Documento legal
Política de tratamiento de datos personales
Marco con el que Cloudev SpA trata datos personales en sus servicios de consultoría y en el panel, tanto cuando decide sobre los datos (responsable) como cuando los trata por encargo de sus clientes (encargado).
1. Objeto y alcance
Esta política establece los principios, roles, medidas y procedimientos que Cloudev SpA (RUT 76877201-0) aplica a todo tratamiento de datos personales que realiza en la prestación de los servicios de Protector de Datos, incluido el panel panel.protectordedatos.cl. Obliga a sus socios, trabajadores, colaboradores y proveedores que accedan a datos personales. Se rige por la Ley N° 19.628 sobre protección de la vida privada, modificada por la Ley N° 21.719.
2. Definiciones
- Dato personal: información vinculada a una persona natural identificada o identificable.
- Dato sensible: datos que se refieren a características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, como los datos de salud, biométricos, origen racial o étnico, afiliación política, sindical o gremial, creencias, situación socioeconómica u orientación sexual.
- Titular: la persona natural a quien se refieren los datos.
- Responsable: quien decide los fines y medios del tratamiento.
- Encargado: quien trata datos por cuenta del responsable.
- Tratamiento: cualquier operación sobre datos personales, como recolectar, almacenar, consultar, comunicar o suprimir.
3. Roles de Cloudev
Como responsable
Respecto de los datos de los usuarios del panel, de los contactos de clientes y prospectos, y de su propio personal. Estos tratamientos se describen en la Política de privacidad.
Como encargado
Respecto de la información que cada empresa cliente entrega o carga en el panel para la consultoría (por ejemplo, el Registro de Actividades de Tratamiento, evidencias y documentos que pueden contener datos de sus trabajadores, clientes o proveedores). En ese caso, conforme al Art. 15 bis, Cloudev:
- Trata los datos solo para prestar el servicio y según las instrucciones documentadas del cliente, sin usarlos para fines propios.
- Asegura que las personas autorizadas a tratarlos estén sujetas a deber de secreto.
- Aplica las medidas de seguridad descritas en esta política.
- Recurre a subencargados solo en los términos autorizados por el cliente y les impone obligaciones equivalentes.
- Asiste al cliente para responder solicitudes de los titulares, evaluar impactos y gestionar vulneraciones.
- Al término del servicio, devuelve o suprime los datos según lo pactado, salvo obligación legal de conservarlos.
- Pone a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones.
El contrato de servicios con cada cliente regula estas obligaciones en detalle y prevalece en lo que sea más específico.
4. Principios
Todo tratamiento se ajusta a los principios del Art. 3°: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. En la práctica:
- Se recolectan solo los datos necesarios para una finalidad determinada y explícita.
- Los datos se mantienen exactos y se suprimen o anonimizan cuando dejan de ser necesarios.
- Cloudev documenta sus decisiones para poder acreditar el cumplimiento.
5. Bases de licitud
Cloudev trata datos personales como responsable solo cuando cuenta con una base de licitud: ejecución de un contrato o medidas precontractuales (Art. 13 c), cumplimiento de una obligación legal (Art. 13 b), interés legítimo debidamente ponderado (Art. 13 d) o consentimiento del titular (Art. 12). Cuando actúa como encargado, la licitud del tratamiento corresponde al cliente responsable.
6. Datos sensibles
Los servicios no requieren datos sensibles. Cloudev instruye a sus clientes para no cargar en el panel datos sensibles ni bases de datos de titulares, y para usar extractos anonimizados como evidencia. Si un dato sensible resulta necesario, se trata solo con la base que exige el Art. 16 y con medidas reforzadas de acceso.
7. Medidas de seguridad
| Ámbito | Medidas |
|---|---|
| Acceso | Cuentas personales, contraseñas robustas almacenadas con función de resumen y sal, sesiones con expiración, roles y asignación por empresa validados en el servidor, desactivación inmediata de cuentas |
| Comunicaciones | Conexión cifrada (HTTPS con HSTS) y cookies de sesión protegidas |
| Almacenamiento | Proveedor de infraestructura con certificaciones de seguridad reconocidas, documentos con identificadores aleatorios y descargas a través del servidor |
| Trazabilidad | Registro de actividad por cliente con autor, fecha y hora |
| Organización | Deber de secreto del personal (Art. 14 bis), acceso según necesidad, capacitación, revisión periódica de usuarios activos |
| Proveedores | Evaluación previa y contratos con cláusulas de protección de datos |
8. Subencargados
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Vercel Inc. | Alojamiento, base de datos y almacenamiento de documentos del panel | Brasil (São Paulo) |
| Anthropic PBC | Análisis asistido por IA de informes de Gap Analysis importados por un administrador | Estados Unidos |
Cloudev informará a sus clientes de la incorporación o reemplazo de subencargados con antelación razonable, en los términos del contrato.
9. Uso de inteligencia artificial
Cuando un administrador importa un informe de Gap Analysis, su contenido se envía a la API de Anthropic para proponer el catálogo de brechas, el plan y las actividades del RAT. Cloudev usa la API bajo términos comerciales que no permiten usar ese contenido para entrenar modelos. La propuesta es siempre revisada por un profesional antes de mostrarse al cliente; no se adoptan decisiones automatizadas sobre personas.
10. Transferencias internacionales
Las transferencias a los países indicados se efectúan con las garantías contractuales que ofrecen los proveedores, conforme a los Arts. 27 y 28. El cliente es informado de ellas antes de cargar información en el panel. Los datos del panel se tratan y almacenan en São Paulo (Brasil), en la infraestructura de Vercel Inc., incluidas sus copias de respaldo.
11. Conservación y supresión
Los datos se conservan solo mientras sean necesarios para la finalidad que justificó su tratamiento. La información de cada cliente se mantiene durante la vigencia del contrato y luego se devuelve o suprime en el plazo pactado. Los datos de usuarios del panel siguen los plazos de la Política de privacidad.
12. Gestión de vulneraciones de seguridad
- Detección y contención: quien detecte un incidente lo informa de inmediato al Delegado de Protección de Datos, que coordina su contención.
- Evaluación: se determina qué datos, titulares y clientes se ven afectados y el riesgo para ellos.
- Comunicación: si afecta datos de un cliente, Cloudev lo informa sin dilaciones indebidas para que este evalúe el reporte a la Agencia y a los titulares. Si Cloudev es responsable, reporta directamente cuando corresponda (Art. 14 sexies).
- Registro: todo incidente se documenta con sus causas, efectos y medidas adoptadas, haya sido o no reportado.
13. Derechos de los titulares
Las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo se reciben en contacto@cloudev.cl y se responden en el plazo legal de 30 días corridos, prorrogable por una vez. Si se refieren a datos tratados por encargo de un cliente, se derivan sin demora al cliente responsable y Cloudev le presta la asistencia necesaria.
14. Responsabilidades
- Dirección de Cloudev: aprueba esta política y asigna los recursos para cumplirla.
- Andrés Hevia Heredia: supervisa su cumplimiento, atiende consultas y solicitudes, gestiona incidentes y propone mejoras.
- Personas autorizadas: tratan los datos solo según esta política y sus instrucciones, y guardan secreto incluso tras terminar su relación con Cloudev.
15. Revisión
Esta política se revisa al menos una vez al año o cuando cambien la ley, los servicios o los proveedores. La versión vigente se publica en esta página.