Contrato de Encargo de Tratamiento (DPA)

El Cliente, en calidad de Responsable del Tratamiento, encomienda a RCI SOFTWARE SpA, RUT 78.449.503-5, en calidad de Encargado del Tratamiento, el tratamiento de datos personales conforme a las obligaciones de encargo de tratamiento de la Ley de Protección de Datos Personales. Este Contrato de Encargo de Tratamiento (DPA) establece las obligaciones de ambas partes respecto del tratamiento de datos personales realizado en la prestación del servicio datOK. Duración: Mientras la suscripción del Cliente se encuentre activa, más el período de retención post-terminación establecido en este contrato. Finalidad: Prestar el servicio datOK de gestión de cumplimiento normativo en protección de datos personales. Categorías de titulares: • Clientes del Cliente (consumidores, usuarios finales) • Empleados y colaboradores del Cliente • Proveedores y contratistas del Cliente Categorías de datos personales: • Datos identificativos y de contacto (Nombre, RUT, email) • Datos profesionales y económicos • Datos sensibles y de menores, solo si el Cliente configura expresamente el tratamiento, bajo su exclusiva responsabilidad de obtener consentimientos válidos y autorizaciones parentales.

El Encargado tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable. Para efectos de este contrato, la configuración de la plataforma datOK realizada por el Responsable constituye su instrucción documentada principal. Todas las configuraciones y cambios realizados en la plataforma quedan registrados en el sistema, incluyendo en el registro de auditoría (instruction_log), como evidencia de dichas instrucciones. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará al Responsable.

El Encargado tiene estrictamente prohibido utilizar los datos personales encomendados para sus propios fines, incluyendo fines comerciales, publicitarios o de análisis de mercado ajenos a la prestación del servicio datOK. Asimismo, se prohíbe la cesión o comunicación de los datos a terceros sin la autorización específica del Responsable. En caso de que el Encargado utilice los datos para fines propios o los ceda en contravención a este contrato, será considerado legalmente como Responsable del tratamiento y responderá solidariamente por las infracciones cometidas.

El Encargado y todas las personas autorizadas para tratar los datos personales bajo su dependencia están sujetos a un estricto deber de secreto y confidencialidad. Esta obligación de confidencialidad subsistirá de forma indefinida, incluso después de la terminación de este contrato y de la prestación del servicio, conforme a las obligaciones de confidencialidad de la Ley de Protección de Datos Personales.

El Encargado implementará y mantendrá las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, conforme a las exigencias de seguridad de la normativa aplicable. Las medidas de seguridad detalladas implementadas por el Encargado se encuentran disponibles y actualizadas permanentemente en datok.cl/legal/seguridad. Estas medidas incluyen, pero no se limitan a, cifrado en tránsito y reposo, control de acceso basado en roles, y auditorías periódicas.

El Responsable autoriza al Encargado a recurrir a sub-encargados de tratamiento para la prestación del servicio. La lista oficial y actualizada de sub-encargados se encuentra disponible en datok.cl/legal/sub-encargados. Para la incorporación de cualquier nuevo sub-encargado, el Encargado requerirá la autorización específica del Responsable a través de la plataforma, la cual quedará registrada en el sistema (mediante autorizaciones de sub-encargados). El Encargado celebrará con cada sub-encargado un contrato que imponga las mismas obligaciones de protección de datos establecidas en este DPA, manteniendo en todo momento su plena responsabilidad frente al Responsable.

En caso de producirse una vulneración de las medidas de seguridad (brecha de datos) que afecte a los datos personales tratados por encargo, el Encargado lo notificará al Responsable sin dilaciones indebidas desde que tenga conocimiento de la misma. La notificación incluirá, como mínimo: • La naturaleza de la vulneración. • Las categorías y el número aproximado de titulares de datos y de registros afectados. • Las posibles consecuencias de la vulneración. • Las medidas adoptadas o propuestas para remediarla y mitigar sus efectos. • Los datos de contacto del Delegado de Protección de Datos u otro punto de contacto del Encargado.

El Encargado asistirá al Responsable en el cumplimiento de sus obligaciones legales, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento y la información a su disposición. Esta asistencia incluye: • Facilitar la respuesta a las solicitudes de ejercicio de derechos de los titulares (acceso, rectificación, supresión, oposición, portabilidad, bloqueo). • Colaborar en la realización de Evaluaciones de Impacto en la Protección de Datos (EIPD). • Atender y cooperar en las inspecciones que realice la autoridad fiscalizadora al Responsable.

Cualquier transferencia internacional de datos personales realizada por el Encargado o sus sub-encargados se efectuará únicamente hacia países u organizaciones internacionales que proporcionen niveles adecuados de protección, o mediante la adopción de garantías apropiadas, conforme a la normativa sobre transferencias internacionales. Los detalles sobre las transferencias internacionales, los países de destino y las bases legales aplicadas se encuentran documentados en datok.cl/legal/privacidad#transferencias.

Una vez finalizada la prestación de los servicios de tratamiento, el Encargado procederá, a elección del Responsable, a la devolución (exportación) y posterior supresión de todos los datos personales en un plazo máximo de 30 días corridos. La supresión incluirá todas las copias y respaldos existentes, los cuales serán eliminados mediante los procesos de rotación habituales del Encargado. Finalizado este proceso, el Encargado emitirá un certificado sellado criptográficamente acreditando la destrucción definitiva de los datos personales.

El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este contrato y en la normativa aplicable a encargados de tratamiento. Asimismo, el Encargado permitirá y contribuirá a la realización de auditorías razonables e inspecciones por parte del Responsable o de otro auditor autorizado por este, siempre que se soliciten con preaviso razonable y se limiten a verificar el cumplimiento de las obligaciones de este contrato.

La aceptación de este Contrato de Encargo de Tratamiento se realiza de forma electrónica al momento de contratar el servicio datOK o de autorizar una nueva versión del mismo. La plataforma generará un registro inmutable con sello criptográfico de tiempo como evidencia de la aceptación por parte del Responsable. Este contrato está disponible permanentemente para su consulta en la plataforma y puede ser descargado en formato PDF por el Responsable en cualquier momento.