¿Qué ocurre tras la entrega bajo la Ley 29733?

En el momento en que tu empresa firma el acta de entrega, la tranquilidad puede verse amenazada por dudas sobre quién hará qué cuando algo falle. En este artículo encontrarás la guía práctica para que, una vez instalado el sistema, sepas exactamente qué esperar y cómo proteger tu inversión bajo la Ley 29733.

Lo que empieza el día de la entrega

Ese día la emoción de ver el producto final suele mezclarse con una montaña de documentos que pocos revisan con detenimiento. Lo que nadie cuenta antes de firmar es que la entrega no solo implica la puesta en marcha del software, sino también la transferencia de responsabilidades legales y operativas.

• Acta de entrega: debe detallar versión, módulos entregados, datos migrados y, fundamentalmente, el alcance de la garantía de cumplimiento de la Ley 29733.
• Inventario de datos: lista de los tipos de datos personales que el sistema manejará (nombres, RUC, datos de facturación electrónica, etc.) y la ubicación de los repositorios.
• Plan de transición: incluye cronograma de capacitación, pruebas de aceptación y fechas límite para la firma del “certificado de conformidad”.

Si estos puntos no aparecen por escrito, la empresa queda a la deriva y cualquier incumplimiento posterior puede derivar en multas de la Autoridad Nacional de Protección de Datos Personales (APDP).

Quién responde cuando algo falla

Una vez en producción, los fallos pueden ir desde un error de validación de datos hasta una vulnerabilidad que exponga información sensible. La clave está en definir responsabilidades, tiempos de respuesta y obligaciones contractuales.

Parte	Responsabilidad	Tiempo de respuesta máximo	Qué exigir por escrito
Proveedor	Corregir errores que comprometan la confidencialidad, integridad o disponibilidad de datos personales.	48 horas hábiles para incidentes críticos; 5 días hábiles para fallos menores.	Compromiso de SLA que incluya penalizaciones por incumplimiento y registro de incidentes.
Tu empresa	Notificar el incidente dentro de 24 horas, proveer logs y colaborar en la investigación.	N/A	Procedimiento de notificación que detalle canal, formato y responsables internos.
APDP	Supervisar la respuesta y, de ser necesario, imponer sanciones.	N/A	Evidencia documental de cumplimiento del plazo de respuesta.

Qué exigir por escrito

• Cláusula de escalamiento: contactos alternos si el responsable principal está indisponible.
• Informe post‑mortem: documento que detalle causas, acciones correctivas y lecciones aprendidas, entregado dentro de 10 días hábiles.
• Actualizaciones de seguridad: calendario de parches críticos alineado con los requisitos de la Ley 29733 (p. ej., vulnerabilidades de tipo OWASP Top 10 deben resolverse en menos de 30 días).

Mantenimiento: qué es y qué no

El mantenimiento se divide en tres categorías que, aunque suenen similares, tienen implicaciones muy distintas bajo la normativa peruana.

Corrección (maintenance correctivo)

Se trata de solucionar fallos que impiden el cumplimiento de la Ley 29733, como errores en la anonimización de datos o en la generación de reportes de acceso. El contrato debe establecer un número de horas mensuales dedicado a este tipo de incidencias; en la práctica, 12‑16 h/mes es suficiente para la mayoría de medianas empresas.

Mejora (maintenance evolutivo)

Incluye la incorporación de nuevas funcionalidades, por ejemplo, añadir un módulo de consentimiento de usuarios o adaptar el flujo de facturación electrónica a cambios de SUNAT. Estas mejoras no están cubiertas por la garantía de cumplimiento y deben cotizarse como proyecto adicional.

Rehacer (maintenance preventivo o refactorización)

Cuando el código necesita una reescritura total para cumplir con nuevos requisitos regulatorios (por ejemplo, la introducción de la firma electrónica avanzada). Este tipo de trabajo no es mantenimiento, sino una nueva fase de desarrollo y debe tratarse como tal en el contrato.

Lo que no es mantenimiento

• Cambios de arquitectura que impliquen mover datos a otro centro de datos sin la debida autorización de la APDP.
• Actualizaciones de hardware que no estén acompañadas de pruebas de integridad de datos personales.
• Soporte de usuarios que no incluya registro de auditoría de accesos.

Cómo evitar quedar atrapado

La peor pesadilla es descubrir que el software entregado está bajo el control de un tercero que no permite la continuidad del negocio. Para evitarlo, sigue estos pasos.

• Accesos bloqueados. El proveedor retiene credenciales de base de datos y servidores críticos.
• Documentación incompleta. Falta de manuales de arquitectura, diagramas de flujo y políticas de retención de datos.
• Propiedad intelectual ambigua. El contrato no especifica quién posee el código fuente ni los derechos de uso.

Accesos

• Credenciales: exige la entrega de todas las llaves, usuarios y contraseñas en un documento encriptado, con fecha de expiración de 90 días.
• Roles y permisos: solicita el mapa de roles alineado con el principio de mínimo privilegio; revisa que los administradores de datos personales tengan auditoría habilitada.

Copias y recuperación

• Backups: al menos dos copias fuera del sitio, una en la nube peruana certificada por la SUNAT y otra en un centro de datos local. Los respaldos deben incluir los logs de acceso para poder demostrar cumplimiento ante la APDP.
• Pruebas de restauración: programa simulacros trimestrales; el tiempo máximo de recuperación (RTO) recomendado para datos personales críticos es de 48 horas.

Documentación

• Manual de operación: debe cubrir procesos de alta, baja y modificación de datos personales, con referencias a los artículos 4 y 5 de la Ley 29733.
• Plan de contingencia: incluye flujo de notificación a la APDP y a los titulares de datos en caso de brecha.
• Código fuente: exige la entrega del repositorio completo (Git) con historial de commits; la licencia debe permitir modificaciones internas sin costos adicionales.

Propiedad del software

• Cláusula de cesión: el contrato debe establecer que tu empresa es titular de los derechos de uso, reproducción y modificación del software.
• Garantía de portabilidad: incluye la obligación del proveedor de exportar datos en formatos abiertos (CSV, JSON) dentro de 15 días hábiles tras la rescisión del contrato.

Conclusión

Quien haya leído hasta aquí entiende que la entrega del software es solo el inicio del cumplimiento de la Ley 29733. La clave está en formalizar responsabilidades, definir un mantenimiento realista y garantizar el control total sobre accesos, copias y documentación. Con estos pilares, tu empresa podrá operar sin sobresaltos, demostrar cumplimiento ante la APDP y evitar sorpresas costosas cuando el sistema ya está en producción.