Anexo de Tratamiento de Datos Personales por Encargo

1. Objeto, definiciones y roles

1.1. Este Anexo regula el tratamiento de los Datos Personales del Cliente que realiza A.I. ERGANE SpA (el “Prestador”) por encargo del Cliente, conforme al artículo 8 de la Ley 19.628 sobre Protección de la Vida Privada y, desde su entrada en vigencia, a las normas sobre tratamiento por encargo de la Ley 21.719 sobre Protección de Datos Personales. Las expresiones con mayúscula inicial que no se definan aquí tienen el significado que les asignan los Términos y Condiciones.

1.2. Para efectos de este Anexo:

• “Datos Personales del Cliente”: los datos personales de personas naturales contenidos en los Documentos de la Obra o que el Cliente cargue, envíe o conecte al Servicio de cualquier otra forma. No incluye los datos de las cuentas del Cliente y de sus Usuarios Autorizados, respecto de los cuales el Prestador es responsable conforme a la Política de Privacidad.
• “Subencargado”: el tercero que el Prestador contrata y que trata Datos Personales del Cliente para prestar el Servicio.
• “Vulneración de Seguridad”: todo incidente que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, de Datos Personales del Cliente.

1.3. Respecto de los Datos Personales del Cliente, el Cliente es el responsable del tratamiento y el Prestador es el encargado (mandatario) del tratamiento.

2. Descripción del tratamiento

• Finalidad: prestar el Servicio, es decir, calcular la Huella de cada Obra, ejecutar el Triple Cruce, mantener el Carbon Ledger, generar reportes y prestar soporte.
• Naturaleza de las operaciones: recepción, almacenamiento, lectura automatizada de documentos (incluida la asistencia de inteligencia artificial descrita en la Cláusula 5 de los Términos), cálculo, consulta, exportación y eliminación.
• Categorías de titulares: proveedores, contratistas y subcontratistas que sean personas naturales; transportistas y conductores; profesionales y personal mencionados en informes de obra (por ejemplo, de la ITO); y otras personas naturales que figuren en los Documentos de la Obra.
• Tipos de datos: nombre, RUT, razón social de personas naturales, patentes de vehículos, datos de contacto y firmas o timbres que aparezcan en los Documentos de la Obra. El Servicio no está destinado a tratar datos personales sensibles, y el Cliente se obliga a no cargarlos (Cláusula 7 de los Términos).
• Duración: mientras se preste el Servicio, más el período de devolución y eliminación de la Sección 10.

3. Instrucciones del Cliente

3.1. El Prestador trata los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, que son: los Términos, este Anexo, el Acuerdo de Piloto u otro contrato firmado entre las partes, y la configuración que el Cliente elija en la plataforma.

3.2. El Prestador no trata los Datos Personales del Cliente para fines propios. Solo puede usar información derivada del Servicio en forma agregada y anonimizada, de modo que no identifique a personas, obras ni Clientes, conforme a la Cláusula 10.3 de los Términos.

3.3. Si el Prestador estima que una instrucción del Cliente infringe la ley, se lo informará sin demora y podrá suspender su ejecución mientras el Cliente la confirma o la modifica.

4. Confidencialidad

El Prestador limita el acceso a los Datos Personales del Cliente a las personas que lo necesiten para prestar el Servicio o darle soporte, y exige a esas personas un deber de confidencialidad que subsiste después de terminada su relación con el Prestador.

5. Medidas de seguridad

El Prestador aplica medidas técnicas y organizativas apropiadas al riesgo, entre ellas:

• aislamiento de los datos de cada Cliente en la propia base de datos, mediante reglas de seguridad a nivel de fila que la aplicación no puede saltarse: se conecta con un rol restringido, sin privilegios para omitirlas;
• cifrado en tránsito (TLS) y conexión a la base de datos con verificación de certificado;
• control de acceso por usuario y por rol, y cuentas que el Cliente puede desactivar;
• bitácora de auditoría de solo inserción: la aplicación no puede modificar ni borrar sus registros;
• respaldos diarios de la base de datos y copias externas cifradas, cuya clave no se almacena junto a ellas;
• credenciales y secretos de la infraestructura fuera del código fuente, y límites de uso para prevenir abusos;
• reportes de errores minimizados: no incluyen el contenido de los documentos ni de las solicitudes;
• una política pública de divulgación responsable de vulnerabilidades (security.txt).

6. Subencargados

6.1. El Cliente autoriza al Prestador a recurrir a los proveedores individualizados en la Sección 4 de la Política de Privacidad, para las funciones que allí se indican. Los de infraestructura y los de funciones que el Cliente decide usar son Subencargados.

6.2. El Prestador exige a cada Subencargado, por contrato o por sus condiciones de servicio, obligaciones de confidencialidad y seguridad adecuadas a los datos que recibe, y responde ante el Cliente por su cumplimiento dentro de los límites de los Términos.

6.3. A los servicios públicos de consulta de la misma Sección, el Prestador envía solo el dato mínimo que cada consulta requiere (una dirección, coordenadas o el término de búsqueda de un material), nunca Documentos de la Obra completos.

6.4. Antes de que un nuevo Subencargado comience a tratar Datos Personales del Cliente, el Prestador lo publicará en la Política de Privacidad y lo informará por correo electrónico con al menos quince (15) días corridos de anticipación. El Cliente podrá oponerse por motivos fundados de protección de datos; si las partes no alcanzan una solución, el Cliente podrá poner término al Servicio sin costo alguno.

7. Transferencias internacionales

Los Datos Personales del Cliente se almacenan en Brasil y pueden ser tratados en Estados Unidos y, para las consultas públicas, en Europa, en los términos de la Sección 5 de la Política de Privacidad. El Cliente autoriza esas transferencias. El Prestador las respalda con los compromisos contractuales de protección de datos de cada Subencargado.

8. Asistencia al Cliente

8.1. Si un titular se dirige al Prestador para ejercer sus derechos respecto de Datos Personales del Cliente, el Prestador remitirá la solicitud al Cliente dentro de cinco (5) días hábiles y no la responderá en el fondo sin instrucción del Cliente.

8.2. El Prestador pondrá a disposición del Cliente los medios razonables para atender esas solicitudes (exportación, rectificación y eliminación de datos) y colaborará, en lo que razonablemente corresponda, con las evaluaciones de impacto y los requerimientos de la autoridad de control que involucren el Servicio.

9. Vulneraciones de Seguridad

9.1. El Prestador notificará al Cliente toda Vulneración de Seguridad sin dilaciones indebidas y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a que la haya confirmado, al correo de los administradores de la cuenta del Cliente.

9.2. La notificación indicará, en la medida en que se conozca: la naturaleza de la Vulneración de Seguridad; las categorías y el número aproximado de titulares y registros afectados; sus consecuencias probables; las medidas adoptadas o propuestas; y un punto de contacto. La información que no se conozca al momento de notificar se entregará gradualmente, sin demora.

9.3. El Prestador colaborará con el Cliente para que éste cumpla sus propias obligaciones de informar a la autoridad y a los titulares, y documentará cada Vulneración de Seguridad, sus efectos y las medidas correctivas.

10. Devolución y eliminación

10.1. Terminado el Servicio, el Cliente dispone de treinta (30) días corridos para exportar sus datos (Cláusula 16.3 de los Términos). Vencido ese plazo, el Prestador eliminará los Datos Personales del Cliente de sus sistemas de producción dentro de los noventa (90) días siguientes, salvo que la ley exija conservarlos.

10.2. Las copias de respaldo se eliminan conforme a su ciclo de rotación, que no excede de noventa (90) días. Mientras existan, se mantienen cifradas o bajo acceso restringido y no se usan para ningún otro fin.

10.3. A solicitud del Cliente, el Prestador certificará por escrito la eliminación.

11. Información y auditoría

11.1. El Prestador pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este Anexo, respondiendo cuestionarios razonables de seguridad una vez al año y, además, después de una Vulneración de Seguridad.

11.2. El Cliente podrá realizar, directamente o por medio de un auditor independiente obligado a confidencialidad, una auditoría al año, con al menos treinta (30) días corridos de aviso, a su costo, en horario hábil y sin acceder a datos de otros clientes.

12. Responsabilidad, vigencia y prelación

12.1. La responsabilidad de las partes por el incumplimiento de este Anexo se rige por la Cláusula 9 de los Términos, dentro de los límites que permita la ley.

12.2. Este Anexo rige mientras el Prestador conserve Datos Personales del Cliente, aun después de terminado el Servicio.

12.3. En materia de protección de datos personales, este Anexo prevalece sobre los Términos y la Política de Privacidad.

13. Contacto

Consultas, instrucciones y notificaciones relativas a este Anexo: contacto@cipariso.cl · A.I. ERGANE SpA, Av. Irarrázaval 2401, oficina 607, Ñuñoa, Santiago, Chile.

A.I. ERGANE SpA — Santiago de Chile — Versión 1.1