Acuerdo de Encargo de Tratamiento (DPA)

Este Acuerdo de Encargo de Tratamiento de Datos Personales (el “Acuerdo” o “DPA”) forma parte del contrato de servicio (los “Términos”) entre CK Inteligencia y Automatización SpA, RUT [•], domicilio en La Serena, Chile (el “Encargado” o “CIP”), y la organización cliente identificada en la sección de firmas (el “Responsable” o “Cliente”). Se celebra en el marco de la Ley N° 19.628 y la Ley N° 21.719 sobre Protección de Datos Personales de Chile (la “Ley”).

Este documento es una plantilla firmable. Complete los campos entre corchetes [•], imprímalo o expórtelo a PDF, fírmelo por ambas partes y consérvelo junto a los Términos. Solicite una copia ejecutable a privacidad@ckgroup.cl.

1. Definiciones

Los términos “dato personal”, “dato sensible”, “titular”, “responsable”, “encargado”, “tratamiento” y “vulneración de seguridad” tienen el significado que les da la Ley. “Subencargado” es todo tercero que el Encargado contrata para tratar datos personales por cuenta del Responsable.

2. Objeto y rol de las partes

El Responsable determina las finalidades y medios del tratamiento de los datos operacionales que él o sus usuarios cargan a la plataforma (contratos, equipos, estados de pago, eventos, riesgos, mensajes de ingesta y datos personales de terceros contenidos en ellos, p. ej. nombres de operadores). El Encargado los trata exclusivamente por cuenta y bajo instrucciones documentadas del Responsable, para prestar el servicio. Respecto de los datos de cuenta (correo, nombre y rol de los usuarios) cada parte actúa como responsable de su propio tratamiento según la Política de Privacidad.

3. Detalle del tratamiento

• Naturaleza y finalidad: operar CIP — centralizar, clasificar con IA y dar seguimiento a la información contractual y operacional del Cliente.
• Duración: mientras esté vigente el contrato de servicio.
• Categorías de titulares: usuarios del Cliente, personal y contrapartes referidos en los datos operacionales.
• Categorías de datos: identificación y contacto (nombre, correo, RUT), rol y datos de la actividad contractual. El servicio no está diseñado para datos sensibles; el Cliente se obliga a no cargarlos salvo acuerdo escrito previo.

4. Obligaciones del Encargado

• Tratar los datos solo conforme a las instrucciones documentadas del Responsable (incluidos estos Términos), e informarle si, a su juicio, una instrucción infringe la Ley.
• Garantizar la confidencialidad y que las personas autorizadas a tratar los datos estén obligadas a ella.
• Aplicar y mantener las medidas de seguridad técnicas y organizativas de la cláusula 5.
• Asistir al Responsable para atender los derechos de los titulares (cláusula 6) y sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• Al término del servicio, devolver o eliminar los datos según la cláusula 9.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías conforme a la cláusula 8.

5. Medidas de seguridad

Considerando el estado de la técnica y los riesgos, el Encargado mantiene, entre otras:

• Cifrado en tránsito (TLS/HTTPS) y en reposo de la base de datos.
• Aislamiento multi-inquilino por Row-Level Security: cada organización solo accede a sus datos.
• Autenticación con control de acceso por roles (administrador / gestor / solo lectura) y segundo factor (MFA/TOTP) disponible.
• Registro de auditoría inmutable de las operaciones sobre los datos.
• Respaldos automáticos y capacidad de recuperación.
• Gestión de secretos fuera del código y principio de mínimo privilegio.

6. Derechos de los titulares

El Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de acceso, rectificación, cancelación (supresión), oposición y portabilidad. La plataforma permite al Responsable exportar y eliminar los datos de su organización directamente. Si un titular contacta al Encargado, este lo derivará al Responsable sin resolver por su cuenta, salvo instrucción en contrario.

7. Subencargados

El Responsable autoriza el uso de los subencargados listados, que ofrecen garantías adecuadas de protección. El Encargado les impone obligaciones de protección equivalentes a las de este Acuerdo y responde por su actuación. Informará con antelación razonable cualquier alta o cambio, para que el Responsable pueda objetarlo.

Nota: Anthropic no utiliza el contenido enviado por la API para entrenar sus modelos. El Encargado mantiene la lista vigente de subencargados y la comunica a solicitud.

8. Transferencias internacionales y auditoría

Algunos subencargados tratan datos fuera de Chile. El Encargado adopta garantías contractuales y técnicas adecuadas para dichas transferencias conforme a la Ley. El Responsable podrá auditar el cumplimiento de este Acuerdo mediante solicitud escrita razonable (a lo sumo una vez al año, salvo incidente), o aceptar como evidencia las certificaciones e informes que el Encargado ponga a disposición.

9. Notificación de vulneraciones de seguridad

Ante una vulneración de seguridad que afecte datos personales del Responsable, el Encargado lo notificará sin dilación indebida tras tener conocimiento, con la información disponible (naturaleza, categorías y volumen aproximado afectados, consecuencias probables y medidas adoptadas), y cooperará en la gestión y en las notificaciones que correspondan a la autoridad o a los titulares.

10. Devolución y eliminación

Al terminar el servicio, y a elección del Responsable, el Encargado devolverá o eliminará los datos operacionales y suprimirá las copias existentes, salvo obligación legal de conservación. Sin instrucción en contrario, se eliminarán transcurridos [30] días desde el término.

11. Responsabilidad y varios

La responsabilidad de las partes se rige por los Términos. Este Acuerdo se rige por la ley chilenay las partes se someten a los tribunales de La Serena. En caso de conflicto entre este Acuerdo y los Términos respecto del tratamiento de datos personales, prevalece este Acuerdo.

12. Firmas