Acuerdo de Tratamiento de Datos — NormiQA GO

Versión: 1.0-borrador Fecha: 15 de septiembre de 2026 Naturaleza: Anexo A, incorporado a los Términos de Servicio de NormiQA GO

⚠️ ESTE DOCUMENTO ES UN BORRADOR DE TRABAJO Fue redactado como plantilla, sin revisión de un abogado o abogada con matrícula vigente en Chile. No debe publicarse en go.normiqa.com, presentarse a clientes, ni usarse como base de decisiones comerciales o legales mientras no sea revisado, corregido y aprobado por asesoría legal calificada. Este es un modelo con fines informativos: consulta a un abogado o abogada para obtener asesoría legal específica a tu situación. Los textos entre corchetes, como [PENDIENTE DE CONFIRMAR: ...], marcan datos que faltan o decisiones que la abogada debe tomar antes de publicar este documento.

0. Naturaleza de este documento

Este Acuerdo de Tratamiento de Datos ("Acuerdo" o "Anexo A") regula el tratamiento de datos personales que Liberty Soluciones SpA ("Liberty", "el Encargado") realiza por cuenta de la empresa contratista que contrata NormiQA GO ("el Cliente", "el Responsable"), en el marco de la prestación del servicio.

Este Acuerdo queda incorporado y forma parte integrante de los Términos de Servicio de NormiQA GO. Se entiende aceptado en el mismo acto en que el Cliente acepta los Términos de Servicio al registrarse en la plataforma, sin necesidad de una firma separada, salvo que la abogada determine lo contrario respecto de los datos sensibles de salud que se tratan (ver "Puntos que la abogada debe revisar").

1. Definiciones

Datos personales: cualquier información referida a una persona natural identificada o

identificable, en los términos de la Ley 21.719.

Datos sensibles: datos personales que la Ley 21.719 protege especialmente, incluidos los

datos de salud. En NormiQA GO corresponden, entre otros, a los siete tipos de documento de salud descritos en el Aviso de Privacidad (exámenes ocupacionales, aptitud médica, declaración de salud y certificados de mutualidad).

Responsable: el Cliente, que decide qué datos personales de sus trabajadores carga en la

plataforma y para qué los usa.

Encargado: Liberty, que trata los datos personales por cuenta del Cliente, según sus

instrucciones.

Subencargado: un tercero al que el Encargado recurre para tratar datos personales por

cuenta del Responsable, en el marco de la prestación del servicio.

Titular: la persona natural a quien pertenecen los datos personales tratados (típicamente,

el trabajador de la empresa contratista).

Incidente de seguridad: todo evento que comprometa la confidencialidad, integridad o

disponibilidad de datos personales tratados en la plataforma.

2. Objeto y alcance del tratamiento

Liberty tratará, por cuenta del Cliente, los datos personales que este cargue en NormiQA GO, según el detalle descrito en el Aviso de Privacidad, con el único objeto de:

Almacenar y organizar datos de trabajadores, vehículos y documentos del Cliente.
Leer automáticamente los documentos cargados, mediante inteligencia artificial.
Generar entregas o carpetas de documentos que el Cliente decida compartir con su mandante.
Administrar cuentas de usuario, accesos y soporte técnico.

Liberty no usará los datos personales tratados por cuenta del Cliente para ningún otro fin, incluyendo fines propios de marketing, perfilamiento no relacionado con el servicio, o venta a terceros.

3. Duración

Este Acuerdo rige mientras esté vigente el contrato de servicio entre el Cliente y Liberty (los Términos de Servicio), y se extiende además durante el período posterior necesario para cumplir con la sección 9 (devolución o supresión de datos al terminar el servicio).

4. Instrucciones documentadas

Liberty trata los datos personales **exclusivamente según las instrucciones documentadas del

Cliente**, expresadas mediante: (a) el uso de las funciones de la plataforma, (b) estos Términos de Servicio y este Anexo, y (c) instrucciones adicionales que el Cliente entregue por escrito.

Si Liberty considera que una instrucción del Cliente infringe la Ley 21.719 u otra norma

aplicable, lo informará al Cliente antes de ejecutarla.

Liberty no está obligada a seguir instrucciones que excedan el objeto descrito en la sección 2

sin acordar antes las condiciones (por ejemplo, comerciales) de ese tratamiento adicional.

5. Confidencialidad

Liberty se obliga a que todo su personal con acceso a datos personales del Cliente:

Esté sujeto a un deber de confidencialidad, contractual o legal, respecto de esos datos.
Acceda a los datos solo cuando sea necesario para prestar el servicio o dar soporte (por

ejemplo, personal identificado mediante is_liberty_staff()).

Tenga ese acceso registrado en un historial de auditoría (liberty_audit_log), que Liberty

conserva y puede poner a disposición del Cliente ante una solicitud razonable.

6. Medidas de seguridad

Liberty aplica, entre otras, las siguientes medidas técnicas y organizativas, descritas también en el Aviso de Privacidad:

Medida	Detalle
Cifrado en tránsito	HTTPS forzado con HSTS en toda la plataforma
Cabeceras de seguridad	Política de contenido, bloqueo de inserción en marcos externos, prevención de detección de tipo de archivo
Aislamiento por empresa	Aplicado a nivel de base de datos (políticas de seguridad por fila), no solo en la interfaz
Almacenamiento privado	Los archivos nunca son de acceso público; se descargan mediante enlaces firmados de corta duración
Integridad de archivos	Huella digital (hash SHA-256) de cada documento cargado
Registro de accesos	Historial de auditoría de los accesos del personal de Liberty
Segundo factor de autenticación	Disponible mediante TOTP (opcional; la inscripción se realiza desde NormiQA Data)

Liberty se compromete a mantener medidas de seguridad razonables y actualizadas conforme al estado de la técnica, y a informar al Cliente de cambios relevantes que puedan afectar el nivel de protección de sus datos.

7. Subencargados

El Cliente autoriza a Liberty a recurrir a los siguientes subencargados para prestar el servicio:

Subencargado	Función	Datos que trata	Ubicación
Supabase	Base de datos y almacenamiento de archivos (`contratista-documentos`)	Todos los datos personales y documentos cargados en la plataforma, incluidos los sensibles	Estados Unidos — región us-east-1 (Virginia del Norte)
Cloudflare (Workers)	Ejecución de la aplicación en el borde de red	Datos en tránsito durante el uso de la plataforma; no almacena de forma persistente	Red global de Cloudflare; atiende desde el punto más cercano al usuario y no almacena de forma persistente
Anthropic	Lectura automática de documentos cargados mediante el modelo `claude-haiku-4-5`, para proponer tipo de documento, titular y fechas	El contenido completo de cada documento cargado, incluidos los siete tipos de documentos de salud	Estados Unidos

Sobre este listado:

Autorización general: el Cliente autoriza de forma general el uso de estos subencargados

al aceptar este Acuerdo. Liberty notificará al Cliente antes de incorporar un nuevo subencargado o reemplazar uno existente, con una antelación de 30 días corridos, para que el Cliente pueda oponerse por causa razonable relacionada con la protección de sus datos.

Obligaciones equivalentes: Liberty se obliga a que cada subencargado asuma obligaciones de

protección de datos equivalentes a las de este Acuerdo, mediante contrato.

Anthropic y datos sensibles de salud: dado que este subencargado recibe también los

documentos de salud señalados en la sección 2.2 del Aviso de Privacidad, y que su procesamiento ocurre presumiblemente en el extranjero, se requiere:

[PENDIENTE DE CONFIRMAR: el mecanismo de transferencia internacional que corresponda usar

bajo la Ley 21.719].

[PENDIENTE DE CONFIRMAR: confirmar en los términos comerciales vigentes de Anthropic si

retiene o usa el contenido enviado para entrenar sus modelos, y dejarlo documentado aquí].

Liberty mantendrá disponible, a solicitud del Cliente, el listado actualizado de

subencargados.

8. Transferencias internacionales

En la medida en que el tratamiento descrito en este Acuerdo implique transferir datos personales fuera de Chile (en particular, hacia Anthropic, y eventualmente hacia la región donde esté alojado el proyecto de Supabase), Liberty se compromete a implementar el mecanismo de transferencia internacional que exija la Ley 21.719 y su normativa complementaria. [PENDIENTE DE CONFIRMAR: mecanismo específico a implementar — por ejemplo, cláusulas contractuales tipo u otro instrumento habilitado por la autoridad de protección de datos, una vez que esta normativa esté en pleno funcionamiento].

9. Asistencia en el ejercicio de derechos de los titulares

Cuando un trabajador ejerza ante el Cliente un derecho de acceso, rectificación, cancelación, oposición o portabilidad respecto de sus datos, Liberty se compromete a:

Colaborar con el Cliente entregando la información técnica necesaria para responder la

solicitud dentro de los plazos legales.

Ejecutar, cuando el Cliente lo instruya, las acciones necesarias sobre la plataforma (por

ejemplo, corregir un dato, o evaluar la eliminación de un documento conforme a la sección 10 de este Acuerdo).

Si un titular contacta directamente a Liberty, reenviar la solicitud al Cliente

correspondiente sin demora, informando al titular que su Responsable es el Cliente.

10. Retención, devolución y supresión de datos

10.1 Situación actual

Hoy, la plataforma no elimina documentos de forma automática. Esta es una decisión de diseño deliberada: los documentos y sus versiones anteriores se conservan como evidencia de qué se entregó a un mandante en un momento determinado. Esto puede entrar en tensión con el principio de limitación del plazo de conservación y con el derecho de supresión que reconoce la Ley 21.719.

10.2 Mientras se define una política definitiva

Ante una solicitud de eliminación de datos de un trabajador, Liberty evaluará junto con el

Cliente, caso a caso, qué documentos pueden eliminarse y cuáles deben conservarse temporalmente por existir una obligación legal de respaldo frente a la Ley 20.123, el DS 76, o una fiscalización o litigio en curso.

Liberty no aplicará una eliminación unilateral de datos que el Cliente necesite conservar para

cumplir sus propias obligaciones legales como empleador o como contratista frente a su mandante.

[PENDIENTE DE CONFIRMAR: una vez definida la política de retención mencionada en el inventario técnico y en el Aviso de Privacidad, incorporar aquí un plazo concreto o un criterio de anonimización, en lugar de este texto transitorio].

10.3 Al terminar el contrato de servicio

Durante el plazo de 30 días corridos, el Cliente podrá exportar sus datos y documentos desde la

plataforma.

Transcurrido ese plazo, Liberty [PENDIENTE DE CONFIRMAR: eliminará, anonimizará o conservará

los datos según un criterio definido] salvo que exista una obligación legal de conservarlos por más tiempo, en cuyo caso Liberty informará al Cliente esa circunstancia y el nuevo plazo aplicable.

11. Auditoría

El Cliente puede solicitar a Liberty información razonable para verificar el cumplimiento de

este Acuerdo, incluyendo el listado de subencargados vigente y un resumen de las medidas de seguridad aplicadas.

Liberty puede satisfacer esta obligación mediante informes, certificaciones o documentación

equivalente, en lugar de una auditoría presencial, salvo que exista una causa justificada (por ejemplo, un incidente de seguridad) que amerite una revisión más profunda. [PENDIENTE DE CONFIRMAR: condiciones, plazo de aviso previo y costos de una auditoría presencial, si el Cliente la solicita].

12. Notificación de incidentes de seguridad

Ante un incidente de seguridad que afecte datos personales tratados por cuenta del Cliente, Liberty se compromete a:

Notificar al Cliente sin demora injustificada desde que tenga conocimiento del incidente.
Entregar la información disponible sobre su naturaleza, los datos y titulares

presumiblemente afectados, y las medidas adoptadas o propuestas.

Colaborar con el Cliente para que este, en su calidad de Responsable, pueda cumplir con la

obligación de notificar a la autoridad de protección de datos y a los titulares afectados dentro del plazo de 72 horas que exige la Ley 21.719, cuando corresponda.

[PENDIENTE DE CONFIRMAR: procedimiento interno detallado de detección y escalamiento de incidentes en Liberty, para referenciarlo aquí].

13. Responsabilidad

El incumplimiento de este Acuerdo se rige por la cláusula de limitación de responsabilidad de los Términos de Servicio (sección 9), sin perjuicio de que el Cliente responde frente a Liberty por los daños derivados de no contar con base de licitud sobre los datos que carga en la plataforma, según lo declarado en la sección 5.1 de los Términos de Servicio. [PENDIENTE DE CONFIRMAR: si corresponde una cláusula de responsabilidad específica para este Anexo, distinta de la de los Términos, dado que involucra datos sensibles].

14. Ley aplicable

Este Acuerdo se rige por las leyes de la República de Chile, en particular por la Ley 21.719 sobre protección de datos personales, y se somete a la misma cláusula de jurisdicción de los Términos de Servicio.

Notas de implementación técnica

El listado de subencargados (sección 7) debe mantenerse actualizado como parte de la

documentación pública del servicio, no solo de este Acuerdo, para facilitar el derecho de oposición del Cliente ante cambios.

El historial de auditoría de accesos del staff (liberty_audit_log) debe conservarse con

integridad suficiente para servir como evidencia frente a una solicitud del Cliente bajo la sección 11.

Si se define un mecanismo de transferencia internacional (secciones 7 y 8), debe quedar

documentado tanto aquí como en el Aviso de Privacidad, con el mismo contenido.

Cualquier política de retención definitiva que se adopte (sección 10) debe implementarse como

proceso técnico verificable, no solo como cláusula contractual.

Lista de verificación de cumplimiento

Norma	Cláusula relacionada	Estado
Ley 21.719 — relación Responsable/Encargado	Secc. 2, 4	Completa
Ley 21.719 — subencargados	Secc. 7	Falta confirmar mecanismo de transferencia internacional para Anthropic
Ley 21.719 — medidas de seguridad	Secc. 6	Completa, según inventario
Ley 21.719 — notificación de brechas (72 horas)	Secc. 12	Falta procedimiento interno detallado
Ley 21.719 — supresión / limitación de plazo	Secc. 10	Pendiente política definitiva — riesgo más alto del documento
Ley 20.123 / DS 76	Secc. 10.2	Fundamento de la conservación como evidencia

Registro de actualizaciones normativas

Fecha	Cambio	Motivo
2026-09-15	Versión 1.0-borrador	Redacción inicial a partir del inventario técnico

Puntos que la abogada debe revisar

Si este Acuerdo puede quedar válidamente incorporado a un click-wrap junto con los Términos

de Servicio, o si el tratamiento de datos sensibles de salud requiere una aceptación reforzada, firma electrónica avanzada, o un documento separado.

Cuánto tiempo se puede conservar legítimamente un examen ocupacional u otro documento de

salud apoyándose en la obligación de respaldo de la Ley 20.123 y el DS 76 (pregunta abierta del inventario técnico) — de esto depende toda la sección 10.

Si basta con que el Cliente declare tener base de licitud sobre los datos de sus trabajadores,

o si Liberty debe implementar algún grado de verificación adicional.

Qué mecanismo de transferencia internacional corresponde usar respecto de Anthropic bajo la

Ley 21.719, y si el envío de datos de salud a ese subencargado requiere consentimiento específico del trabajador en lugar de (o además de) la autorización general de subencargados.

Confirmar la región de alojamiento del proyecto de Supabase, para determinar si constituye

una transferencia internacional adicional que deba declararse.

Si corresponde pactar un tope de responsabilidad específico para este Anexo, dado que

involucra datos sensibles y un mayor riesgo reputacional y regulatorio que el resto del contrato.

Plazo y condiciones concretas para el derecho de auditoría del Cliente (sección 11) y para la

devolución o eliminación de datos al terminar el contrato (sección 10.3).