Política de privacidad
Versión 2026-10-13.
Política de privacidad
Versión 2026-10-13. Sustituye a la versión 2026-10-10.
Esta política explica qué datos personales trata NexoID, para qué, durante cuánto tiempo, con quién se comparten y cómo puedes ejercer tus derechos. Se ajusta a la Ley N.º 29733, Ley de Protección de Datos Personales, y a su Reglamento, aprobado por el Decreto Supremo N.º 016-2024-JUS.
1. Quién es el titular del servicio
| Titular | VICTOR AMADEUS LLERENA CABALLERO |
| RUC | 10724923530 |
| Domicilio | Jr. Argentina 371, Cajamarca, provincia y departamento de Cajamarca, Perú |
| Correo de contacto y de protección de datos | victorllerenacaballero@gmail.com |
| Servicio | NexoID · https://nexoid.victorllerena.com |
| Bancos de datos | Consultas, cuentas, facturación y copia del padrón de contribuyentes. Sus códigos de inscripción ante la Autoridad Nacional de Protección de Datos Personales se añaden aquí cuando los asigne |
NexoID no es la SUNAT, ni RENIEC, ni el Banco Central de Reserva del Perú, y no está afiliado a ninguno de ellos.
2. Qué es NexoID y a quién sirve
NexoID es una interfaz de programación (API) que consulta los datos de un RUC y el nombre asociado a un DNI a partir de fuentes oficiales, e indica de dónde sale cada dato y de qué fecha es.
La usan sistemas de gestión del titular, entre ellos sistemas para clínicas, y de organizaciones que firman un acuerdo de tratamiento de datos con él, para verificar la identidad de las personas que registran. No es un servicio para el público general: nadie puede consultar un DNI en NexoID sin un acuerdo que declare para qué lo necesita.
3. Los datos que tratamos
3.1 Datos de contribuyentes, del padrón de la SUNAT
RUC, razón social o nombre, estado y condición del contribuyente, ubigeo, dirección fiscal cuando la fuente la trae y actividad económica. Provienen del Padrón Reducido de Contribuyentes y del padrón de Datos Abiertos que publica la SUNAT, que son fuentes accesibles al público (Ley 29733, art. 14, inciso 2; Reglamento, art. 11.1).
Los RUC que empiezan por 10, 15 y 17 corresponden a personas naturales, y su nombre es un
dato personal aunque sea público. Por eso los tratamos como datos de identidad: solo se entregan a
quien tiene una finalidad declarada, no se guardan en cachés compartidas y su consulta se registra
sin el número en claro.
NexoID guarda una copia del padrón en su propio banco de datos, del que es responsable. Puedes ejercer tus derechos sobre esa copia (sección 7), y pedir que tu documento deje de resolverse.
3.2 Nombres asociados a un DNI
Cuando se consulta un DNI, NexoID lo busca primero en el padrón de la SUNAT, porque todo RUC que empieza por 10
contiene un DNI. Si no está en el padrón y la organización que consulta tiene contratada la consulta externa, se lo
pide a apiperu.dev, un servicio de consulta de DNI en internet: le enviamos el número y nos devuelve el nombre. Lo que devuelve se guarda solo en memoria, 48 horas como máximo, y nunca en disco. Sin
la consulta externa contratada, un DNI que no está en el padrón responde «no encontrado». NexoID no consulta a
RENIEC.
3.3 El registro de consultas
De cada consulta guardamos qué cuenta la hizo y con qué credencial, qué servicio pidió, si encontró el dato y de qué fuente salió, cuándo, cuánto tardó, la dirección IP de origen y un identificador de la petición.
Del documento consultado:
- si es un RUC de empresa (tipo
20), se guarda tal cual, porque identifica a una persona jurídica; - si es un DNI o un RUC de persona natural, no se guarda nunca en claro: se guarda una huella criptográfica con clave secreta y los tres últimos dígitos. Eso permite atender tu solicitud de acceso sin que exista, en ninguna parte, una lista de los documentos consultados.
Algunos sistemas que usan NexoID son de establecimientos de salud o farmacéuticos. NexoID no recibe datos de salud, ni de productos o recetas, pero que una clínica o una farmacia haya consultado tu documento puede revelar que eres su paciente o su cliente. Por eso ese registro solo lo ve el titular del servicio, se entrega a la organización que hizo las consultas cuando lo solicita, y no se usa para ningún otro fin.
Esos sistemas también registran a menores de edad, a través de sus padres o representantes, como exige la normativa de la historia clínica. NexoID aplica a sus documentos las mismas reglas que a cualquier otro.
3.4 Datos de las cuentas
De cada organización que usa el servicio: su nombre, un correo de contacto, la finalidad y la base legal que declara, su plan, su consumo y sus facturas. De quien administra el servicio: su correo, su contraseña guardada como huella y su segundo factor de autenticación.
4. Para qué los tratamos, y con qué base legal
| Finalidad | Base legal |
|---|---|
| Resolver las consultas de RUC y DNI | Datos de fuentes accesibles al público (Ley 29733, art. 14, inciso 2) y, para cada cuenta, la base legal que declara en su acuerdo: normalmente, la relación que mantiene con la persona consultada |
| Comunicar el nombre asociado a un documento a la organización que lo consulta, solo para la finalidad que declaró y cuando la persona le entregó ese documento | La base legal de esa organización, normalmente la relación contractual con la persona (Ley 29733, art. 14, inciso 5) |
| Registrar cada consulta, para atender derechos, investigar incidentes y detectar usos abusivos | Obligación de conservar los registros de interacción (Reglamento, art. 46.3) |
| Gestionar las cuentas, el consumo y la facturación | Relación contractual (Ley 29733, art. 14, inciso 5) y obligaciones tributarias |
NexoID no vende datos, no los cede con fines comerciales, no hace perfiles ni puntúa a nadie, y no construye bases de personas: no existe forma de listar a quién se consultó.
5. Con quién los compartimos
| Destinatario | Para qué | Dónde |
|---|---|---|
| Contabo | Alojamiento del servidor y de la base de datos | Estados Unidos |
| Las organizaciones que consultan | El dato de cada documento que consultan, uno a uno, para la finalidad que declararon | Perú |
| Google (Gmail) | Recepción de los correos que nos escribes | Servicio en internet |
| apiperu.dev | Consulta externa de un DNI que no está en el padrón, solo para las organizaciones que la contratan: recibe el número y devuelve el nombre | Servicio en internet |
| Autoridades | Cuando una norma o un mandato nos obligue | Perú |
Flujo transfronterizo
El servidor de NexoID está en Estados Unidos, así que los datos descritos se almacenan allí. Es un flujo transfronterizo de datos personales: lo protegemos con las medidas de la sección 8 (Reglamento, art. 20) y lo comunicaremos a la Autoridad Nacional de Protección de Datos Personales junto con la inscripción de los bancos de datos (Reglamento, art. 21.2).
6. Cuánto tiempo los guardamos
| Dato | Plazo |
|---|---|
| Registro de consultas | 24 meses (Reglamento, art. 46.3) |
| Padrón de la SUNAT | Mientras la SUNAT lo publique; se reemplaza cada día |
| Nombres obtenidos de apiperu.dev | 48 horas como máximo, solo en memoria |
| Eventos de vigilancia de RUC | 24 meses |
| Avisos enviados a los sistemas de las cuentas | 90 días |
| Datos de una cuenta | Mientras la cuenta exista. Al cerrarla, los contactos se suprimen a los 90 días, salvo lo ligado a la facturación |
| Facturas y pagos | 10 años, mientras no prescriban las obligaciones tributarias (Código Tributario, arts. 43 y 87.7) |
7. Tus derechos
Puedes pedirnos, en cualquier momento y sin coste:
- Información sobre cómo tratamos tus datos.
- Acceso: qué consultas sobre tu documento hemos registrado, cuándo y qué organización las hizo.
- Rectificación, si un dato está mal. Si viene de la SUNAT, se corrige en la SUNAT: te indicamos cómo y lo dejamos documentado.
- Cancelación de lo que tengamos tuyo y no debamos conservar por ley.
- Oposición: que tu documento deje de resolverse en NexoID. Desde ese momento, toda consulta sobre él responde «no encontrado», en todas las fuentes.
Escríbenos a victorllerenacaballero@gmail.com y acredita que eres tú: con una copia de tu documento de identidad, con un documento con firma digital o en una llamada de verificación. La información de las consultas sobre una persona es información sobre ella, y no se la entregamos a un tercero. La copia se elimina al cerrar tu solicitud.
Si lo pides, te informamos también de la fuente de la que obtuvimos tus datos (Ley 29733, art. 6).
Respondemos en estos plazos, contados en días hábiles (Reglamento, art. 69):
| Solicitud | Plazo |
|---|---|
| Información | 8 días |
| Acceso | 20 días |
| Rectificación, cancelación u oposición | 10 días |
Si no respondemos, o no estás de acuerdo con la respuesta, puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.
Si quien consultó tu documento es tu clínica, tu empleador u otra organización, esa organización es la responsable de ese tratamiento y también puedes dirigirte a ella. Colaboramos con ella para responderte.
Decisiones automatizadas
NexoID no toma decisiones sobre las personas ni las puntúa: responde qué dice una fuente oficial sobre un documento.
8. Cómo protegemos los datos
- Conexiones siempre cifradas.
- Documentos de identidad guardados solo como huella con clave secreta.
- Credenciales de acceso guardadas solo como huella, y las de terceros, cifradas.
- Permisos de base de datos separados por función: quien atiende las consultas escribe el registro, pero no puede leerlo.
- Doble factor obligatorio para administrar el servicio.
- Detección automática de consultas masivas o secuenciales.
- Copias de seguridad diarias y cifradas, con una clave que se custodia también fuera del servidor, y restauración ensayada.
- Revisión semestral de quién tiene acceso.
9. Si ocurre un incidente
Si una violación de seguridad afecta a datos personales, la comunicamos a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas desde que la conocemos, y a las personas afectadas, junto con lo que pueden hacer para protegerse (Reglamento, art. 34).
10. Cookies y medición de la web
El portal de documentación y el panel de administración usan solo las cookies técnicas imprescindibles: la de sesión y la de protección frente a peticiones falsificadas. La web pública de NexoID —la página de inicio, los precios y las páginas de cada API— no usa ninguna.
Para saber qué páginas de esa web se visitan, cuántas veces se pulsa el botón de WhatsApp y cuántas se usa la demo, las contamos de forma agregada: un total por día, por página y por el tipo de sitio del que llega la visita (por ejemplo, «google» o «directo»). No guardamos tu dirección IP, ni tu navegador, ni ningún identificador, y no usamos cookies ni almacenamiento en tu navegador para ello, así que no es un dato personal. Para frenar abusos, el servidor limita cuántos de esos avisos acepta de una misma dirección por minuto, sin guardarla.
No hay cookies de publicidad ni de analítica de terceros, y no se cargan recursos de terceros.
11. Atribución de las fuentes
Los datos de RUC provienen del Padrón Reducido de Contribuyentes y del padrón de Datos Abiertos de la SUNAT, publicados bajo la licencia Open Data Commons Attribution. El tipo de cambio proviene del Banco Central de Reserva del Perú y, cuando este no responde, de la SUNAT, que publica el mismo tipo de cambio de la Superintendencia de Banca, Seguros y AFP. Cada respuesta dice de cuál de las dos sale.
12. Cambios en esta política
Cuando la cambiemos, publicaremos la nueva versión en esta misma dirección, con su fecha. Si el cambio afecta a lo que una organización firmó, se lo comunicaremos por el canal acordado, con 30 días de antelación.