Yupay

by Quipus Labs · Arequipa, Perú

Contrato de Encargado de Tratamiento de Datos Personales

Partes

EL TITULAR del banco de datos personales: el establecimiento comercial / negocio que contrata el servicio Yupay (en adelante, "EL TITULAR"). Datos individualizados en el formulario de onboarding (Pestaña "Clientes" de la plantilla operacional Yupay).

EL ENCARGADO del tratamiento: Quipus Labs, persona natural / jurídica que opera el servicio Yupay (en adelante, "EL ENCARGADO" o "YUPAY"). Domicilio en Arequipa, Perú. Correo: privacidad@yupay.com.pe.

1. Objeto

EL ENCARGADO procesa por cuenta y orden de EL TITULAR los datos personales contenidos en las capturas de pantalla y declaraciones que EL TITULAR le envía, con el único objetivo de generar reportes diarios y mensuales de conciliación de ventas y cobros del negocio del TITULAR.

Los datos de terceros pagadores (personas que pagaron al negocio de EL TITULAR vía Yape/Plin/efectivo/otros) son tratados por EL ENCARGADO por cuenta de EL TITULAR, quien mantiene la titularidad del banco de datos según el Art. 14 del Reglamento de la Ley N° 29733.

2. Datos tratados

2.1 Categorías de datos personales

• Nombre y número telefónico del pagador (cuando aparecen en screenshots).
• Monto, fecha, hora e identificador de operación de cada transacción.
• Cualquier otro dato visible en las capturas de pantalla que EL TITULAR envíe.

2.2 Categorías de titulares de datos

• Clientes finales del negocio de EL TITULAR (los pagadores).

2.3 Datos NO tratados por EL ENCARGADO

EL ENCARGADO no solicita, no recibe ni trata información sensible adicional sobre los pagadores (salud, religión, ideología política, datos biométricos, etc.).

3. Finalidad y limitación de uso

EL ENCARGADO usará los datos exclusivamente para:

1. Generar el reporte diario de conciliación que se entrega a EL TITULAR.
2. Generar el reporte mensual agregado que se entrega a EL TITULAR.
3. Resolver disputas o dudas operativas con EL TITULAR.
4. Cumplir obligaciones legales propias de EL ENCARGADO (tributarias, regulatorias, judiciales cuando aplique).

EL ENCARGADO se obliga a NO usar los datos para fines distintos, ni a comunicarlos a terceros, salvo:

• Requerimiento legal formal y vinculante.
• Subcontratistas habilitados en § 6.

4. Medidas de seguridad

EL ENCARGADO implementa las medidas técnicas y organizativas exigidas por la Ley N° 29733, su Reglamento y la Directiva de Seguridad de la ANPD. En particular:

• Acceso a los datos restringido al personal autorizado.
• Doble factor de autenticación en las cuentas operativas.
• Cifrado de disco en dispositivos del operador.
• Comunicación con EL TITULAR cifrada de extremo a extremo (WhatsApp).
• Anonimización de los nombres de pagadores en las hojas de trabajo (uso de identificadores tipo PAG-A, PAG-B, etc.).
• Política interna de manejo de incidentes.
• Logs de acceso y de borrado.

El detalle técnico-operativo consta en el documento interno de manejo de capturas de pantalla, que forma parte de este contrato como anexo técnico y está disponible para EL TITULAR a solicitud.

5. Plazos de conservación

Tipo de dato	Plazo máximo	Justificación
Screenshots originales	7 días	Generación del reporte y resolución de disputas inmediatas
Hojas de trabajo del día	30 días	Recompilación de reportes mensuales
Reportes consolidados mensuales (agregados, sin nombres de terceros)	5 años	Respaldo del TITULAR ante reclamos o auditorías propias
Datos del contrato y consentimiento	5 años desde el fin de la relación	Defensa de EL ENCARGADO ante reclamos
Logs de acceso y de incidentes	1 año	Trazabilidad

Vencidos los plazos, los datos se eliminan de forma definitiva incluyendo cualquier respaldo en la papelera de los servicios de almacenamiento utilizados.

6. Subcontratación

EL ENCARGADO está autorizado a tratar los datos utilizando los siguientes proveedores tecnológicos, que actúan como sub-encargados:

Proveedor	Función	País sede
Google Workspace / Google Drive / Google Sheets	Almacenamiento y procesamiento operativo	EE.UU. (con presencia regional)
WhatsApp Business (Meta)	Canal de comunicación cifrado con EL TITULAR	EE.UU. (con presencia regional)

EL ENCARGADO se obliga a:

• Mantener configuraciones que minimicen la exposición (sin compartir por link público, sin respaldos automáticos sin cifrar, etc.).
• Notificar a EL TITULAR si requiere agregar nuevos sub-encargados.

Cualquier flujo transfronterizo de datos se sujeta al Art. 15 de la Ley N° 29733 y al Reglamento. EL ENCARGADO se compromete a cumplir los requisitos aplicables.

7. Obligaciones de EL ENCARGADO

1. Tratar los datos únicamente conforme a las instrucciones de EL TITULAR y a lo establecido en este contrato.
2. Cumplir las medidas de seguridad de § 4.
3. Guardar deber de confidencialidad sobre los datos (Art. 17 Ley N° 29733), incluso después de la terminación del contrato.
4. Notificar a EL TITULAR cualquier incidente de seguridad que afecte sus datos dentro de las 72 horas de detectado. Notificar también a la ANPD en los plazos legales aplicables.
5. Asistir a EL TITULAR en la atención de solicitudes ARCO (Acceso, Rectificación, Cancelación, Oposición) que reciba de los terceros pagadores.
6. Mantener registro de tratamientos cuando legalmente corresponda.
7. Inscribir el banco de datos en el RNPDP de la ANPD dentro de los primeros 30 días de inicio de operación.

8. Obligaciones de EL TITULAR

1. Tener legitimidad legal para enviar a EL ENCARGADO los datos contenidos en los screenshots (consentimiento de los pagadores cuando legalmente sea exigible para la finalidad declarada).
2. No solicitar a EL ENCARGADO tratamientos contrarios a la Ley N° 29733.
3. Mantener actualizados sus datos de contacto.
4. Comunicar oportunamente solicitudes ARCO de terceros que afecten sus datos.

9. Derechos de los titulares (terceros pagadores)

Los titulares finales de los datos (los pagadores) pueden ejercer sus derechos ARCO escribiendo a:

• EL TITULAR directamente (es el titular del banco de datos), o
• privacidad@yupay.com.pe (EL ENCARGADO los redirigirá a EL TITULAR cuando corresponda y/o atenderá las solicitudes que sean de su competencia como encargado).

Plazo de respuesta: 20 días hábiles desde la recepción de la solicitud (Art. 22 Ley N° 29733).

10. Terminación y devolución / borrado

Al terminar el servicio (por baja, por cancelación, por finalización del contrato):

1. EL ENCARGADO ofrece a EL TITULAR la devolución de los reportes mensuales agregados que estén dentro del plazo de conservación (§ 5).
2. EL ENCARGADO procede al borrado definitivo de todos los datos operativos (screenshots, hojas de trabajo) dentro de 24 horas hábiles desde la solicitud de baja.
3. Los datos de contrato y consentimiento permanecen 5 años para defensa legal.
4. EL ENCARGADO emite confirmación escrita por WhatsApp del borrado.

11. Régimen sancionador y limitación

Cualquier incumplimiento de este contrato por parte de EL ENCARGADO faculta a EL TITULAR a (a) terminar el servicio sin penalidad, (b) denunciar ante la ANPD, (c) ejercer las acciones legales que correspondan.

La responsabilidad de EL ENCARGADO se rige por las disposiciones de la Ley N° 29733 y por el régimen civil y administrativo aplicable.

12. Vigencia

Este contrato entra en vigencia desde la aceptación por escrito de EL TITULAR (por WhatsApp con la respuesta "ACEPTO EL CONTRATO" o equivalente, o por firma de documento), y permanece vigente mientras dure el servicio Yupay para EL TITULAR.

13. Ley aplicable y jurisdicción

Las partes se sujetan a las leyes peruanas y a la competencia de los jueces y tribunales del distrito judicial de Arequipa.

Aceptación por WhatsApp (texto plantilla)

Después de la aceptación del consentimiento (M-01), se envía al cliente un segundo mensaje:

[Nombre], adicionalmente, como Yupay procesará datos de tus clientes/pagadores
(que son tu banco de datos, no nuestro), necesitamos formalizar un contrato
simple de encargado de tratamiento.

Resumen de 30 segundos:
1) Tú eres el dueño legal de los datos de tus pagadores; Yupay los procesa
   por ti.
2) Yupay no usa esos datos para nada distinto a hacer tu reporte.
3) Yupay anonimiza los nombres de pagadores en sus hojas.
4) Plazos de borrado: 7 días screenshots, 30 días hojas de trabajo, 5 años
   reportes agregados, 5 años contrato.
5) Yupay te notifica en 72 h si pasa algo con los datos.
6) Yupay no comparte datos salvo requerimiento legal formal.

Versión completa: yupay.com.pe/contrato-encargado

¿Aceptas? Responde: ACEPTO EL CONTRATO  (o NO si tienes dudas y conversamos)

Historial de versiones

Versión	Fecha	Cambios
1.0	2026-05-26	Versión inicial — contrato basal MVP manual