⚠️ Borrador pendiente de revisión por abogado. Los plazos de respuesta a solicitudes de titulares y de notificación de brechas se remiten a la Ley 21.719 y su reglamento: verifíquelos antes de firmar. Este documento no es asesoría legal.
(Data Processing Agreement — DPA)
EL RESPONSABLE: [NOMBRE EMPRESA], RUT [RUT], domicilio en [DOMICILIO] (calle, número, comuna, región), representada por [REPRESENTANTE LEGAL], cédula RUT rep., correo [correo@dominio.cl] (en adelante, el “Responsable”).
EL ENCARGADO: [NOMBRE DEL PROVEEDOR / RAZÓN SOCIAL], RUT [RUT PROVEEDOR], domicilio en [DOMICILIO PROVEEDOR], correo [correo proveedor] (en adelante, el “Encargado” o “[PROVEEDOR]”).
En conjunto, las “Partes”. Este contrato de encargo (el “DPA”) es parte integrante y accesoria del contrato principal de servicios suscrito entre las Partes con fecha dd/mm/aaaa (el “Contrato Principal”), al que complementa en materia de protección de datos personales.
Los términos tienen el significado que les da la Ley 21.719, en especial: Dato personal (información de una persona natural identificada o identificable); Dato sensible (salud, perfil biológico/biométrico, origen racial o étnico, afiliación sindical/política/gremial, convicciones religiosas o filosóficas, vida y orientación sexual y situación socioeconómica); Tratamiento; Responsable (decide fines y medios); Encargado (trata por cuenta del Responsable, siguiendo instrucciones); Subencargado; Titular; Brecha (destrucción, pérdida, filtración, alteración o acceso no autorizado); y APDP (Agencia de Protección de Datos Personales).
El Responsable encarga a [PROVEEDOR] el tratamiento de datos personales estrictamente necesario para prestar los servicios del Contrato Principal (desarrollo, operación, alojamiento y mantención del sitio web, CRM, sistemas y/o soporte del Responsable). El detalle consta en el Anexo I.
Rige mientras esté vigente el Contrato Principal y hasta cumplir las obligaciones de devolución o supresión de la Cláusula 12. Las obligaciones de confidencialidad y seguridad que por su naturaleza subsistan continúan tras la terminación.
Parte de la infraestructura opera fuera de Chile (Anexo II). El Responsable reconoce y autoriza dichas transferencias, amparadas en alguna vía de la Ley 21.719: país con nivel adecuado declarado por la APDP, garantías apropiadas (cláusulas contractuales tipo o acuerdos de tratamiento de los proveedores, normas corporativas vinculantes o certificaciones) o consentimiento del titular. [PROVEEDOR] mantendrá disponibles los acuerdos de tratamiento de sus proveedores como evidencia.
Las medidas mínimas constan en el Anexo III. Las Partes revisarán su idoneidad periódicamente y ante cambios de riesgo. La provisión de seguridad no traslada al Encargado la responsabilidad del Responsable sobre la licitud del tratamiento.
Si un titular dirige una solicitud a [PROVEEDOR], ésta se derivará al Responsable sin demora, con asistencia técnica para responder en plazo (en los plazos que fije la Ley 21.719 y su reglamento).
El Responsable podrá verificar el cumplimiento mediante requerimientos de información razonables o auditorías acordadas con antelación, sin afectar la operación ni la seguridad de otros clientes de [PROVEEDOR], y sujeto a confidencialidad.
Terminado el servicio, [PROVEEDOR], a elección del Responsable, devolverá o suprimirá los datos y sus copias, salvo obligación legal de conservación, dejando constancia. Plazo: 30 días corridos desde la solicitud o el término del Contrato Principal.
Cada Parte responde por los daños que cause por incumplimiento de sus obligaciones legales y contractuales. Límites de responsabilidad / indemnización — DEFINIR CON ABOGADO.
Se rige por la ley chilena. Domicilio / tribunales o arbitraje — DEFINIR CON ABOGADO.
Entra en vigor a la fecha de su firma y se entiende parte del Contrato Principal.
Firman en dos ejemplares de igual tenor, en Ciudad, a fecha.
Nota: este anexo describe la operación verificada a la fecha del borrador. Si se activan formularios web, CRM, correo transaccional o pagos en línea, debe actualizarse este Anexo I y el Anexo II antes de ponerlos en marcha (ver Cláusula 7.2: los nuevos subencargados requieren autorización previa del Responsable).
Lista acotada a los proveedores que realmente intervienen hoy en el sitio del Responsable. No se incluyen proveedores que no se usan: autorizar transferencias que no ocurren es tan incorrecto como omitir las que sí ocurren.
| Subencargado | Rol / servicio | Ubicación de datos | Garantía de transferencia |
|---|---|---|---|
| Hostinger | Alojamiento del sitio web y registros de servidor | Fuera de Chile (UE / global) — confirmar región | DPA del proveedor |
| Google LLC (Analytics 4) | Analítica web — solo si la persona visitante consiente | EE.UU. / global | Consent Mode v2 + DPA del proveedor + cláusulas tipo |
No aplican hoy (no autorizados por este anexo): Supabase, Vercel, Resend y MercadoPago. Solo
procederá incorporarlos —con la autorización previa y escrita que exige la Cláusula 7.2— si el
Responsable activa base de datos, formularios, correo transaccional o pagos en línea.
Fuera de este encargo: WhatsApp / Meta Platforms es un canal de contacto que el Responsable
administra directamente con sus clientes; [PROVEEDOR] no lo subcontrata ni accede a esas
conversaciones. Está declarado en la política de privacidad del Responsable, no como subencargado de
[PROVEEDOR].
Borrador para [NOMBRE EMPRESA], generado desde la plantilla Zentral Cumple (v1.0) y por adaptar a su operación el [fecha], conforme a la Ley 21.719. Sin firmar y con datos pendientes ([RUT], [DOMICILIO], [REPRESENTANTE LEGAL]). No constituye asesoría legal; validar con abogado antes de firmar. Guardar copia firmada como evidencia de cumplimiento (responsabilidad proactiva).