Conste por el presente instrumento privado un Acuerdo de Encargo de Tratamiento de Datos Personales (en adelante, el "DPA"), que se celebra entre:
- El Cliente de la Plataforma, quien para estos efectos actúa como "Responsable del Tratamiento" o simplemente el "Responsable", y
- Servicios y Soluciones Tecnológicas Delacruz SpA, sociedad por acciones constituida conforme a las leyes de la República de Chile, con domicilio en Santiago, Chile, en adelante el "Encargado del Tratamiento" o el "Encargado".
El Responsable y el Encargado serán referidos conjuntamente como las "Partes" e individualmente como la "Parte".
El presente DPA se celebra en el marco de la contratación del servicio SaaS de inteligencia artificial Pramatic (en adelante, el "Contrato Principal") y tiene por objeto dar estricto cumplimiento a lo dispuesto en la Ley N° 19.628 sobre Protección de la Vida Privada y la Ley N° 21.719 (Nueva Ley de Protección de Datos Personales de Chile), regulando los términos bajo los cuales el Encargado tratará datos personales por cuenta e instrucción del Responsable.
CLÁUSULAS
PRIMERA: OBJETO, DURACIÓN Y NATURALEZA DEL TRATAMIENTO
1. Objeto: El presente DPA regula el tratamiento de datos personales de terceros que el Responsable pone a disposición del Encargado a través del uso de la Plataforma.
2. Naturaleza y Finalidad del Tratamiento: El Encargado procesará los datos personales contenidos en los documentos cargados por el Responsable (tales como contratos, facturas, correos, reportes) con el único fin de proveer los servicios del Contrato Principal, incluyendo la ingesta de archivos, extracción de información, estructuración de datos, generación de un grafo de conocimiento y habilitación de consultas mediante modelos de inteligencia artificial, propios o de terceros, según la modalidad de despliegue contratada.
3. Tipos de Datos Personales Tratados: Nombres, RUN/RUT, direcciones de correo electrónico, teléfonos, datos transaccionales, firmas, cargos y cualquier otro dato personal de terceros contenido en los archivos y documentos que el Responsable decida subir a la Plataforma.
4. Categorías de Titulares: Clientes, proveedores, empleados, colaboradores o contrapartes comerciales del Responsable.
5. Duración: Este DPA tendrá la misma vigencia que el Contrato Principal, extinguiéndose automáticamente al término de este, sin perjuicio de las obligaciones de retención y supresión de datos aquí pactadas.
SEGUNDA: OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO
El Encargado se compromete formalmente a:
1. Tratamiento bajo Instrucciones: Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, salvo que exista una obligación legal de carácter imperativo bajo la ley chilena que le exija un tratamiento distinto.
2. Confidencialidad: Garantizar que todo el personal autorizado para tratar los datos personales bajo este acuerdo esté sujeto a un deber de confidencialidad estricto, ya sea contractual o estatutario.
3. Medidas de Seguridad: Implementar y mantener las medidas de seguridad técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, incluyendo encriptación en tránsito (TLS) y reposo (AES-256), aislamiento lógico de datos y controles de acceso estrictos.
4. No Entrenamiento con Datos Personales Identificables: Garantizar que los datos personales aportados por el Responsable, mientras conserven su carácter de datos personales identificables, no serán utilizados por el Encargado ni por sus proveedores de IA (sub-encargados) para el entrenamiento, re-entrenamiento o ajuste de modelos de IA propios o de terceros. Lo anterior es sin perjuicio de la facultad del Encargado de generar información agregada y anonimizada de forma irreversible —que deja de constituir dato personal conforme a la Ley N° 21.719— en los términos, con las salvaguardas y con el derecho de exclusión (opt-out) regulados en la cláusula 3.4 y siguientes de los Términos de Servicio y en la sección 4 de la Política de Privacidad.
5. Colaboración con el Responsable: Prestar asistencia razonable al Responsable para que este pueda dar cumplimiento a sus obligaciones de responder a las solicitudes de ejercicio de derechos ARCO-PO por parte de los titulares de los datos.
TERCERA: SUB-ENCARGADOS DEL TRATAMIENTO Y TRANSFERENCIAS INTERNACIONALES
1. Autorización General: El Responsable autoriza de manera general al Encargado a contratar a terceros proveedores de servicios tecnológicos necesarios para la operación de la Plataforma (en adelante, los "Sub-encargados"), incluyendo proveedores de infraestructura en la nube y proveedores de APIs de Inteligencia Artificial ubicados en el extranjero.
2. Lista de Sub-encargados Autorizados: A la fecha de firma de este DPA, los Sub-encargados autorizados por el Responsable son:
- Anthropic, PBC (EE.UU.) — Proveedor de API de modelos de IA (Claude).
- Microsoft Corporation — Azure OpenAI Service (EE.UU.) — API de IA y almacenamiento.
- Voyage AI, Inc. (EE.UU.) — API de embeddings vectoriales.
- Cloudflare, Inc. (EE.UU.) — Red de entrega, seguridad perimetral y túneles de conexión.
En la modalidad de despliegue on-premise, el procesamiento de IA se ejecuta en infraestructura del propio Responsable y no intervienen los sub-encargados de APIs de IA señalados.
3. Notificación de Cambios: El Encargado informará al Responsable sobre cualquier incorporación o sustitución planificada de nuevos Sub-encargados con al menos 15 días de anticipación, otorgando al Responsable la oportunidad de oponerse a dichos cambios.
4. Garantías Contractuales: El Encargado garantizará que se utilicen Cláusulas Contractuales Tipo (CCT) o salvaguardas que aseguren un nivel de protección equivalente al exigido por la Ley N° 21.719 en Chile para toda transferencia internacional.
CUARTA: NOTIFICACIÓN Y GESTIÓN DE BRECHAS DE SEGURIDAD
1. Notificación al Responsable: El Encargado notificará al Responsable cualquier brecha de seguridad que afecte a los datos personales bajo su control de manera inmediata y, en todo caso, en un plazo máximo de 36 a 48 horas desde que tenga conocimiento de dicho evento.
2. Contenido de la Notificación: La notificación incluirá una descripción del incidente, las categorías de datos afectadas, el contacto de seguridad y las medidas adoptadas o propuestas para contener y remediar la brecha.
3. Mitigación y Colaboración: El Encargado adoptará sin demora todas las medidas correctivas necesarias y colaborará estrechamente con el Responsable para que este pueda informar a la Agencia de Protección de Datos Personales (APDP) y a los titulares.
QUINTA: DERECHOS DE LOS TITULARES (ARCO-PO)
1. Redireccionamiento: Si un titular dirige al Encargado una solicitud para ejercer sus derechos ARCO-PO, el Encargado la reenviará al Responsable en un plazo máximo de 3 días hábiles.
2. Asistencia Técnica: El Encargado facilitará al Responsable los medios técnicos necesarios para que este pueda atender y resolver las solicitudes de los titulares dentro de los plazos legales.
SEXTA: AUDITORÍA E INFORMACIÓN
1. Derecho de Información: El Encargado pondrá a disposición del Responsable la información e informes de auditoría independientes (SOC 2, ISO) necesarios para demostrar el cumplimiento de este DPA.
2. Auditoría: El Responsable podrá solicitar la realización de una auditoría de seguridad anual coordinada de mutuo acuerdo y costeada por el Responsable, previo acuerdo de confidencialidad.
SÉPTIMA: DESTINO DE LOS DATOS AL TÉRMINO DEL CONTRATO
1. Supresión o Devolución: Al término de la relación contractual, y transcurrido el plazo de gracia de 30 días corridos, el Encargado procederá, a elección del Responsable, a eliminar de forma permanente e irreversible o a devolver todos los datos personales y documentos del Responsable, destruyendo todas las copias.
2. Excepción Legal: El Encargado podrá conservar copias bloqueadas de los datos únicamente en la medida que sea exigido por la legislación chilena aplicable (fiscal, mercantil) durante el plazo legal obligatorio.
OCTAVA: LEY APLICABLE Y JURISDICCIÓN
Este DPA se rige por las leyes de la República de Chile (Ley N° 19.628, Ley N° 21.719 y Ley N° 19.799). Cualquier controversia se someterá a la jurisdicción de los Tribunales Ordinarios de Santiago, Chile.