Política de Tratamiento de Datos Personales

De conformidad con la Ley N° 29733 - Ley de Protección de Datos Personales y su Reglamento, Decreto Supremo N° 016-2024-JUS

1. Objeto de la Política

La presente Política tiene por objeto informar a los titulares de datos personales sobre el tratamiento que NEO TECHNOLOGY PERU E.I.R.L., a través de su plataforma CDT.PE, realiza de su información personal, en cumplimiento de la normativa vigente en materia de protección de datos personales en el Perú. CDT.PE gestiona la emisión de certificados digitales ante la Entidad Certificadora; no es entidad de certificación ni de registro.

2. Principios Rectores

El tratamiento de datos personales se rige por los siguientes principios:

2.1. Principio de Legalidad

El tratamiento se realiza conforme a la legislación vigente.

2.2. Principio de Consentimiento

Se requiere consentimiento libre, previo, expreso, informado e inequívoco del titular.

2.3. Principio de Finalidad

Los datos se recopilan para finalidades determinadas, explícitas y lícitas.

2.4. Principio de Proporcionalidad

Solo se recopilan datos adecuados, pertinentes y no excesivos para la finalidad.

2.5. Principio de Calidad

Los datos deben ser exactos, actualizados y necesarios.

2.6. Principio de Seguridad

Se implementan medidas técnicas, organizativas y legales para proteger los datos.

2.7. Principio de Disposición de Recurso

El titular puede ejercer sus derechos mediante procedimientos sencillos y gratuitos.

2.8. Principio de Nivel de Protección Adecuado

En el flujo transfronterizo se garantiza un nivel suficiente de protección de los datos, equiparable al que exige la ley peruana.

3. Categorías de Datos Tratados

3.1. Datos Personales Comunes

• Datos de identificación (nombre, DNI, RUC)
• Imagen personal (fotografía del documento de identidad y video de validación de identidad)
• Datos de contacto (email, teléfono, dirección)
• Datos empresariales (razón social, representación legal)
• Datos de navegación web

3.2. Datos Sensibles

• Huella dactilar: la que figura en el contrato de suscripción firmado. Se trata solo para la emisión del certificado y se elimina con los demás documentos de la solicitud (Términos y Condiciones, Sección 12.5).

4. Bancos de Datos Personales Registrados en MINJUS

NEO TECHNOLOGY PERU E.I.R.L. mantiene los siguientes bancos de datos personales debidamente registrados ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos (MINJUS):

1. Banco de Datos: CLIENTES

• Constancia de Inscripción: INS-2025-3638
• Constancia de Modificación: MOD-2026-2195 (21/10/2026)
• Código de Banco de Datos: PJ-2025-3304
• Finalidad: Gestionar los datos de los clientes de NeoPharm, CDT.PE y TAYPI para prestar los servicios contratados: emisión de comprobantes electrónicos; verificación de identidad de los solicitantes de certificados digitales, incluida la comparación del rostro con su autorización, y trámite de la emisión ante la entidad de certificación; afiliación de comercios y liquidación de cobros QR; facturación y cobranza; soporte; comunicaciones del servicio; prevención del lavado de activos y cumplimiento de obligaciones legales.
• Tipo de datos: Identificación, contacto, imagen personal, documentos legales, información empresarial.
• Destinatarios: ACEPTA PERÚ SAC (Sovos), autoridades competentes (SUNAT, SUNARP).
• Transferencia internacional: Estados Unidos — OpenAI, L.L.C.; Google LLC; Meta Platforms, Inc. (WhatsApp); Slack Technologies, LLC.

2. Banco de Datos: USUARIOS DE LA PÁGINA WEB

• Constancia de Inscripción: INS-2025-4798
• Código de Banco de Datos: PJ-2025-4153
• Finalidad: Gestión de usuarios registrados en la plataforma web, autenticación, comunicaciones y mejora del servicio.
• Tipo de datos: Identificación, contacto, credenciales de acceso, datos de navegación.
• Destinatarios: Uso interno, proveedores de servicios tecnológicos.

Puede verificar el registro de nuestros bancos de datos en el portal de la Autoridad Nacional de Protección de Datos Personales: www.minjus.gob.pe

5. Operaciones de Tratamiento

Realizamos las siguientes operaciones sobre sus datos personales:

• Recopilación
• Registro
• Organización
• Almacenamiento
• Conservación
• Utilización
• Comunicación
• Transferencia
• Supresión

Los plazos de conservación son los de la Política de Privacidad (Sección 8). Los documentos de la solicitud se eliminan de oficio en los plazos y casos de la Sección 12.5 de los Términos y Condiciones, y el titular, o el reseller si la solicitud la gestiona un reseller, recibe una constancia de la eliminación. Los archivos subidos a WhatsApp para enviarlos a la Entidad Certificadora los conserva WhatsApp (Meta), como proveedor, hasta treinta (30) días.

6. Medidas de Seguridad Implementadas

6.1. Medidas Técnicas:

• Cifrado SSL/TLS (HTTPS) en las comunicaciones con el sitio
• Cifrado AES-256 de los componentes del certificado digital guardados en la base de datos, incluida su clave privada
• Contraseñas de acceso guardadas con un algoritmo de hash irreversible
• Almacenamiento de los documentos de la solicitud en servidores privados, sin acceso público, hasta su eliminación
• Registro de los inicios de sesión, exitosos y fallidos
• Bloqueo de direcciones IP que hacen uso abusivo del sitio
• Copias de seguridad de la información de la plataforma, que no incluyen los documentos de la solicitud

6.2. Medidas Organizativas:

• Política de control de acceso basada en roles (RBAC)
• Acuerdos de confidencialidad con empleados
• Capacitación regular en protección de datos
• Plan de respuesta a incidentes de seguridad

6.3. Medidas Legales:

• Contratos de confidencialidad con terceros
• Cláusulas de protección de datos en contratos
• Cumplimiento de normativa vigente

7. Procedimiento para Ejercicio de Derechos ARCO

7.1. Derechos del Titular:

• Acceso: Conocer qué información personal se trata
• Rectificación: Actualizar o corregir datos inexactos
• Cancelación: Suprimir datos cuando no sea necesario mantenerlos
• Oposición: Solicitar que se deje de tratar sus datos en ciertos casos

7.2. ¿Cómo Ejercer sus Derechos?

Paso 1: Enviar Solicitud

Envíe un correo a [email protected] con asunto "Ejercicio de Derechos ARCO"

Paso 2: Documentación Requerida

• Copia del DNI o documento de identidad
• Descripción clara del derecho a ejercer
• Domicilio o correo para notificaciones

Paso 3: Plazo de Respuesta

Responderemos en un plazo máximo de 8 días hábiles las solicitudes de información, 20 días hábiles las de acceso y 10 días hábiles las de rectificación, cancelación y oposición

Paso 4: Ejecución

Si procede, ejecutaremos la solicitud en un plazo máximo de 5 días hábiles adicionales

Excepciones al Ejercicio de Derechos:

• Cuando exista obligación legal de conservar los datos
• Cuando el tratamiento sea necesario para el cumplimiento de un contrato
• Cuando se afecten derechos de terceros
• Durante procesos judiciales o administrativos en curso

8. Revocación del Consentimiento

El titular puede revocar el consentimiento otorgado en cualquier momento, sin que esto afecte la licitud del tratamiento efectuado con anterioridad a la revocación.

La revocación se realizará mediante el mismo procedimiento que el ejercicio de derechos ARCO.

Importante: La revocación del consentimiento puede impedir la prestación de nuestros servicios, incluyendo la emisión de certificados digitales.

9. Notificación de Incidentes de Seguridad

Si se produce un incidente de seguridad que afecte sus datos personales, lo notificaremos a la Autoridad Nacional de Protección de Datos Personales dentro de las cuarenta y ocho (48) horas siguientes a su conocimiento, en los casos que establece el Reglamento, y a usted, cuando el incidente afecte sus derechos, a través de:

• Correo electrónico registrado
• Aviso destacado en nuestro sitio web
• Notificación dentro de la plataforma

La notificación incluirá:

• Naturaleza de la brecha de seguridad
• Datos afectados
• Medidas adoptadas
• Recomendaciones para el titular

10. Responsable y Encargado del Tratamiento

Responsable del Tratamiento:

NEO TECHNOLOGY PERU E.I.R.L. (CDT.PE), RUC 20605446788

Correo: [email protected]

Dirección: Prolongación Andahuaylas 524, La Victoria, Lima

Destinatario para la emisión del certificado:

ACEPTA PERÚ SAC (Sovos), Entidad Certificadora, que trata los datos como responsable

Encargados del Tratamiento:

Servicios de alojamiento e infraestructura, pasarelas de pago, servicios de mensajería y correo (incluida WhatsApp, de Meta), comunicación interna del equipo (Slack), servicios de inteligencia artificial (OpenAI), conversión de documentos a PDF, consultas de documentos de identidad y RUC, y Google (analítica, protección contra el uso abusivo con reCAPTCHA y el ingreso con cuenta de Google)

11. Vigencia y Actualización

Esta Política de Tratamiento de Datos Personales entra en vigencia desde su publicación y se mantendrá vigente hasta que sea modificada.

Cualquier modificación será informada a través de nuestro sitio web y por correo electrónico a los titulares de datos registrados.

12. Marco Legal Aplicable

• Ley N° 29733 - Ley de Protección de Datos Personales
• Decreto Supremo N° 016-2024-JUS - Reglamento de la Ley de Protección de Datos Personales
• Directivas de la Autoridad Nacional de Protección de Datos Personales
• Código Civil Peruano
• Ley N° 27269 - Ley de Firmas y Certificados Digitales