Anexo de Tratamiento de Datos Personales

El presente Anexo de Tratamiento de Datos Personales (en adelante, «DPA», por sus siglas en inglés) regula el tratamiento que Soluciones Ecommerce SpA, RUT y domicilio en Santiago de Chile (en adelante, «Formidável» o el «Encargado»), realiza por cuenta del cliente que contrata la plataforma Formidável (en adelante, el «Cliente» o el «Responsable»).

Este DPA forma parte integrante de los Términos de Uso y del Contrato Marco u Orden de Servicio suscrito entre las partes, y se entiende aceptado por el solo hecho de contratar la Plataforma. A solicitud del Cliente, Formidável suscribirá una copia en documento separado, sin que ello altere su contenido.

1. Definiciones

1.1 Los términos «datos personales», «tratamiento», «responsable», «encargado» o «mandatario», «titular», «datos sensibles» y «vulneración de seguridad» tendrán el significado que les asigna la legislación aplicable en materia de protección de datos personales.

1.2 Se entenderá por:

• Datos del Cliente: los datos personales que el Cliente o sus usuarios autorizados incorporan a la Plataforma y que Formidável trata por cuenta del Cliente.
• Legislación Aplicable: la Ley N.° 19.628, la Ley N.° 21.719 desde su entrada en vigor, sus normas complementarias, y —cuando el Cliente esté establecido en el Espacio Económico Europeo o el tratamiento se encuentre sujeto a él— el Reglamento (UE) 2016/679 («RGPD»).
• Subencargado: el tercero contratado por Formidável que trata Datos del Cliente para la prestación del servicio.

2. Objeto, Roles y Prelación

2.1 Respecto de los Datos del Cliente, el Cliente actúa como responsable del tratamiento y Formidável como encargado. El Cliente determina las finalidades y los medios esenciales del tratamiento; Formidável los trata únicamente conforme a las instrucciones documentadas del Cliente.

2.2 Formidável actúa como responsable independiente respecto de los datos de administración de cuentas, facturación, soporte y navegación en su sitio web, conforme a su Política de Privacidad. Dichos tratamientos quedan fuera del ámbito de este DPA.

2.3 En caso de contradicción, este DPA prevalecerá sobre los Términos de Uso en materia de protección de datos personales. Un DPA específico suscrito y firmado entre las partes prevalecerá sobre el presente documento.

2.4 Los detalles del tratamiento —objeto, duración, naturaleza, finalidad, categorías de datos y de titulares— constan en el Anexo I.

3. Obligaciones del Cliente como Responsable

3.1 El Cliente declara y garantiza que dispone de una base de licitud válida para cada tratamiento que encomienda, que ha cumplido su deber de información frente a los titulares y que sus instrucciones se ajustan a la Legislación Aplicable.

3.2 Tratándose de datos de trabajadores o contratistas, el Cliente garantiza haber cumplido las exigencias de la normativa laboral que resulten aplicables a las medidas de control que implemente a través de la Plataforma, incluida su incorporación al reglamento interno cuando corresponda.

3.3 El Cliente es responsable de la exactitud, calidad y licitud de los Datos del Cliente, así como de configurar adecuadamente los perfiles, permisos y campos de los formularios que crea.

3.4 El Cliente se obliga a no incorporar a la Plataforma categorías de datos distintas de las descritas en el Anexo I sin acuerdo previo y escrito con Formidável.

4. Instrucciones del Responsable

4.1 Formidável tratará los Datos del Cliente únicamente conforme a las instrucciones documentadas de éste. Constituyen instrucciones documentadas: los Términos de Uso, el Contrato Marco y la Orden de Servicio, este DPA, la configuración que el Cliente realiza en la Plataforma y las instrucciones adicionales que el Cliente comunique por escrito y que Formidável acepte.

4.2 Formidável no tratará los Datos del Cliente para finalidades propias, ni los cederá a terceros, ni los utilizará para desarrollar o entrenar modelos propios, ni para prestar servicios a otros clientes.

4.3 Si Formidável estima que una instrucción del Cliente infringe la Legislación Aplicable, se lo informará sin demora y podrá suspender la ejecución de dicha instrucción hasta que el Cliente la confirme, modifique o retire.

4.4 Si Formidável estuviere obligado por ley a tratar los datos de un modo distinto al instruido, informará al Cliente de dicha exigencia legal antes del tratamiento, salvo que la ley lo prohíba por razones de interés público.

5. Confidencialidad y Personal

5.1 Formidável garantiza que las personas autorizadas para tratar Datos del Cliente se han comprometido a respetar la confidencialidad, mediante cláusula contractual o compromiso equivalente de carácter permanente que subsiste tras el término de su vinculación.

5.2 El acceso a los Datos del Cliente se limita al personal que lo requiera para prestar el servicio, resolver incidencias o cumplir obligaciones legales, conforme al principio de mínimo privilegio.

5.3 Formidável mantiene informado y capacitado a dicho personal respecto de sus obligaciones en materia de protección de datos.

6. Medidas de Seguridad

6.1 Formidável aplica las medidas técnicas y organizativas descritas en el Anexo II, apropiadas al riesgo y al estado de la técnica, considerando la naturaleza, alcance, contexto y fines del tratamiento.

6.2 Formidável podrá actualizar dichas medidas, siempre que ello no implique una disminución del nivel de seguridad comprometido.

6.3 El Cliente reconoce que la seguridad depende también de su propia gestión: custodia de credenciales, uso de cuentas nominativas e individuales, revocación oportuna de accesos y seguridad de los dispositivos utilizados en terreno.

7. Datos Sensibles

7.1 La Plataforma no está diseñada como repositorio de categorías especiales de datos. El Cliente que requiera registrar datos relativos a la salud —incluidos reportes de accidentes, incidentes o condiciones de salud laboral— deberá informarlo previamente y por escrito a Formidável.

7.2 Comunicada dicha circunstancia, las partes acordarán las medidas reforzadas aplicables, que podrán incluir restricciones adicionales de acceso, limitación de los perfiles habilitados y plazos de conservación más acotados.

7.3 Queda prohibida la incorporación a la Plataforma de datos biométricos de identificación, datos genéticos, datos relativos al origen étnico, afiliación sindical, convicciones religiosas, opiniones políticas o vida sexual, así como de datos de niñas, niños y adolescentes, salvo acuerdo previo, escrito y específico entre las partes.

7.4 Se deja constancia de que la funcionalidad de firma de la Plataforma almacena únicamente la representación gráfica del trazo y no captura datos dinámicos del gesto, por lo que no constituye tratamiento de datos biométricos de identificación.

8. Subencargados

8.1 El Cliente otorga a Formidável una autorización general para recurrir a subencargados, en los términos de esta cláusula.

8.2 La nómina de subencargados vigente a la fecha consta en el Anexo III y se mantiene actualizada en la sección 7.2 de la Política de Privacidad, que constituye la versión de referencia.

8.3 Formidável informará al Cliente la incorporación o sustitución de un subencargado que trate Datos del Cliente con una anticipación mínima de treinta (30) días corridos. El Cliente podrá oponerse fundadamente dentro de dicho plazo, por motivos razonables vinculados a la protección de datos.

8.4 Formulada la oposición, las partes negociarán de buena fe una solución. Si no se alcanzare acuerdo dentro de treinta (30) días corridos, el Cliente podrá poner término al contrato sin penalidad, con reembolso proporcional de los montos pagados por anticipado y no devengados.

8.5 Formidável celebrará con cada subencargado un contrato que imponga obligaciones de protección de datos no menos exigentes que las de este DPA, y responderá frente al Cliente por los actos y omisiones de sus subencargados como si fueran propios.

9. Transferencias Internacionales

9.1 El Cliente reconoce y acepta que la prestación del servicio implica el tratamiento de Datos del Cliente fuera del territorio chileno, principalmente en Estados Unidos y en la Unión Europea, según se detalla en el Anexo III.

9.2 Formidável adoptará las garantías exigidas por la Legislación Aplicable para dichas transferencias, incluyendo la suscripción de cláusulas contractuales tipo con los subencargados y la limitación de los datos transferidos a los estrictamente necesarios.

9.3 Cuando el tratamiento se encuentre sujeto al RGPD, las partes suscribirán las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, en el módulo que corresponda a la relación entre ellas, las que se entenderán incorporadas a este DPA y prevalecerán en caso de contradicción respecto de las transferencias que regulan.

10. Tratamiento mediante Inteligencia Artificial

10.1 Cuando el Cliente utilice las funcionalidades de inteligencia artificial de la Plataforma —asistencia en la creación de formularios, transcripción de notas de voz y redacción asistida de informes—, instruye a Formidável para transmitir al subencargado de inteligencia artificial identificado en el Anexo III los Datos del Cliente estrictamente necesarios para generar el resultado solicitado, incluidos los archivos de audio.

10.2 Dicho subencargado trata la información únicamente para generar la respuesta requerida, bajo condiciones contractuales que excluyen su utilización para el entrenamiento de modelos.

10.3 El Cliente puede solicitar por escrito la desactivación de estas funcionalidades en su cuenta, en cuyo caso cesará la transmisión descrita en la cláusula 10.1.

10.4 Formidável no adopta decisiones automatizadas respecto de los titulares. La valoración y el uso de los resultados generados corresponden exclusivamente al Cliente, quien se obliga a someterlos a revisión humana.

11. Asistencia al Responsable

11.1 Derechos de los titulares. Considerando la naturaleza del tratamiento, Formidável asistirá al Cliente mediante las funcionalidades de autoservicio de la Plataforma —que permiten acceder, rectificar, exportar y eliminar los Datos del Cliente— y, cuando ello resulte insuficiente, mediante asistencia razonable a solicitud escrita del Cliente.

11.2 Si un titular dirige a Formidável una solicitud de ejercicio de derechos referida a Datos del Cliente, Formidável no responderá sobre el fondo, la remitirá al Cliente sin demora injustificada e informará al titular de dicha remisión.

11.3 Evaluaciones de impacto. Formidável prestará al Cliente asistencia razonable en la realización de evaluaciones de impacto relativas a la protección de datos y en las consultas previas a la autoridad de control, en la medida en que dicha asistencia se refiera al tratamiento realizado por Formidável y considerando la información de que éste dispone.

11.4 La asistencia prevista en esta cláusula se prestará sin costo adicional, salvo que por su volumen o complejidad exceda manifiestamente lo razonable, en cuyo caso las partes acordarán previamente su costo.

12. Vulneraciones de Seguridad

12.1 Formidável notificará al Cliente toda vulneración de seguridad que afecte Datos del Cliente sin demora injustificada y, en todo caso, dentro de las setenta y dos (72) horas siguientes a que tome conocimiento de ella.

12.2 La notificación se dirigirá al correo electrónico de contacto registrado por el Cliente e incluirá, en la medida en que la información esté disponible: la naturaleza de la vulneración, las categorías y el volumen aproximado de datos y titulares afectados, las consecuencias probables, las medidas adoptadas o propuestas para mitigarla, y los datos de contacto para obtener información adicional.

12.3 Si al momento de la notificación no se dispusiere de toda la información, Formidável la entregará de forma progresiva, a medida que se obtenga, sin dilaciones indebidas.

12.4 Formidável cooperará razonablemente con el Cliente en la investigación, mitigación y remediación de la vulneración, y en el cumplimiento de las obligaciones de notificación que recaigan sobre el Cliente frente a la autoridad de control y a los titulares.

12.5 Corresponde al Cliente, en su calidad de responsable, determinar si la vulneración debe ser notificada a la autoridad de control o a los titulares, y efectuar dicha notificación. Formidável no la realizará por cuenta del Cliente sin instrucción escrita de éste.

13. Auditoría

13.1 Formidável pondrá a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento de las obligaciones de este DPA, incluyendo la respuesta a cuestionarios de seguridad y la entrega de la documentación descriptiva de las medidas del Anexo II.

13.2 El Cliente podrá realizar una auditoría al año, previa solicitud escrita con al menos treinta (30) días corridos de anticipación, en horario hábil, sin interferir en la operación y sujeta a deber de confidencialidad. La auditoría podrá practicarse por el Cliente o por un auditor independiente designado por éste que no sea competidor de Formidável.

13.3 Podrán realizarse auditorías adicionales cuando lo exija la autoridad de control o cuando se haya producido una vulneración de seguridad que afecte los Datos del Cliente.

13.4 Las auditorías serán de cargo del Cliente, salvo que se constaten incumplimientos sustanciales de este DPA imputables a Formidável, en cuyo caso el costo será de cargo de Formidável.

13.5 Las auditorías no podrán comprender el acceso a datos de otros clientes, a información confidencial de terceros ni a componentes cuya divulgación comprometa la seguridad de la Plataforma.

14. Devolución y Supresión

14.1 Durante la vigencia del contrato, el Cliente puede exportar los Datos del Cliente en cualquier momento mediante las funcionalidades de autoservicio de la Plataforma, en formatos de uso común.

14.2 Terminado el contrato por cualquier causa, el Cliente dispondrá de treinta (30) días corridos para completar dicha exportación. Transcurrido ese plazo, Formidável procederá a la eliminación o anonimización de los Datos del Cliente, incluidas las copias en poder de sus subencargados.

14.3 Se exceptúan de la obligación de supresión los datos que Formidável deba conservar por mandato legal o para el ejercicio o la defensa de acciones judiciales, los que permanecerán sujetos a las obligaciones de confidencialidad y seguridad de este DPA mientras subsista dicha conservación.

14.4 Las copias de respaldo se eliminan conforme a los ciclos de rotación descritos en el Anexo II.

14.5 A solicitud escrita del Cliente, Formidável emitirá un certificado de eliminación.

15. Responsabilidad

15.1 La responsabilidad de las partes derivada de este DPA se rige por las limitaciones y exclusiones establecidas en la cláusula 19 de los Términos de Uso, incluido el límite agravado aplicable a las obligaciones de protección de datos personales y de confidencialidad, y los supuestos en que dichas limitaciones no operan.

15.2 Cada parte responderá de las sanciones administrativas que le sean impuestas por hechos que le sean imputables. El Cliente mantendrá indemne a Formidável frente a reclamaciones derivadas del incumplimiento de las obligaciones que a aquél corresponden como responsable, en particular las de las cláusulas 3 y 7.

16. Vigencia

Este DPA entra en vigor con la contratación de la Plataforma y permanecerá vigente mientras Formidável trate Datos del Cliente. Las obligaciones que por su naturaleza deban subsistir —en especial las de confidencialidad, seguridad y supresión— permanecerán vigentes tras su término.

17. Ley Aplicable y Jurisdicción

Este DPA se rige por las leyes de la República de Chile y se somete a la jurisdicción señalada en la cláusula 26 de los Términos de Uso, sin perjuicio de las normas imperativas y de los foros que la Legislación Aplicable reconozca a los titulares de datos.

Anexo I — Detalles del Tratamiento

Objeto: la prestación de la plataforma Formidável de digitalización operacional, conforme a los Términos de Uso y a la Orden de Servicio.

Duración: la vigencia del contrato, más el plazo de exportación y supresión de la cláusula 14.

Naturaleza y finalidad: alojamiento, almacenamiento, procesamiento, estructuración, consulta, generación de informes, transmisión mediante integraciones configuradas por el Cliente y supresión de los Datos del Cliente, con el fin de permitir al Cliente digitalizar y trazar sus procesos operacionales en terreno.

Categorías de titulares:

• Trabajadores y contratistas del Cliente que utilizan la Plataforma en terreno.
• Supervisores y personal administrativo del Cliente.
• Clientes finales, mandantes o terceros que firman o son mencionados en los registros.
• Personas que aparezcan en las fotografías capturadas en terreno.

Categorías de datos personales:

• Identificación: nombre, RUT o identificación nacional, cargo, empresa.
• Contacto: correo electrónico, teléfono.
• Credenciales de acceso nominativas.
• Respuestas de formularios y listas de verificación operacionales.
• Fotografías, que pueden incluir la imagen de personas identificables.
• Grabaciones de voz destinadas al llenado de formularios por dictado.
• Coordenadas de ubicación asociadas al envío de formularios o a eventos configurados.
• Firma capturada en pantalla, como representación gráfica del trazo.
• Marcas de tiempo y registros de actividad asociados a cada envío.

Datos sensibles: únicamente cuando el Cliente lo haya informado previamente por escrito conforme a la cláusula 7, y limitados a datos relativos a accidentes, incidentes y condiciones de salud laboral.

Frecuencia: continua, durante la vigencia del contrato.

Anexo II — Medidas Técnicas y Organizativas

Formidável aplica, a la fecha de este documento, las siguientes medidas:

Cifrado

• Cifrado de las comunicaciones mediante TLS/HTTPS, con política de transporte estricto (HSTS) y cabeceras de seguridad en las propiedades web.
• Cifrado de la información en reposo en la infraestructura del proveedor de nube.
• Almacenamiento de contraseñas mediante funciones de derivación criptográfica irreversibles.

Control de acceso e identidad

• Control de acceso basado en roles, con aplicación del principio de mínimo privilegio. El rol se verifica en el servidor, en las reglas de la base de datos y en las funciones de backend, y no puede ser alterado desde el cliente.
• Credenciales individuales y nominativas, tanto para el personal de Formidável como para los usuarios en terreno, lo que permite atribuir cada registro a una persona determinada.
• Segundo factor de autenticación mediante código temporal enviado por correo, con control de sesión activa, disponible tanto en la aplicación de clientes como en el panel de administración interno.
• Verificación de integridad de las aplicaciones que acceden al backend, de modo que las solicitudes provenientes de clientes no legítimos sean rechazadas.
• Acceso del personal de Formidável a datos de producción limitado a quienes lo requieren para prestar el servicio.
• Revisión periódica de los permisos de acceso del personal y revocación al término de la vinculación.

Segregación

• Separación lógica de la información entre clientes distintos, exigida por las reglas de seguridad de la base de datos: cada consulta y cada escritura se valida contra la organización a la que pertenece el usuario, de forma que un cliente no puede acceder a los datos de otro aunque la solicitud se construya manualmente.
• Separación entre entornos de desarrollo y de producción.

Protección de las aplicaciones

• Política de seguridad de contenidos, cabeceras de seguridad y transporte estricto en las propiedades web, incluido el panel de administración interno.
• Captura de firma limitada a la representación gráfica del trazo, sin registro de datos dinámicos del gesto.
• Captura de ubicación limitada a la solicitud puntual asociada a un envío, sin seguimiento en segundo plano.

Disponibilidad y continuidad

• Respaldos periódicos de la información, almacenados en entornos separados y sujetos a ciclos de rotación definidos.
• Infraestructura gestionada por un proveedor de nube de alcance global, con redundancia a nivel de servicio.

Medidas organizativas

• Compromisos de confidencialidad de carácter permanente para todo el personal con acceso a datos.
• Procedimiento interno de gestión de incidentes, que contempla su registro, evaluación, contención, notificación y análisis posterior.
• Evaluación de los subencargados antes de su incorporación y suscripción con ellos de obligaciones de protección de datos equivalentes.
• Funcionalidades de autoservicio que permiten al Cliente acceder, rectificar, exportar y eliminar los Datos del Cliente sin intervención de Formidável.

Formidável no declara contar, a la fecha, con certificaciones de seguridad de terceros. Las medidas descritas podrán actualizarse conforme a la cláusula 6.2.

Anexo III — Subencargados Autorizados

Nómina vigente a la fecha de última actualización de este documento. La versión de referencia y actualizada se mantiene en la sección 7.2 de la Política de Privacidad.

• Google LLC — Google Cloud Platform y Firebase. Infraestructura, base de datos, almacenamiento de archivos y funciones de servidor. Estados Unidos.
• OpenAI, L.L.C. — modelos de inteligencia artificial para creación de formularios, transcripción de notas de voz y redacción asistida de informes. Estados Unidos.
• UAB Hostinger International — alojamiento del correo electrónico corporativo asociado al dominio formidavel.cl.
• Resend, Inc. — envío de correo transaccional y de comunicaciones comerciales, incluidos avisos de flujo e informes generados a partir de los registros del Cliente. Estados Unidos.
• Sendinblue SAS (Brevo) — envío de correo transaccional y de comunicaciones comerciales, incluidos avisos de flujo e informes generados a partir de los registros del Cliente. Unión Europea.
• n8n GmbH — automatización del enrutamiento de solicitudes recibidas a través de los formularios del sitio web. Unión Europea.

Los proveedores utilizados exclusivamente para el sitio web corporativo y la medición de audiencia, que no tratan Datos del Cliente, se detallan en la Política de Privacidad y no forman parte de este Anexo.

Contacto

Para cualquier materia relativa a este DPA, incluida la solicitud de una copia suscrita, la notificación de datos sensibles conforme a la cláusula 7 o el ejercicio del derecho de auditoría:

• Correo electrónico: privacidad@formidavel.cl