Contrato de Encargo de Tratamiento de Datos Personales (DPA)

⚠️ BORRADOR — pendiente de revisión de un abogado. No usar en producción sin validar.

Contrato de Encargo de Tratamiento de Datos Personales celebrado entre Comercializadora Andes SpA (RUT 76.543.210-K), en adelante el "Responsable", y CloudHost, Inc, en adelante el "Encargado", con fecha 3 de marzo de 2026.

1. Partes

Responsable: Comercializadora Andes SpA, RUT 76.543.210-K, domicilio en Av. Providencia 1234, Oficina 567, Providencia, Santiago, representado por María Fernanda Rojas Contreras.

Encargado: CloudHost, Inc, domicilio en 1200 Park Avenue, Wilmington, Delaware, Estados Unidos, representado por Michael Anderson (Data Protection Manager).

2. Objeto del encargo e instrucciones

El Encargado prestará al Responsable el siguiente servicio: alojamiento en la nube (hosting) de los sistemas de gestión comercial y del sitio web. En el marco de dicho servicio, el Encargado tratará las siguientes categorías de datos: nombre, RUT, correo electrónico, teléfono, historial de compras y datos de navegación, respecto de las siguientes categorías de titulares: clientes y visitantes del sitio web. El Encargado realizará el tratamiento exclusivamente conforme al encargo y a las instrucciones del Responsable, quedándole prohibido tratar los datos para un objeto distinto del convenido, así como cederlos o entregarlos a terceros sin autorización expresa y específica del Responsable. La duración del encargo es de 12 meses, renovable automáticamente salvo aviso de término con 30 días de anticipación.

3. Confidencialidad

El Encargado y quienes bajo su responsabilidad ejecuten operaciones de tratamiento de datos personales están obligados a mantener secreto y confidencialidad respecto de los datos personales tratados, deber que subsiste aún después de terminado este contrato. El Encargado adoptará las medidas necesarias para que su personal y sus dependientes cumplan este deber.

4. Medidas de seguridad

El Encargado aplicará medidas técnicas y organizativas apropiadas al riesgo del tratamiento, que garanticen la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, incluyendo, en lo pertinente, seudonimización y cifrado de los datos personales, capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida ante un incidente, y un proceso de verificación, evaluación y valoración regulares de la eficacia de dichas medidas. El Encargado deberá poder acreditar ante el Responsable la existencia y funcionamiento de estas medidas.

5. Subencargados

El Encargado no podrá delegar en un tercero (subencargado) parte o la totalidad del encargo, salvo autorización previa, específica y por escrito del Responsable. Si el Encargado delega el tratamiento con dicha autorización, continuará siendo solidariamente responsable frente al Responsable por el cumplimiento de este contrato y no podrá eximirse de responsabilidad argumentando que ha delegado el tratamiento.

6. Transferencias internacionales

En la ejecución del encargo, el Encargado transfiere o aloja datos personales fuera de Chile. Los servidores que alojan los datos se encuentran en Estados Unidos; CloudHost, Inc mantiene certificación SOC 2 Tipo II. El Encargado deberá informar al Responsable si el país de destino ofrece un nivel adecuado de protección y, en caso contrario, las garantías adoptadas.

7. Asistencia al Responsable: derechos de los titulares y vulneraciones de seguridad

El Encargado prestará al Responsable la colaboración razonable que este requiera para atender solicitudes de titulares (acceso, rectificación, supresión, oposición, portabilidad y bloqueo). Tratándose de una vulneración a las medidas de seguridad que afecte datos tratados en virtud de este contrato, el Encargado deberá reportar este hecho al Responsable por los medios más expeditos posibles, sin dilaciones indebidas, para que este último pueda cumplir su propio deber de reporte a la Agencia y, cuando corresponda, de comunicación a los titulares.

8. Supresión o devolución al término del contrato

Cumplida la prestación del servicio, o terminado este contrato por cualquier causa, los datos personales que obren en poder del Encargado deben ser suprimidos o devueltos al Responsable, según este último lo instruya, salvo que una obligación legal exija su conservación por un plazo adicional.

9. Auditoría y verificación de cumplimiento

El Responsable podrá solicitar al Encargado la información razonable necesaria para verificar el cumplimiento de este contrato y de las obligaciones de seguridad y confidencialidad aquí descritas. Esta cláusula recoge una práctica estándar de mercado; no está impuesta literalmente por el artículo 15 bis y deberá revisarse cuando la Agencia de Protección de Datos Personales publique sus modelos tipo de contrato.

10. Firmas

Por el Responsable: María Fernanda Rojas Contreras, Comercializadora Andes SpA.

Por el Encargado: Michael Anderson (Data Protection Manager), CloudHost, Inc.

*Fuente legal: Ley N° 19.628 (ref. Ley N° 21.719), art. 15 bis (contrato de encargo), con remisión a los arts. 14 bis (confidencialidad) y 14 quinquies (medidas de seguridad). El Responsable no se exime de sus obligaciones por haber delegado el tratamiento en un encargado. Borrador pendiente de revisión de abogado; cotejar contra el modelo tipo de la Agencia cuando esté disponible.*