐ Sí, a través de sus padres o representantes |
| ¿Es un establecimiento de salud o farmacéutico? | ☐ No · ☐ Sí |
La finalidad tiene que ser concreta: «uso interno» u «operaciones» no lo son. Estas son las que el servicio admite:
- identificar a la persona que entrega su documento para una operación concreta, por ejemplo para emitirle un comprobante a su nombre o registrarla como paciente;
- identificar a un contribuyente con quien se contrata, por ejemplo un proveedor persona natural;
- verificar que el nombre que la persona declara corresponde a su documento, sin usar el servicio para averiguar nombres por tanteo.
El Responsable consultará solo documentos que la persona le haya entregado para la operación declarada, y podrá acreditarlo. Lo declarado se registra en NexoID y condiciona el servicio.
4. Datos que se tratan
Número de DNI o de RUC, nombres y apellidos y, cuando la fuente los proporciona, estado y condición del contribuyente, ubigeo y dirección fiscal.
NexoID no ofrece datos de salud, biométricos ni de antecedentes, y no hace perfiles. El Responsable no enviará al Encargado datos de salud, de productos, de recetas ni de antecedentes, en ningún campo. Si el Responsable es un establecimiento de salud o farmacéutico, el registro de sus consultas puede revelar una relación de salud con la persona consultada, y el Encargado lo trata con acceso restringido.
5. Obligaciones del Encargado
- Tratar los datos solo para resolver las consultas que envíe el Responsable.
- Resolverlas con su copia del padrón público de la SUNAT y, solo si el documento no está en ella y el Responsable tiene contratada la consulta externa, con el proveedor de la sección 7. No conservar lo que devuelve el proveedor más de 48 horas, y solo en memoria.
- No usar los datos para fines propios, no cederlos y no construir con ellos ninguna base de personas.
- Registrar cada consulta —quién la hizo, cuándo y de qué fuente salió el dato— sin escribir nunca el documento de identidad en claro.
- Entregar al Responsable el registro de sus consultas cuando lo pida, y colaborar con él en la atención de los derechos de las personas.
- Mantener las medidas de seguridad de la sección 8.
- Guardar confidencialidad, también después de terminado el servicio.
6. Obligaciones del Responsable
- Consultar solo documentos de personas con las que tenga la relación declarada, y solo para la finalidad declarada.
- No consultar de forma masiva o secuencial ni construir su propia base de identidades, aunque no sea intencionado.
- Custodiar sus tokens y no exponerlos en navegadores ni en aplicaciones móviles.
- Informar a las personas del tratamiento, y contar con la base legal que declara.
- Comunicar al Encargado cualquier cambio de finalidad antes de aplicarlo.
- Garantizar que cuenta con la base legal declarada, que informa a las personas y que ha inscrito sus propios bancos de datos cuando corresponda.
7. Subencargados
El Responsable autoriza al Encargado a apoyarse en estos subencargados (Reglamento de la Ley 29733, art. 32.2):
| Subencargado | Para qué | Dónde |
|---|---|---|
| Contabo | Alojamiento del servidor y de la base de datos | Estados Unidos |
| Correo de contacto, sin datos de las consultas | Servicio en internet |
Proveedor de consulta externa. Si el Responsable contrata la consulta externa, el Encargado envía a apiperu.dev, servicio de consulta de DNI en internet, el número de un DNI que no está en el padrón, y recibe el nombre asociado. Solo para esa consulta, y lo recibido no se conserva más de 48 horas, solo en memoria. Sin la consulta externa contratada, no se envía nada al proveedor.
El Encargado avisará al Responsable con 30 días de antelación antes de añadir o cambiar un subencargado, y el Responsable podrá oponerse terminando el servicio. Cada subencargado queda sujeto a obligaciones equivalentes a las de este anexo.
Alojar los datos en Estados Unidos es un flujo transfronterizo: el Encargado lo protege con las medidas de la sección 8 y lo comunica a la Autoridad Nacional de Protección de Datos Personales.
8. Seguridad
El Encargado mantiene, como mínimo:
- cifrado de las comunicaciones;
- documentos de identidad guardados solo como huella con clave secreta;
- tokens guardados solo como huella, y credenciales de terceros cifradas;
- permisos de base de datos separados por función;
- doble factor obligatorio para administrar el servicio;
- detección de consultas masivas o secuenciales;
- una lista de bloqueo para las personas que se oponen al tratamiento;
- copias de seguridad cifradas, con restauración ensayada;
- revisión semestral de quién tiene acceso.
El detalle está en su documento de seguridad, que el Responsable puede solicitar.
9. Incidentes
El Encargado avisará al Responsable sin dilación y, en todo caso, dentro de las 24 horas desde que conozca una violación de seguridad que afecte a sus datos, con la información que necesite para cumplir sus propias obligaciones de comunicación (Reglamento, art. 36). El aviso dirá, como mínimo, qué pasó, qué datos afecta, a cuántas personas y qué medidas se tomaron.
10. Conservación y fin del encargo
- El registro de consultas se conserva 24 meses (Reglamento, art. 46.3).
- Los nombres obtenidos del proveedor de consulta externa no se conservan más de 48 horas, solo en memoria.
- Terminado el servicio, el Encargado conserva ese registro solo hasta completar ese plazo, y nunca más de 2 años desde el fin del encargo (Reglamento, art. 31.2). Después lo suprime.
- A petición del Responsable, el Encargado le entregará el registro de sus consultas antes de suprimirlo.
11. Auditoría
El Responsable puede pedir una vez al año evidencia del cumplimiento de este anexo: el registro de sus consultas, la versión vigente del documento de seguridad y el resultado del último ensayo de restauración.
12. Vigencia
Este anexo dura lo que dure el acuerdo de servicio. Si una parte incumple obligaciones esenciales de este anexo, la otra puede suspender las suyas mientras dure el incumplimiento (Código Civil, art. 1426), previo aviso por escrito.
13. Responsabilidad
Cada parte responde frente a la otra y frente a terceros por los incumplimientos que le sean imputables. El Responsable mantendrá indemne al Encargado frente a reclamaciones derivadas de consultas hechas fuera de la finalidad declarada.
14. Adecuación
Las partes firmarán, dentro de los 30 días siguientes, los cambios que exija la normativa o una opinión de la Autoridad Nacional de Protección de Datos Personales.
15. Ley y jurisdicción
Este anexo se rige por la ley peruana. Para cualquier controversia, las partes se someten a los jueces de Cajamarca.
| Por el Encargado | Por el Responsable |
|---|---|
| VICTOR AMADEUS LLERENA CABALLERO | …………………………………………… |
| Firma: …………………………………… | Firma: …………………………………… |
| Fecha: …………………………………… | Fecha: …………………………………… |