1. Objeto
La presente Política de Tratamiento y Uso de Datos Personales tiene por finalidad establecer los criterios, principios, procedimientos y obligaciones que Almacenes Sudamericanos S.A., en adelante ALSUD, aplica para la recopilación, almacenamiento, organización, consulta, utilización, transferencia, comunicación, conservación, modificación, bloqueo, eliminación y demás operaciones realizadas sobre datos personales.
La Política tiene por objeto garantizar el derecho fundamental a la protección de datos personales y asegurar que el tratamiento realizado por ALSUD se encuentre de acuerdo con la Ley N.° 29733, su Reglamento aprobado mediante Decreto Supremo N.° 016-2024-JUS y las disposiciones de la Autoridad Nacional de Protección de Datos Personales. El nuevo Reglamento se encuentra vigente desde el 31 de marzo de 2025.
2. Identificación del responsable
Razón social: Almacenes Sudamericanos S.A.
RUC: 20504166318
Domicilio: Av. Manuel Olguín Nro. 325 Int. 605, Urbanización Los Granados, Santiago de Surco, Lima, Perú.
Actividad principal: Diseño, ingeniería y construcción de sistemas e infraestructuras de almacenamiento.
Para efectos de la normativa de protección de datos personales, ALSUD actúa como titular de los bancos de datos personales y/o responsable del tratamiento respecto de la información cuya finalidad y medios de tratamiento determina.
3. Alcance
Esta Política resulta aplicable a los datos personales tratados por ALSUD correspondientes, entre otros, a:
clientes y potenciales clientes; representantes, trabajadores o personas de contacto de clientes corporativos; proveedores y potenciales proveedores; contratistas y subcontratistas; representantes y trabajadores de proveedores; postulantes a puestos de trabajo; trabajadores y extrabajadores, respecto de las políticas internas que correspondan; visitantes; usuarios del sitio web; personas que envíen consultas; contactos comerciales; y demás personas naturales cuyos datos sean tratados legítimamente por ALSUD.
4. Principios aplicables
ALSUD tratará los datos personales respetando los principios establecidos por la normativa peruana, incluyendo los principios de legalidad, consentimiento, finalidad, proporcionalidad, calidad, seguridad, disposición de recurso y nivel de protección adecuado.
En consecuencia, ALSUD procurará que los datos sean recopilados mediante medios lícitos, que sean adecuados y pertinentes para las finalidades informadas, que permanezcan actualizados cuando resulte necesario y que no sean utilizados para finalidades incompatibles con aquellas que dieron origen a su recopilación.
5. Categorías de datos tratados
Dependiendo de la relación mantenida con el titular, ALSUD podrá tratar datos tales como:
datos de identificación; información de contacto; datos profesionales y laborales; cargo y empresa; información contractual; información comercial; datos vinculados con órdenes de compra, cotizaciones, proyectos o servicios; información tributaria y de facturación; datos bancarios cuando sean necesarios para operaciones legítimas; comunicaciones mantenidas con ALSUD; documentación proporcionada por el titular; información necesaria para gestión de seguridad y accesos; datos de postulantes y candidatos; información generada por la utilización del sitio web; y demás datos que resulten necesarios para la finalidad informada.
ALSUD evitará recopilar datos que resulten excesivos, innecesarios o irrelevantes para el tratamiento correspondiente.
6. Datos sensibles
El tratamiento de datos sensibles será excepcional y únicamente se efectuará cuando resulte necesario, exista una base jurídica válida y se observen las medidas especiales previstas por la legislación.
Cuando el tratamiento de datos sensibles se base en consentimiento, dicho consentimiento se recabará mediante un mecanismo que permita acreditar expresamente la voluntad del titular conforme al régimen reforzado establecido por la normativa.
7. Finalidades de tratamiento
Dependiendo del tipo de relación con el titular, ALSUD podrá utilizar los datos para:
7.1 Clientes y potenciales clientes
Atender solicitudes de información y cotizaciones; elaborar propuestas técnicas o económicas; analizar requerimientos; gestionar negociaciones; formalizar y ejecutar relaciones contractuales; desarrollar proyectos de diseño, ingeniería o construcción; coordinar entregas, instalaciones y servicios; realizar facturación y cobranza; gestionar garantías, servicio posventa y atención al cliente; mantener registros comerciales y contractuales; cumplir obligaciones tributarias, contables, administrativas y legales; y gestionar comunicaciones relacionadas con la relación comercial.
7.2 Contactos corporativos
Gestionar relaciones entre ALSUD y las empresas u organizaciones a las que pertenezca el titular; coordinar proyectos, propuestas, contratos, visitas, reuniones, pagos, entregas y demás actividades propias de una relación comercial entre organizaciones.
7.3 Proveedores y contratistas
Evaluar potenciales proveedores; solicitar y comparar propuestas; gestionar órdenes de compra y contratos; efectuar pagos; controlar accesos y coordinaciones operativas; verificar cumplimiento contractual; atender obligaciones administrativas, tributarias y contables; mantener registros de proveedores; y gestionar las relaciones derivadas de la prestación de bienes o servicios.
7.4 Postulantes
Gestionar procesos de selección; evaluar experiencia, estudios, conocimientos y antecedentes profesionales permitidos por la legislación; realizar entrevistas y contactar referencias cuando corresponda; comunicarse con el postulante; evaluar su incorporación a ALSUD; y conservar su información para futuras oportunidades únicamente cuando exista una base válida para ello.
7.5 Visitantes y seguridad
Controlar el ingreso y salida de instalaciones; proteger personas, instalaciones, información y bienes; gestionar situaciones de emergencia; investigar incidentes; y cumplir protocolos de seguridad.
Si ALSUD utiliza sistemas de videovigilancia, dicho tratamiento deberá sujetarse además a la regulación específica de videovigilancia emitida por la ANPD. La Autoridad mantiene vigente una Directiva específica para esta materia.
7.6 Usuarios web
Atender consultas, gestionar contactos comerciales, garantizar el funcionamiento y seguridad del sitio web y cumplir las finalidades desarrolladas en la Política de Privacidad del Sitio Web.
7.7 Cumplimiento normativo y defensa jurídica
Cumplir obligaciones establecidas en normas legales o regulatorias; atender requerimientos de autoridades competentes; gestionar auditorías; prevenir conductas ilícitas; ejercer o defender derechos de ALSUD; y conservar evidencia necesaria frente a eventuales controversias.
7.8 Publicidad
Realizar acciones de publicidad o prospección comercial únicamente cuando exista una habilitación jurídica válida y, cuando sea necesario, se haya obtenido el consentimiento correspondiente.
8. Carácter obligatorio o facultativo de los datos
ALSUD informará en cada formulario o proceso qué información resulta necesaria y qué información es voluntaria.
La negativa a proporcionar datos indispensables para una solicitud, contrato, cotización, prestación de servicios o relación comercial puede impedir a ALSUD atender correctamente el requerimiento.
La negativa a proporcionar información destinada exclusivamente a finalidades opcionales, como determinadas comunicaciones promocionales, no deberá impedir el acceso a servicios que no dependan razonablemente de dichos datos.
9. Consentimiento
ALSUD obtendrá consentimiento cuando este sea exigible.
El consentimiento deberá ser libre, previo, expreso, inequívoco e informado y encontrarse asociado a finalidades claramente determinadas. La normativa vigente contempla expresamente como medios válidos de manifestación determinadas acciones realizadas en canales digitales, incluido el clic, siempre que permitan demostrar una aceptación concreta y explícita.
Cuando existan finalidades independientes, ALSUD procurará diferenciarlas para que el titular pueda decidir respecto de cada una cuando corresponda.
ALSUD conservará evidencia del consentimiento cuando resulte necesario demostrar su existencia.
10. Revocación del consentimiento
El titular podrá revocar su consentimiento cuando el tratamiento dependa de dicha base.
ALSUD proporcionará mecanismos accesibles, sencillos y gratuitos para efectuar la revocación.
La revocación no tendrá efectos retroactivos sobre tratamientos realizados legítimamente antes de su ejercicio.
El Reglamento dispone que los tratamientos en curso deben adecuarse a la revocación dentro del plazo derivado de una actuación diligente, que no puede exceder de diez días.
11. Datos obtenidos de fuentes públicas o terceros
La circunstancia de que un dato se encuentre disponible públicamente no autoriza su utilización irrestricta.
ALSUD verificará que el tratamiento de información procedente de fuentes de acceso público sea compatible con los principios y demás disposiciones de la normativa de protección de datos personales.
Cuando corresponda legalmente, ALSUD estará en condiciones de informar al titular acerca de la fuente desde la cual obtuvo sus datos.
12. Publicidad y prospección comercial
El uso de información personal para publicidad, promoción y prospección comercial será realizado de conformidad con la normativa vigente.
Cuando se utilice un primer contacto para solicitar consentimiento en los casos permitidos por la normativa, si no se obtiene dicho consentimiento ALSUD no realizará nuevos contactos basados en esa habilitación.
El titular podrá negarse, revocar u oponerse al tratamiento con fines comerciales mediante un procedimiento sencillo y gratuito.
13. Transferencias de datos personales
ALSUD podrá transferir datos personales cuando ello resulte necesario para la finalidad correspondiente y se cumplan los requisitos legales aplicables.
Los posibles destinatarios podrán incluir, según corresponda, empresas vinculadas, proveedores, clientes, entidades financieras, aseguradoras, consultores, asesores, organismos públicos, autoridades administrativas o judiciales y demás terceros legítimamente involucrados.
Cuando una transferencia requiera consentimiento, este será obtenido previamente.
ALSUD mantendrá mecanismos que permitan acreditar las condiciones bajo las cuales se realiza la transferencia.
14. Encargados de tratamiento y terceros proveedores
ALSUD podrá contratar terceros para procesar información por cuenta de la compañía, incluyendo servicios tecnológicos, cloud computing, hosting, correo electrónico, infraestructura, soporte, administración de sistemas, almacenamiento, CRM, comunicaciones, marketing y otros servicios.
ALSUD establecerá contractualmente las condiciones aplicables al tratamiento, obligaciones de confidencialidad, medidas de seguridad, finalidades permitidas, restricciones de uso, subcontratación y destino de la información al término de los servicios.
El Reglamento vigente establece expresamente obligaciones para los tratamientos tecnológicos tercerizados, incluyendo mantener el control sobre los datos, impedir usos no autorizados y garantizar seguridad y eliminación de la información al finalizar el servicio.
15. Flujo transfronterizo
Cuando se utilicen proveedores o infraestructuras ubicados fuera del territorio peruano, ALSUD identificará la existencia de flujos transfronterizos y adoptará las garantías exigibles.
Cuando el país receptor no cuente con un nivel adecuado de protección, se deberán aplicar las garantías establecidas por la normativa, salvo los supuestos exceptuados por ley.
Los flujos transfronterizos deberán ser comunicados al Registro Nacional cuando corresponda.
16. Conservación
ALSUD establecerá períodos de conservación adecuados para cada categoría de datos y banco de datos personales.
Los datos serán conservados durante la vigencia de la relación con el titular y posteriormente durante el período necesario para atender obligaciones legales, contractuales, tributarias, contables, administrativas, de garantía o de defensa frente a reclamaciones.
Una vez que el tratamiento deje de resultar necesario, ALSUD procederá a su eliminación, anonimización o bloqueo conforme a las exigencias legales.
17. Calidad y actualización
ALSUD procurará que los datos personales sometidos a tratamiento sean exactos, completos y actualizados cuando dichas características sean necesarias para la finalidad correspondiente.
Los titulares podrán solicitar la rectificación o actualización cuando identifiquen información incorrecta, incompleta o desactualizada.
18. Confidencialidad
Toda persona que intervenga en el tratamiento de datos personales por cuenta de ALSUD deberá respetar la confidencialidad de la información a la que tenga acceso.
Esta obligación deberá mantenerse incluso después de que finalice la relación laboral, contractual o profesional que permitió dicho acceso.
19. Seguridad de datos personales
ALSUD establecerá medidas de seguridad proporcionales a la naturaleza de la información, los riesgos existentes, las tecnologías utilizadas y las circunstancias del tratamiento.
Estas medidas comprenderán controles organizativos, humanos, físicos y tecnológicos destinados a proteger la confidencialidad, integridad y disponibilidad de la información.
El Reglamento vigente exige expresamente documentar mecanismos de control de acceso, identificación y autenticación, gestión de privilegios, revisiones periódicas y trazabilidad de determinados accesos y operaciones.
20. Documento de Seguridad
ALSUD mantendrá un Documento de Seguridad en materia de datos personales aprobado formalmente y actualizado, conforme a las obligaciones establecidas en el Reglamento.
Este documento deberá contemplar los procedimientos aplicables al control de accesos, gestión de privilegios, ciclo de vida de los datos, sistemas utilizados para el tratamiento y el inventario de datos personales.
El artículo 47 del Reglamento establece expresamente esta obligación y permite tomar como referencia estándares como la NTP-ISO/IEC 27001 vigente.
21. Copias de respaldo y continuidad
Cuando corresponda, ALSUD contará con mecanismos de respaldo, recuperación y continuidad apropiados para los sistemas que procesan datos personales.
La normativa vigente exige controles para la generación de copias de respaldo seguras y la verificación de su integridad, y establece como regla general una frecuencia mínima semanal cuando hayan existido actualizaciones de datos.
22. Gestión de incidentes
ALSUD establecerá procedimientos internos de respuesta a incidentes de seguridad.
Todo incidente deberá ser evaluado y documentado, incluyendo su naturaleza, información afectada, consecuencias y medidas adoptadas.
Los encargados del tratamiento deberán comunicar inmediatamente a ALSUD cualquier incidente del que tomen conocimiento cuando afecte datos tratados por cuenta de la compañía.
Cuando concurran los supuestos previstos por la normativa, ALSUD realizará las notificaciones a la ANPD, al Centro Nacional de Seguridad Digital en los casos correspondientes y/o a los titulares afectados.
23. Registro de bancos de datos
ALSUD identificará todos los bancos de datos personales de los que sea titular y gestionará su inscripción ante el Registro Nacional de Protección de Datos Personales.
Las inscripciones deberán mantenerse actualizadas.
Actualmente, la inscripción de bancos privados es obligatoria, gratuita, virtual y sujeta a aprobación automática y fiscalización posterior.
24. Derechos de los titulares
ALSUD reconoce los derechos de información, acceso, rectificación, actualización, inclusión, cancelación o supresión, oposición y demás derechos establecidos por la normativa vigente.
Asimismo, en los supuestos previstos por el Reglamento, se reconocerá el derecho a la portabilidad de datos personales.
25. Ejercicio de derechos
Las solicitudes podrán presentarse mediante:
Correo electrónico: [CORREO ARCO]
Dirección: Av. Manuel Olguín Nro. 325 Int. 605, Urb. Los Granados, Santiago de Surco, Lima, Perú.
La identidad del titular deberá ser razonablemente acreditada.
En caso de actuar mediante representante, este deberá acreditar la representación correspondiente.
Las solicitudes serán atendidas gratuitamente y dentro de los plazos establecidos por la normativa.
26. Plazos
ALSUD observará como máximo los siguientes plazos generales:
Información: 8 días.
Acceso: 20 días.
Rectificación, cancelación u oposición: 10 días.
La normativa contempla mecanismos de subsanación y, para determinados derechos, ampliaciones justificadas de plazo.
27. Portabilidad
Cuando concurran las condiciones previstas en el Reglamento, el titular podrá solicitar los datos personales que hubiera proporcionado a ALSUD en un formato estructurado, de uso común y lectura mecánica y, cuando resulte técnicamente posible, solicitar su transmisión a otro responsable.
La portabilidad se encuentra regulada actualmente como manifestación del derecho de acceso.
28. Decisiones automatizadas
ALSUD respetará el derecho de los titulares frente a decisiones que puedan producir efectos jurídicos o afectar significativamente a una persona cuando se sustenten en determinados tratamientos automatizados.
Actualmente, ALSUD no utiliza sistemas de decisión exclusivamente automatizada para adoptar decisiones que produzcan efectos jurídicos o afecten significativamente a clientes, proveedores, postulantes o usuarios.
29. Menores de edad
ALSUD no buscará recopilar datos de menores salvo que exista una necesidad legítima y se apliquen las reglas específicas establecidas por la legislación.
Para tratamientos digitales dirigidos a menores de catorce años se aplicará, cuando corresponda, el régimen de consentimiento de quienes ejerzan la patria potestad o tutela; para mayores de catorce y menores de dieciocho años se observarán las condiciones previstas por el Reglamento.
30. Oficial de Datos Personales
ALSUD designará un Oficial de Datos Personales cuando se encuentre comprendida en los supuestos obligatorios establecidos por el Reglamento o cuando voluntariamente considere conveniente hacerlo.
La normativa establece esta obligación, entre otros casos, para organizaciones que realizan tratamiento de grandes volúmenes de datos, que puedan afectar a un gran número de personas o cuyo giro principal involucre datos sensibles.
La ANPD aprobó además en diciembre de 2025 una Directiva específica sobre la designación, independencia y funciones del Oficial de Datos Personales.
31. Capacitación y obligaciones del personal
ALSUD promoverá que los trabajadores y colaboradores que tengan acceso a datos personales conozcan las obligaciones correspondientes a sus funciones.
El acceso a información personal deberá limitarse a quienes lo necesiten para desempeñar sus responsabilidades.
ALSUD podrá establecer procedimientos de capacitación, compromisos de confidencialidad, asignación de perfiles de acceso y revisiones periódicas.
32. Evaluación de proveedores
Antes de entregar información personal a proveedores que la procesen por cuenta de ALSUD, la compañía podrá evaluar sus condiciones de seguridad, privacidad, ubicación de servidores, subcontratistas y procedimientos de gestión de incidentes.
Los contratos deberán establecer obligaciones compatibles con la Ley, su Reglamento y esta Política.
33. Evaluaciones de impacto
ALSUD podrá realizar evaluaciones de impacto sobre la privacidad antes de implementar operaciones que, por su naturaleza, alcance, contexto, tecnología utilizada o volumen de información, puedan generar riesgos significativos para los titulares.
El nuevo Reglamento incorpora expresamente la evaluación de impacto como mecanismo preventivo dentro del marco peruano de protección de datos.
34. Supervisión y cumplimiento
ALSUD podrá efectuar revisiones periódicas de sus sistemas, procedimientos, bancos de datos, proveedores, medidas de seguridad y documentos relacionados con protección de datos personales.
Cuando se identifiquen deficiencias se adoptarán las acciones correctivas correspondientes.
35. Reclamaciones ante la autoridad
Cuando el titular considere que su solicitud no ha sido atendida adecuadamente, podrá acudir a la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos, de conformidad con la normativa vigente.
La propia ANPD señala que antes de presentar una reclamación ante la autoridad debe solicitarse el ejercicio del derecho correspondiente al responsable de los datos.
36. Actualización de la Política
ALSUD podrá revisar y modificar esta Política debido a cambios en la legislación, criterios de las autoridades, modificaciones de procesos, incorporación de nuevos servicios, nuevas tecnologías o cambios en las operaciones de la compañía.
Las modificaciones serán comunicadas por los medios que correspondan y la versión vigente estará disponible a través de los canales corporativos de ALSUD.