Política de Tratamiento de Datos Personales

Versión v5-2026-08-13 · Vigente desde el 13 de agosto de 2026 · Elaborada conforme a la Ley N.º 29733, Ley de Protección de Datos Personales, y su Reglamento (D.S. N.º 003-2013-JUS)

1. Responsable del tratamiento

El responsable del banco de datos personales es MARKETING VIRTUAL PLANET S.A.C., RUC 20613011979, con domicilio en Lima, Perú, que opera la plataforma hastuoferta.com. Puedes contactarnos por el canal de soporte de la plataforma.

2. Qué datos tratamos

De toda persona que se registra:

Nombres y apellidos.
Tipo y número de documento de identidad (DNI, Carné de Extranjería, Pasaporte, PTP).
Correo electrónico y número de teléfono.
Contraseña, que nunca se almacena en texto plano: se guarda transformada con scrypt, una función criptográfica de un solo sentido.
Datos de conexión: dirección IP, navegador y fechas de acceso, con fines de seguridad y prevención de fraude.
Historial de solicitudes, ofertas, acuerdos y mensajes dentro de la plataforma.
Acreditación de identidad en el cierre de acuerdos (opcional): una fotografía de la persona sosteniendo su documento de identidad, con el tipo y número declarados. Existe para dejar constancia de quién celebró el acuerdo.
Reseñas que dejas sobre un Proveedor tras un acuerdo: calificación, comentario y fecha.

De negocios y proveedores, además:

Razón social o nombre comercial, RUC y estado tributario.
Nombre y documento del representante legal.
Dirección del negocio, teléfonos, redes sociales y sitio web.
Descripción del negocio, rubro, catálogo de productos o servicios y precios.

De repartidores y transportistas de movilidad, además:

Número y categoría de la licencia de conducir (brevete) y su vigencia.
Placa, tipo, marca y modelo del vehículo.
Datos de ubicación durante la prestación del servicio, con la finalidad de estimar la tarifa, asignar viajes y dar seguridad al viaje. La ubicación se trata mientras el servicio está en curso, no de forma permanente.

De quienes participan en una reunión virtual:

Grabación de audio de la conversación y su transcripción a texto. La voz constituye un dato personal, por lo que este tratamiento se realiza únicamente con el consentimiento expreso, previo e informado que se presta al ingresar a la sala, según se detalla en los Términos y Condiciones. Quien no desee ser grabado no debe ingresar a la sala.
La transcripción se genera dentro de nuestra propia infraestructura: el audio no se envía a ningún servicio de terceros para ser procesado.

De quien presenta una reclamación:

Los datos exigidos por el Reglamento del Libro de Reclamaciones, incluidos los del padre, madre o apoderado cuando el consumidor es menor de edad.

3. Finalidades

Crear y administrar tu cuenta y verificar tu identidad.
Conectar Clientes con Proveedores dentro del sistema de subasta inversa.
Ejecutar y dejar constancia de los acuerdos celebrados en la plataforma.
Notificarte lo que es operativo del servicio: nuevas solicitudes de tu sector, ofertas recibidas, cambios de estado de tus acuerdos, tareas y reuniones.
Prevenir fraude, suplantación de identidad, manipulación de subastas y abuso técnico.
Atender reclamos, quejas y disputas, y ejercer o defender derechos ante autoridades.
Cumplir obligaciones legales, tributarias y contables.
Elaborar estadísticas agregadas y anónimas para mejorar el servicio (no permiten identificarte).
Enviarte comunicaciones comerciales, solo si lo autorizas y con la posibilidad de revocarlo en cualquier momento.

No usamos tus datos para decisiones automatizadas que produzcan efectos jurídicos sobre ti, ni elaboramos perfiles con fines distintos a los descritos.

4. Base legal

El tratamiento se sustenta en tu consentimiento libre, previo, informado, expreso e inequívoco, otorgado al marcar la casilla de aceptación (art. 5 y siguientes de la Ley 29733). Adicionalmente, ciertos tratamientos se amparan en la ejecución de la relación contractual y en el cumplimiento de obligaciones legales, supuestos en los que no se requiere consentimiento conforme al artículo 14 de la misma ley. La verificación del RUC se realiza contra fuentes de acceso público publicadas por SUNAT.

5. Dónde se alojan tus datos (flujo transfronterizo)

La infraestructura de la plataforma está alojada en servidores ubicados en Falkenstein, Alemania, contratados a Hetzner Online GmbH. Esto implica un flujo transfronterizo de datos personales conforme al artículo 15 de la Ley 29733.

Alemania forma parte de la Unión Europea y cuenta con un nivel de protección adecuado, equiparable al exigido por la legislación peruana, en virtud del Reglamento General de Protección de Datos (RGPD). El proveedor de infraestructura actúa como encargado del tratamiento, sin acceder al contenido de los datos ni utilizarlos para fines propios. Al aceptar esta Política prestas tu consentimiento para dicho alojamiento.

6. Con quién se comparten

Con la otra parte de tu operación. Cuando aceptas una oferta, el Proveedor accede a los datos necesarios para prestar el servicio, y viceversa. No se comparte más de lo necesario.
Con el proveedor de infraestructura, en los términos de la sección anterior.
Con servicios de mensajería que tú vinculas voluntariamente (por ejemplo Telegram), y únicamente para entregarte las notificaciones que solicitaste. Puedes desvincularlos cuando quieras.
Con autoridades competentes, cuando exista requerimiento fundado en la ley (Poder Judicial, Ministerio Público, Policía Nacional, INDECOPI, SUNAT, UIF-Perú).

No vendemos, alquilamos ni cedemos tus datos personales a terceros con fines publicitarios.

Las reseñas que dejas sobre un Proveedor se muestran públicamente en su página, junto con tu primer nombre y la inicial de tu apellido, tu calificación y la fecha. No se publica tu nombre completo ni tu documento.

7. Cuánto tiempo se conservan

Datos de cuenta: mientras la cuenta esté activa, y hasta doce (12) meses después de su baja, para atender reclamos posteriores.
Registros de operaciones y acuerdos: el plazo exigido por las normas tributarias y contables aplicables.
Audio y transcripciones de reuniones: mientras exista posibilidad de reclamo sobre el acuerdo correspondiente, y como máximo veinticuatro (24) meses desde la reunión, salvo que exista una disputa o procedimiento en curso, en cuyo caso se conservan hasta su conclusión firme.
Hojas del Libro de Reclamaciones: el plazo mínimo exigido por su Reglamento, sin posibilidad de alteración ni eliminación.
Acreditaciones de identidad (fotografía con el documento): cinco (5) años desde su captura, que cubre el plazo en que razonablemente puede discutirse el acuerdo. Vencido el plazo, una tarea automática diaria elimina la imagen y su registro.
Registros de seguridad y auditoría: hasta veinticuatro (24) meses.

Vencidos los plazos, los datos se eliminan o se anonimizan de forma irreversible.

8. Seguridad

Todas las conexiones viajan cifradas mediante HTTPS/TLS.
Las contraseñas se almacenan con scrypt y sal única por usuario; nadie —tampoco nosotros— puede leerlas.
Las sesiones se manejan con testigos opacos en cookies httpOnly; en la base solo se guarda su huella criptográfica.
El acceso del personal autorizado a grabaciones y transcripciones queda registrado en una bitácora de auditoría con identificación del responsable, fecha y motivo.
Las fotografías de acreditación de identidad se guardan en almacenamiento privado: solo se sirven con un enlace firmado de corta duración y sesión válida, únicamente a las dos partes del acuerdo, y cada apertura queda registrada en una bitácora inalterable.
Se realizan copias de respaldo periódicas y cifradas tanto de la base de datos como de los archivos subidos.
La plataforma aplica cabeceras de seguridad, política de contenidos y límites de tasa contra abuso automatizado.

9. Tus derechos (ARCO)

Acceso: conocer qué datos tuyos tratamos y con qué finalidad.
Rectificación: corregir datos inexactos o desactualizados.
Cancelación: solicitar su supresión cuando ya no sean necesarios o retires tu consentimiento.
Oposición: oponerte a un tratamiento concreto por motivos fundados.
Revocación del consentimiento, en cualquier momento y sin efecto retroactivo.

Para ejercerlos, escríbenos desde el canal de soporte identificándote debidamente. Responderemos en los plazos previstos por el Reglamento de la Ley 29733: ocho (8) días para el derecho de acceso y diez (10) días para rectificación, cancelación y oposición, contados desde la recepción de la solicitud.

Ciertos datos no pueden cancelarse mientras subsista una obligación legal de conservarlos (registros contables, hojas del Libro de Reclamaciones, evidencia de una disputa en curso). En esos casos te explicaremos el motivo y el plazo.

Si consideras que tus derechos no fueron atendidos, puedes acudir a la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

10. Cookies y almacenamiento local

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada y proteger el formulario contra falsificación de peticiones. No usamos cookies publicitarias ni de rastreo de terceros. El contenido de tu carrito se guarda únicamente en tu navegador y no se envía a nuestros servidores.

11. Menores de edad

El Servicio no está dirigido a menores de 18 años y no recolectamos deliberadamente sus datos. Si detectamos una cuenta de un menor, será dada de baja. La única excepción es el Libro de Reclamaciones, donde la ley admite que un menor reclame a través de su padre, madre o apoderado, cuyos datos se solicitan para ese fin.

12. Protocolo ante una brecha de seguridad

Si un incidente compromete la confidencialidad, integridad o disponibilidad de datos personales, aplicamos este protocolo:

Contención y evaluación inmediatas: se aísla el sistema afectado, se revoca todo acceso comprometido y se determina qué datos, de qué personas y en qué volumen se vieron expuestos, dejando registro escrito de cada paso.
Notificación a los afectados: si la brecha puede causarles un perjuicio, se les informa sin dilación indebida por los canales de contacto registrados, describiendo qué ocurrió, qué datos se vieron involucrados y qué medidas tomar (por ejemplo, cambiar la contraseña).
Notificación a la autoridad: se comunica a la Autoridad Nacional de Protección de Datos Personales conforme a la normativa vigente, en los plazos que esta establezca.
Corrección y constancia: se corrige la causa raíz, se documenta el incidente completo —qué pasó, a quién se notificó y cuándo— y se conserva esa constancia como parte de los registros de seguridad.

13. Cambios en esta Política

Podemos actualizar esta Política. Los cambios sustanciales se notifican dentro de la plataforma y se solicita una nueva aceptación, quedando registrada la versión aceptada por cada usuario y la fecha.

Documento elaborado con referencia directa a la Ley N.º 29733 y su Reglamento (D.S. N.º 003-2013-JUS). Antes de operar a gran escala corresponde inscribir los bancos de datos personales ante la Autoridad Nacional de Protección de Datos Personales y validar este documento con un abogado especializado.

← Términos y Condiciones Código de Conducta →Libro de Reclamaciones →