Acuerdo de Encargo de Tratamiento de Datos Personales

El presente Acuerdo de Encargo de Tratamiento (“Acuerdo”) se celebra entre:

• Responsable del tratamiento: la empresa o persona jurídica que contrata el servicio Askesis (en adelante, “el Cliente” o “el Responsable”).
• Encargado del tratamiento: Askesis SpA, RUT por confirmar, domiciliada en Santiago de Chile (en adelante, “Askesis” o “el Encargado”).

Este Acuerdo entra en vigor en el momento en que el administrador de la empresa acepta los Términos y Condiciones del servicio.

Askesis tratará datos personales de los empleados y colaboradores del Cliente con el único fin de prestar los servicios contratados, que incluyen:

• Gestión de la Academia de Ciberseguridad (registro de avance, certificados, evaluaciones)
• Simulaciones de phishing con finalidad formativa
• Análisis de brecha de cumplimiento normativo
• Gestión de incidentes de seguridad
• Envío de correos de concientización semanales
• Registro de firmas digitales de documentos corporativos (FES)
• Detección de amenazas IA a solicitud del usuario
• Cualquier otro módulo habilitado por el Cliente dentro de la plataforma

Askesis tratará únicamente las siguientes categorías de datos:

• Datos de identificación: nombre completo, correo electrónico corporativo
• Datos de uso de la plataforma: progreso en cursos, resultados de evaluaciones, intentos de examen, score de cumplimiento
• Datos de comportamiento en simulaciones: si el empleado hizo clic en correos de phishing simulados (con finalidad formativa exclusiva)
• Firmas digitales: hash de IP anonimizado (nunca IP en texto plano), hash del documento firmado, fecha y hora de firma
• Solicitudes ARCO: nombre del solicitante, tipo de solicitud; el correo y RUT se almacenan cifrados y hasheados respectivamente

Askesis no trata RUT, datos bancarios, datos de salud, datos biométricos ni ninguna categoría especial de datos personales definida en el artículo 16 de la Ley 21.719.

Askesis se compromete a:

• Tratar los datos personales únicamente según las instrucciones documentadas del Responsable
• No ceder ni comunicar datos a terceros salvo obligación legal expresa o subencargados necesarios para la prestación del servicio (ver cláusula 5)
• Implementar medidas técnicas y organizativas adecuadas: cifrado en tránsito (TLS 1.3) y en reposo para campos sensibles (Fernet AES-256), control de acceso por roles, audit log con retención mínima de 5 años
• Garantizar el aislamiento de datos entre empresas (arquitectura multitenant con filtro por company_id en todas las consultas)
• Notificar al Responsable dentro de las 72 horas siguientes a tener conocimiento de una brecha de seguridad que afecte datos personales del Cliente
• Asistir al Responsable en el cumplimiento de los derechos ARCO de los titulares de datos
• Suprimir o devolver los datos al término del contrato, según elija el Cliente, dentro de los 30 días siguientes a la terminación
• Mantener un registro interno del tratamiento realizado

Para la prestación del servicio, Askesis puede utilizar los siguientes subencargados, todos con niveles de protección adecuados:

Askesis notificará al Cliente con al menos 15 días de anticipación ante cambios en los subencargados que puedan afectar la protección de datos.

El Cliente se compromete a:

• Haber obtenido las bases legales necesarias para que sus empleados sean ingresados a la plataforma (consentimiento, relación contractual laboral u otra base aplicable)
• Informar a sus empleados sobre el tratamiento de sus datos en Askesis conforme al artículo 13 de la Ley 21.719
• Usar el simulador de phishing exclusivamente con finalidad formativa y con empleados de su propia organización
• No introducir datos de categorías especiales (salud, biometría, datos sindicales, etc.) en ningún campo de la plataforma
• Designar un contacto responsable para comunicaciones relacionadas con privacidad

Cuando un titular de datos (empleado del Cliente) ejerza sus derechos de acceso, rectificación, supresión, oposición o portabilidad ante el Cliente, Askesis asistirá al Responsable facilitando:

• Exportación de todos los datos del usuario (función disponible en el perfil del empleado y en el panel de administración)
• Eliminación de la cuenta y anonimización de datos (disponible vía panel de administración)
• Portabilidad en formato JSON (función de export ARCO, Art. 9 Ley 21.719)

El portal ARCO público (/arco/[slug]), cuando está habilitado, permite que terceros presenten solicitudes formales directamente al Cliente.

• Datos de actividad: se anonomizan tras 90 días de inactividad del usuario
• Audit logs: retención mínima de 5 años — decisión de diseño interna de Askesis (la Ley 21.719 exige medidas de seguridad adecuadas, Art. 14 quinquies, pero no fija un plazo de retención específico para logs de auditoría)
• Al término del contrato: Askesis eliminará o devolverá todos los datos dentro de los 30 días siguientes a la baja de la suscripción, salvo que la ley exija conservarlos
• Correos cifrados en ARCO: eliminados 30 días después de la respuesta a la solicitud

Cuando Askesis utilice subencargados ubicados fuera de Chile (OpenAI, Twilio, SendGrid), se transferirán únicamente los datos mínimos necesarios para la prestación del servicio. Askesis implementa cláusulas contractuales estándar con dichos proveedores conforme a las garantías previstas en la Ley 21.719.

El Cliente podrá solicitar a Askesis, con al menos 15 días de anticipación y con una frecuencia máxima de una vez al año, documentación que acredite el cumplimiento de las obligaciones de este Acuerdo. Askesis responderá por escrito dentro de los 20 días hábiles siguientes.

Este Acuerdo tiene la misma vigencia que el contrato de servicio principal. Askesis podrá actualizarlo con al menos 30 días de anticipación, notificando por correo electrónico. La versión en vigor queda registrada en el panel de administración de cada empresa.

Para consultas sobre este Acuerdo o el tratamiento de datos personales, contáctanos en: privacidad@askesis.cl