# Anexo de Encargo de Tratamiento de Datos Personales Este anexo forma parte de los Términos y Condiciones y regula el tratamiento de datos personales que JUSTSEO SpA, RUT 77.192.665-7, con domicilio en Holanda 099, oficina 1101, Providencia, Santiago de Chile (el "Encargado") realiza **por cuenta** del Cliente (el "Responsable") al prestar JUSTMESSAGE. Se suscribe conforme a la Ley 19.628 y a la Ley 21.719 sobre protección de datos personales. ## 1. Objeto y roles El Responsable determina los fines y medios del tratamiento de los datos de sus Usuarios Finales. El Encargado los trata únicamente siguiendo sus instrucciones documentadas, que son las que se ejecutan mediante la configuración de la plataforma y este anexo. Si el Encargado tratara esos datos para fines propios o los cediera sin autorización, pasaría a ser responsable respecto de ese tratamiento y respondería conforme a la ley. ## 2. Alcance del tratamiento El detalle está en el **Anexo I**. En resumen: - **Objeto**: prestación de la bandeja de entrada multicanal y sus funciones complementarias. - **Duración**: mientras la cuenta esté activa, más el plazo de conservación posterior indicado en las Condiciones Comerciales. - **Naturaleza y finalidad**: recibir, almacenar, mostrar y enviar mensajes; gestionar contactos y su asignación a agentes; y generar los análisis de IA que el Responsable active. - **Datos sensibles**: la plataforma no está diseñada para tratar datos sensibles. Si el Responsable los introduce, responde de la licitud de ese tratamiento y de informarlo previamente al Encargado. ## 3. Obligaciones del Encargado 1. Tratar los datos sólo conforme a las instrucciones del Responsable y no usarlos para fines propios; en particular, no venderlos ni entrenar modelos de inteligencia artificial con ellos. 2. Guardar confidencialidad y exigir el mismo deber a su personal, que accede sólo cuando es necesario para operar o dar soporte, con registro de auditoría y bajo las condiciones de la cláusula 8. 3. Aplicar las medidas de seguridad del **Anexo II** y revisarlas periódicamente. 4. Asistir al Responsable, en la medida de lo razonable, para atender las solicitudes de los titulares y sus obligaciones de seguridad y notificación. 5. Notificar al Responsable **sin dilaciones indebidas y, a más tardar, dentro de las 48 horas** siguientes a que tome conocimiento de una vulneración de seguridad que afecte a sus datos, con la información disponible para que pueda cumplir sus propios plazos de notificación. 6. Al terminar el servicio, poner los datos a disposición del Responsable para su exportación y luego eliminarlos, salvo obligación legal de conservación. 7. Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento de este anexo, conforme a la cláusula 9. 8. Mantener un registro de las actividades de tratamiento que realiza por cuenta del Responsable. ## 4. Obligaciones del Responsable 1. Contar con base legal para el tratamiento y, en particular, con el consentimiento (opt-in) acreditable de sus contactos. 2. Informar a los titulares sobre el tratamiento, incluida la existencia de respuestas automatizadas cuando active agentes de IA. 3. Configurar la plataforma conforme a sus propias obligaciones, incluidos los plazos de conservación y quién de su equipo accede a qué. 4. Atender las solicitudes de derechos de sus titulares. 5. Elegir el proveedor de inteligencia artificial y el plan contratado con él cuando active esas funciones, conforme a la cláusula 6. ## 5. Subencargados El Responsable **autoriza** al Encargado a recurrir a los subencargados listados en la página de Subprocesadores para prestar el servicio. El Encargado les impone por contrato obligaciones equivalentes a las de este anexo y responde de su actuación como de la propia. El alta o el cambio de un subencargado se publica en esa página y se avisa a los Clientes con **al menos 30 días corridos** de anticipación. Dentro de ese plazo el Responsable puede oponerse por escrito; si la objeción es razonable y no existe una alternativa técnica equivalente, podrá terminar el servicio sin costo antes de que el cambio rija, con reembolso proporcional del período pagado y no utilizado. ## 6. Proveedores de inteligencia artificial contratados por el Responsable Las funciones de IA operan con la credencial que el Responsable aporta. En ese supuesto, el proveedor de IA **no es un subencargado del Encargado**: es un tercero contratado directamente por el Responsable, que acepta sus condiciones y paga su consumo. El Encargado se limita a transmitir el contenido necesario usando esa credencial, siguiendo la instrucción del Responsable, y no puede imponer a ese proveedor obligaciones contractuales ni garantizar las suyas. Corresponde al Responsable verificar, antes de activar estas funciones, qué permite hacer con el contenido el plan que tiene contratado con su proveedor. ## 7. Transferencias internacionales La infraestructura del Encargado está alojada en Estados Unidos, y algunos subencargados procesan datos fuera de Chile, según se indica en la página de Subprocesadores. El Encargado exigirá garantías contractuales adecuadas para que el nivel de protección sea equivalente al de este anexo y al que exige la legislación chilena aplicable. ## 8. Acceso del personal del Encargado a la cuenta Para atender solicitudes de soporte, el personal autorizado del Encargado puede acceder a la cuenta del Responsable en una sesión acotada que registra quién accedió, con qué motivo y por cuánto tiempo. Esa sesión no permite firmar documentos legales ni ejecutar operaciones de pago en nombre del Responsable. El Responsable puede solicitar el detalle de estos accesos. ## 9. Auditoría El Responsable puede verificar el cumplimiento de este anexo solicitando, no más de una vez al año y con aviso previo de 30 días, la documentación e informes que el Encargado mantenga sobre sus medidas de seguridad. Las auditorías presenciales o a cargo de terceros sólo procederán cuando la documentación entregada resulte insuficiente para acreditar el cumplimiento o cuando lo exija una autoridad competente, y sus costos serán de cargo del Responsable, salvo que la auditoría revele un incumplimiento del Encargado. ## 10. Responsabilidad Las limitaciones de responsabilidad de los Términos y Condiciones aplican a este anexo, **salvo** respecto de la responsabilidad derivada de la infracción de la normativa de protección de datos personales, que queda excluida de dichos topes en la medida en que la ley no permita limitarla. ## 11. Vigencia Este anexo rige mientras el Encargado trate datos por cuenta del Responsable y subsiste, en lo aplicable, tras el término del contrato principal. --- ## Anexo I. Descripción del tratamiento | Elemento | Detalle | |---|---| | Categorías de titulares | Personas que se comunican con el Responsable por los canales conectados (Usuarios Finales) y usuarios de la cuenta que el Responsable autoriza | | Tipos de datos | Nombre o alias, número de teléfono e identificadores del canal de mensajería; contenido de los mensajes y sus archivos adjuntos; metadatos de la conversación (fecha, canal, agente asignado, estado); etiquetas y notas que el Responsable agregue; análisis generados por IA cuando estén activos; documentos de base de conocimiento cargados por el Responsable | | Datos sensibles | No previstos. Su introducción es decisión y responsabilidad del Responsable | | Naturaleza del tratamiento | Recepción, almacenamiento, organización, consulta, transmisión y eliminación por medios automatizados | | Finalidad | Prestar la bandeja de entrada multicanal y las funciones que el Responsable active | | Frecuencia | Continua, mientras la cuenta esté activa | | Duración | Vigencia de la cuenta más 30 días para exportación, salvo obligación legal de conservación | | Ubicación del tratamiento | Estados Unidos (Amazon Web Services, regiones us-east-1 y us-east-2) | ## Anexo II. Medidas técnicas y organizativas **Control de acceso.** Autenticación de los usuarios de la cuenta, control de permisos por roles dentro de cada cuenta, y acceso del personal del Encargado limitado a lo necesario para operar y dar soporte, con registro de auditoría de las acciones realizadas y de las sesiones de soporte. **Aislamiento entre clientes.** Arquitectura multi-tenant con separación lógica de los datos por cliente aplicada en la capa de acceso a datos. **Cifrado.** Tráfico cifrado en tránsito mediante TLS. Credenciales de canales y claves de proveedores de IA cifradas en reposo con AES-256-GCM. Archivos adjuntos accesibles sólo mediante enlaces firmados de vigencia limitada y verificación de autorización. **Contraseñas.** Almacenadas con función de derivación de claves resistente a fuerza bruta; nunca en texto plano ni reversibles. **Respaldos y continuidad.** Respaldos automáticos de la base de datos con retención acotada y restauración a un punto en el tiempo. **Registro y monitoreo.** Registros de acceso y de eventos relevantes de seguridad, con retención de hasta 12 meses, y bitácora de las acciones del personal del Encargado sobre cuentas de clientes. **Gestión de vulnerabilidades.** Actualización de dependencias y de las imágenes de ejecución, y revisión de los cambios antes de su despliegue. **Personal.** Deber de confidencialidad, acceso bajo el principio de mínimo privilegio y revocación de accesos al término de la relación. **Eliminación.** Procedimiento de eliminación de datos a solicitud del Responsable y al término del contrato, conforme a la cláusula 3.6.