Acuerdo de Tratamiento de Datos (anexo de encargado)

Versión 1.0 · 3 de septiembre de 2026. Este acuerdo forma parte de los Términos y condiciones de KUZ CRM y se celebra conforme al artículo 15 bis de la Ley N° 19.628, modificada por la Ley N° 21.719. Se acepta electrónicamente al crear la organización (Ley N° 19.799 sobre documentos y firma electrónica) y queda registrado con fecha, hora, usuario y dirección IP.

1. Partes

• Responsable: la organización que crea una cuenta en KUZ CRM, representada por el usuario propietario que acepta este acuerdo (en adelante, "el Cliente").
• Encargado: [Razón social], RUT [RUT], operador de KUZ CRM (en adelante, "KUZ").

2. Objeto del encargo (art. 15 bis, inciso tercero)

KUZ tratará datos personales por cuenta del Cliente únicamente para prestar el servicio KUZ CRM contratado: gestión de clientes y contactos, captación y seguimiento de leads, mensajería omnicanal, analítica y grabación de sesiones del sitio web del Cliente, posventa (SAC), mailing, finanzas (cobranza, comportamiento de pago y evaluación comercial) y análisis con inteligencia artificial, según el plan vigente y las funciones que el Cliente active.

3. Duración

Desde la aceptación y mientras exista la cuenta, incluidos el periodo de prueba, el periodo de solo lectura posterior a la prueba y los 60 días de gracia tras la cancelación, hasta la supresión efectiva de los datos conforme a la cláusula 12.

4. Finalidad, tipo de datos y categorías de titulares

• Finalidad: la que determine el Cliente dentro del objeto de la cláusula 2. KUZ no trata los datos para fines propios, salvo métricas agregadas y anónimas de uso de la plataforma.
• Tipos de datos: identificación (nombre, RUT), contacto (correo, teléfono, dirección), datos comerciales y transaccionales (documentos de venta, pagos, condiciones de crédito), contenido de conversaciones y tickets, datos de navegación seudonimizados (identificador de visitante, páginas, eventos, grabaciones con enmascaramiento), y los que el Cliente incorpore voluntariamente. KUZ no requiere datos sensibles; el Cliente se obliga a no cargarlos salvo que cuente con base legal y lo declare a KUZ.
• Categorías de titulares: clientes y prospectos del Cliente (personas naturales y representantes de empresas), sus contactos, visitantes del sitio web del Cliente y usuarios del Cliente en la plataforma.

5. Instrucciones del responsable

KUZ tratará los datos solo según las instrucciones documentadas del Cliente, que son: este acuerdo, los Términos, la configuración que el Cliente aplique en la plataforma y las órdenes que emita por los canales de soporte. Si KUZ considera que una instrucción infringe la ley, lo informará al Cliente antes de ejecutarla. Queda prohibido a KUZ tratar los datos para un objeto distinto del convenido y cederlos o entregarlos a terceros sin autorización expresa y específica del Cliente (art. 15 bis, inciso primero).

6. Confidencialidad (art. 14 bis)

KUZ guardará secreto sobre los datos y limitará el acceso a su personal con necesidad de conocerlos, sujeto a deberes de confidencialidad. El personal de KUZ no accede al contenido comercial de las cuentas (leads, conversaciones, clientes) salvo instrucción del Cliente para resolver un caso de soporte, y todo acceso queda registrado.

7. Medidas de seguridad (art. 14 quinquies)

KUZ mantiene, como mínimo:

• Cifrado en tránsito TLS 1.2 o superior; cabeceras de seguridad y política de contenido estricta.
• Cifrado AES-256-GCM de las credenciales de integraciones, con clave exclusiva del servidor y ligada a la organización; nunca se devuelven al navegador.
• Autenticación con contraseñas scrypt, bloqueo progresivo, segundo factor TOTP disponible para todos los usuarios y obligatorio para el personal administrador de KUZ, sesiones de 15 minutos con renovación rotativa y detección de reúso.
• Control de acceso por roles (propietario, administrador, ventas, soporte, lectura) y aislamiento por organización en cada consulta.
• Enmascaramiento en el navegador de campos de formulario, contraseñas, correos y teléfonos en las grabaciones de sesión; eliminación automática según el plan.
• Bitácora de auditoría de accesos, cambios, exportaciones y supresiones, conservada 12 meses.
• Límites de tasa por IP y organización; lista de IP autorizadas y llave SSH para la administración del servidor.
• Respaldos cifrados y procedimiento de restauración probado; revisión periódica de la eficacia de las medidas.

KUZ podrá actualizar estas medidas siempre que no reduzca el nivel de protección.

8. Subencargados

El Cliente autoriza de manera específica y por escrito, mediante la aceptación de este acuerdo, a los subencargados listados en kuzcrm.com/legal/subencargados.html, para los servicios y en los países ahí indicados (art. 15 bis, inciso tercero). Para incorporar un subencargado nuevo, KUZ lo notificará al propietario de la cuenta con al menos 30 días de anticipación; el Cliente podrá objetar fundadamente y, si no hay alternativa razonable, terminar el servicio sin costo. KUZ impone a cada subencargado obligaciones equivalentes a las de este acuerdo y sigue siendo responsable solidario frente al Cliente por su actuación.

9. Asistencia en los derechos de los titulares (arts. 4 a 11)

KUZ pone a disposición del Cliente, sin costo, herramientas en la plataforma (módulo Privacidad) para: registrar y controlar el plazo de cada solicitud (30 días corridos, prórroga única de 30, art. 11), localizar todo lo que la cuenta conserva sobre un titular, exportarlo en formato estructurado (acceso y portabilidad), rectificarlo y suprimirlo o anonimizarlo. Si un titular se dirige directamente a KUZ, KUZ le indicará que el responsable es el Cliente y reenviará la solicitud al Cliente dentro de 3 días hábiles. Cuando el Cliente necesite asistencia adicional, KUZ responderá dentro de 5 días hábiles para que el Cliente cumpla el plazo legal.

10. Vulneraciones de seguridad (arts. 14 sexies y 15 bis)

KUZ notificará al propietario y a los administradores del Cliente toda vulneración de seguridad que afecte datos tratados por su cuenta sin dilaciones indebidas y, en todo caso, dentro de 48 horas desde que tome conocimiento, informando la naturaleza de la vulneración, las categorías de datos y el número aproximado de titulares afectados, las consecuencias probables y las medidas adoptadas o propuestas, y complementará la información a medida que la obtenga. El Cliente, como responsable, decide y ejecuta la notificación a la Agencia y a los titulares; KUZ cooperará entregando la información técnica necesaria. KUZ mantiene un registro de incidentes.

11. Evaluación de impacto, registro y auditoría

KUZ entrega al Cliente un registro de actividades de tratamiento generado desde su configuración (módulo Privacidad › Inventario) y la información necesaria para que el Cliente realice, cuando corresponda, la evaluación de impacto del art. 15 ter. Una vez al año, o ante indicios fundados de incumplimiento, el Cliente podrá solicitar un informe de cumplimiento de este acuerdo; las auditorías presenciales se coordinarán con 30 días de aviso, a costo del Cliente y sin acceso a datos de otras organizaciones.

12. Devolución y supresión al término (art. 15 bis, inciso final)

Al terminar el servicio, el Cliente puede exportar sus clientes, leads, conversaciones y documentos desde la plataforma durante el periodo de solo lectura o de gracia. Cumplido ese periodo, KUZ suprime de forma irreversible todos los datos personales del Cliente, incluidas grabaciones y adjuntos, y los elimina de los respaldos en el ciclo de rotación siguiente (máximo 35 días), salvo lo que una ley obligue a conservar (documentos de cobro emitidos por KUZ al Cliente). A petición del Cliente, KUZ certificará la supresión.

13. Transferencias internacionales (arts. 27 a 29)

El Cliente conoce y autoriza que la plataforma se aloje en servidores de Alentus Corporation en Estados Unidos y que algunos subencargados operen desde ese país. Como Estados Unidos no cuenta con una decisión de nivel adecuado de protección, KUZ garantiza esta transferencia mediante las siguientes cláusulas, que se obliga a mantener con cada subencargado situado fuera de Chile:

1. Los datos se tratan exclusivamente para prestar el servicio y bajo las instrucciones de KUZ y del Cliente; se prohíbe su uso para fines propios del subencargado, incluido el entrenamiento de modelos.
2. Confidencialidad y medidas de seguridad al menos equivalentes a las de la cláusula 7 y a las exigidas por la ley chilena.
3. Aviso a KUZ, salvo prohibición legal, de cualquier requerimiento de acceso de una autoridad, limitándolo a lo estrictamente exigido.
4. Cooperación para atender los derechos de los titulares y para notificar vulneraciones en los plazos de este acuerdo.
5. Devolución o supresión de los datos al término del servicio.
6. Los titulares pueden ejercer sus derechos ante el Cliente o ante KUZ en Chile, con independencia de dónde se traten los datos.

Si KUZ traslada el alojamiento a Chile o a un país con nivel adecuado, lo informará al Cliente y esta cláusula dejará de aplicarse a ese servicio.

14. Responsabilidad

Cada parte responde por los daños que cause por infracción de la ley o de este acuerdo. Si KUZ trata los datos para un objeto distinto del encargo o los cede sin autorización, será considerada responsable para todos los efectos legales (art. 15 bis, inciso segundo). El Cliente garantiza que cuenta con base de licitud para los datos que carga, que informa a los titulares conforme al art. 14 ter y que obtiene el consentimiento cuando la ley lo exige, en particular para el tracking y la grabación de sesiones en su sitio.

15. Ley aplicable y contacto

Este acuerdo se rige por las leyes de la República de Chile. Contacto de privacidad de KUZ: privacidad@kuzcrm.com (o [correo del responsable]). El Cliente declara el correo de privacidad de su organización en Privacidad › Configuración.

Registro de aceptación: se guarda en la configuración de la organización (dpaAceptadoEn, dpaVersion, dpaAceptadoPor) y en la bitácora de auditoría (privacidad.dpa.aceptar o auth.registro).