Anexo de Encargo de Tratamiento de Datos

Este Anexo forma parte de los Términos y Condiciones (versión 2026-10-25.2) y se acepta junto con ellos. Regula cómo Contestohoy trata, por encargo de cada Negocio, los datos personales de sus clientes. La aceptación queda registrada en la cuenta del dueño, con la versión, la fecha, la IP y el navegador, y cubre todos los Negocios de esa cuenta. Lo que Contestohoy hace con los datos de su propia relación con los Usuarios está en la Política de Privacidad.

1. Partes y objeto

1.1. El Negocio identificado en la cuenta (el "Responsable") encarga a Contestohoy SpA, RUT 78.413.327-3, con domicilio en Los Ilanes N.º 86, Las Condes, Región Metropolitana, Chile (el "Encargado"), el tratamiento de datos personales para prestar las funciones de atención, mensajería, agenda y cobros que contrate.

1.2. Este Anexo es el mandato escrito que exige el artículo 8 de la Ley 19.628 y se interpretará también conforme a la Ley 21.719 desde su vigencia, en especial en lo que regula a encargados y subencargados.

1.3. El Responsable decide para qué se tratan los datos de sus clientes. Contestohoy solo define los medios técnicos no esenciales necesarios para ejecutar el encargo y no usa esos datos para fines propios. Respecto de los datos de su propia cuenta, facturación, soporte, seguridad y cumplimiento legal, Contestohoy es responsable independiente y esos tratamientos no forman parte de este encargo.

1.4. La calificación de los roles en este Anexo no prevalece sobre lo que efectivamente se haga: si Contestohoy usara datos del encargo para fines propios no autorizados, asumirá las consecuencias legales que correspondan.

2. Alcance del encargo

• Objeto: recibir, clasificar y responder mensajes y reseñas; administrar citas y recordatorios; organizar la información y el catálogo del Negocio; crear y consultar links de pago; entregar reportes y soporte autorizado.
• Duración: desde que se activan las funciones hasta el término del contrato y los plazos de eliminación de la sección 12.
• Titulares: Clientes finales, contactos comerciales y trabajadores o administradores del Negocio. Niños, niñas y adolescentes solo en la medida que la ley lo permita.
• Categorías de datos: nombre, teléfono o usuario de la plataforma, mensajes, fotos y audios, transcripciones, reseñas, reservas, pedidos, direcciones de despacho y estados de pago. Datos de salud solo en negocios de salud y con el consentimiento expreso del paciente (sección 3.3).
• Operaciones: recepción, almacenamiento, clasificación, redacción de respuestas con IA, transcripción de audios, envío por el canal autorizado, consulta, exportación y eliminación, solo en las funciones activadas.

3. Instrucciones y deberes del Responsable

3.1. Las instrucciones documentadas son este Anexo, las funciones activadas y la configuración que hagan los administradores autorizados, siempre que sean lícitas.

3.2. El Responsable debe informar a sus clientes, contar con un fundamento válido para tratar sus datos y contactarlos, atender sus derechos y mantener exacta la información que entrega.

3.3. Salud y otros datos sensibles. En negocios del rubro salud, la plataforma envía a cada paciente, la primera vez que escribe por chat, un mensaje fijo que explica para qué se usarían sus datos de salud y le pide responder SÍ o NO. Hasta que responde SÍ, su mensaje solo se guarda para el equipo del Negocio: la IA no lo responde, sus audios no se transcriben y sus mensajes no entran en los análisis con IA. Si responde NO, solo responde el equipo. Se guardan la fecha y la respuesta textual. Las emergencias se detectan por frases, sin IA, y se atienden igual. Este mecanismo es una herramienta: el Responsable debe verificar previamente la base de licitud aplicable, la información que entrega al paciente y las medidas adicionales que su actividad requiera, y un SÍ por sí solo no legitima cualquier tratamiento de salud.

3.3.1. Menores de edad. Si sus clientes son niños, niñas o adolescentes, el Responsable debe contar con la autorización de sus padres o representantes legales cuando la ley lo exija. En salud, el consentimiento debe darlo el representante legal; el mensaje de la plataforma lo pide así.

3.4. Si Contestohoy considera que una instrucción infringe la ley, se lo informará al Responsable y podrá suspender solo la operación afectada mientras se revisa, salvo que la ley prohíba comunicarlo.

3.5. El Responsable informará a Contestohoy de cualquier solicitud, limitación o instrucción sobre supresión, bloqueo, retención o uso de datos que afecte la ejecución del Servicio.

4. Obligaciones del Encargado

4.1. Tratar los datos solo según las instrucciones del Responsable o una obligación legal. No venderlos, no usarlos para publicidad ni para entrenar modelos de IA.

4.2. Limitar el acceso al personal autorizado que lo necesite, con deber de confidencialidad. El panel interno de Contestohoy no muestra mensajes, fotos, audios ni transcripciones, y registra cada visita a páginas con datos de cuentas. Las fotos y audios solo se entregan a quienes tienen acceso al Negocio.

4.3. Ayudar al Responsable a cumplir los derechos de los titulares, informar incidentes y cumplir la normativa, dentro de lo que la plataforma permite.

4.4. Mantener separada la información de cada Negocio y no entregarla a terceros no autorizados.

4.5. Entregar al Responsable, si lo pide razonablemente, la información necesaria para comprobar el cumplimiento, sin exponer datos de otros clientes ni comprometer la seguridad.

5. Medidas de seguridad

• Conexiones cifradas (HTTPS) en todo el sitio y la aplicación.
• Credenciales de las Plataformas cifradas con AES-256-GCM.
• Base de datos con cifrado en reposo del proveedor y políticas de acceso por fila.
• Separación por Negocio en cada consulta y control de permisos por rol (dueño o administrador).
• Fotos y audios en almacenamiento privado, borrados a los 30 días.
• Registro de los accesos del personal al panel interno.
• Monitoreo de errores sin datos personales por defecto.

No declaramos certificaciones (como ISO 27001 o SOC 2) que no tenemos. La autenticación en dos pasos para Usuarios todavía no está disponible.

6. Subencargados y plataformas independientes

6.1. Contestohoy usa los proveedores del inventario de la sección 13. Les impone obligaciones de confidencialidad, seguridad y uso limitado coherentes con este Anexo, mediante sus acuerdos de tratamiento de datos, y responde por ellos según la ley.

6.2. Al aceptar este Anexo, el Responsable autoriza específicamente y por escrito a los proveedores identificados como subencargados en el inventario de la sección 13, para los servicios y datos allí indicados. La aceptación queda registrada con la versión del inventario, la fecha y la cuenta.

6.3. Para incorporar o reemplazar un subencargado que trate datos de Clientes finales, avisaremos con al menos 30 días de anticipación indicando el proveedor, las funciones, los datos y los países, y pediremos una nueva autorización expresa en la app antes de que trate datos del Responsable. El silencio o el uso continuado no la reemplazan. Si no se da, podremos ofrecer una alternativa técnica o el Responsable podrá terminar el servicio afectado sin penalidad.

6.4. Meta, Google y MercadoPago actúan como responsables independientes en sus propios servicios, según la relación que el Negocio tiene directamente con ellos.

7. Inteligencia artificial

7.1. A los proveedores de IA solo se envía lo necesario para la función: la conversación reciente, la información del Negocio y, cuando corresponde, las fotos o audios.

7.2. Usamos Anthropic (modelos Claude) y OpenAI (solo transcripción de audios) mediante sus servicios de API para empresas, sin enviarles identificadores de usuario. Las condiciones comerciales de Anthropic le prohíben entrenar modelos con lo que le enviamos, y borra lo enviado y lo generado dentro de 30 días, salvo lo que su sistema marque como infracción de su política de uso (hasta 2 años) o lo que deba conservar por ley. Según la documentación de OpenAI, no entrena con lo que recibe por la API y, en la transcripción de audios, no lo conserva. No tenemos un acuerdo de retención cero.

7.3. El Responsable decide en qué casos revisar las respuestas antes de enviarlas y si la IA se presenta como asistente virtual (Términos, sección 6.7).

8. Incidentes de seguridad

8.1. Si Contestohoy conoce un acceso no autorizado, pérdida, alteración o comunicación indebida de datos del Responsable, tomará de inmediato las medidas de contención y análisis razonables.

8.2. Avisará al Responsable sin dilación indebida y, a más tardar, dentro de 48 horas desde que tenga conocimiento suficiente, al correo del dueño de la cuenta, sin esperar a terminar la investigación. El aviso inicial podrá completarse a medida que avance la investigación.

8.3. El aviso incluirá lo que se sepa: naturaleza del incidente, datos afectados, posibles consecuencias, medidas tomadas y un contacto. Las partes cooperarán en las notificaciones que la ley exija a titulares y autoridades.

9. Solicitudes de los titulares

9.1. Si un Cliente final nos pide algo sobre datos que tratamos por encargo (por ejemplo, desde el formulario de solicitud), se lo haremos llegar al Responsable y lo ayudaremos a ubicar, corregir, exportar, bloquear o eliminar la información.

9.2. El Responsable decide si la solicitud procede. Contestohoy no pondrá requisitos adicionales improcedentes.

10. Transferencias internacionales

10.1. Los subencargados del inventario tratan los datos en Estados Unidos. Las transferencias se hacen solo para prestar el Servicio y se amparan en los acuerdos de tratamiento de datos de cada proveedor, que incluyen cláusulas contractuales de protección y medidas de seguridad. La sola existencia de esos acuerdos no se considera garantía suficiente: cada transferencia se evalúa según su realidad.

10.2. Desde el 1 de diciembre de 2026 se cumplirán, cuando correspondan, los requisitos de transferencia internacional y garantías adecuadas de los artículos 27 y siguientes de la Ley N.º 19.628 modificada por la Ley N.º 21.719.

11. Control y cooperación

11.1. Si el Responsable lo pide, Contestohoy le entregará información razonable para demostrar el cumplimiento de este Anexo: resumen de medidas, proveedores vigentes y procesos relevantes, sin comprometer la seguridad ni los datos de otros clientes.

11.2. Las observaciones de cumplimiento se corregirán en un plazo acorde a su gravedad.

12. Término, devolución y eliminación

• Exportación: el dueño de la cuenta puede descargar en cualquier momento una copia de los datos (JSON) desde Mi cuenta → Perfil, también durante los 30 días posteriores al cierre.
• Cierre de cuenta: los datos se eliminan 30 días después del cierre, salvo que el Responsable reactive la cuenta antes; al hacerlo se envía un correo que sirve de constancia de eliminación.
• Negocio eliminado: se puede restaurar por 30 días y luego se borra junto con sus datos.
• Fotos y audios de WhatsApp: se borran a los 30 días; el texto y la transcripción siguen con la conversación.
• Credenciales de conexiones: se borran al desconectar, salvo WhatsApp, que se guarda 30 días para poder reconectarlo con un clic (Meta no permite volver a compartir el mismo número de otra forma).
• Respaldos de la base: se renuevan en ciclos de hasta 30 días.
• Registros propios de Contestohoy: la facturación, los cobros, las comisiones y las constancias de aceptación no son datos del encargo ni siguen las instrucciones del Responsable; se conservan solo en la medida que la ley lo justifique, según la Política de Privacidad.

La obligación de confidencialidad sigue vigente después del término.

13. Inventario de proveedores

PostHog no está en el inventario porque no trata datos de Clientes finales: lo usamos para medir visitas a nuestras páginas públicas y algunos pasos de las cuentas de nuestros Usuarios, un tratamiento propio de Contestohoy que se informa en la Política de Privacidad.

Contacto de Contestohoy para este Anexo: contacto@contestohoy.com.