1. Objeto
Estos términos regulan el acceso y uso interno de SIG_V1 y sus funciones de IA autorizadas. Establecen responsabilidades para proteger información y gestionar procesos, documentos y decisiones empresariales con diligencia.
Estado y alcance del documento
Esta propuesta amplía los términos identificados como versión 1.13 — 2026-09-04. La revisión documental no cambia la versión del aplicativo ni declara aprobación empresarial. Su entrada en vigor requiere aprobación competente, comunicación de la fecha efectiva y adecuación de procedimientos.
Las cláusulas operativas son reglas propuestas para uso interno. No acreditan implementación técnica, certificaciones ni condiciones de proveedores no verificadas. La normativa obligatoria prevalece.
Antes de aprobar, STRONGEST GENERAL SERVICE SAC debe confirmar RUC, domicilio, responsable de privacidad, canales, proveedores IA y nube, flujos internacionales y conservación. El Aviso de Privacidad ha sido revisado; quedan pendientes las validaciones empresariales y la aprobación conjunta.
I. Alcance y marco jurídico
2. Personas comprendidas
Se aplican a trabajadores, directivos, contratistas y otros usuarios habilitados, según su vínculo y funciones. El acceso de terceros debe tener alcance, responsable y duración definidos, sin habilitar acceso general a otras empresas o proyectos.
3. Definiciones
Usuario es la persona autorizada; administrador gestiona accesos; titular es la persona a quien conciernen los datos. IA comprende sistemas que generan recomendaciones o contenido. Una aprobación exige intervención de quien tenga competencia para decidir.
4. Naturaleza interna
El aplicativo apoya la gestión y no sustituye contratos laborales ni de servicios. Si una función se ofrece al público, deben evaluarse condiciones comerciales, de consumo y privacidad correspondientes al nuevo alcance.
5. Información y aceptación
El usuario debe disponer del texto completo antes de aceptar. Una constancia de lectura no equivale a consentir cualquier tratamiento ni a renunciar a derechos, y no sustituye capacitación necesaria para tareas de riesgo.
6. Jerarquía documental
Prevalecen las normas imperativas y derechos legales. Los contratos y procedimientos se aplican dentro de su competencia; las contradicciones con el Aviso de Privacidad deben resolverse y comunicarse antes de aplicar la disposición controvertida.
7. Marco peruano
El marco incluye Ley 29733 y D.S. 016-2024-JUS; Ley 31814 y D.S. 115-2025-PCM; Ley 30096 y modificatorias; D. Leg. 822; Ley 27269; y normas laborales y sectoriales pertinentes. Debe verificarse el alcance correspondiente a cada actividad.
8. Aplicación internacional condicionada
El RGPD y Reglamento europeo de IA se evaluarán cuando se activen sus ámbitos material y territorial, considerando su calendario vigente. Usar un proveedor extranjero no implica que todas sus obligaciones se apliquen automáticamente a STRONGEST GENERAL SERVICE SAC.
9. Referencias voluntarias
OCDE, UNESCO, NIST AI RMF e ISO/IEC 42001 son referencias de gestión y ética. Su mención no acredita certificación ni las convierte en leyes peruanas; las reglas internas concretas deben aprobarse expresamente.
10. Derechos irrenunciables
Ninguna cláusula limita derechos fundamentales, laborales, de privacidad o acceso a autoridades. Una disposición inválida dejará de aplicarse en ese alcance y deberá corregirse, sin afectar disposiciones independientes que puedan mantenerse válidamente.
II. Identidad y acceso
11. Alta autorizada
La cuenta requiere identificar al usuario y justificar acceso, módulos, empresa, proyecto y vigencia. El administrador debe evitar cuentas compartidas cuando sea necesario atribuir actuaciones a una persona y mantener responsables identificados.
12. Credenciales personales
Las credenciales son individuales y deben custodiarse. Se prohíbe prestarlas o enviarlas por canales inseguros; las sustituciones de personal se gestionan mediante cuentas propias y delegaciones autorizadas, conservando atribución de actuaciones.
13. Contraseñas
El usuario debe usar contraseñas resistentes y evitar reutilizarlas. Ante exposición solicitará cambio y reportará el incidente; la recuperación no debe exigir revelar la contraseña existente al soporte.
14. Autenticación reforzada
Los accesos privilegiados o remotos deben evaluarse para incorporar factores adicionales. Cuando existan, deben protegerse y rechazarse solicitudes inesperadas; esta regla no afirma que la autenticación multifactor esté implementada en todos los módulos.
15. Mínimo privilegio
Los permisos se limitan a operaciones necesarias para la función. Visualizar no autoriza a modificar, exportar o compartir; los cambios de rol requieren validación y revisión cuando cambien las responsabilidades.
16. Segregación de funciones
En procesos sensibles debe separarse solicitud, revisión y aprobación cuando corresponda. Si no es posible, se documentarán controles compensatorios; administrar cuentas no habilita a aprobar gastos o decisiones ajenas a su competencia.
17. Sesiones
El usuario bloqueará el equipo al ausentarse y cerrará sesión al terminar, especialmente en equipos compartidos. Los plazos se definirán por política técnica; el cierre automático no sustituye la custodia del equipo.
18. Equipos personales y acceso remoto
Los equipos personales requieren autorización y seguridad proporcional a los datos. Se evitarán perfiles familiares; los controles empresariales y soporte deben respetar privacidad y el alcance previamente informado.
19. Cuentas de servicio
Las cuentas técnicas tendrán propietario, finalidad y permisos acotados. Sus secretos no deben incorporarse a documentos, prompts o repositorios públicos; rotación, revocación y seguimiento serán gestionados por personal autorizado.
20. Baja y cambio de vínculo
El fin del vínculo o cambio de funciones debe comunicarse para ajustar accesos oportunamente. Desactivar una cuenta no autoriza destruir registros; expedientes y tareas pendientes deben transferirse de forma trazable.
III. Uso permitido e integridad
21. Finalidad de uso
El aplicativo se utilizará para actividades autorizadas de la función. Nuevos usos o integraciones requieren evaluación del responsable cuando alteren finalidades, permisos o tratamiento de información, antes de su habilitación.
22. Veracidad y procedencia
Los datos deben sustentarse en fuentes verificables y distinguir hechos de estimaciones. Se indicarán origen y limitaciones; las validaciones automáticas no certifican autenticidad documental ni veracidad de los datos de origen.
23. Corrección de registros
Los errores se corrigen mediante mecanismos autorizados con trazabilidad. Se prohíbe ocultar actuaciones, retroceder fechas sin justificación o reemplazar documentos aprobados sin registro; las rectificaciones relevantes expresarán motivo y responsable.
24. Archivos
Solo se cargarán archivos pertinentes y admitidos por controles vigentes de tamaño y formato. La aceptación técnica no aprueba contenido ni habilita datos ajenos; se prohíben archivos maliciosos y ejecutables encubiertos.
25. Acceso indebido
Se prohíbe acceder a cuentas, empresas o expedientes fuera del permiso, aunque un enlace permita intentarlo. Ante exposición accidental debe detenerse la exploración y reportarse, sin copiar ni difundir información ajena.
26. Fraude, suplantación y acoso
Se prohíbe falsificar identidades, certificados, reportes o aprobaciones, y utilizar el sistema para acosar o discriminar. Comprende contenido de IA; los hechos se evaluarán conforme a normas y procedimientos aplicables.
27. Extracciones masivas
Exportaciones, automatizaciones y consultas intensivas requieren finalidad y autorización definidas. Se minimizarán campos y destinatarios; una extracción legítima no habilita bases paralelas para fines incompatibles ni eludir restricciones de acceso.
28. Pruebas y auditorías técnicas
Las pruebas de seguridad, carga y análisis de código requieren alcance autorizado y entorno adecuado. Se permiten auditorías legítimas y reportes responsables; las pruebas evitarán afectar datos reales y continuidad.
29. Integraciones y sincronización
Las integraciones respetarán el módulo dueño del dato y evitarán duplicados o sobrescrituras silenciosas. Se verificarán fuentes y reglas de identificación; las discrepancias se resolverán con evidencia, sin vaciar datos ajenos al alcance.
30. Operaciones de impacto
Cambios masivos, anulaciones y restauraciones requieren revisión proporcional. Se comprobará el conjunto afectado antes de confirmar; no se borrarán registros por conveniencia cuando exista obligación de conservación o necesidad de evidencia.
IV. Datos personales y derechos
31. Responsable y encargado
STRONGEST GENERAL SERVICE SAC debe identificar cuándo actúa como responsable o encargado y delimitar funciones de otras empresas. Debe comunicar identificación, canales y finalidades, sin presumir que todas las empresas del grupo comparten autorización.
32. Finalidad y proporcionalidad
Solo deben tratarse datos adecuados y necesarios para finalidades determinadas. Cuando basten datos agregados o sin identificadores se preferirá esa alternativa; un campo disponible no obliga a recoger información innecesaria.
33. Habilitación del tratamiento
Cada operación requiere consentimiento válido o excepción legal aplicable y documentada. No se importarán indiscriminadamente bases jurídicas extranjeras; iniciar sesión o tener una relación laboral no habilita cualquier finalidad, cesión o reutilización.
34. Consentimientos específicos
Cuando proceda consentimiento se explicarán finalidad y consecuencias, separando usos opcionales. Aceptar términos no autoriza generalmente marketing, entrenamiento de IA o divulgación; la revocación se atenderá en el alcance legal correspondiente.
35. Datos sensibles
Datos de salud, biométricos y otras categorías sensibles requieren habilitación y protección reforzadas. Se limitará acceso; reportes generales no expondrán diagnósticos o antecedentes cuando baste información funcional o agregada.
36. Salud ocupacional
Exámenes y antecedentes respetarán confidencialidad médica y competencias profesionales. Los responsables operativos recibirán solo información necesaria para prevención o adecuación del trabajo; IA no sustituye la evaluación médica.
37. Menores y personas vulnerables
Su tratamiento excepcional requiere evaluar necesidad, representación y garantías legales. No se enviarán sus datos a IA sin habilitación y evaluación previa; se evitarán explotación de vulnerabilidades y efectos discriminatorios.
38. Ejercicio de derechos
Los titulares pueden solicitar información y ejercer derechos legalmente reconocidos por canal operativo. Se verificará identidad proporcionalmente y responderá en el plazo aplicable a cada derecho, sin exigir documentación excesiva automáticamente.
39. Supresión y conservación necesaria
La supresión se evaluará junto con conservación obligatoria y derechos de terceros. Si no procede inmediatamente se motivará la respuesta y limitará tratamiento; marcar un registro como eliminado no borra todas las copias.
40. Revisión y tutela
Las personas afectadas deben poder solicitar revisión de decisiones relevantes. La atención interna no impide acudir a ANPD u otra autoridad ni constituye requisito general previo para ejercer acciones legales disponibles.
V. Confidencialidad, conservación y terceros
41. Clasificación de información
La información se clasificará por sensibilidad y consecuencias de exposición, diferenciando contenido público, interno, confidencial y restringido. El responsable orientará accesos; ante dudas debe consultarse antes de compartir información potencialmente sensible.
42. Deber de reserva
La confidencialidad subsiste después de concluir el acceso. No impide denuncias legítimas, defensa de derechos ni entregas exigidas por autoridad competente; las comunicaciones se limitarán al alcance necesario mediante canales adecuados.
43. Canales autorizados
Se compartirán documentos mediante canales autorizados y destinatarios verificados. Se evitarán cuentas personales y enlaces públicos para información confidencial; la urgencia no elimina la comprobación de identidad y autorización.
44. Copias, impresiones y capturas
Las copias mantienen límites de finalidad y reserva del original. Se custodiarán y retirarán mediante eliminación autorizada cuando dejen de ser necesarias; no se conservarán expedientes por iniciativa propia al terminar el vínculo.
45. Plazos de conservación
La organización definirá plazos por categoría, finalidad y obligación sectorial para documentos laborales, contables, médicos y SST. No se fija un plazo único; cada área documentará reglas y circunstancias que suspendan eliminación.
46. Eliminación y anonimización
Al agotarse finalidad y plazos se evaluará eliminación segura o anonimización efectiva. Seudonimizar no convierte automáticamente datos en anónimos; deben considerarse archivos, exportaciones, índices y copias bajo control empresarial.
47. Encargados y proveedores
Antes del acceso de proveedores se definirán instrucciones, seguridad, confidencialidad, subcontratación y eliminación o devolución. Se verificarán contrato y configuración; este texto no prueba contratos de encargo existentes con cada servicio.
48. Flujos internacionales
Deben identificarse países, destinatarios y operaciones internacionales, verificando habilitación y garantías. Usar nube o un proveedor conocido no acredita protección adecuada por sí mismo; se informará a titulares cuando corresponda.
49. Requerimientos de autoridades
Personal competente verificará fundamento, alcance y canal de las entregas. Se conservará evidencia; una solicitud informal no habilita extracción general ni divulgación fuera del objeto legal del requerimiento.
50. Bases de conocimiento de IA
Incorporar documentos a memorias o índices requiere evaluar finalidad, permisos y conservación. Fragmentos y representaciones vectoriales deben protegerse cuando permitan recuperar información sensible; no deben eludir permisos de la fuente original.
VI. Seguridad e incidentes
51. Medidas proporcionales
La organización gestionará controles técnicos y organizativos proporcionales al riesgo y los revisará ante cambios. La implementación requiere evidencia; estas reglas no garantizan seguridad absoluta ni presumen seguridad por instalar herramientas.
52. Dispositivos y actualizaciones
Los equipos autorizados se mantendrán actualizados y protegidos según política interna. No se desactivarán controles sin autorización; el soporte en equipos personales respetará alcance acordado e información privada ajena al trabajo.
53. Redes y cifrado
No se transmitirá información sensible mediante servicios sin protección requerida. El responsable definirá acceso remoto y cifrado; las advertencias de certificados deben reportarse antes de continuar operaciones sensibles sin evaluación.
54. Secretos técnicos
Claves API, contraseñas, tokens y certificados privados se almacenarán protegidos. Se prohíbe incluirlos en prompts, capturas o archivos públicos; su exposición requiere solicitar revocación o rotación sin esperar uso indebido comprobado.
55. Registros de actividad
Los registros apoyan seguridad y trazabilidad dentro de finalidades informadas. Se limitarán captura, acceso y conservación; no guardarán contraseñas ni servirán para vigilancia indiscriminada de comunicaciones privadas del trabajador.
56. Reporte de incidentes
Se comunicarán sin demora razonable pérdidas de equipos, accesos extraños, filtraciones o respuestas IA que expongan datos. El reporte incluirá hechos y alcance conocido por canal verificado, sin reenviar información sensible innecesariamente.
57. Contención y evidencia
Personal autorizado evaluará aislamiento, suspensión de conexiones y preservación de evidencia. Los usuarios no borrarán rastros ni investigarán cuentas ajenas por iniciativa propia; las intervenciones serán documentadas y limitadas a contener daños.
58. Notificaciones legales
La organización evaluará y efectuará comunicaciones a autoridades y afectados cuando concurran supuestos legales, dentro del plazo correspondiente. El procedimiento interno no retrasará notificaciones exigibles; los usuarios reportan al equipo competente.
59. Vulnerabilidades y buena fe
Las fallas se reportarán con evidencia mínima y sin ampliar acceso. Debe habilitarse seguimiento; reportar de buena fe no se confundirá automáticamente con infracción, sin perjuicio de evaluar actuaciones que excedan autorización.
60. Accesos de emergencia
Los accesos excepcionales tendrán responsable, motivo, duración y revisión posterior. Se revocarán al terminar la necesidad; urgencia no habilita privilegios indefinidos ni omitir registros de actuaciones sobre información sensible.
VII. Inteligencia artificial responsable
61. Función de asistencia
La IA, incluida Proteos cuando esté autorizada, apoya tareas definidas. Sus respuestas no constituyen instrucciones empresariales, aprobaciones o conclusiones profesionales; el responsable mantiene competencia para validar y adoptar resultados.
62. Herramientas autorizadas
Solo se usarán proveedores, modelos y conectores aprobados para finalidad y categoría de datos. Autorizar redacción general no habilita expedientes médicos o documentos confidenciales; cuentas gratuitas o personales requieren evaluación independiente.
63. Clasificación del caso de uso
Antes de habilitar IA se identificarán propósito, personas afectadas, datos y efectos de error. Se comprobarán clasificación y restricciones peruanas; resumir manuales y evaluar postulantes pueden presentar riesgos distintos con el mismo modelo.
64. Usos prohibidos por política interna
Se propone prohibir suplantación, manipulación mediante engaño, explotación de vulnerabilidades y puntuación social injustificada. También vigilancia encubierta e inferencias sensibles sin habilitación; estas restricciones empresariales complementan prohibiciones legales pertinentes.
65. Protección de entradas
Prompts y archivos contendrán solo información necesaria y autorizada, retirando identificadores y secretos cuando sea posible. Quitar nombres no garantiza anonimato si el contexto permite identificar personas, clientes o proyectos.
66. Entrenamiento y reutilización
Enviar información a IA no autoriza entrenamiento ni usos adicionales. Se revisarán contrato, retención, opciones de entrenamiento y configuración real; si son incompatibles con clasificación de los datos no se realizará carga.
67. Errores y contenido inventado
La IA puede inventar cifras, citas, normas o hechos con apariencia convincente. Los resultados importantes se contrastarán con originales y fuentes oficiales; provenir de un modelo no significa estar verificado.
68. Revisión humana competente
La validación requiere conocimiento y autoridad para detectar y corregir errores. No basta marcar aprobación sin leer; se examinarán fuentes, contexto, limitaciones y efectos antes de incorporar resultados al proceso.
69. Transparencia
La intervención relevante de IA en documentos o decisiones debe identificarse de forma comprensible. No exige divulgar secretos; debe permitir distinguir hechos comprobados, propuestas generadas y aprobación humana.
70. Sesgos y discriminación
Se examinarán perjuicios injustificados por características protegidas o variables que las sustituyan. Los usos discriminatorios deben suspenderse y corregirse; una puntuación numérica no demuestra equidad ni pertinencia del criterio.
VIII. Controles de IA y decisiones
71. Recursos humanos
Por política interna propuesta, IA no decidirá por sí sola contrataciones, despidos, sanciones, remuneraciones o promociones. Sus aportes se contrastarán con criterios legítimos y verificables; los afectados dispondrán de revisión competente.
72. Seguridad y salud
Los análisis IA sobre IPERC, protección o accidentes requieren revisión SST y especialistas cuando corresponda. No sustituyen inspecciones de campo ni habilitan tareas peligrosas sin permisos y controles del procedimiento.
73. Asesoría especializada
IA no sustituye diagnóstico médico ni asesoría legal, tributaria o técnica que requiera profesionales competentes. Actuaciones de alto impacto necesitan revisión especializada, verificación normativa y evaluación de circunstancias concretas.
74. Agentes y acciones automáticas
Los agentes que escriban, envíen, aprueben o eliminen tendrán permisos acotados. Acciones de impacto requieren intervención autorizada; instrucciones en documentos o respuestas IA no constituyen autorización del responsable.
75. Instrucciones maliciosas
Archivos y páginas recuperadas pueden contener instrucciones que manipulen IA. Se tratarán como contenido no confiable; no deben modificar permisos, revelar secretos ni activar acciones ajenas a la tarea autorizada.
76. Memoria y recuperación
Memorias y búsquedas mantendrán permisos por usuario, empresa y proyecto y permitirán correcciones procedentes. Los resúmenes no revelarán fuentes inaccesibles; guardar memoria no habilita conservación indefinida.
77. Evaluación interna de impacto
Para usos de alto impacto se propone exigir internamente análisis de riesgos, alternativas, controles y aceptación previa. Puede ser más estricto que una recomendación voluntaria; no se presenta como obligación legal universal.
78. Cambios de modelos
Cambios de modelo, proveedor, fuentes o configuración requieren evaluación si afectan privacidad o calidad. Se comprobarán casos representativos antes de usos sensibles y se preverán alternativas; una versión nueva no implica mejora automática.
79. Trazabilidad de resultados
En decisiones importantes se conservará evidencia suficiente de fuentes, herramienta, fecha y revisión humana, minimizando datos. No se registrarán indiscriminadamente conversaciones; alcance y conservación dependen de finalidad, riesgo y obligaciones documentales.
80. Detención de usos IA
Debe poder suspenderse una función ante filtraciones, errores graves, discriminación o acciones fuera del alcance. Se registrarán efectos y correcciones y se decidirá retiro o reanudación; disponibilidad no justifica mantener un uso inseguro.
IX. Propiedad intelectual y documentos
81. Titularidad
Código, diseños, marcas y componentes pertenecen a sus titulares según contratos y ley. STRONGEST GENERAL SERVICE SAC verificará cadena de derechos; estos términos no atribuyen automáticamente derechos sobre componentes de terceros u obras ajenas.
82. Autorización interna
El usuario recibe acceso funcional dentro de su rol y vigencia. No podrá vender, sublicenciar, distribuir o publicar el aplicativo; intervenciones y usos adicionales requieren autorización del titular o habilitación legal aplicable.
83. Licencias de terceros
Bibliotecas, plantillas y herramientas se usarán conforme a licencias. Se conservarán avisos y cumplirá atribución o distribución cuando corresponda; accesibilidad gratuita no implica libertad de incorporación sin restricciones.
84. Documentos aportados
Quien carga documentos debe tener autorización suficiente para la finalidad empresarial. La carga no transfiere todos los derechos ni autoriza publicación; se respetarán autoría, confidencialidad y derechos de titulares de datos.
85. Derechos sobre salidas IA
No se presume que todo contenido IA sea exclusivo, original o protegido por derecho de autor. Antes de uso comercial se revisarán intervención humana, condiciones y similitudes con obras ajenas; no se garantiza exclusividad sin fundamento.
86. Citas y reutilización
Citas, imágenes, tablas, manuales y logotipos requieren licencia o excepción legal aplicable. Se conservarán fuentes y límites; recibir contenido por IA no libera de verificar autorización, atribución y derechos ajenos.
87. Firmas
Imagen de firma, clic y firma digital tienen características y efectos distintos según acto y mecanismo. Una imagen pegada no se presentará como firma digital certificada; se verificarán certificado, integridad y requisitos IOFE cuando correspondan.
88. Autenticidad y versiones
Los documentos aprobados conservarán versión, responsables y evidencia de validación. Exportaciones pueden quedar desactualizadas; antes de decidir o auditar se contrastarán con versión vigente y se comprobarán posibles alteraciones.
89. Publicación externa
Publicar informes, pantallas o contenidos requiere revisión competente y autorización sobre datos y materiales. Se retirarán secretos e información personal innecesaria; consultar un documento no habilita difusión pública.
90. Reclamos sobre contenido
Observaciones sobre derechos, falsedad o exposición indebida se registrarán y evaluarán diligentemente. Cuando proceda se restringirá difusión sin destruir evidencia, preservando defensa y comunicando decisiones a involucrados pertinentes.
X. Continuidad y responsabilidades
91. Disponibilidad
El acceso puede interrumpirse por mantenimiento, fallas o incidentes. No se garantiza porcentaje sin acuerdo validado; las áreas definirán alternativas para procesos críticos y evitarán dependencia exclusiva ante emergencias.
92. Mantenimiento
Los mantenimientos previsibles se comunicarán con alcance y duración estimada. Si la urgencia impide aviso, se informará tan pronto sea razonable; después se comprobará funcionamiento de procesos relevantes.
93. Operación sin conexión
Cuando exista, el usuario verificará información local y operaciones pendientes. No asumirá que una edición se sincronizó; al reconectar comprobará resultados y resolverá conflictos mediante procedimiento autorizado.
94. Respaldos
Se definirán frecuencia, protección, conservación y verificaciones según criticidad. Una copia no garantiza recuperación completa; no se afirmará cifrado, rotación diaria o plazos concretos sin evidencia de configuración y operación.
95. Restauración
Las restauraciones requieren autorización, documentación y comprobación para evitar perder registros posteriores. El plan fijará objetivos de recuperación; las pruebas se aislarán y no expondrán datos a usuarios no autorizados.
96. Dependencias externas
Nube, correo e IA dependen de proveedores y condiciones. Se evaluarán riesgos y alternativas para procesos críticos; una interrupción requiere gestión y comunicación, sin atribuir automáticamente toda responsabilidad al usuario.
97. Deberes empresariales
STRONGEST GENERAL SERVICE SAC asignará responsables, informará, capacitará, gestionará permisos y atenderá incidencias conforme a obligaciones. La diligencia del usuario no sustituye deberes empresariales de seguridad, prevención, privacidad y organización del trabajo.
98. Diligencia del usuario
El usuario actuará dentro de su competencia, revisará operaciones y reportará inconsistencias. La responsabilidad se evaluará según hechos y normas; un registro asociado a una cuenta no demuestra por sí solo autoría culpable.
99. Responsabilidad y límites
No se excluye responsabilidad por dolo, culpa inexcusable u obligaciones irrenunciables. Un límite contractual debe ser válido y pertinente; no se impone el precio de un servicio inexistente ni se excluyen indiscriminadamente daños por fallas.
100. Eventos extraordinarios
Se evaluarán conforme a ley y relación efectiva con incumplimientos, con sustento y mitigación razonable. No eliminan automáticamente protección de información, preservación de evidencia ni comunicaciones exigibles.
XI. Gobernanza, reclamaciones y vigencia
101. Responsables internos
Se asignarán funciones de administración, seguridad, privacidad, procesos e IA con competencias definidas. La función de protección de datos se evaluará según requisitos legales; un correo de DPO no acredita designación ni cumplimiento.
102. Capacitación
La orientación corresponderá a tareas y riesgos de datos e IA. Se conservará evidencia de formación necesaria y actualizarán contenidos; aceptar términos no reemplaza capacitación sobre procesos críticos.
103. Verificación y auditoría
Las revisiones comprobarán permisos, tratamientos, proveedores y controles reales, respetando privacidad. Se registrarán hallazgos y responsables de corrección; este texto no constituye certificación ni auditoría integral del sistema.
104. Suspensión preventiva
Puede restringirse acceso ante riesgo concreto, con alcance proporcional y motivo registrado. La medida se revisará oportunamente; suspensión técnica no implica sanción laboral ni declaración definitiva de responsabilidad.
105. Incumplimientos y defensa
Las consecuencias dependen de vínculo, reglamentos válidos, gravedad, evidencia y defensa. Estos términos no crean multas automáticas, descuentos salariales ni despidos; las medidas serán competentes, legales y proporcionales.
106. Consultas y reclamaciones
Habrá canales accesibles para consultas, reportes de buena fe y revisión, con recepción y seguimiento. No se exigirá renuncia de derechos ni se impedirán comunicaciones legítimas con autoridades.
107. Ley y competencia
Rige legislación peruana, sin perjuicio de otras normas aplicables. Las controversias corresponden a autoridad competente según materia; no se impone Lima como foro exclusivo ni acudir primero a ANPD para toda controversia.
108. Modificaciones
Los cambios se identificarán por versión, fecha y alcance y comunicarán adecuadamente. La nueva voluntad necesaria se gestionará expresamente; silencio o uso continuado no equivalen a consentimiento general para nuevas finalidades.
109. Aprobación y vigencia
La revisión 2.0 se elaboró el 13 de octubre de 2026 y conserva como antecedente la versión 1.13 del 4 de septiembre. Regirá tras aprobación competente y fecha comunicada, completando datos y conciliando aviso y aceptación.
110. Constancias y consulta
Se preservarán versiones aprobadas y constancias de comunicación o aceptación cuando correspondan, con identidad, fecha y versión, sin datos excesivos. El usuario podrá consultar el texto; esta página no implementa ni demuestra aceptación individual.
Fuentes oficiales y alcance
Consulta para la revisión: 2026-10-13. Deben comprobarse modificaciones y reglas transitorias al aprobar cada caso. Las reglas operativas son propuestas empresariales y no transcripciones legales.
Se utiliza el D.S. 016-2024-JUS, sin presentar el D.S. 003-2013-JUS como reglamento vigente. La evaluación de la cláusula 77 es una exigencia interna propuesta, sin convertir recomendaciones voluntarias en obligaciones legales universales.
RGPD y Reglamento europeo de IA: verificar ámbito territorial y material, rol del operador y calendario. OCDE, UNESCO, NIST e ISO se distinguen de obligaciones directamente exigibles; no se declara certificación ni conformidad integral.
- Ley 29733 — Protección de Datos Personales
- D.S. 016-2024-JUS — Reglamento de protección de datos
- Ley 31814 — Marco normativo peruano de IA
- D.S. 115-2025-PCM — Reglamento de IA
- Ley 30096 y modificatorias — Delitos Informáticos
- D. Leg. 822 — Derecho de Autor
- Ley 27269 — Firmas y Certificados Digitales
- PCM — Orientación sobre firma digital
- D.S. 005-2012-TR — Reglamento de la Ley 29783 de SST
- Reglamento (UE) 2016/679 — RGPD
- Reglamento (UE) 2024/1689 — IA
- Principios de IA de OCDE
- UNESCO — Recomendación sobre ética de IA
- NIST AI Risk Management Framework
- ISO/IEC 42001 — Gestión de IA
Canales pendientes de validación
El documento anterior consignaba estos correos. Deben confirmarse operatividad y responsables antes de aprobar: legal@ancosa.com.pe, privacidad@ancosa.com.pe, seguridad@ancosa.com.pe, soporte@ancosa.com.pe, dpo@ancosa.com.pe.
No se consignan RUC, domicilio o inscripción de bancos como hechos confirmados porque requieren validación. Mientras se completa deben usarse canales internos conocidos y verificados.