Última actualización: septiembre 2026 Base legal: Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento Aplica a: todo sitio web, aplicación o plataforma digital que use servidores, herramientas o servicios ubicados fuera del Perú y que procesen datos de usuarios peruanos.
Tu web está en un hosting de Estados Unidos. Usas Mailchimp para enviar newsletters. Tu pasarela de pago procesa transacciones en servidores de Virginia. Google Analytics manda los datos de tus visitantes a infraestructura de Google en Iowa.
¿Sabías que todo eso es transferencia internacional de datos personales y que la ley peruana te obliga a declararlo?
La mayoría de sitios web peruanos están en esta situación y casi ninguno lo declara. Aquí explicamos qué es el flujo transfronterizo, por qué debes informarlo y cómo hacerlo correctamente.
¿Qué es un flujo transfronterizo de datos personales?
Es la transferencia de datos personales desde el Perú hacia un país extranjero para su almacenamiento, procesamiento o cualquier tipo de tratamiento.
En el contexto digital, ocurre cada vez que un dato personal de un usuario peruano sale del territorio nacional a través de una herramienta, plataforma o servidor ubicado en el exterior.
¿Es diferente a una transferencia nacional?
| Tipo | Qué es | Ejemplo |
|---|---|---|
| Transferencia nacional | Datos se mueven entre dos entidades dentro del Perú | Tu web en un servidor en Lima comparte datos con tu CRM también alojado en Lima |
| Flujo transfronterizo | Datos se mueven del Perú hacia otro país | Tu web recoge datos en Perú pero el hosting está en AWS Virginia (Estados Unidos) |
¿Por qué ocurre en casi todos los sitios web?
La infraestructura del internet moderno está globalizada. La gran mayoría de herramientas que usan los sitios web peruanos procesan datos fuera del país, simplemente porque sus servidores están en Estados Unidos, Europa u otras regiones.
Herramientas comunes que generan flujo transfronterizo
| Categoría | Herramienta | Datos que transfiere | Ubicación típica de servidores |
|---|---|---|---|
| Hosting | AWS, Google Cloud, DigitalOcean, Azure, Cloudflare | Todos los datos almacenados en tu web | Estados Unidos, Europa |
| Email marketing | Mailchimp, Brevo (Sendinblue), ActiveCampaign, ConvertKit | Nombres, emails, datos de suscriptores | Estados Unidos |
| Pasarelas de pago | Stripe, PayPal | Datos de tarjeta, nombre, dirección de facturación | Estados Unidos |
| Analítica web | Google Analytics, Hotjar, Mixpanel | IP, comportamiento de navegación, dispositivo, ubicación | Estados Unidos, Europa |
| Publicidad | Meta Pixel (Facebook), Google Ads, TikTok Pixel, LinkedIn Insight Tag | Datos de navegación, perfilamiento, conversiones | Estados Unidos |
| CRM | HubSpot, Salesforce, Pipedrive, Zoho | Datos de clientes, leads, historial de interacciones | Estados Unidos, India |
| Formularios | Typeform, JotForm, Google Forms | Datos ingresados por el usuario | Estados Unidos, Europa |
| Chat y soporte | Zendesk, Intercom, Tawk.to, Crisp | Conversaciones, datos del visitante | Estados Unidos, Europa |
| Almacenamiento | Google Drive, Dropbox, OneDrive | Documentos con datos personales | Estados Unidos |
| Videoconferencia | Zoom, Google Meet, Microsoft Teams | Grabaciones, datos de participantes | Estados Unidos |
| Agendamiento | Calendly, Cal.com | Nombre, email, teléfono, horarios | Estados Unidos |
| E-commerce | Shopify | Todo el contenido de la tienda, datos de clientes y pedidos | Canadá, Estados Unidos |
| WordPress plugins | WooCommerce con extensiones cloud, plugins de backup en la nube | Variable según el plugin | Variable |
Si usas al menos una herramienta de esta lista — y casi seguro usas varias — estás realizando flujo transfronterizo de datos.
¿Es legal transferir datos fuera del Perú?
Sí, es completamente legal. La Ley 29733 no prohíbe el flujo transfronterizo de datos. Lo que exige es que se cumplan ciertas condiciones.
Condiciones para que la transferencia sea lícita
| Condición | Detalle |
|---|---|
| Declarar la transferencia | Informar al usuario en la Política de Privacidad que sus datos serán transferidos fuera del Perú |
| Identificar los destinatarios | Nombrar a los terceros que recibirán los datos y su ubicación |
| Informar la finalidad | Explicar para qué cada tercero recibe los datos |
| Garantizar protección adecuada | Asegurar que el país de destino o el tercero receptor ofrezca un nivel de protección equivalente al peruano |
| Consentimiento del titular | El consentimiento informado del usuario debe cubrir la transferencia internacional |
¿Qué significa «nivel de protección adecuado»?
La Ley 29733 exige que los datos transferidos al exterior reciban protección equivalente a la peruana. Esto se puede garantizar mediante:
| Mecanismo | Cómo funciona |
|---|---|
| País con legislación adecuada | El país de destino tiene una ley de protección de datos equiparable a la peruana (la ANPD no ha publicado una lista formal de países adecuados, a diferencia de la UE) |
| Cláusulas contractuales | El contrato con el proveedor extranjero incluye compromisos de protección de datos (Data Processing Agreement o DPA) |
| Políticas corporativas vinculantes | Para grupos empresariales multinacionales con normas internas de protección |
| Consentimiento expreso del titular | El usuario consintió expresamente la transferencia sabiendo que sus datos irán al exterior |
En la práctica, la mayoría de proveedores tecnológicos grandes (AWS, Google, Microsoft, Mailchimp, Stripe) ofrecen cláusulas contractuales de protección de datos (DPA) como parte de sus términos de servicio. Lo que muchas empresas peruanas no hacen es declararlo en su Política de Privacidad.
Cómo declarar el flujo transfronterizo en tu Política de Privacidad
Tu Política de Privacidad debe incluir una sección específica sobre transferencia internacional de datos. Aquí tienes la estructura y un modelo:
Información mínima que debe contener
| Dato | Qué declarar |
|---|---|
| Que existe transferencia internacional | Declaración expresa de que los datos se transfieren fuera del Perú |
| Países de destino | En qué países se procesan los datos (generalmente Estados Unidos) |
| Identidad de los terceros | Quiénes son los proveedores que reciben los datos |
| Finalidad de cada transferencia | Para qué cada proveedor procesa los datos |
| Garantías de protección | Qué mecanismo protege los datos en el exterior (DPA, cláusulas contractuales) |
Modelo de sección para tu Política de Privacidad
TRANSFERENCIA INTERNACIONAL DE DATOS PERSONALES
Para la operación de nuestra plataforma, utilizamos servicios
de terceros cuyos servidores se encuentran ubicados fuera del
territorio peruano. Esto implica que sus datos personales
pueden ser transferidos y procesados en los siguientes países:
| Proveedor | Servicio | País | Finalidad |
|-----------|----------|------|-----------|
| Amazon Web Services (AWS) | Hosting | Estados Unidos | Almacenamiento y procesamiento de todos los datos de la plataforma |
| Mailchimp (Intuit) | Email marketing | Estados Unidos | Envío de newsletters y comunicaciones comerciales |
| Stripe | Pasarela de pago | Estados Unidos | Procesamiento de pagos con tarjeta |
| Google LLC | Analytics | Estados Unidos | Medición de tráfico web y comportamiento de navegación |
| Meta Platforms | Publicidad | Estados Unidos | Medición de conversiones publicitarias |
Estas transferencias se realizan bajo las siguientes garantías:
- Contratos de procesamiento de datos (Data Processing Agreements)
suscritos con cada proveedor.
- Los proveedores mencionados cuentan con políticas de seguridad
y privacidad que ofrecen un nivel de protección adecuado para
sus datos personales.
Al aceptar nuestra Política de Privacidad, usted consiente
expresamente la transferencia internacional de sus datos
personales en los términos aquí descritos.
Adapta este modelo con tus proveedores reales. No copies una lista genérica — debe reflejar las herramientas que efectivamente usas.
Cómo auditar tu propio flujo transfronterizo
Muchas empresas no saben exactamente qué herramientas están transfiriendo datos al exterior. Este proceso te ayuda a identificarlas:
Paso 1: Inventariar tus herramientas
| Pregunta | Dónde buscar |
|---|---|
| ¿Dónde está alojada mi web? | Panel de control de hosting (cPanel, Plesk) o contrato con el proveedor |
| ¿Qué scripts de terceros carga mi web? | Herramientas de desarrollador del navegador (DevTools → Network / Sources) |
| ¿Qué plugins de WordPress tengo activos? | Panel de WordPress → Plugins |
| ¿Qué herramientas de marketing uso? | Listar todas: email, analytics, ads, CRM, chat |
| ¿Qué pasarelas de pago tengo integradas? | Configuración de WooCommerce o tu plataforma de e-commerce |
| ¿Dónde almaceno documentos con datos de clientes? | Google Drive, Dropbox, disco local, ERP en la nube |
| ¿Uso herramientas de videoconferencia o agendamiento? | Zoom, Calendly, etc. |
Paso 2: Identificar ubicación de servidores
Para cada herramienta, verifica dónde están sus servidores:
| Método | Cómo hacerlo |
|---|---|
| Términos de servicio del proveedor | La mayoría indica en sus TOS o Privacy Policy dónde procesan datos |
| Data Processing Agreement (DPA) | El DPA del proveedor especifica las regiones de procesamiento |
| Contacto con soporte | Pregunta directamente al proveedor dónde se almacenan tus datos |
| Documentación técnica | AWS, Google Cloud y Azure permiten elegir región — verifica cuál seleccionaste |
Paso 3: Documentar y declarar
| Acción | Detalle |
|---|---|
| Crear una tabla interna con todos los flujos | Proveedor, tipo de dato, país, finalidad, evidencia de DPA |
| Actualizar la Política de Privacidad | Incluir la sección de transferencia internacional con los datos reales |
| Verificar DPA con cada proveedor | Descargar y conservar copia del Data Processing Agreement |
| Actualizar el registro del banco de datos | Si tu registro ante la ANPD no declara transferencia internacional, actualízalo |
El caso especial de hosting nacional vs. internacional
¿Usar hosting peruano elimina el flujo transfronterizo?
Solo parcialmente. Si alojas tu web en un servidor físicamente en Perú, los datos almacenados no cruzan fronteras por el hosting. Pero si tu web usa Google Analytics, Mailchimp o cualquier otra herramienta en la nube, esos datos sí salen del país.
| Configuración | ¿Hay flujo transfronterizo? |
|---|---|
| Hosting en Perú + sin herramientas externas | No |
| Hosting en Perú + Google Analytics | Sí — los datos de analytics salen del país |
| Hosting en Perú + Mailchimp | Sí — los datos de suscriptores salen del país |
| Hosting en AWS (EEUU) + cualquier herramienta | Sí — todo sale del país |
| Hosting en Perú + Matomo self-hosted + pasarela peruana | Posiblemente no — depende de la configuración exacta |
¿Existe hosting peruano confiable?
Sí. Hay proveedores de hosting con servidores en Perú. Sin embargo, la decisión no debe basarse solo en evitar el flujo transfronterizo (que es legal y declarable), sino en factores como rendimiento, seguridad, soporte y escalabilidad. Para la mayoría de negocios, usar hosting internacional con la declaración correcta en la Política de Privacidad es perfectamente aceptable y legal.
¿Qué pasa si no declaras el flujo transfronterizo?
| Consecuencia | Detalle |
|---|---|
| El consentimiento puede ser inválido | Si el usuario no sabía que sus datos saldrían del país, su consentimiento no fue informado — y un consentimiento no informado no cumple la Ley 29733 |
| Infracción administrativa | La ANPD puede sancionar por tratamiento sin consentimiento válido (infracción grave: 5-50 UIT = S/ 27,500 — S/ 275,000) o por transferencia sin garantías (grave a muy grave: hasta 100 UIT = S/ 550,000) |
| Vulnerabilidad en disputas | Si un usuario reclama por el tratamiento de sus datos, la falta de declaración debilita tu posición defensiva |
¿La ANPD está fiscalizando activamente el flujo transfronterizo?
Hasta ahora, la ANPD ha enfocado su fiscalización en infracciones más visibles: bancos de datos no registrados, consentimientos inválidos, filtraciones. El flujo transfronterizo no declarado es una infracción masiva pero poco fiscalizada aún.
Sin embargo, conforme madura la regulación y la ANPD aumenta su capacidad operativa, este rubro será cada vez más fiscalizado. Declararlo ahora te pone adelante de la curva y elimina un riesgo que puedes resolver con un par de párrafos en tu Política de Privacidad.
Preguntas frecuentes
¿Si mi hosting tiene CDN global (Cloudflare), los datos se replican en varios países?
Sí. Un CDN distribuye copias del contenido en servidores alrededor del mundo para mejorar la velocidad. Si tu web tiene datos personales accesibles públicamente o si Cloudflare procesa datos de tus visitantes (lo cual hace), hay flujo transfronterizo hacia múltiples países. Declara que usas CDN con distribución global.
¿Google Analytics 4 transfiere datos fuera del Perú?
Sí. Aunque GA4 ofrece más controles de privacidad que Universal Analytics, los datos se procesan en infraestructura de Google ubicada principalmente en Estados Unidos. Esto es flujo transfronterizo que debes declarar.
¿Las pasarelas de pago peruanas (Culqi, Niubiz) generan flujo transfronterizo?
Si la pasarela procesa datos en servidores dentro del Perú, no hay flujo transfronterizo por ese concepto. Verifica con cada proveedor dónde están sus servidores. Algunas pasarelas peruanas usan infraestructura cloud internacional como respaldo.
¿Necesito un contrato específico con cada proveedor extranjero?
Lo ideal es tener un Data Processing Agreement (DPA) con cada proveedor que procese datos de tus usuarios. La mayoría de proveedores grandes lo ofrecen como parte de sus términos de servicio o como documento descargable. Revisa si ya lo tienes aceptado como parte del contrato existente.
¿Si uso WordPress con plugins, cada plugin puede generar flujo transfronterizo?
Sí. Cada plugin que se conecta a un servicio externo (analytics, email, seguridad, backup en la nube, formularios) puede estar transfiriendo datos fuera del Perú. Audita cada plugin activo y verifica si envía datos a servidores externos.
¿Puedo negarme a transferir datos al exterior y usar solo herramientas peruanas?
Técnicamente sí, pero en la práctica es muy difícil. La oferta de herramientas de marketing, analytics, email y hosting 100% peruanas es limitada. La alternativa realista es usar las herramientas internacionales que necesites, declarar correctamente la transferencia y asegurar las garantías de protección.
Referencias legales
- Ley N° 29733 — Ley de Protección de Datos Personales. Regula las condiciones para la transferencia internacional de datos personales.
- Reglamento de la Ley 29733 — Detalla los requisitos del flujo transfronterizo y las garantías de protección exigidas.
- Autoridad Nacional de Protección de Datos Personales (ANPD) — Organismo fiscalizador del cumplimiento.
- Decreto Supremo N° 301-2025-EF — Fija el valor de la UIT 2026 en S/ 5,500.
Este artículo es informativo y no constituye asesoría legal. Para auditar tu flujo transfronterizo de datos y actualizar tu Política de Privacidad, consulta con un abogado especializado en protección de datos personales.
Deja una respuesta