Análisis de leyes extraterritoriales

Registro de cambios

1. Entidad y estructura societaria

1.1. Xeneural Technologies E.I.R.L. es una empresa individual de responsabilidad limitada constituida en el Perú (RUC 20606521261), con domicilio fiscal y oficina en Arequipa. Su titular es una persona natural. No tiene sociedad matriz.

1.2. Xeneural no tiene filiales, sucursales ni establecimientos en los Estados Unidos, en China ni en Rusia.

1.3. La ley que rige el tratamiento de datos personales por Xeneural es la peruana: Ley 29733 de Protección de Datos Personales y su Reglamento, aprobado por D.S. 016-2024-JUS. Para clientes del Espacio Económico Europeo se aplican además las cláusulas contractuales tipo del Acuerdo de Tratamiento de Datos.

2. Leyes analizadas

3. Exposición a través de los subencargados

3.1. Los subencargados que alojan el contenido de los clientes son empresas estadounidenses y, como tales, están sujetas al CLOUD Act y a la sección 702 de FISA. Esta es la única vía por la que esas leyes pueden alcanzar los datos de un cliente de Xeneural.

3.2. Cada subencargado asume por contrato los siguientes compromisos ante una solicitud de una autoridad:

4. Medidas de Xeneural

4.1. Cifrado. Los datos se cifran en tránsito con TLS 1.2 o superior y en reposo con AES-256 en la base de datos, en el almacenamiento de archivos y en las copias. Los secretos de integración del cliente se cifran además con AES-256-GCM y claves dedicadas.

4.2. Segregación y mínimo acceso. Los datos de cada cliente están segregados lógicamente y cada operación se limita en el servidor a la organización del usuario autenticado.

4.3. Transferencias. Para clientes del Espacio Económico Europeo, del Reino Unido o de Suiza, el Acuerdo de Tratamiento de Datos incorpora las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), incluidas la evaluación de las leyes del país de destino (cláusula 14) y las obligaciones ante solicitudes de autoridades (cláusula 15). Para clientes en el Perú, el flujo transfronterizo se rige por el artículo 15 de la Ley 29733 y los artículos 18 a 21 de su Reglamento.

4.4. Compromiso propio ante una solicitud. Si Xeneural recibe una solicitud de una autoridad, peruana o extranjera, verifica su competencia y su base legal, la remite al cliente cuando la ley lo permite, notifica al cliente antes de entregar datos salvo prohibición legal, entrega solo lo estrictamente exigido e impugna las solicitudes excesivas. Cada solicitud se registra y se publica en el Informe de transparencia.

4.5. Historial. Xeneural no ha recibido ninguna solicitud de una autoridad, peruana o extranjera, para acceder a datos de sus clientes (Informe de transparencia).

4.6. Revisión. Este análisis se revisa cada año y cada vez que se incorpora un subencargado o cambia la normativa analizada.

5. Conclusión

Xeneural es una empresa peruana sin sociedad matriz ni presencia en los Estados Unidos, China o Rusia, y no está sujeta directamente a leyes extranjeras de acceso a datos. La exposición indirecta, a través de sus subencargados estadounidenses, se mitiga con sus compromisos contractuales, con el cifrado y la segregación de los datos, con las cláusulas contractuales tipo para clientes europeos y con el compromiso propio de Xeneural de notificar al cliente e impugnar las solicitudes excesivas.

6. Fuentes