Preguntas antes de contratar protección de datos

En la decisión de contratar un proyecto de protección de datos personales bajo la Ley 29733, el riesgo de elegir un proveedor que no cumpla con los requisitos legales y operativos recae directamente en tu empresa. En este artículo encontrarás las preguntas que debes hacer, los elementos que deben quedar por escrito, señales de alarma y una guía práctica para comparar propuestas diferentes.

Las preguntas que hay que hacer

• ¿Cómo garantizan la confidencialidad, integridad y disponibilidad de los datos?

  • Respuesta esperada: Detalle de medidas técnicas (cifrado en reposo y en tránsito, controles de acceso basados en roles, backups con retención mínima de 6 meses) y organizativas (políticas de seguridad, auditorías trimestrales).
  • Qué te preocupa: Respuestas vagas o que delegan la responsabilidad a “el cliente”. La Ley 29733 exige que el responsable del tratamiento (tu empresa) y el encargado (el proveedor) compartan la obligación de proteger los datos.

• ¿Qué procesos siguen para atender incidentes de seguridad y notificar a la Autoridad Nacional de Protección de Datos Personales (ANPDP)?

  • Respuesta esperada: Un plan de respuesta que incluya detección, contención, erradicación, recuperación y notificación a la ANPDP dentro de las 72 horas exigidas por la normativa.
  • Qué te preocupa: Ausencia de un plan documentado o plazos que superen el límite legal.

• ¿Cómo manejan la transferencia internacional de datos?

  • Respuesta esperada: Evidencia de cláusulas contractuales tipo o certificaciones de países con nivel de protección adecuado, y un registro de cada transferencia.
  • Qué te preocupa: Transferencias a jurisdicciones sin garantía de protección y sin mecanismos de salvaguarda.

• ¿Qué mecanismos de control de acceso implementan para personal interno y externo?

  • Respuesta esperada: Autenticación multifactor, segregación de funciones, registro de auditoría de accesos críticos y revocación automática al término del contrato.
  • Qué te preocupa: Accesos genéricos compartidos o falta de trazabilidad.

• ¿Cómo alinean sus procesos con la normativa peruana de facturación electrónica y SUNAT?

  • Respuesta esperada: Integración con los esquemas de firma electrónica de SUNAT, retención de documentos electrónicos por al menos 5 años y generación de logs compatibles con auditorías tributarias.
  • Qué te preocupa: Soluciones que no contemplen la generación de archivos XML o la firma digital requerida por SUNAT.

• ¿Qué nivel de disponibilidad garantizan y cómo lo miden?

  • Respuesta esperada: SLA de disponibilidad ≥ 99.5 % medido mensualmente, con reporte de tiempo de inactividad y causas.
  • Qué te preocupa: SLA sin penalizaciones o sin métricas claras.

Lo que tiene que estar por escrito

• Alcance del proyecto: descripción detallada de los módulos que cubrirán la protección de datos (registro de consentimientos, gestión de derechos ARCO, auditoría de accesos, etc.).
• Entregables: documentación de arquitectura, manuales de usuario, políticas de seguridad, plan de contingencia y pruebas de penetración entregadas al finalizar cada fase.
• Plazos: cronograma con hitos claros (por ejemplo, análisis de requisitos en 2 semanas, diseño en 3 semanas, desarrollo en 6 semanas, pruebas en 4 semanas, puesta en producción en 2 semanas). Cada fase debe incluir una revisión y aprobación formal.
• Soporte: niveles de soporte (N1, N2, N3), horarios (horario laboral + 24 h para emergencias), tiempo de respuesta máximo (por ejemplo, 4 h para incidentes críticos).
• Propiedad del código: cláusula que transfiera la totalidad del código fuente, documentación y derechos de uso a tu empresa al momento de la aceptación del entregable, sin restricciones de sublicencia.
• Confidencialidad y tratamiento de datos: contrato de encargo de tratamiento que cumpla con el artículo 13 de la Ley 29733, especificando obligaciones de confidencialidad, subcontratación y destrucción de datos al término del contrato.

Señales de alarma

• El proveedor evita detallar sus medidas de seguridad. La falta de especificidad suele esconder brechas que pueden costar multas y pérdida de reputación.
• Promete “cumplimiento total” sin auditorías independientes. La Ley 29733 requiere evidencia verificable; sin auditorías externas, la promesa es poco fiable.
• Ofrece precios “a medida” sin explicar la base del coste. Si no sabes qué actividades generan el gasto (análisis, desarrollo, pruebas, certificación), el proyecto puede escalar sin control.
• No menciona plazos de entrega ni penalizaciones. La ausencia de hitos claros y sanciones por incumplimiento indica falta de disciplina en la gestión del proyecto.
• Utiliza infraestructura fuera del Perú sin justificación. La transferencia internacional de datos requiere cláusulas específicas; si no se menciona, el riesgo legal es alto.

Cómo comparar dos propuestas distintas

1. Normaliza la unidad de medida: conviértelas a los mismos indicadores (horas de desarrollo, número de pruebas de penetración, nivel de SLA, tiempo de respuesta del soporte). No te quedes con “incluye pruebas” vs “no incluye”.
2. Mapea cada requisito a la propuesta: crea una tabla con filas de requisitos (confidencialidad, ARCO, integración SUNAT, SLA, etc.) y columnas de cada proveedor. Marca “cumple”, “parcial” o “no cumple”.
3. Evalúa la cobertura de riesgos: asigna un peso a cada requisito según su impacto (por ejemplo, notificación de incidentes 30 %, transferencia internacional 20 %, SLA 15 %). Multiplica el peso por la calificación (1 = cumple, 0.5 = parcial, 0 = no cumple) y suma.
4. Revisa la documentación contractual: la propuesta que incluya todos los elementos de la sección “Lo que tiene que estar por escrito” sin ambigüedades gana puntos extra.
5. Utiliza una comparativa visual:

6. Toma la decisión basada en la puntuación total y en la alineación con la estrategia de tu empresa: el precio no es el factor decisivo; la capacidad de cumplir la Ley 29733 sin sorpresas es.

Conclusión

Al terminar de leer este artículo, sabrás exactamente qué preguntar, qué exigir por escrito, qué señales indican que un proveedor no es fiable y cómo estructurar una comparativa objetiva entre dos ofertas. Con esa información, tu empresa podrá contratar un proyecto de protección de datos que cumpla la Ley 29733, evite sanciones y mantenga la confianza de clientes y socios.

Una decisión informada evita multas y protege la reputación de tu empresa.