Acuerdo de Tratamiento de Datos Personales

Registro de cambios

1. Partes y roles

1.1. Responsable del tratamiento (titular del banco de datos personales): el Cliente, que decide la finalidad y el contenido de los datos que carga en XEN.

1.2. Encargado del tratamiento: Xeneural Technologies E.I.R.L., RUC 20606521261.

1.3. Xeneural no adquiere titularidad sobre los datos, no los usa para fines propios y no los utiliza para entrenar modelos de inteligencia artificial, propios ni de terceros.

2. Objeto, naturaleza y duración

2.1. Xeneural trata los datos personales exclusivamente para prestar el Servicio XEN conforme al contrato, a la configuración que el Cliente realiza en la plataforma y a sus instrucciones escritas.

2.2. Categorías de titulares: trabajadores, clientes, proveedores, contactos y firmantes designados por el Cliente.

2.3. Categorías de datos: identificación, contacto, laborales, de asistencia, económicos y tributarios, documentos y firmas, y los demás que el Cliente decida incorporar. Si el Cliente incorpora datos sensibles, garantiza que cuenta con el consentimiento por escrito o la base legal que la ley exige.

2.4. Duración: la del contrato principal. Las obligaciones de confidencialidad, devolución y supresión sobreviven a su terminación.

3. Instrucciones

3.1. Xeneural trata los datos solo según las instrucciones documentadas del Cliente: el contrato, este Acuerdo, la configuración de XEN y las solicitudes escritas de su contacto designado. No trata los datos con otra finalidad ni los transfiere fuera de lo previsto aquí.

3.2. Si Xeneural considera que una instrucción infringe la normativa de protección de datos, lo comunica al Cliente de inmediato y puede suspender su ejecución hasta que se aclare.

3.3. Cuando una ley obliga a Xeneural a tratar los datos de otro modo, informa al Cliente antes de hacerlo, salvo que esa ley lo prohíba.

4. Obligaciones de Xeneural

4.1. Confidencialidad del personal. Toda persona con acceso a los datos está sujeta a obligación escrita de confidencialidad antes de acceder, recibe formación en protección de datos al incorporarse y cada año, y accede solo a lo necesario para su función. Xeneural conserva el registro de esa formación y de esos compromisos.

4.2. Medidas técnicas y organizativas. Xeneural aplica las medidas del Anexo de Seguridad (sección 9), las mantiene bajo un sistema de gestión conforme a ISO/IEC 27001:2022 y las revisa al menos una vez al año. Xeneural puede actualizarlas siempre que no reduzca de forma sustancial el nivel de seguridad del Servicio, e informa al Cliente de los cambios relevantes a su solicitud.

4.3. Asistencia al Cliente. Xeneural asiste al Cliente en la atención de los derechos de los titulares (traslado de toda solicitud recibida en un máximo de dos (2) días hábiles), en las evaluaciones de impacto, en las consultas a la autoridad y en la notificación de incidentes. XEN permite al Cliente acceder, rectificar, exportar y suprimir datos por sí mismo.

4.4. Registro. Xeneural mantiene un registro de las actividades de tratamiento que realiza por cuenta del Cliente y de todo acceso de soporte a sus datos, disponible a solicitud.

4.5. Demostración del cumplimiento. Xeneural pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Acuerdo y de la normativa aplicable.

5. Incidentes de seguridad

5.1. «Incidente de Seguridad» es toda vulneración de la seguridad de Xeneural o de sus subencargados que provoque, de forma accidental o ilícita, la destrucción, pérdida, alteración, comunicación o acceso no autorizados a los datos personales tratados por cuenta del Cliente; no lo son los intentos fallidos que no comprometen su confidencialidad, integridad ni disponibilidad. Xeneural notifica al Cliente todo Incidente de Seguridad sin dilación indebida y como máximo dentro de las veinticuatro (24) horas siguientes al momento en que tiene constancia razonable de que se ha producido, por el correo del contacto designado, con la información disponible: naturaleza del incidente, categorías y número aproximado de titulares y de registros afectados, medidas adoptadas y recomendadas, y punto de contacto.

5.2. Xeneural completa la información por fases, a medida que la obtiene, y entrega un informe con causa raíz, impacto y medidas correctivas en un máximo de diez (10) días hábiles. La notificación o la respuesta a un Incidente de Seguridad no implica reconocimiento de culpa ni de responsabilidad.

5.3. Esa notificación permite al Cliente cumplir sus propios plazos ante la Autoridad Nacional de Protección de Datos Personales del Perú (48 horas) o ante la autoridad de control que le corresponda (72 horas en el RGPD). Xeneural no comunica el incidente a terceros ni al público en nombre del Cliente sin su autorización escrita, salvo obligación legal propia.

6. Subencargados

6.1. El Cliente autoriza de forma general a los subencargados que figuran en la lista pública de xeneural.com/legal/subencargados, incorporada a este Acuerdo, cada uno vinculado por contrato escrito con obligaciones equivalentes a las de este Acuerdo.

6.2. Xeneural publica cualquier alta o sustitución de un subencargado, con su nombre, su finalidad y el país de tratamiento, y la comunica por correo a los suscriptores del aviso, con al menos treinta (30) días de antelación a que acceda a los datos. Dentro de ese plazo, el Cliente puede objetar por escrito indicando motivos razonables relacionados con la protección de datos. Xeneural responde en un máximo de diez (10) días hábiles con una de estas opciones: (i) no usar ese subencargado para los datos del Cliente; (ii) proponer una configuración que lo evite; o (iii) si ninguna es viable, reconocer al Cliente el derecho a resolver el servicio afectado sin penalización y con devolución de lo pagado por adelantado. Si el Cliente no objeta dentro del plazo, se entiende que acepta al subencargado.

6.3. Xeneural responde ante el Cliente por los actos y omisiones de sus subencargados como si fueran propios.

7. Transferencias internacionales

7.1. Los datos se tratan en estos lugares, según la finalidad: alojamiento de la aplicación, la base de datos y los documentos en Estados Unidos de América; entrega y protección del tráfico en la red global del proveedor de borde, con copias temporales en caché; y respuestas de XENI en la infraestructura global de Google. Cada subencargado figura en la lista con su ubicación. Para clientes del Perú, Xeneural comunica el flujo transfronterizo al Registro Nacional de Protección de Datos Personales y entrega al Cliente la ficha necesaria para que inscriba o actualice su propio banco de datos.

7.2. Para clientes del Espacio Económico Europeo, del Reino Unido o de Suiza, las Partes incorporan sin modificaciones las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulo dos, responsable a encargado) y, cuando corresponda, el anexo del Reino Unido, con los anexos completados con la información de este Acuerdo y de la lista de subencargados.

7.3. Xeneural no traslada el alojamiento de los datos fuera de los lugares indicados sin el consentimiento escrito previo del Cliente y sin las garantías que la ley exija.

8. Derechos de auditoría

8.1. El Cliente, por sí o por un auditor independiente sujeto a confidencialidad, puede auditar el cumplimiento de este Acuerdo una vez al año y, además, cuando exista un incidente que afecte a sus datos o un requerimiento de una autoridad, con treinta (30) días de aviso, en horario laboral, sobre documentación, configuración y controles, sin acceso a datos de otros clientes.

8.2. Los informes de certificación (ISO/IEC 27001) y los resúmenes ejecutivos de prueba de intrusión y de auditoría interna satisfacen la auditoría salvo indicio razonable de incumplimiento. Mientras la certificación esté en proceso, Xeneural entrega el estado documentado de su sistema de gestión y su plan con fechas.

8.3. Este derecho sobrevive a la terminación mientras Xeneural conserve datos del Cliente.

9. Anexo de Seguridad: medidas técnicas y organizativas

10. Devolución y supresión

10.1. Tras la terminación, el Cliente dispone de treinta (30) días para exportar sus datos en formatos abiertos con diccionario de datos. A su elección, Xeneural entrega una exportación completa en un máximo de diez (10) días hábiles desde la solicitud.

10.2. Xeneural suprime los datos de los sistemas activos en un máximo de treinta (30) días después de ese plazo y de las copias de respaldo en un máximo de noventa (90) días, y lo certifica por escrito a petición del Cliente.

10.3. Los registros con obligación legal de conservación (comprobantes de pago, asientos contables, planillas: cinco años en el Perú) se mantienen en archivo con acceso restringido y verificación de integridad, y se suprimen al vencer el plazo legal.

11. Responsabilidad

Cada Parte responde de los daños que cause por incumplimiento de este Acuerdo o de la normativa de protección de datos, y Xeneural responde por sus subencargados. La responsabilidad derivada de este Acuerdo está sujeta al límite reforzado de los Términos de Servicio: dos (2) veces lo pagado por el Cliente durante los doce (12) meses anteriores al primer hecho que dio lugar a la reclamación. Ese límite no se aplica al dolo ni a la culpa inexcusable (artículo 1328 del Código Civil).

12. Designaciones y contacto

Xeneural designó el 21 de septiembre de 2026 a su Titular-Gerente como Oficial de Datos Personales. Contacto: privacy@xeneural.com. Contacto de seguridad e incidentes: security@xeneural.com.

13. Vigencia

Desde la aceptación de los Términos de Servicio o la firma de este documento, y mientras dure el contrato principal. Las secciones 4.1, 5, 8, 10 y 11 sobreviven a la terminación.

Firmas, cuando se formalice como documento separado: por el Cliente, su representante autorizado, con nombre, cargo y fecha; por Xeneural Technologies E.I.R.L., su Titular-Gerente.