🚩 BORRADOR PENDIENTE DE REVISIÓN LEGAL. Lo escribió el equipo técnico para que describa exactamente lo que el sistema hace, no lo que sería cómodo decir. No se publica hasta que un abogado especializado en protección de datos lo revise, y §20.5-A lo pone como requisito previo a abrir al público. Las decisiones que necesitan su confirmación están marcadas con 🚩 a lo largo del texto.

Política de privacidad

Versión 2026-09-04.

1. Quién trata tus datos

NexoID es un servicio de consulta de RUC y DNI peruanos operado por 🚩 [razón social, RUC y domicilio del titular del servicio]. Puedes escribirnos a 🚩 [correo de contacto de protección de datos].

NexoID no es SUNAT, ni RENIEC, ni el BCRP, y no está afiliado a ninguno de ellos.

2. Los tres tipos de dato que tratamos, y por qué importan

No todos los datos que pasan por NexoID tienen el mismo régimen. La diferencia no es cosmética: determina dónde se guardan, cuánto tiempo, y qué derechos caben sobre ellos.

	Origen	Qué hacemos con ellos
Clase A	Padrón de contribuyentes de SUNAT, tipo de cambio del BCRP, catálogo de ubigeo	Se guardan de forma permanente. Son registros públicos que el Estado publica como datos abiertos
Clase B	Proveedores externos de consulta de DNI	Se guardan solo en memoria y con caducidad. Nunca llegan a disco
Clase C	RENIEC, bajo convenio	No se guardan en ningún sitio. Se consultan y se entregan

Sobre el padrón de SUNAT

El padrón incluye los RUC que empiezan por 10, 15 y 17, que corresponden a personas naturales y contienen su nombre. Ese dato es público porque SUNAT lo publica, pero seguimos tratándolo como dato de identidad: exige un contrato específico con el cliente, no se cachea fuera de nuestros servidores y su consulta se registra con el documento cifrado.

3. Qué guardamos de cada consulta

De cada consulta que atendemos registramos, siempre: qué cliente la hizo, con qué token, qué servicio, si se encontró el dato, de qué fuente salió, cuánto tardó, la IP de origen y un identificador de petición.

Del documento consultado:

• Si es un RUC de empresa (tipo 20), se guarda en claro. Es un identificador público de una persona jurídica.
• Si es un DNI o un RUC de persona natural, 🔒 no se guarda nunca en claro. Se guarda una huella criptográfica irreversible y los tres últimos dígitos, que sirven para atender una reclamación sin poder reconstruir el documento.

Esa huella es lo que nos permite responderte si preguntas «¿quién ha consultado mis datos?» sin que exista en ninguna parte una lista de los documentos consultados.

4. Cuánto tiempo lo guardamos

Dato	Plazo
Registro de consultas	🚩 12 meses (a confirmar: el plazo lo fija el contrato con cada cliente y se aplica el mínimo declarado)
Datos de Clase B en memoria	48 horas como máximo
Datos de Clase C	No se guardan
Facturas y pagos	10 años, por obligación tributaria
Datos de la cuenta de un cliente	Mientras la cuenta exista, y 🚩 [plazo] después de cerrarla

5. Con quién los compartimos

Con nadie, salvo:

• Proveedores externos de consulta, cuando un cliente activa esa función y solo para resolver la consulta concreta que pidió.
• Autoridades, cuando una norma nos obligue.

🚩 A confirmar por el abogado: si el proveedor externo o el alojamiento están fuera de Perú, hay que declarar el flujo transfronterizo y su garantía.

No vendemos datos, no los cedemos con fines comerciales y no hacemos perfilado.

6. Nuestra posición jurídica

Depende del dato, y conviene decirlo claro porque cambia a quién debes reclamar:

• Sobre los datos del padrón público somos titulares de una copia de un registro que el Estado publica.
• Sobre los datos de identidad que consultamos por cuenta de un cliente somos encargados de tratamiento: el responsable es el cliente que nos instruye, y actuamos siguiendo sus instrucciones, sin usar el dato para ningún otro fin.

7. Tus derechos

Puedes ejercer acceso, rectificación, cancelación y oposición escribiendo a 🚩 [correo de ARCO]. Respondemos en 🚩 [plazo legal a confirmar].

Qué puedes esperar en la práctica:

• Acceso. Te decimos qué consultas sobre tu documento hemos registrado, cuándo y qué cliente las hizo.
• Rectificación. No podemos corregir un registro público: si el dato de SUNAT está mal, hay que corregirlo en SUNAT. Te indicamos dónde y lo documentamos.
• Cancelación. Borramos cualquier dato temporal tuyo. Los datos del registro público no se cancelan aquí, por la misma razón que no se rectifican.
• Oposición. Podemos excluir tu documento de la resolución: a partir de ese momento cualquier consulta sobre él devuelve «no encontrado» en todas las fuentes. Tenemos ese mecanismo construido y funcionando.

8. Seguridad

Transporte cifrado obligatorio, tokens guardados solo como huella, credenciales de terceros cifradas, separación de permisos en la base de datos por función, doble factor obligatorio en el panel de administración, y detección automática de patrones de consulta masiva.

Si ocurriera una brecha que te afecte, tenemos un procedimiento con plazos y plantillas ya escritas: notificación a la autoridad en 48 horas y comunicación a los afectados.

9. Atribución de las fuentes

Los datos de RUC provienen del Padrón Reducido de Contribuyentes y del Padrón de Datos Abiertos de la SUNAT, publicados bajo la licencia Open Data Commons Attribution. El tipo de cambio proviene del Banco Central de Reserva del Perú.

10. Cambios

Cuando cambiemos esta política, cambiará su versión. Registramos qué versión aceptó cada cliente y cuándo, y avisamos por correo de los cambios relevantes.