Política de Tratamiento de Datos Personales

Qué cambió respecto de la versión anterior

Esta es la versión 1.4. La versión anterior es la 1.3, publicada el 5 de octubre de 2026. En simple, esto es lo que cambia:

• Corregimos a quién se refiere esta política (§1, §2 y §11). Decíamos que éramos responsables de las respuestas a encuestas enviadas por un enlace de invitación y de los datos de las personas invitadas a una encuesta o entrevista. No lo somos: la responsable es la organización cliente que las envía o, si ella trabaja por encargo de una empresa, esa empresa, y nosotros tratamos esos datos por su cuenta. Sus solicitudes sobre esos datos van dirigidas a la responsable.
• Corregimos dos medidas de seguridad que la versión 1.3 describía con más alcance del que tienen (§7). Decíamos que ciframos a nivel de campo los datos de identificación personal: lo que ciframos así es el nombre y el correo de las personas entrevistadas y los datos de quienes usan el formulario público de solicitudes de titulares. Decíamos que los datos de cada cliente están en esquemas distintos: lo están sus registros de cumplimiento; las entrevistas, transcripciones e informes están en tablas comunes.
• Informamos cuánto duran las copias de seguridad de la base de datos (§6). Antes no lo decíamos. Lo que suprimimos de la plataforma permanece en esas copias hasta que vencen. Informamos además una copia puntual que conservamos hasta el 30 de noviembre de 2026 como máximo.
• Precisamos qué hacen dos proveedores (§5). Anthropic también lee los documentos que se suben, cuando esa función está habilitada. Recall.ai orquesta el bot de la reunión y capta el audio para su transcripción; CESAR SpA no almacena video.
• La ley, sin números. Describimos lo que la ley exige en lugar de citarla por número y artículo. No cambia ninguna obligación nuestra ni ningún derecho suyo.

Sus derechos y los plazos para ejercerlos (§8) no cambian en esta versión.

1. Quiénes somos y qué alcance tiene esta política#

CESAR SpA es una sociedad chilena que opera CESAR, una plataforma de cumplimiento normativo para abogados y equipos de compliance.

Esta política se refiere a los datos personales que CESAR SpA trata como responsable: los de las personas que crean una cuenta, que responden el diagnóstico público, y que se comunican con nosotros.

No se refiere a los datos personales que nuestros clientes cargan dentro de la plataforma. Respecto de esos datos, el cliente es el responsable y CESAR SpA actúa como encargado; si el cliente es un estudio o un profesional que trabaja por encargo de una empresa, la responsable es esa empresa, el cliente es su encargado y CESAR SpA trata los datos como otro encargado, por delegación del cliente. Así lo regula la ley chilena de protección de datos personales para el tratamiento de datos a través de un tercero encargado. Entre esos datos están las respuestas a las encuestas que un cliente envía por un enlace de invitación y los datos de las entrevistas que realiza en la plataforma. Esa relación se rige por el acuerdo de tratamiento suscrito con cada cliente, no por esta política.

Qué ley se le aplica a usted. Hasta el 30 de noviembre de 2026 rige la ley chilena de protección de datos personales en su texto anterior a la reforma. La reforma fijó un texto nuevo de esa ley, cuya entrada en vigencia está fijada para el 1 de diciembre de 2026. Lo que esta política dice sobre sus derechos y sobre nuestras obligaciones corresponde a ese texto nuevo, salvo donde indicamos otra cosa. Si la fecha cambiara por una ley publicada, actualizaremos esta política.

2. Qué datos tratamos y de dónde salen#

Universo de titulares: personas mayores de 18 años que son usuarias de la plataforma, que responden el diagnóstico público o que se comunican con CESAR SpA. No dirigimos el servicio a menores de edad ni recogemos sus datos deliberadamente.

No tratamos datos personales sensibles de los titulares de esta política. Los datos sensibles que un cliente cargue dentro de la plataforma se rigen por el §1 de arriba: ahí somos encargados, no responsables.

3. Para qué los tratamos y con qué base de legitimidad#

Sobre el interés legítimo, y es un derecho suyo: usted puede exigir siempre ser informado sobre el tratamiento que lo afecta y sobre el interés legítimo en que se funda. Puede pedírnoslo por el canal del §8.

No tratamos sus datos para fines distintos de los informados. El principio de finalidad de la ley lo exige, y admite excepciones acotadas que están en su propio texto.

4. Decisiones automatizadas y elaboración de perfiles#

CESAR usa modelos de lenguaje e inteligencia artificial y una fórmula de puntuación de riesgo. Le decimos con precisión sobre qué operan:

• Sobre los datos que nuestros clientes cargan (donde somos encargados): la plataforma propone riesgos, los puntúa con una fórmula determinista y redacta borradores de informes.
• Sobre los datos de esta política (donde somos responsables): no adoptamos decisiones automatizadas que produzcan efectos jurídicos sobre usted ni que lo afecten significativamente.

Lógica aplicada. La puntuación de riesgo combina un valor de impacto y uno de probabilidad según una escala publicada dentro del producto; no es un modelo estadístico opaco y su resultado es reproducible. Los textos que redacta el modelo de lenguaje son borradores y requieren revisión de una persona antes de tener cualquier efecto.

Si en el futuro incorporamos una decisión automatizada con efectos sobre usted, se lo informaremos antes, con la información que la ley exige.

5. A quién comunicamos sus datos, y qué sale de Chile#

Trabajamos con proveedores que tratan datos por cuenta nuestra, como encargados. Algunos de ellos tratan también, por cuenta del cliente que es su responsable (§1), los datos que los clientes cargan en la plataforma; los nombramos a todos para que usted sepa por dónde pasan. Los proveedores que tratan los datos de un cliente constan también en el acuerdo de tratamiento suscrito con él.

Transferencia internacional. Sus datos salen de Chile. Nuestra infraestructura está alojada en São Paulo, Brasil; los proveedores de inteligencia artificial, de transcripción y de verificación de seguridad operan en Estados Unidos, y el envío de correos lo hace un proveedor establecido en Francia. Esta transferencia se rige por la regla general de autorización de las transferencias internacionales que fija la ley, y por la regla que determina qué países ofrecen un nivel adecuado de protección.

Nivel adecuado de protección y garantías. A la fecha de esta versión, la Agencia de Protección de Datos Personales no ha dictado la declaración de países con nivel adecuado de protección que la ley le encomienda. En consecuencia, no afirmamos que los países de destino cuenten con dicho nivel, y las transferencias descritas se amparan en garantías contractuales con cada proveedor, que son las siguientes:

Mientras esa adenda no esté firmada, la transferencia a Recall.ai y a Deepgram descansa sólo en las condiciones de servicio de Recall.ai. Se lo informamos porque es la situación actual. Si la adenda no se firma antes del 1 de diciembre de 2026, lo informaremos conforme al §10.

Francia. El envío de nuestros correos lo realiza Sendinblue SAS, establecida en Francia. Esa transferencia se rige por la regla general de autorización de la ley y se ampara en el acuerdo de tratamiento de datos que celebramos con ella. Dejamos constancia, además, de que Sendinblue SAS está establecida en la Unión Europea, por lo que su tratamiento queda sujeto al reglamento general de protección de datos de la Unión Europea, incluidas las obligaciones que ese reglamento impone a todo encargado. Esa sujeción no equivale a una declaración de nivel adecuado de protección, que en Chile corresponde sólo a la Agencia de Protección de Datos Personales y no se ha dictado.

Uso de contenido para entrenar modelos. Le decimos qué hace cada uno, porque las condiciones no son iguales:

• CESAR SpA no usa el contenido que se carga en la plataforma para entrenar modelos de inteligencia artificial propios.
• Deepgram: configuramos, a través de Recall.ai, que el audio no se use para entrenar ni mejorar los modelos de Deepgram.
• Voyage AI: sus condiciones de servicio permiten al proveedor usar el contenido que se le envía para entrenar sus modelos, mientras el cliente no desactive esa opción. Desde el 30 de septiembre de 2026 esa opción está desactivada en nuestra cuenta. La desactivación rige sólo hacia adelante: lo que enviamos antes de esa fecha permanece sujeto a la licencia que otorgan las condiciones del proveedor.

Cuando la Agencia dicte la declaración de países con nivel adecuado, actualizaremos esta sección y lo informaremos conforme al §10.

No vendemos sus datos personales ni los cedemos con fines de publicidad.

6. Cuánto tiempo los conservamos#

La ley obliga a conservar los datos sólo por el período de tiempo que sea necesario para cumplir los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados.

Una precisión que le debemos, y que casi ninguna política dice. Nuestro registro de auditoría es una cadena encadenada por huella criptográfica: la alteración o el borrado de una de sus entradas, sin rehacer la cadena completa, queda en evidencia al verificarla. Es lo que permite acreditar la licitud del tratamiento, como exige la ley. Consecuencia honesta: sobre ese registro ejercemos la supresión anonimizando, que es la vía que la ley contempla expresamente. No le prometemos un borrado que el sistema no puede ejecutar.

7. Cómo protegemos sus datos#

• Cifrado de los datos en tránsito mediante TLS.
• Cifrado a nivel de campo, al guardarlos, del nombre y el correo de las personas entrevistadas y de los datos personales que ingresan quienes usan el formulario público de solicitudes de titulares.
• Control de acceso por roles y autenticación con expiración de sesión; segundo factor disponible.
• Separación por esquema de la base de datos de los registros de cumplimiento de cada cliente, entre ellos sus riesgos, actividades de tratamiento, brechas, consentimientos, encargados, delegado de protección de datos, evaluaciones de impacto y los borradores de documentos que se redactan en la plataforma; otros datos se guardan en tablas comunes, entre ellos las entrevistas, sus transcripciones y notas, los riesgos que se proponen durante una entrevista, las contradicciones detectadas entre testimonios, los registros del asistente que se une a la reunión, los informes, los documentos que se suben y las solicitudes de titulares, asociados a su cliente y con control de acceso por cliente en la aplicación.
• Registro de auditoría encadenado de las operaciones sobre registros de riesgo.
• Límites de tasa de solicitudes y registro de accesos administrativos.
• Deber de confidencialidad del personal, que subsiste después de terminada la relación.

Si ocurre una vulneración de seguridad, la reportamos conforme a la ley, sin dilación indebida, y comunicamos a los titulares afectados cuando corresponda.

No fijamos un plazo en horas porque la norma no lo fija. Cualquier número de horas en un documento como éste sería una promesa nuestra, no una obligación legal — y en esta materia las dos cosas no se mezclan.

8. Sus derechos, y cómo ejercerlos#

La ley declara que estos derechos son personales, irrenunciables e intransferibles.

Cómo se ejerce. Puede escribirnos a privacidad@cesarok.cl, indicando su nombre, un medio para responderle y qué datos o tratamiento le preocupan. Podemos pedirle que acredite su identidad antes de responder.

En cuánto le respondemos. Este plazo cambia el 1 de diciembre de 2026, y se lo decimos con las dos fechas para que este documento no se vuelva falso solo:

Bloqueo temporal. Desde el 1 de diciembre de 2026, si al pedirnos una rectificación, una supresión o una oposición nos pide también el bloqueo temporal de sus datos, esa petición debe ser fundada y le respondemos dentro de los dos días hábiles siguientes a su recepción. Mientras no la resolvamos, no tratamos los datos que forman parte de su solicitud; el bloqueo no impide que los conservemos.

Desde el 1 de diciembre de 2026, si denegamos su solicitud total o parcialmente, debemos fundar la decisión e indicarle que dispone de treinta días hábiles para reclamar ante la Agencia. Si no le respondemos dentro del plazo, usted puede reclamar directamente.

Reclamo ante la autoridad. Desde el 1 de diciembre de 2026, usted puede recurrir ante la Agencia de Protección de Datos Personales por el procedimiento administrativo de tutela de derechos. La ley nos obliga a informarle este derecho, y es lo que estamos haciendo acá.

9. Cookies#

Usamos las cookies estrictamente necesarias para mantener su sesión iniciada y recordar preferencias de interfaz. No usamos cookies de terceros con fines publicitarios ni de elaboración de perfiles. Si más adelante incorporamos cookies de analítica, se lo informaremos y le pediremos su consentimiento antes de instalarlas.

10. Cambios a esta política#

La ley nos obliga a mantener publicada la política con su fecha y versión. Cuando la cambiemos, publicaremos la versión nueva con su fecha y le avisaremos con al menos 30 días de anticipación si el cambio afecta las finalidades o sus derechos.

Historial de versiones.

Las versiones anteriores a la 1.1 fueron borradores internos que nunca estuvieron vigentes ni se aplicaron a ningún tratamiento.

11. Contacto#

CESAR SpA · RUT 77.643.146-K
Reina Astrid 950, Las Condes, Santiago, Región Metropolitana, Chile
privacidad@cesarok.cl

Delegado de protección de datos. CESAR SpA designó como su delegado de protección de datos personales a Martín Vicuña López, el 23 de septiembre de 2026. Puede contactarlo en privacidad@cesarok.cl o en Reina Astrid 950, Las Condes, Santiago, por todo lo relativo al tratamiento que CESAR SpA hace de sus datos personales y al ejercicio de sus derechos. Si sus datos los cargó en la plataforma una organización cliente de CESAR, la responsable de esos datos es esa organización o, si ella trabaja por encargo de una empresa, esa empresa (§1): dirija su solicitud a la responsable.