Contrato de encargo de tratamiento de datos personales

1. Partes y objeto

La empresa que registra su cuenta en LeyPro (el «Responsable») encarga a Vigía SpA, RUT 77.781.491-5, con domicilio en Irarrázaval 2401, oficina 607, Ñuñoa, Santiago, que opera LeyPro (el «Encargado»), el tratamiento de datos personales necesario para prestar la plataforma de gestión de cumplimiento de la Ley 19.628, modificada por la Ley 21.719. El Encargado trata los datos solo por cuenta del Responsable y conforme a sus instrucciones documentadas, que son las que el Responsable da al usar la plataforma.

2. Datos, titulares y finalidad

• Titulares: personas que ejercen derechos ante el Responsable, que otorgan o revocan consentimientos, que asisten a capacitaciones, afectados por vulneraciones y usuarios del panel.
• Datos: identificación y contacto (nombre, RUT, correo, teléfono), contenido de solicitudes y respuestas, comprobantes de consentimiento, registros de asistencia, metadatos técnicos (IP y navegador) y los archivos que el Responsable adjunte.
• Finalidad: registrar, gestionar y acreditar el cumplimiento de las obligaciones del Responsable. El Encargado no usa los datos para fines propios, no los comunica a terceros salvo a los subencargados declarados, y no los vende ni cede.

3. Duración

Mientras la cuenta del Responsable esté activa. Al término, el Encargado entrega al Responsable el expediente de sus datos en formato abierto si lo solicita, y los suprime dentro de 30 días, salvo obligación legal de conservarlos, la que se informará.

4. Obligaciones del Encargado

• Tratar los datos solo según las instrucciones del Responsable e informarle si una instrucción le parece contraria a la ley.
• Garantizar que las personas autorizadas a tratar los datos estén sujetas a deber de confidencialidad, aun después de terminado el contrato.
• Aplicar las medidas de seguridad descritas en la Política de seguridad de LeyPro, publicada en la página /seguridad del sitio de LeyPro.
• Asistir al Responsable para responder las solicitudes de los titulares dentro de los plazos legales y para cumplir sus deberes de seguridad y de reporte de vulneraciones.
• Notificar al Responsable, sin dilación indebida y a más tardar dentro de 48 horas desde que tome conocimiento, toda vulneración de seguridad que afecte sus datos, con la información disponible para que el Responsable evalúe su reporte a la Agencia y a los titulares.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso.

5. Subencargados y ubicación de los datos

El Responsable autoriza a los subencargados listados en el Anexo de subencargados de este contrato, disponible para el Responsable en su panel de LeyPro y a solicitud. El Encargado les impone obligaciones equivalentes a las de este contrato y responde por ellos. Avisará al Responsable con al menos 30 días de anticipación antes de agregar o reemplazar un subencargado, y el Responsable podrá oponerse terminando el contrato. Ubicación: los datos se alojan en Estados Unidos.

6. Transferencia internacional

Transferencia internacional a subencargados en Estados Unidos, país que a la fecha no ha sido declarado adecuado por la Agencia de Protección de Datos Personales. Se ampara en garantías adecuadas establecidas contractualmente con cada subencargado (acuerdos de tratamiento de datos que exigen confidencialidad, medidas de seguridad, uso limitado a la prestación del servicio y supresión al término), en los términos de los artículos 27 y 28 de la Ley 19.628, modificada por la Ley 21.719. LeyPro adoptará las cláusulas modelo que apruebe la Agencia cuando estén disponibles.

7. Obligaciones del Responsable

El Responsable declara contar con base de licitud para los datos que registra, informar a los titulares que LeyPro trata sus datos como encargado (por ejemplo, en su política de tratamiento) y mantener actualizados los roles de acceso de su equipo.

8. Versiones

Este contrato se identifica por su versión. Si cambia, LeyPro publicará la nueva versión y pedirá su aceptación; mientras tanto rige la última aceptada. La aceptación queda registrada con la persona que la otorgó, fecha, dirección IP y el hash SHA-256 del texto, en la cadena de evidencia de la empresa.