Cumplimiento de Apps en AL: Guía del ISV para Vender en 5 Países

Esta guía recorre los cinco mercados más grandes de América Latina y construye la matriz de cumplimiento que todo ISV (Independent Software Vendor, empresa de software que vende su producto a otras empresas) necesita resolver antes de vender: protección de datos, facturación electrónica, entidad local y certificaciones en Brasil, México, Argentina, Colombia y Chile.

Prerrequisitos: lo que el ISV necesita tener antes de empezar

La estructura de cumplimiento de una aplicación en América Latina no empieza desde cero. Tres bases necesitan estar definidas antes de cualquier paso regulatorio.

La primera base es contractual. El ISV necesita Términos de Servicio y una Política de Privacidad que cubran el tratamiento de datos personales de titulares brasileños, mexicanos, argentinos, colombianos y chilenos. No basta con traducir el documento del inglés. Cada país exige información específica: la finalidad del tratamiento, la base legal, el uso compartido con terceros, el plazo de retención y el canal de contacto del encargado de protección de datos.

La segunda base es técnica. La aplicación necesita tener capacidad de aplicar controles de acceso por perfil, mantener registros de auditoría de todas las operaciones con datos personales, y soportar la exportación y eliminación selectiva de datos de un titular. Sin esto, responder a una solicitud de acceso en el plazo de 15 días corridos que exige la LGPD en Brasil es inviable.

La tercera base es fiscal. El ISV necesita decidir si va a operar con entidad local propia en cada país o si va a usar un intermediario que emita factura en moneda local y retenga los tributos en la fuente. Esa decisión define el cronograma completo de cumplimiento.

Paso 1: estructurar la protección de datos en cada país

La protección de datos personales es el requisito con mayor alcance transversal. Ninguno de los cinco países exige que el servidor esté dentro del territorio nacional, pero todos imponen condiciones para la transferencia internacional de datos.

Brasil: LGPD (Ley 13.709/2018)

La Ley General de Protección de Datos brasileña tiene alcance extraterritorial expreso. El artículo 3 de la LGPD establece que la ley se aplica a cualquier operación de tratamiento que ocurra en el territorio nacional, que tenga por objetivo la oferta de bienes o servicios a personas en Brasil, o cuyos datos hayan sido recolectados en el país. Un ISV que vende SaaS a empresas brasileñas está sujeto a la LGPD incluso sin tener oficina en São Paulo.

Cuatro obligaciones merecen atención inmediata del ISV.

Designación de encargado. El artículo 41 de la LGPD exige que todo controlador designe un Encargado de Protección de Datos (DPO) y divulgue públicamente su identidad y canal de contacto. La Resolución CD/ANPD 2/2022 simplifica el requisito para pequeñas empresas, pero la obligación de mantener un canal accesible al titular y a la ANPD permanece.

Registro de las operaciones de tratamiento. El artículo 37 exige que controladores y operadores mantengan registros documentados de cada actividad de tratamiento: categorías de datos, finalidades, bases legales, destinatarios y plazos de retención. La ANPD puede solicitar estos registros en cualquier momento.

Cláusulas contractuales para transferencia internacional. La Resolución CD/ANPD 19/2024 estableció las cláusulas estándar para transferencias internacionales de datos. Un ISV que procesa datos de usuarios brasileños en servidores fuera de Brasil necesita incorporar estas cláusulas al contrato con el cliente y con los suboperadores (proveedores de nube, herramientas de analítica, plataformas de soporte).

Notificación de incidentes. La Resolución CD/ANPD 4/2023 fijó el plazo de 2 días hábiles para comunicar a la ANPD incidentes de seguridad que puedan causar riesgo relevante a los titulares. El reloj comienza en el momento en que el controlador toma conocimiento del incidente, no en la fecha de la violación.

El análisis regulatorio para México, Argentina, Colombia y Chile está basado en investigación pública y no sustituye el asesoramiento jurídico local. Consulte al Distribution Counsel para verificación independiente de los regímenes antes de tomar decisiones contractuales o fiscales.

México: LFPDPPP 2025

México aprobó en marzo de 2025 una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que sustituyó a la ley de 2010 y disolvió el INAI, transfiriendo la supervisión a la Secretaría Anticorrupción y Buen Gobierno.

El ISV necesita tres cosas en México.

Aviso de privacidad en español. El aviso de privacidad mexicano es el documento central de la relación con el titular. Debe describir las finalidades del tratamiento, distinguir qué actividades dependen de consentimiento y cuáles son facultativas, e informar los derechos ARCO (acceso, rectificación, cancelación, oposición). El plazo de respuesta para solicitudes ARCO es de 20 días hábiles.

Consentimiento para datos sensibles. Los datos sensibles exigen consentimiento expreso y por escrito, con firma autógrafa o electrónica. El estándar de consentimiento se endureció con la ley de 2025: el consentimiento obtenido mediante prácticas engañosas, casillas preseleccionadas o autorizaciones agregadas es inválido.

Transferencias internacionales basadas en consentimiento. El régimen mexicano no cuenta con un mecanismo de decisión de adecuación o cláusulas estándar como el brasileño. La transferencia internacional opera bajo el modelo de consentimiento previo del titular. El ISV necesita obtener ese consentimiento de forma específica y documentada.

Argentina: Ley 25.326

Argentina opera con la Ley de Protección de Datos Personales 25.326, de 2000, que la Comisión Europea reconoció como de nivel adecuado de protección. Tres proyectos de reforma tramitan en el Congreso en 2026 (S-0644/2025, 1948-D-2025 y 0904-D-2025), pero ninguno fue sancionado hasta julio de 2026.

Tres obligaciones prácticas para el ISV.

Registro de bases de datos en la AAIP. Toda base de datos personales debe registrarse en la Agencia de Acceso a la Información Pública, con renovación anual. El costo estimado por base es de USD 50 a 200.

Consentimiento expreso y documentable. La recolección de datos exige consentimiento informado, expreso y revocable, con trazabilidad de auditoría. Casillas no preseleccionadas, texto claro y registro del momento y la forma del consentimiento son requisitos de implementación técnica.

Acuerdo con suboperadores. Todo proveedor que reciba datos personales (AWS, Stripe, herramientas de email marketing) necesita un Data Processing Agreement que fije los límites del tratamiento. Sin DPA, el ISV responde solo por cualquier filtración del suboperador.

Colombia: Ley 1581 de 2012

Colombia regula la protección de datos personales mediante la Ley Estatutaria 1581 de 2012, complementada por los Decretos 1377 de 2013 y 886 de 2014. La Superintendencia de Industria y Comercio (SIC) es la autoridad de fiscalización.

El ISV necesita cuatro elementos en Colombia.

Política de privacidad y aviso. Toda empresa que trate datos personales en Colombia debe mantener una política de privacidad accesible al titular y un procedimiento interno para responder consultas y reclamos.

Registro en el Registro Nacional de Bases de Datos. Las empresas con activos superiores a 100.000 UVT (aproximadamente USD 1,3 millones) deben registrar las bases de datos en el RNBD y renovar el registro anualmente entre el 2 de enero y el 31 de marzo.

Cláusulas contractuales modelo para transferencias internacionales. La SIC publicó en diciembre de 2025 la Circular Externa 003/2025, que introduce cláusulas contractuales modelo para transferencias y transmisiones internacionales de datos. Su uso es facultativo, pero la adhesión vuelve las obligaciones vinculantes.

Acuerdo con encargados. El ISV que contrate procesadores de datos en Colombia debe firmar contratos específicos que definan las obligaciones de seguridad, confidencialidad y limitación de finalidad.

Chile: Ley 21.719 (vigencia el 1 de diciembre de 2026)

Chile aprobó en diciembre de 2024 una nueva ley de protección de datos, la Ley 21.719, que sustituye a la Ley 19.628 de 1999 y crea la Agencia de Protección de Datos Personales. La vigencia plena comienza el 1 de diciembre de 2026.

El período de transición de 24 meses termina este año. Para un ISV que planea vender en Chile en 2026, el momento de prepararse es ahora. Cinco puntos merecen atención.

Evaluación de impacto. La ley exige una Evaluación de Impacto en la Protección de Datos Personales (DPIA) siempre que el tratamiento presente alto riesgo para los derechos de los titulares. Esto incluye procesamiento a gran escala de datos sensibles, elaboración de perfiles y decisiones automatizadas.

Notificación de violaciones. Los incidentes de seguridad que representen un riesgo para los derechos de los titulares deben reportarse a la Agencia sin de[mor](/es/blog/merchant-of-record-brasil-guia-completo-saas)a injustificada, con registro descriptivo de la naturaleza de la violación.

Portabilidad de datos. El titular tiene derecho a recibir una copia de los datos en formato electrónico estructurado y a transferirlos a otro controlador.

Medidas de seguridad. El controlador debe adoptar medidas técnicas y organizativas apropiadas al riesgo, considerando el estado de la técnica y los costos de aplicación.

Sanciones. Multas de hasta 20.000 UTM (aproximadamente USD 1,5 millones) para infracciones gravísimas, pudiendo alcanzar el 2% o el 4% de los ingresos anuales en ventas y servicios en Chile para infracciones reiteradas.

Paso 2: resolver la conformidad fiscal y la facturación electrónica

Cada país de América Latina tiene su propio sistema de facturación electrónica con validación en tiempo real por la autoridad fiscal. El ISV no emite una factura tradicional: genera un documento digital firmado, lo transmite al fisco, recibe una autorización y solo entonces lo entrega al cliente.

Brasil: NF-e y NFS-e

Brasil opera dos sistemas de facturación electrónica. La Nota Fiscal Eletrônica (NF-e) cubre bienes y operaciones interestatales. La Nota Fiscal de Serviços Eletrônica (NFS-e) cubre servicios, incluido SaaS. Cada municipio tiene reglas propias de ISS, lo que crea más de 5.000 regímenes potenciales.

El ISV que vende SaaS a empresas brasileñas necesita emitir NFS-e con retención de los tributos en la fuente: ISS (2% a 5%, según el municipio), PIS (1,65%) y COFINS (7,6%) en el régimen no acumulativo. Una distinción fiscal relevante para el ISV: la CIDE (10%) incide sobre SaaS y servicios técnicos. La exención del §1°-A, art. 2 de la Ley 10.168/2000 se aplica exclusivamente a licencias puras de software sin transferencia de tecnología, una categoría distinta de SaaS. A partir de la Reforma Tributaria (LC 214/2025), PIS y COFINS se extinguen en 2027 y son sustituidos por la CBS. El ISS será sustituido gradualmente por el IBS entre 2029 y 2032, con extinción total en 2033. El ISV que opera a través de Nexforce Marketplace recibe una factura nacional de Nexforce en reales, sin necesidad de registrarse como emisor de NFS-e.

México: CFDI 4.0

El Comprobante Fiscal Digital por Internet (CFDI) es obligatorio para todas las transacciones. Desde enero de 2026, la Reforma Tributaria mexicana exige que los CFDI reflejen operaciones reales y verdaderas, bajo pena de presunción de falsedad. El SAT puede verificar la realidad de la transacción y, si considera el CFDI falso, publicar el nombre del emisor en el Diario Oficial.

A partir de mayo de 2026, las plataformas tecnológicas que operan en México deben permitir acceso online permanente del SAT a la información fiscal y operativa, organización por transacción individual, disponibilidad en hasta un día hábil después de la operación y archivo por cinco años.

El ISV sin entidad local en México necesita un representante fiscal o un intermediario habilitado para emitir CFDI con validación ante el SAT.

Argentina: Factura Electrónica ARCA

Argentina opera el sistema de facturación electrónica mediante el WebService wsfev1 de ARCA (ex AFIP), conforme a la Resolución General 4.291. A partir de septiembre de 2026, el campo CondicionIVAReceptorId se vuelve obligatorio para todas las facturas, y ya no será posible emitir comprobantes sin informar la condición de IVA del receptor.

El ISV necesita CUIT (Clave Única de Identificación Tributaria) y certificado digital para emitir facturas electrónicas argentinas. Sin entidad local, el camino es un intermediario fiscal autorizado.

Colombia: Factura Electrónica DIAN

La DIAN exige la Factura Electrónica de Venta con validación previa en tiempo real, conforme a la Resolución 00165 de 2023 (versión 1.9 del Anexo Técnico). Cada factura debe contener el CUFE (Código Único de Facturación Electrónica), generado tras validación por la DIAN, y código QR.

Para ser emisor, el ISV necesita NIT colombiano, certificado de firma digital y habilitación en el ambiente de pruebas de la DIAN con envío de 2 facturas, 1 nota débito y 1 nota crédito. El ISV sin entidad local necesita un Proveedor Tecnológico autorizado por la DIAN o un intermediario que emita en su nombre.

Chile: DTE SII

El Documento Tributario Electrónico chileno es un sistema de liquidación: cada factura se envía al SII, se valida contra el esquema XML y recibe un Timbre Electrónico SII (TED) que funciona como sello fiscal. El formato es único, con un máximo de 60 líneas de ítems por documento.

El ISV necesita RUT (Rol Único Tributario) chileno, certificado digital adquirido de un proveedor acreditado por el SII, y certificación de software en el ambiente Set de Pruebas del SII. La alícuota de IVA es del 19%. El ISV extranjero sin establecimiento permanente puede registrarse en el portal simplificado del SII para servicios digitales, pero necesita un representante legal en Chile para interactuar con el fisco.

Paso 3: decidir entre entidad local y plataforma de distribución

La decisión sobre entidad local es la más estructurante del cronograma de cumplimiento. Abrir una sucursal o subsidiaria en cada uno de los cinco países cuesta, entre honorarios contables, jurídicos y registros fiscales, entre USD 15.000 y 50.000 por país en el primer año, más costos recurrentes de mantenimiento contable y fiscal.

Nexforce Marketplace elimina la necesidad de entidad local en los cinco países. El ISV que distribuye su SaaS a través del Marketplace recibe los pagos en reales (BRL) en Brasil, sin necesidad de CUIT argentino, RUT chileno, NIT colombiano, RFC mexicano o CNPJ brasileño propio para facturación. Nexforce emite la factura nacional en moneda local para el cliente final, retiene los tributos en la fuente y gestiona la conformidad fiscal de cada país.

Lo que el Marketplace no cubre: protección de datos, términos de uso localizados y certificaciones de seguridad. Estos requisitos son responsabilidad del ISV, independientemente del canal de distribución.

Paso 4: implementar certificaciones de seguridad y cumplimiento

Los clientes empresariales latinoamericanos están incorporando requisitos de seguridad en los procesos de contratación de software. Un ISV que no puede responder a un cuestionario de seguridad pierde contratos antes de empezar a negociar precio.

Tres certificaciones son relevantes en la región.

ISO 27001. Es la certificación más reconocida. La DIAN colombiana exige ISO 27001 o el compromiso de obtenerla en un plazo de 18 meses para proveedores tecnológicos habilitados. Los clientes brasileños de mediano y gran porte la incluyen como criterio eliminatorio en licitaciones de software.

SOC 2. Las empresas que venden al sector financiero brasileño y mexicano enfrentan la exigencia de un informe SOC 2 Tipo II, especialmente cuando procesan datos financieros o información de tarjetas de crédito.

LGPD readiness. La ANPD brasileña considera, en el cálculo de multas, la existencia de un programa de cumplimiento documentado como atenuante (artículo 52, §1, VII). Un programa de LGPD bien estructurado reduce la exposición a multas de hasta BRL 50 millones por infracción.

Verificación: cómo confirmar que el cumplimiento está completo

La tabla siguiente resume los requisitos centrales de cada país, organizados por tipo de cumplimiento. El ISV puede usar esta matriz como lista de verificación de entrada.

Seis preguntas que el ISV debe responder antes de activar el primer cliente en cada país.

1. El aviso de privacidad está publicado en portugués brasileño, español mexicano, español argentino, español colombiano y español chileno, con la información exigida por cada ley local?
2. El canal de contacto del encargado de protección de datos está accesible y alguien monitorea las solicitudes de los titulares?
3. Los contratos con clientes incluyen cláusulas de tratamiento de datos (DPA) y las cláusulas estándar para transferencia internacional donde se exigen?
4. El sistema de facturación emite los documentos fiscales electrónicos en el formato exigido por cada país, con validación en tiempo real por la autoridad local?
5. La empresa tiene representante legal o intermediario autorizado para interactuar con las autoridades fiscales en los países donde no tiene entidad propia?
6. El plan de respuesta a incidentes cubre el plazo de notificación de cada jurisdicción (2 días hábiles en Brasil, reporte inmediato en Chile, plazo razonable en Argentina)?

Errores comunes en la expansión a América Latina

Tres errores se repiten en prácticamente todos los procesos de entrada en la región.

Traducir la política de privacidad del GDPR al portugués y creer que cubre la LGPD. La LGPD tiene 10 bases legales contra 6 del GDPR, exige encargado sin excepción de tamaño e impone un plazo de 15 días corridos para responder al titular. Una política copiada de Europa deja al ISV expuesto desde el primer cliente.

Abrir entidad local en cada país antes de validar el producto. El costo de apertura y mantenimiento de cinco entidades en el primer año supera los USD 75.000 a 250.000. Para [[[[[ISVs](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/es/blog/aws-marketplace-saas-guia-practico-isvs)](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud) con ticket promedio inferior a USD 50.000 por cliente, la estructura no se a[mor](/es/blog/merchant-of-record-brasil-guia-completo-saas)tiza antes del tercer año. Nexforce Marketplace elimina ese costo y permite que el ISV valide el producto antes de decidir si va a establecerse y dónde.

Ignorar las actualizaciones normativas. México publicó la LFPDPPP 2025 en marzo, reformuló la autoridad de protección de datos y aún no ha publicado el reglamento. Colombia emitió cláusulas contractuales modelo en diciembre de 2025. Chile entra en vigencia en diciembre de 2026. La región no es estática. El cumplimiento no es un proyecto con fecha de entrega, es un proceso continuo.

Preguntas frecuentes

El ISV necesita servidor local en cada país? No. Ninguno de los cinco países exige residencia de los datos dentro del territorio nacional. Todos, sin embargo, regulan la transferencia internacional y exigen cláusulas contractuales o consentimiento específico para el envío de datos al exterior.

Qué certificación de seguridad es obligatoria para vender en la región? Ninguna es obligatoria por ley para la venta de SaaS, pero la ISO 27001 es exigida por clientes corporativos brasileños y el SOC 2 es requisito de facto en el sector financiero mexicano y brasileño.

Nexforce Marketplace elimina la necesidad de asesoría jurídica local? No. El Marketplace resuelve la parte fiscal y de entidad local. El ISV todavía necesita asesoría jurídica local para términos de uso, políticas de privacidad y contratos de DPA adaptados a cada jurisdicción.

Cuánto tiempo lleva estructurar el cumplimiento en los cinco países? Entre 4 y 8 meses, dependiendo de la madurez contractual y técnica del ISV. El plazo más largo es la obtención de certificaciones de seguridad, que puede llevar de 6 a 12 meses.

El ISV puede vender a clientes gubernamentales en América Latina? Sí, pero el proceso de licitación pública en cada país exige registro previo en el SICAF (Brasil), registro en CompraNet (México) o su equivalente local, además de las certificaciones de seguridad correspondientes.

Referencias y Lectura Complementaria

• [LGPD en Brasil: guía de importación de software para [[[[[ISVs](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/es/blog/aws-marketplace-saas-guia-practico-isvs)](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](https://nexforce.ai/blog/importacao-software-guia-completo) (lado comprador)
• [Guía de cloud marketplace para [[[[[ISVs](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/es/blog/aws-marketplace-saas-guia-practico-isvs)](/es/blog/aws-marketplace-guia-isvs-es)](/es/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](https://nexforce.ai/blog/cloud-marketplace-isvs) (canal de distribución)
• Ley 13.709/2018 (LGPD Brasil) y Resolución CD/ANPD 19/2024
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México, DOF 20-mar-2025)
• Ley 25.326 (Argentina) y Decreto 1558/2001
• Ley Estatutaria 1581 de 2012 (Colombia)
• Ley 21.719 (Chile, DOF 13-dic-2024, vigencia 1-dic-2026)
• Resolución DIAN 00165 de 2023 (Colombia, factura electrónica)
• Resolución General ARCA 4.291 (Argentina, factura electrónica)
• SII, Documentos Tributarios Electrónicos, Manual de Certificación (Chile)