Contrato de Encargo del Tratamiento de Datos Personales

(Data Processing Agreement — DPA)

Ley N° 21.719 · República de Chile — Accesorio al contrato de servicios entre las Partes

Comparecientes

Cláusula 1 — Definiciones

Los términos tienen el significado que les da la Ley 21.719, en especial: Dato personal (información de una persona natural identificada o identificable); Dato sensible (salud, perfil biológico/biométrico, origen racial o étnico, afiliación sindical/política/gremial, convicciones religiosas o filosóficas, vida y orientación sexual y situación socioeconómica); Tratamiento; Responsable (decide fines y medios); Encargado (trata por cuenta del Responsable, siguiendo instrucciones); Subencargado; Titular; Brecha (destrucción, pérdida, filtración, alteración o acceso no autorizado); y APDP (Agencia de Protección de Datos Personales).

Cláusula 2 — Objeto

El Responsable encarga a TimeToMarket el tratamiento de datos personales estrictamente necesario para prestar los servicios del Contrato Principal (desarrollo, operación, alojamiento y mantención del sitio web, CRM, sistemas y/o soporte del Responsable). El detalle consta en el Anexo I.

Cláusula 3 — Duración

Rige mientras esté vigente el Contrato Principal y hasta cumplir las obligaciones de devolución o supresión de la Cláusula 12. Las obligaciones de confidencialidad y seguridad que por su naturaleza subsistan continúan tras la terminación.

Cláusula 4 — Instrucciones y finalidad

1. TimeToMarket tratará los datos únicamente conforme a las instrucciones documentadas del Responsable y para las finalidades del Anexo I. No usará los datos para fines propios ni los cederá a terceros salvo lo previsto aquí o por obligación legal.
2. Si una instrucción, a juicio de TimeToMarket, infringe la Ley 21.719, lo informará sin demora y podrá suspender su ejecución.

Cláusula 5 — Obligaciones de TimeToMarket (Encargado)

1. Confidencialidad, extensiva a su personal y subencargados, que subsiste tras el término.
2. Seguridad: aplicar las medidas del Anexo III (HTTPS, control de acceso/RLS, cifrado, respaldos, headers de seguridad, registro de accesos).
3. Asistencia al Responsable para atender los derechos de los titulares (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) y sus deberes de seguridad, brechas y evaluaciones de impacto.
4. Notificación de brechas: avisar al Responsable sin dilación indebida y a más tardar dentro de las 24 horas de conocer la brecha, con la información necesaria para que el Responsable notifique a la APDP y a los titulares dentro de las 72 horas que exige la ley.
5. Registro de las actividades de tratamiento realizadas por cuenta del Responsable, a su disposición.
6. Personal obligado a confidencialidad y capacitado.

Cláusula 6 — Obligaciones del Responsable

1. Contar con una base de licitud válida y con la información/consentimiento de los titulares para las finalidades encargadas.
2. Entregar instrucciones lícitas y datos exactos; mantener su propia política de privacidad conforme.
3. Responder frente a titulares y APDP en su calidad de Responsable.

Cláusula 7 — Subencargados (subcontratación)

1. El Responsable autoriza a los subencargados del Anexo II (infraestructura, alojamiento, correo transaccional, pagos y analítica).
2. TimeToMarket no incorporará nuevos subencargados sin autorización previa, informando con antelación razonable para permitir la oposición.
3. Impondrá a cada subencargado, por escrito, las mismas obligaciones de este DPA, y responderá solidariamente por sus incumplimientos.

Cláusula 8 — Transferencias internacionales

Parte de la infraestructura opera fuera de Chile (Anexo II). El Responsable reconoce y autoriza dichas transferencias, amparadas en alguna vía de la Ley 21.719: país con nivel adecuado declarado por la APDP, garantías apropiadas (cláusulas contractuales tipo o acuerdos de tratamiento de los proveedores, normas corporativas vinculantes o certificaciones) o consentimiento del titular. TimeToMarket mantendrá disponibles los acuerdos de tratamiento de sus proveedores como evidencia.

Cláusula 9 — Seguridad de la información

Las medidas mínimas constan en el Anexo III. Las Partes revisarán su idoneidad periódicamente y ante cambios de riesgo. La provisión de seguridad no traslada al Encargado la responsabilidad del Responsable sobre la licitud del tratamiento.

Cláusula 10 — Derechos de los titulares

Si un titular dirige una solicitud a TimeToMarket, ésta se derivará al Responsable sin demora, con asistencia técnica para responder en plazo (regla general 30 días hábiles; bloqueo temporal en 2 días hábiles).

Cláusula 11 — Auditoría

El Responsable podrá verificar el cumplimiento mediante requerimientos de información razonables o auditorías acordadas con antelación, sin afectar la operación ni la seguridad de otros clientes de TimeToMarket, y sujeto a confidencialidad.

Cláusula 12 — Devolución o supresión al terminar

Terminado el servicio, TimeToMarket, a elección del Responsable, devolverá o suprimirá los datos y sus copias, salvo obligación legal de conservación, dejando constancia. Plazo: 30 días corridos desde la solicitud o el término del Contrato Principal.

Cláusula 13 — Responsabilidad

Cada Parte responde por los daños que cause por incumplimiento de sus obligaciones legales y contractuales. Límites de responsabilidad / indemnización — DEFINIR CON ABOGADO.

Cláusula 14 — Ley aplicable y jurisdicción

Se rige por la ley chilena. Domicilio / tribunales o arbitraje — DEFINIR CON ABOGADO.

Cláusula 15 — Vigencia

Entra en vigor a la fecha de su firma y se entiende parte del Contrato Principal.

Firman en dos ejemplares de igual tenor, en Ciudad, a fecha.

Anexo I — Descripción del tratamiento

• Objeto del encargo: p.ej. operación y mantención del sitio web y CRM
• Duración: vigencia del Contrato Principal.
• Naturaleza y finalidad: p.ej. captura de leads, gestión de clientes, correos transaccionales, pagos, analítica
• Tipo de datos: identificación (nombre, RUT, correo, teléfono); comerciales (pedidos, historial, comunicaciones); técnicos (IP, cookies, registros); pagos monto/estado.
• Datos sensibles: SÍ / NO — cuáles (si aplica: consentimiento explícito y resguardos reforzados).
• Categorías de titulares: clientes, prospectos, usuarios registrados, contactos

Anexo II — Subencargados autorizados

Ajustar a los que realmente usa el sitio del Responsable.

Anexo III — Medidas de seguridad (técnicas y organizativas)

• Cifrado en tránsito: HTTPS/TLS forzado en todo el sitio; HSTS.
• Control de acceso: autenticación por rol; RLS en base de datos; menor privilegio; sin claves de servicio expuestas en el front.
• Cabeceras de seguridad: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, HSTS.
• Respaldos periódicos y probados, con procedimiento de restauración.
• Registro y monitoreo de accesos administrativos.
• Gestión de brechas: detección, contención y notificación (Cláusula 5.4).
• Confidencialidad y capacitación del personal.
• Actualizaciones y parcheo de dependencias y plataforma.

Documento generado desde la plantilla de TimeToMarket (v1.0, 2026-07-09) conforme a la Ley 21.719. No constituye asesoría legal; validar con abogado antes de firmar. Guardar copia firmada como evidencia de cumplimiento (responsabilidad proactiva).