Este documento describe las prácticas de OnTech SAS en el tratamiento de datos personales en el contexto del producto On-Bot, en cumplimiento de la Ley N° 19.628 sobre Protección de la Vida Privada de Chile, y las mejores prácticas internacionales establecidas en el RGPD europeo.
1. Marco Legal Aplicable
El tratamiento de datos personales por parte de OnTech SAS se rige por:
- Ley N° 19.628 sobre Protección de la Vida Privada (Chile, 1999 y sus modificaciones)
- Ley N° 21.096 que reconoce la protección de datos personales como derecho constitucional (Chile, 2018)
- Reglamento (UE) 2016/679 (RGPD) para usuarios o clientes ubicados en el Espacio Económico Europeo
- Políticas de Uso Aceptable de Meta Platforms para el canal WhatsApp Business API
- Normativa tributaria chilena aplicable a datos de facturación
Chile se encuentra en proceso de modernización de su normativa de protección de datos. OnTech SAS adopta estándares internacionales de forma proactiva para asegurar el más alto nivel de protección.
2. Principios Rectores del Tratamiento
Todo tratamiento de datos realizado por OnTech SAS se rige por los siguientes principios:
Finalidad
Datos recogidos para fines determinados, explícitos y legítimos
Minimización
Solo los datos adecuados, pertinentes y limitados a lo necesario
Exactitud
Datos exactos y actualizados; inexactitudes corregidas sin dilación
Limitación
Conservados solo el tiempo necesario para la finalidad declarada
Integridad
Tratados con seguridad técnica y organizativa adecuada
Transparencia
Información clara y accesible al titular sobre el tratamiento
3. Roles en el Tratamiento de Datos
En el ecosistema On-Bot existen distintos roles según el tipo de datos y contexto:
Responsable del Tratamiento
OnTech SAS actúa como responsable respecto a los datos de sus clientes directos (empresas y personas que contratan On-Bot), determinando los fines y medios del tratamiento.
Encargado del Tratamiento
OnTech SAS actúa como encargado respecto a los datos de los clientes finales de sus clientes (usuarios finales de WhatsApp). En este caso, el cliente de OnTech es el responsable.
Cliente (Empresa)
La empresa o persona que contrata On-Bot. Es responsable de los datos de sus propios clientes/usuarios que son procesados por On-Bot.
Usuario Final
La persona natural que interactúa con On-Bot a través de WhatsApp. Sus datos son tratados por OnTech SAS bajo instrucción del cliente que contrató el servicio.
4. Bases de Legitimación
Cada tratamiento de datos se apoya en al menos una de las siguientes bases legales:
- Consentimiento (Art. 4 Ley 19.628): marketing, cookies no esenciales, comunicaciones opcionales. Revocable en cualquier momento.
- Ejecución de contrato: datos necesarios para prestar el servicio On-Bot contratado
- Cumplimiento de obligación legal: datos de facturación, registros requeridos por normativa tributaria
- Interés legítimo: seguridad de la plataforma, prevención de fraudes, mejora del servicio mediante análisis agregado
- Misión de servicio público o interés vital: cuando sea requerido por autoridad competente
5. Categorías de Datos Tratados
Datos de clientes directos (empresas que contratan On-Bot)
- Datos identificativos: nombre, RUT, razón social
- Datos de contacto: email, teléfono, dirección
- Datos de autenticación: credenciales cifradas
- Datos económicos: información de facturación y pago (tokenizados)
- Datos de uso: logs de acceso, configuraciones, métricas de uso
Datos de usuarios finales (clientes de nuestros clientes)
- Número de teléfono de WhatsApp (identificador técnico)
- Contenido de mensajes procesados por la IA
- Historial de conversaciones (según configuración del cliente)
- Datos que el usuario final comparta voluntariamente en la conversación
Datos sensibles: OnTech SAS no solicita ni recomienda recopilar categorías especiales de datos (salud, origen étnico, creencias religiosas, etc.) a través de On-Bot. Si un usuario final los comparte voluntariamente en una conversación, el cliente es responsable de manejarlos conforme a la ley.
6. Flujos de Datos en la Plataforma
El ciclo de vida de los datos en On-Bot sigue el siguiente flujo:
- Recopilación: los datos ingresan via formulario web, API de WhatsApp Business o integraciones del cliente
- Transmisión: cifrados en tránsito mediante TLS 1.3 en todos los canales
- Almacenamiento: en servidores cloud con cifrado en reposo (AES-256), ubicados preferentemente en Chile o Latinoamérica
- Procesamiento IA: los mensajes son procesados por el motor de IA de OnTech SAS; no se usan para entrenar modelos de IA de terceros sin autorización
- Acceso: restringido por roles; personal de OnTech SAS solo accede a datos bajo necesidad justificada
- Eliminación: según los plazos de retención definidos en la Política de Privacidad
7. Transferencias Internacionales de Datos
Cuando los datos se transfieren fuera de Chile (principalmente a servidores de Google Cloud, AWS o Azure), OnTech SAS garantiza un nivel de protección adecuado mediante:
- Contratos de procesamiento de datos con cláusulas estándar (SCC) basadas en el modelo RGPD
- Verificación del cumplimiento de normativas locales de los proveedores
- Preferencia por proveedores con centros de datos en la región latinoamericana
- Evaluación de impacto previa a nuevas transferencias internacionales
8. Subencargados del Tratamiento
OnTech SAS puede subcontratar el tratamiento de datos con terceros de confianza. Los subencargados actuales son:
- Proveedor de infraestructura cloud (Google Cloud / AWS / Azure): almacenamiento y procesamiento
- Meta Platforms (WhatsApp Business API): canal de mensajería
- Proveedor de pagos (certificado PCI-DSS): procesamiento de transacciones
- Proveedor de email transaccional: notificaciones y comunicaciones del servicio
- Herramienta de soporte técnico: gestión de tickets de soporte
Todos los subencargados están vinculados por contratos de tratamiento de datos que garantizan las mismas obligaciones de seguridad y confidencialidad que OnTech SAS.
9. Derechos del Titular de los Datos
Toda persona cuyos datos sean tratados por OnTech SAS tiene los siguientes derechos:
- Derecho de información: conocer si sus datos están siendo tratados y bajo qué condiciones
- Derecho de acceso: obtener copia de los datos personales que le conciernen
- Derecho de rectificación: corregir datos inexactos o incompletos
- Derecho de cancelación/supresión: solicitar la eliminación de sus datos ("derecho al olvido")
- Derecho de oposición: oponerse al tratamiento para fines de marketing directo
- Derecho de portabilidad: recibir sus datos en formato estructurado y legible por máquina
- Derecho a no ser objeto de decisiones automatizadas: solicitar revisión humana de decisiones automatizadas que le afecten significativamente
Cómo ejercer estos derechos: Envía una solicitud por escrito a privacidad@on-bot.cl, indicando nombre completo, tipo de solicitud y, si es posible, el número de contrato o email registrado. Responderemos en un plazo máximo de 30 días hábiles.
Si no obtienes respuesta satisfactoria, puedes presentar una reclamación ante el Consejo para la Transparencia de Chile (consejotransparencia.cl) o la autoridad de protección de datos competente.
10. Gestión de Brechas de Seguridad
OnTech SAS cuenta con un protocolo de respuesta a incidentes de seguridad que incluye:
- Detección y clasificación: identificación del incidente dentro de las primeras horas
- Contención: medidas inmediatas para limitar el impacto del incidente
- Evaluación: análisis del alcance, tipo de datos afectados y riesgo para los titulares
- Notificación a clientes: en un plazo máximo de 72 horas si existe riesgo para sus usuarios
- Notificación a autoridades: cuando sea requerido por la normativa aplicable
- Notificación a afectados: directamente cuando el riesgo sea alto para derechos y libertades
- Resolución y mejora: análisis post-incidente y actualización de controles
11. Acuerdo de Tratamiento de Datos (DPA)
Los clientes de OnTech SAS que actúan como responsables del tratamiento de datos de sus usuarios finales pueden solicitar la firma de un Acuerdo de Tratamiento de Datos (Data Processing Agreement - DPA) que detalla:
- Objeto, duración y naturaleza del tratamiento
- Tipo de datos personales y categorías de interesados
- Obligaciones y derechos del responsable
- Instrucciones de tratamiento y restricciones
- Cláusulas de confidencialidad para el personal de OnTech SAS
- Medidas de seguridad técnicas y organizativas
- Gestión de subencargados y transferencias internacionales
- Procedimiento ante brechas de seguridad
Para solicitar el DPA, contacta a legal@on-bot.cl. Es especialmente relevante para clientes en sectores regulados (salud, finanzas, educación).
