Para empresas clientes

Contrato de encargo de tratamiento de datos personales

Versión 1.0 Publicado el 7 de octubre de 2026 · Ley N° 19.628, modificada por la Ley N° 21.719

Este contrato regula cómo Empuja trata, por cuenta de cada empresa cliente, los datos personales que esa empresa carga en las aplicaciones Empuja. Lo acepta en línea el administrador o el dueño de la cuenta de la empresa; la aceptación queda registrada con la versión, la fecha, la dirección IP, la persona que aceptó y la huella digital (sha256) de este texto.

1. Partes

Este contrato complementa el contrato o las condiciones comerciales del servicio de software (el «Servicio»). Si hay contradicción en materia de datos personales, prevalece este contrato.

2. Objeto

El Responsable encarga a Empuja el tratamiento de los datos personales que el propio Responsable y sus usuarios ingresan, importan o generan en las aplicaciones Empuja contratadas, con el único fin de prestar el Servicio. Empuja tratará esos datos solo por cuenta del Responsable y siguiendo sus instrucciones documentadas, sin usarlos para fines propios ni comunicarlos a terceros, salvo lo indicado en este contrato o lo que exija la ley.

3. Duración

Rige desde su aceptación en línea y mientras dure el Servicio. Al terminar el Servicio por cualquier causa se aplica la cláusula 14 (devolución y supresión). Las obligaciones de confidencialidad y de seguridad sobre los datos que Empuja conserve después del término siguen vigentes mientras los conserve.

4. Finalidad

Los tratamientos permitidos son los necesarios para el Servicio: alojar y respaldar los datos; sincronizarlos entre los equipos de los usuarios; mostrarlos, calcularlos y generar documentos e informes; emitir documentos tributarios cuando el Responsable lo pida; enviar los correos y avisos que el Responsable configure; dar soporte técnico a pedido del Responsable; y mantener la seguridad, el registro de accesos y la auditoría. Empuja no usará los datos para perfilar, hacer publicidad, vender ni entrenar modelos de inteligencia artificial.

5. Tipos de datos y categorías de titulares

Dependen de las aplicaciones contratadas y de lo que el Responsable decida registrar. El Anexo A los detalla por aplicación. En general: datos de identificación y contacto (nombre, RUT, correo, teléfono, dirección), datos comerciales y tributarios (ventas, documentos, montos), datos laborales de los trabajadores del Responsable, fotos y firmas, y registros de uso. Algunas aplicaciones permiten registrar datos sensibles (por ejemplo, datos de salud en Educación, Obras o Peluquería) o datos de niñas, niños y adolescentes (Educación): el Responsable declara contar con la base de licitud y los consentimientos que exige la ley para tratarlos, incluido el del padre, madre o representante legal cuando corresponda.

6. Instrucciones del Responsable

• Son instrucciones del Responsable: este contrato, la configuración que su administrador haga en las aplicaciones (usuarios, permisos, plazos, envíos), las acciones que sus usuarios ejecuten en ellas y las solicitudes escritas a contacto@empuja.cl desde un correo de su administración.
• Si Empuja considera que una instrucción infringe la ley, lo informará de inmediato al Responsable y podrá abstenerse de cumplirla mientras no se aclare.
• El soporte técnico de Empuja entra a la cuenta del Responsable solo a pedido de este o para resolver una falla, con un pase temporal de 2 horas, en modo «solo mirar» salvo que se requiera editar, y cada ingreso queda en el registro de accesos y de auditoría que el Responsable puede revisar.

7. Confidencialidad del personal

Empuja garantiza que las personas autorizadas a tratar los datos (su equipo técnico, de soporte y comercial) se han comprometido por escrito a guardar secreto, incluso después de terminada su relación con Empuja, y que acceden solo a lo necesario para su función. El equipo comercial de Empuja no accede a los datos operativos que el Responsable carga en las aplicaciones.

8. Medidas de seguridad

Empuja aplica las medidas técnicas y organizativas del Anexo B, adecuadas al riesgo, y las mantiene actualizadas. Puede mejorarlas sin aviso, pero no reducir su nivel de protección.

9. Subencargados

El Responsable autoriza a Empuja a recurrir a los subencargados del Anexo C. Empuja les impone obligaciones de protección equivalentes a las de este contrato y responde por ellos ante el Responsable. Empuja avisará por correo al administrador del Responsable y publicará en esta página cualquier subencargado nuevo o reemplazo con al menos 30 días de anticipación; dentro de ese plazo el Responsable puede oponerse por motivos fundados y, si no hay una alternativa razonable, poner término al Servicio sin costo.

10. Apoyo para atender los derechos de los titulares

• El Responsable es quien responde a sus titulares (clientes, trabajadores, huéspedes, apoderados…). Para hacerlo, las aplicaciones ofrecen a su administrador herramientas para buscar, exportar (portabilidad), anonimizar y bloquear los datos de una persona, conservando lo que la ley obliga a guardar.
• Si un titular se dirige a Empuja por datos del Responsable, Empuja registrará la solicitud con su folio y plazo y se la derivará al Responsable a más tardar dentro de 2 días hábiles, sin responder al titular sobre el fondo salvo instrucción del Responsable.
• Empuja prestará la asistencia razonable para que el Responsable responda dentro del plazo legal de 30 días corridos (prorrogable una vez).

11. Incidentes de seguridad (brechas)

Si Empuja toma conocimiento de una vulneración de seguridad que afecte datos del Responsable, se la comunicará sin dilación indebida, y en lo posible dentro de 72 horas, al correo del administrador y por los canales que tenga registrados, informando al menos: qué ocurrió y cuándo; qué datos y cuántos titulares podrían estar afectados; las consecuencias probables; las medidas adoptadas y propuestas; y un contacto. Empuja colaborará para que el Responsable notifique a la Agencia de Protección de Datos Personales y a los titulares cuando corresponda, y conservará un registro de los incidentes.

12. Auditoría y rendición de cuentas

• El administrador y el perfil auditor del Responsable pueden revisar en cualquier momento, en la pantalla Auditoría de cada aplicación, quién creó, modificó, borró, exportó o anonimizó datos, con fecha, IP y el valor de antes y después, verificar que ese registro no fue alterado y exportarlo; y en Registro de accesos, los ingresos de sus usuarios.
• A pedido escrito, Empuja entregará una vez al año, sin costo, un informe de las medidas de seguridad vigentes, los subencargados y los incidentes del período. Las auditorías presenciales o por terceros se coordinarán con aviso razonable, a costo del Responsable y con compromiso de confidencialidad.

13. Transferencias internacionales

Los datos se alojan en Chile. Los únicos envíos fuera de Chile son los de los subencargados del Anexo C marcados como tales (correo y copia de respaldo cifrada en Google, verificación anti-robots y, solo si el Responsable la activa, la lectura de documentos con inteligencia artificial), con garantías contractuales de protección. La copia de respaldo va cifrada con una llave que solo tiene Empuja.

14. Devolución y supresión al término

• Durante el Servicio, y hasta 30 días después de su término, el administrador del Responsable puede descargar la exportación completa de sus datos (todas las colecciones y la lista de archivos) en formato JSON y Excel, o pedirla a Empuja.
• Pasado ese plazo, Empuja suprimirá los datos del Responsable de sus servidores dentro de los 60 días siguientes y lo confirmará por escrito si se lo piden. Las copias de respaldo cifradas se eliminan solas al rotar (como máximo 12 meses) y, mientras existan, solo se usan para recuperar el servicio ante un desastre.
• Se exceptúa lo que la ley obligue a conservar (por ejemplo, el registro de auditoría hasta cumplir su plazo de 2 años, o documentos tributarios cuando el Responsable no los haya descargado), que quedará bloqueado y se suprimirá al vencer ese plazo.

15. Obligaciones del Responsable

• Tratar los datos con una base de licitud, informar a sus titulares (incluida la existencia de este encargo) y obtener los consentimientos que correspondan, en especial para datos sensibles y de menores de edad.
• Cargar solo los datos necesarios para sus fines, mantenerlos exactos y definir sus plazos de conservación.
• Administrar con cuidado las cuentas de sus usuarios: dar a cada persona solo los permisos que necesita, desactivar a quienes dejan la empresa y no compartir contraseñas.
• Responder a sus titulares dentro de los plazos legales, usando las herramientas de las aplicaciones.

16. Responsabilidad

Cada parte responde por el incumplimiento de sus propias obligaciones legales y de este contrato. Si Empuja trata los datos para fines propios o contra las instrucciones del Responsable, será considerada responsable de ese tratamiento. Las limitaciones de responsabilidad del contrato del Servicio se aplican en lo que la ley permita.

17. Modificaciones

Empuja puede actualizar este contrato para ajustarlo a la ley, a criterios de la Agencia de Protección de Datos Personales o a cambios del Servicio. Publicará la nueva versión en esta página con su número y fecha y pedirá al administrador del Responsable aceptarla en su próximo ingreso. Mientras no la acepte, rige la última versión aceptada, salvo en lo que la ley imponga.

18. Ley aplicable y jurisdicción

Este contrato se rige por la ley chilena, en particular la Ley N° 19.628 sobre protección de la vida privada y sus modificaciones (Ley N° 21.719). Cualquier controversia se someterá a los tribunales ordinarios de justicia de la comuna y ciudad de Santiago, sin perjuicio de las competencias de la Agencia de Protección de Datos Personales.

Anexo A · Datos y titulares por aplicación

Anexo B · Medidas de seguridad

• Comunicaciones: HTTPS obligatorio (TLS 1.2 o superior) con HSTS y cabeceras de seguridad.
• Contraseñas e ingreso: mínimo 10 caracteres con número y mayúscula, historial de 5, cambio obligatorio en el primer ingreso o tras un restablecimiento, bloqueo al tercer intento fallido, verificación anti-robots, aviso de ingreso y último acceso visible.
• Sesiones: vencen a las 24 horas (8 para el equipo de Empuja) y se cierran en el servidor por inactividad según lo que configure el Responsable; cierre en todos los equipos.
• Permisos: aislamiento por empresa; roles y permisos por módulo validados en el servidor; perfil auditor de solo lectura; perfil «sin costos»; pases de soporte acotados a una empresa, una app y un modo.
• Ciclo de vida de cuentas: desactivar sin borrar, fecha de vigencia y baja automática por inactividad (90 días por omisión).
• Auditoría: registro de accesos y de cambios con antes y después, encadenado con huellas sha256 y verificado a diario; se conserva 2 años.
• Datos: borrados marcados que se purgan a los 180 días; datos bancarios de vendedores y comisionistas de Empuja cifrados con AES-256-GCM.
• Respaldos: diarios, verificados, cifrados con AES-256 y copiados fuera del servidor; restauración de prueba mensual.
• Personal: compromiso de confidencialidad, acceso mínimo necesario y registro de cada ingreso de soporte.

Anexo C · Subencargados autorizados

Aceptación

El administrador o dueño de la cuenta acepta este contrato en línea desde la aplicación, en nombre del Responsable. Empuja guarda la versión, la fecha y hora, la IP, la persona que aceptó y la huella sha256 de este texto, y envía la constancia por correo. Desde la aplicación se puede descargar este documento en PDF con los datos de la aceptación.

Borrador para revisión legal. Este contrato fue preparado por Empuja como borrador sólido y será revisado por un abogado antes del 1 de diciembre de 2026, fecha en que la Ley 21.719 entra plenamente en vigencia.

Contrato de encargo de tratamiento de datos personales · Empuja (INGENIERIA JC SpA, RUT 78.462.407-2) · Versión 1.0 del 7-oct-2026 · https://empuja.cl/encargo.html · Borrador sujeto a revisión legal.