CÉSAR SpA

Política de Tratamiento de Datos Personales

Versión 1.4 · 26-10-2026

Responsable del tratamiento: CESAR SpA

RUT: 77.643.146-K

Representante legal: Martín Vicuña López, C.I. 18.021.514-K

Domicilio postal: Reina Astrid 950, Las Condes, Santiago, Región Metropolitana, Chile

Canal para solicitudes de titulares: privacidad@cesarok.cl

Versión: 1.4 · Fecha de esta versión: 26 de octubre de 2026

Qué cambió respecto de la versión anterior

Esta es la versión 1.4. La versión anterior es la 1.3, publicada el 5 de octubre de 2026. En simple, esto es lo que cambia:

- Corregimos a quién se refiere esta política (§1, §2 y §11). Decíamos que éramos responsables de las respuestas a encuestas enviadas por un enlace de invitación y de los datos de las personas invitadas a una encuesta o entrevista. No lo somos: la responsable es la organización cliente que las envía o, si ella trabaja por encargo de una empresa, esa empresa, y nosotros tratamos esos datos por su cuenta. Sus solicitudes sobre esos datos van dirigidas a la responsable.

- Corregimos dos medidas de seguridad que la versión 1.3 describía con más alcance del que tienen (§7). Decíamos que ciframos a nivel de campo los datos de identificación personal: lo que ciframos así es el nombre y el correo de las personas entrevistadas y los datos de quienes usan el formulario público de solicitudes de titulares. Decíamos que los datos de cada cliente están en esquemas distintos: lo están sus registros de cumplimiento; las entrevistas, transcripciones e informes están en tablas comunes.

- Informamos cuánto duran las copias de seguridad de la base de datos (§6). Antes no lo decíamos. Lo que suprimimos de la plataforma permanece en esas copias hasta que vencen. Informamos además una copia puntual que conservamos hasta el 30 de noviembre de 2026 como máximo.

- Precisamos qué hacen dos proveedores (§5). Anthropic también lee los documentos que se suben, cuando esa función está habilitada. Recall.ai orquesta el bot de la reunión y capta el audio para su transcripción; CESAR SpA no almacena video.

- La ley, sin números. Describimos lo que la ley exige en lugar de citarla por número y artículo. No cambia ninguna obligación nuestra ni ningún derecho suyo.

Sus derechos y los plazos para ejercerlos (§8) no cambian en esta versión.

1. Quiénes somos y qué alcance tiene esta política

CESAR SpA es una sociedad chilena que opera CESAR, una plataforma de cumplimiento normativo para abogados y equipos de compliance.

Esta política se refiere a los datos personales que CESAR SpA trata como responsable: los de las personas que crean una cuenta, que responden el diagnóstico público, y que se comunican con nosotros.

No se refiere a los datos personales que nuestros clientes cargan dentro de la plataforma. Respecto de esos datos, el cliente es el responsable y CESAR SpA actúa como encargado; si el cliente es un estudio o un profesional que trabaja por encargo de una empresa, la responsable es esa empresa, el cliente es su encargado y CESAR SpA trata los datos como otro encargado, por delegación del cliente. Así lo regula la ley chilena de protección de datos personales para el tratamiento de datos a través de un tercero encargado. Entre esos datos están las respuestas a las encuestas que un cliente envía por un enlace de invitación y los datos de las entrevistas que realiza en la plataforma. Esa relación se rige por el acuerdo de tratamiento suscrito con cada cliente, no por esta política.

Qué ley se le aplica a usted. Hasta el 30 de noviembre de 2026 rige la ley chilena de protección de datos personales en su texto anterior a la reforma. La reforma fijó un texto nuevo de esa ley, cuya entrada en vigencia está fijada para el 1 de diciembre de 2026. Lo que esta política dice sobre sus derechos y sobre nuestras obligaciones corresponde a ese texto nuevo, salvo donde indicamos otra cosa. Si la fecha cambiara por una ley publicada, actualizaremos esta política.

2. Qué datos tratamos y de dónde salen

categoría | datos | de dónde provienen |

Cuenta | nombre, correo electrónico, contraseña (almacenada con función de derivación, nunca en texto claro), rol, organización | usted, al registrarse |

Uso | fecha y hora de acceso, dirección IP, acciones dentro de la plataforma, dispositivo y navegador | generados automáticamente por el sistema |

Verificación de seguridad | dirección IP y datos técnicos de su navegador, cuando inicia sesión o envía el formulario público de solicitudes de titulares | su navegador, al usar esos formularios |

Registros de auditoría | la traza encadenada de operaciones sobre registros de riesgo | generados por el sistema |

Registros técnicos | sentencias de base de datos que superan 1 segundo; sesiones de consola de administración; registros de acceso del balanceador de carga (su dirección IP, la ruta solicitada y el código de respuesta) y de la aplicación (la ruta, el identificador del espacio de trabajo y el código de respuesta) | generados por la infraestructura |

Diagnóstico público | nombre de la empresa y sus respuestas | usted, si usa el diagnóstico. No pedimos correo ni datos de contacto ahí |

Comunicaciones | lo que usted nos escriba y nuestra respuesta | usted |

Universo de titulares: personas mayores de 18 años que son usuarias de la plataforma, que responden el diagnóstico público o que se comunican con CESAR SpA. No dirigimos el servicio a menores de edad ni recogemos sus datos deliberadamente.

No tratamos datos personales sensibles de los titulares de esta política. Los datos sensibles que un cliente cargue dentro de la plataforma se rigen por el §1 de arriba: ahí somos encargados, no responsables.

3. Para qué los tratamos y con qué base de legitimidad

finalidad | base de legitimidad |

Prestar el servicio, crear y administrar su cuenta, dar soporte | ejecución de un contrato |

Seguridad de la plataforma, prevención de accesos no autorizados, diagnóstico de fallas e investigación de incidentes | interés legítimo del responsable |

Mejorar el servicio a partir de datos de uso | interés legítimo |

Cumplir obligaciones legales y responder requerimientos de autoridad | cumplimiento de una obligación legal |

Defender o ejercer derechos ante tribunales u órganos públicos | defensa o ejercicio de un derecho |

Enviarle comunicaciones comerciales | su consentimiento, que puede retirar |

Sobre el interés legítimo, y es un derecho suyo: usted puede exigir siempre ser informado sobre el tratamiento que lo afecta y sobre el interés legítimo en que se funda. Puede pedírnoslo por el canal del §8.

No tratamos sus datos para fines distintos de los informados. El principio de finalidad de la ley lo exige, y admite excepciones acotadas que están en su propio texto.

4. Decisiones automatizadas y elaboración de perfiles

CESAR usa modelos de lenguaje e inteligencia artificial y una fórmula de puntuación de riesgo. Le decimos con precisión sobre qué operan:

- Sobre los datos que nuestros clientes cargan (donde somos encargados): la plataforma propone riesgos, los puntúa con una fórmula determinista y redacta borradores de informes.

- Sobre los datos de esta política (donde somos responsables): no adoptamos decisiones automatizadas que produzcan efectos jurídicos sobre usted ni que lo afecten significativamente.

Lógica aplicada. La puntuación de riesgo combina un valor de impacto y uno de probabilidad según una escala publicada dentro del producto; no es un modelo estadístico opaco y su resultado es reproducible. Los textos que redacta el modelo de lenguaje son borradores y requieren revisión de una persona antes de tener cualquier efecto.

Si en el futuro incorporamos una decisión automatizada con efectos sobre usted, se lo informaremos antes, con la información que la ley exige.

5. A quién comunicamos sus datos, y qué sale de Chile

Trabajamos con proveedores que tratan datos por cuenta nuestra, como encargados. Algunos de ellos tratan también, por cuenta del cliente que es su responsable (§1), los datos que los clientes cargan en la plataforma; los nombramos a todos para que usted sepa por dónde pasan. Los proveedores que tratan los datos de un cliente constan también en el acuerdo de tratamiento suscrito con él.

proveedor | qué hace | dónde |

Amazon Web Services (AWS) | infraestructura y base de datos | Brasil — São Paulo, región sa-east-1 |

Anthropic, PBC | modelo de lenguaje para análisis y redacción y, cuando la función está habilitada, lectura de los documentos que se suben | Estados Unidos |

Recall.ai | orquestación del bot que se une a la reunión y captura del audio de las entrevistas para su transcripción. Recall.ai puede grabar el video para su propia operación; CESAR SpA no lo almacena | Estados Unidos |

Deepgram | transcripción del audio de entrevistas, por cuenta de Recall.ai | Estados Unidos |

Voyage AI | cálculo de vectores de búsqueda sobre un extracto de hasta 500 caracteres de la transcripción de una entrevista, para recuperar la normativa aplicable | Estados Unidos |

Brevo — Sendinblue SAS | envío de los correos de la plataforma: invitaciones, avisos y resúmenes | Francia |

Cloudflare, Inc. | verificación contra bots del inicio de sesión y del formulario público de solicitudes de titulares: recibe su dirección IP y datos técnicos de su navegador | Estados Unidos |

Transferencia internacional. Sus datos salen de Chile. Nuestra infraestructura está alojada en São Paulo, Brasil; los proveedores de inteligencia artificial, de transcripción y de verificación de seguridad operan en Estados Unidos, y el envío de correos lo hace un proveedor establecido en Francia. Esta transferencia se rige por la regla general de autorización de las transferencias internacionales que fija la ley, y por la regla que determina qué países ofrecen un nivel adecuado de protección.

Nivel adecuado de protección y garantías. A la fecha de esta versión, la Agencia de Protección de Datos Personales no ha dictado la declaración de países con nivel adecuado de protección que la ley le encomienda. En consecuencia, no afirmamos que los países de destino cuenten con dicho nivel, y las transferencias descritas se amparan en garantías contractuales con cada proveedor, que son las siguientes:

proveedor | país | garantía |

Amazon Web Services | Brasil | contrato de servicios y acuerdo de tratamiento de datos |

Anthropic, PBC | Estados Unidos | contrato de servicio y acuerdo de tratamiento de datos |

Recall.ai | Estados Unidos | sus condiciones de servicio, sin una adenda específica todavía. Nos proponemos incorporar una adenda que fije la ley chilena de protección de datos personales como marco aplicable y las garantías que ella exige para la transferencia internacional, antes del 1 de diciembre de 2026, fecha desde la que rige el texto nuevo de esa ley |

Deepgram | Estados Unidos | subencargado declarado por Recall.ai, bajo las mismas condiciones de servicio |

Voyage AI | Estados Unidos | sus condiciones de servicio. Sin acuerdo de tratamiento de datos a la fecha de esta versión |

Brevo — Sendinblue SAS | Francia | acuerdo de tratamiento de datos de Brevo. Sendinblue SAS está establecida en la Unión Europea y queda sujeta, como encargado, al reglamento general de protección de datos de la Unión Europea |

Cloudflare, Inc. | Estados Unidos | acuerdo de tratamiento de datos de Cloudflare, parte de sus condiciones de servicio |

Mientras esa adenda no esté firmada, la transferencia a Recall.ai y a Deepgram descansa sólo en las condiciones de servicio de Recall.ai. Se lo informamos porque es la situación actual. Si la adenda no se firma antes del 1 de diciembre de 2026, lo informaremos conforme al §10.

Francia. El envío de nuestros correos lo realiza Sendinblue SAS, establecida en Francia. Esa transferencia se rige por la regla general de autorización de la ley y se ampara en el acuerdo de tratamiento de datos que celebramos con ella. Dejamos constancia, además, de que Sendinblue SAS está establecida en la Unión Europea, por lo que su tratamiento queda sujeto al reglamento general de protección de datos de la Unión Europea, incluidas las obligaciones que ese reglamento impone a todo encargado. Esa sujeción no equivale a una declaración de nivel adecuado de protección, que en Chile corresponde sólo a la Agencia de Protección de Datos Personales y no se ha dictado.

Uso de contenido para entrenar modelos. Le decimos qué hace cada uno, porque las condiciones no son iguales:

- CESAR SpA no usa el contenido que se carga en la plataforma para entrenar modelos de inteligencia artificial propios.

- Deepgram: configuramos, a través de Recall.ai, que el audio no se use para entrenar ni mejorar los modelos de Deepgram.

- Voyage AI: sus condiciones de servicio permiten al proveedor usar el contenido que se le envía para entrenar sus modelos, mientras el cliente no desactive esa opción. Desde el 30 de septiembre de 2026 esa opción está desactivada en nuestra cuenta. La desactivación rige sólo hacia adelante: lo que enviamos antes de esa fecha permanece sujeto a la licencia que otorgan las condiciones del proveedor.

Cuando la Agencia dicte la declaración de países con nivel adecuado, actualizaremos esta sección y lo informaremos conforme al §10.

No vendemos sus datos personales ni los cedemos con fines de publicidad.

6. Cuánto tiempo los conservamos

dato | plazo |

Datos de cuenta | mientras la cuenta esté activa |

Después de cerrada la cuenta | 30 días para que usted pueda exportarlos; luego se suprimen o anonimizan |

Registro de sentencias de base de datos | 90 días |

Registro de sesiones de consola de administración | 180 días (6 meses) |

Registro de acceso del balanceador (su dirección IP, la ruta y el código de respuesta) | 90 días |

Registro de acceso de la aplicación (la ruta, el identificador del espacio de trabajo y el código de respuesta) | 180 días (6 meses) |

Registros de auditoría de la plataforma | ver el párrafo siguiente |

Respuestas del diagnóstico público | 30 días |

Copias de seguridad de la base de datos | las automáticas, 7 días; las manuales, hasta 30 días. Lo que suprimimos de la plataforma permanece en esas copias hasta que vencen |

Copia de la base de datos tomada el 4 de septiembre de 2026 | la conservamos para preservar evidencia de una revisión de seguridad; la eliminamos al cerrarse esa revisión y, a más tardar, el 30 de noviembre de 2026 |

La ley obliga a conservar los datos sólo por el período de tiempo que sea necesario para cumplir los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados.

Una precisión que le debemos, y que casi ninguna política dice. Nuestro registro de auditoría es una cadena encadenada por huella criptográfica: la alteración o el borrado de una de sus entradas, sin rehacer la cadena completa, queda en evidencia al verificarla. Es lo que permite acreditar la licitud del tratamiento, como exige la ley. Consecuencia honesta: sobre ese registro ejercemos la supresión anonimizando, que es la vía que la ley contempla expresamente. No le prometemos un borrado que el sistema no puede ejecutar.

7. Cómo protegemos sus datos

- Cifrado de los datos en tránsito mediante TLS.

- Cifrado a nivel de campo, al guardarlos, del nombre y el correo de las personas entrevistadas y de los datos personales que ingresan quienes usan el formulario público de solicitudes de titulares.

- Control de acceso por roles y autenticación con expiración de sesión; segundo factor disponible.

- Separación por esquema de la base de datos de los registros de cumplimiento de cada cliente, entre ellos sus riesgos, actividades de tratamiento, brechas, consentimientos, encargados, delegado de protección de datos, evaluaciones de impacto y los borradores de documentos que se redactan en la plataforma; otros datos se guardan en tablas comunes, entre ellos las entrevistas, sus transcripciones y notas, los riesgos que se proponen durante una entrevista, las contradicciones detectadas entre testimonios, los registros del asistente que se une a la reunión, los informes, los documentos que se suben y las solicitudes de titulares, asociados a su cliente y con control de acceso por cliente en la aplicación.

- Registro de auditoría encadenado de las operaciones sobre registros de riesgo.

- Límites de tasa de solicitudes y registro de accesos administrativos.

- Deber de confidencialidad del personal, que subsiste después de terminada la relación.

Si ocurre una vulneración de seguridad, la reportamos conforme a la ley, sin dilación indebida, y comunicamos a los titulares afectados cuando corresponda.

No fijamos un plazo en horas porque la norma no lo fija. Cualquier número de horas en un documento como éste sería una promesa nuestra, no una obligación legal — y en esta materia las dos cosas no se mezclan.

8. Sus derechos, y cómo ejercerlos

La ley declara que estos derechos son personales, irrenunciables e intransferibles.

derecho | qué le permite |

Acceso | saber si tratamos sus datos y obtener copia e información sobre el tratamiento |

Rectificación | corregir datos inexactos, incompletos o desactualizados |

Supresión | pedir que se eliminen, en los casos que la ley enumera |

Oposición | oponerse a un tratamiento determinado |

Bloqueo | pedir que suspendamos temporalmente el tratamiento de sus datos mientras resolvemos una solicitud suya de rectificación, supresión u oposición, o en lugar de la supresión en los casos en que la ley lo permite |

Portabilidad | recibir sus datos en un formato estructurado y de lectura mecánica, y transmitirlos a otro responsable |

Cómo se ejerce. Puede escribirnos a privacidad@cesarok.cl, indicando su nombre, un medio para responderle y qué datos o tratamiento le preocupan. Podemos pedirle que acredite su identidad antes de responder.

En cuánto le respondemos. Este plazo cambia el 1 de diciembre de 2026, y se lo decimos con las dos fechas para que este documento no se vuelva falso solo:

cuándo presenta la solicitud | plazo de respuesta |

hasta el 30 de noviembre de 2026 | le respondemos sin dilación indebida y dentro del plazo que fije la ley vigente a la fecha de su solicitud |

desde el 1 de diciembre de 2026 | 30 días corridos, prorrogables por una sola vez hasta por otros 30 días corridos |

Bloqueo temporal. Desde el 1 de diciembre de 2026, si al pedirnos una rectificación, una supresión o una oposición nos pide también el bloqueo temporal de sus datos, esa petición debe ser fundada y le respondemos dentro de los dos días hábiles siguientes a su recepción. Mientras no la resolvamos, no tratamos los datos que forman parte de su solicitud; el bloqueo no impide que los conservemos.

Desde el 1 de diciembre de 2026, si denegamos su solicitud total o parcialmente, debemos fundar la decisión e indicarle que dispone de treinta días hábiles para reclamar ante la Agencia. Si no le respondemos dentro del plazo, usted puede reclamar directamente.

Reclamo ante la autoridad. Desde el 1 de diciembre de 2026, usted puede recurrir ante la Agencia de Protección de Datos Personales por el procedimiento administrativo de tutela de derechos. La ley nos obliga a informarle este derecho, y es lo que estamos haciendo acá.

9. Cookies

Usamos las cookies estrictamente necesarias para mantener su sesión iniciada y recordar preferencias de interfaz. No usamos cookies de terceros con fines publicitarios ni de elaboración de perfiles. Si más adelante incorporamos cookies de analítica, se lo informaremos y le pediremos su consentimiento antes de instalarlas.

10. Cambios a esta política

La ley nos obliga a mantener publicada la política con su fecha y versión. Cuando la cambiemos, publicaremos la versión nueva con su fecha y le avisaremos con al menos 30 días de anticipación si el cambio afecta las finalidades o sus derechos.

Historial de versiones.

versión | fecha | qué cambió |

1.4 | 26 de octubre de 2026 | §1, §2 y §11: corregimos que éramos responsables de las encuestas enviadas por un enlace de invitación y de los datos de las personas invitadas a una encuesta o entrevista; de esos datos somos encargados · §7: corregimos dos medidas de seguridad que la versión 1.3 describía con más alcance del que tienen: el cifrado a nivel de campo alcanza el nombre y el correo de las personas entrevistadas y los datos de quienes usan el formulario público de solicitudes de titulares, y la separación por esquema alcanza los registros de cumplimiento de cada cliente, no sus entrevistas, transcripciones ni informes · §6: informamos el plazo de las copias de seguridad de la base de datos y una copia puntual del 4 de septiembre de 2026 · §5: precisamos qué hacen Anthropic y Recall.ai · describimos la ley en lugar de citarla por número y artículo |

1.3 | 5 de octubre de 2026 | §5: informamos tres destinatarios que no estaban declarados —Brevo (envío de correos, Francia), Voyage AI y Cloudflare (Estados Unidos)— y la garantía de cada transferencia; agregamos qué hace cada proveedor con el contenido en materia de entrenamiento de modelos · §2 y §6: informamos dos registros de acceso y la verificación de seguridad que no estaban declarados, con su plazo de conservación · §6: precisamos qué detecta exactamente el registro de auditoría |

1.2.3 | 24 de septiembre de 2026 | §11: individualizamos al delegado de protección de datos que CESAR SpA designó el 23 de septiembre de 2026 y su canal de contacto. |

1.2.2 | 23 de septiembre de 2026 | §6: corregimos el plazo de retención del registro de sesiones de consola de administración de 365 a 180 días (6 meses), medido en vivo contra /ecs/cesar-exec. |

1.2.1 | 21 de septiembre de 2026 | §5: corregimos la garantía de la transferencia a Recall.ai y a Deepgram. La versión 1.2 afirmaba una adenda que no está firmada. |

1.2 | 15 de septiembre de 2026 | §8: para las solicitudes presentadas hasta el 30 de noviembre de 2026 dejamos de indicar un número de días y un artículo, y nos comprometemos a responder sin dilación indebida y dentro del plazo que fije la ley vigente a la fecha de su solicitud · §8: agregamos el derecho de bloqueo y su plazo · §8: indicamos desde cuándo rige el reclamo ante la Agencia · §1: citamos la ley por su número y precisamos a qué texto corresponden los artículos citados · §2: corregimos el artículo que define los datos sensibles |

1.1 | publicada sin fecha de versión | primera versión puesta a disposición del público |

Las versiones anteriores a la 1.1 fueron borradores internos que nunca estuvieron vigentes ni se aplicaron a ningún tratamiento.

11. Contacto

CESAR SpA · RUT 77.643.146-K
Reina Astrid 950, Las Condes, Santiago, Región Metropolitana, Chile
privacidad@cesarok.cl

Delegado de protección de datos. CESAR SpA designó como su delegado de protección de datos personales a Martín Vicuña López, el 23 de septiembre de 2026. Puede contactarlo en privacidad@cesarok.cl o en Reina Astrid 950, Las Condes, Santiago, por todo lo relativo al tratamiento que CESAR SpA hace de sus datos personales y al ejercicio de sus derechos. Si sus datos los cargó en la plataforma una organización cliente de CESAR, la responsable de esos datos es esa organización o, si ella trabaja por encargo de una empresa, esa empresa (§1): dirija su solicitud a la responsable.