Documento legal

Anexo de Tratamiento de Datos Personales

Contrato de encargo de tratamiento — artículo 15 bis de la Ley 19.628, en el texto fijado por la Ley 21.719

Versión 1 · vigente desde el 12 de octubre de 2026

Esta es la versión pública de referencia. Se publica para que cualquier cliente pueda leerla completa antes de contratar, sin pedírsela a nadie. El anexo que se firma es este mismo texto con los datos del cliente llenados donde aquí dice [CLIENTE], [RUT CLIENTE], [REPRESENTANTE] y [DIRECCIÓN].


1. Las partes#

El Responsable de los datos es [CLIENTE], RUT [RUT CLIENTE], domiciliado en [DIRECCIÓN], representado por [REPRESENTANTE]. En este anexo se le llama el Cliente.

El Encargado del tratamiento es SECURE DELIVERY SERVICE LIMITADA, RUT 76.827.701-K, domiciliada en Antonio Bellet 193, oficina 302, Providencia, Santiago, que opera comercialmente bajo el nombre Prinu. En este anexo se le llama Prinu.

Este anexo forma parte del contrato de servicios entre ambas y no tiene valor separado de él. Si algo de este anexo contradice al contrato principal en materia de datos personales, manda este anexo.

Por qué existe. El artículo 15 bis de la Ley 19.628 exige que el tratamiento de datos por encargo se rija por un contrato escrito entre el Responsable y el Encargado, y que ese contrato establezca el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes. Este documento es ese contrato. Esa norma rige desde el 1 de diciembre de 2026; las partes acuerdan aplicarla desde ya.


2. Quién es quién frente a los datos#

Esta es la distinción de la que depende todo lo demás, y conviene que quede dicha en una línea:

Los datos de las personas que le escriben a su negocio son suyos, no nuestros. Nosotros los tratamos porque usted nos lo encarga, y solo para lo que usted nos encarga.

Prinu es Responsable —no Encargado— únicamente respecto de los datos de la relación comercial con el Cliente: los datos de contacto y facturación de la propia empresa Cliente y de las personas que ella designa para usar el panel. Esos datos se rigen por la Política de Privacidad de Prinu, no por este anexo.


3. Objeto del encargo#

Prinu trata datos personales por cuenta del Cliente para operar el servicio de atención conversacional contratado: recibir los mensajes que llegan a los canales del Cliente, generar respuestas con un sistema automatizado, dejarlos a la vista de las personas que el Cliente designe, y permitir que esas personas tomen la conversación cuando corresponda.

Prinu no trata estos datos para ningún otro fin. En particular, y sin que la lista sea limitativa, no los vende, no los cede, no los cruza con los de otros clientes, no los usa para prospectar por su cuenta y no los usa para entrenar ni ajustar modelos de inteligencia artificial, propios o de terceros.


4. Duración#

El encargo dura lo mismo que el contrato de servicios: empieza cuando se conecta el primer canal y termina cuando termina el contrato, con la ventana de salida de la cláusula 13.


5. Finalidad del tratamiento#

Los datos se tratan para estas finalidades y no para otras:

Finalidad Qué implica en la práctica
Recibir y responder mensajes Leer el mensaje entrante y generar una respuesta en nombre del Cliente
Mantener el hilo de la conversación Recordar lo que se dijo antes en esa misma conversación, para no hacer repetir a la persona
Cotizar, agendar y tomar pedidos Cuando el plan contratado lo incluye, y con la información que el propio Cliente cargó
Traspasar la conversación a una persona Dejar el hilo completo a la vista de quien el Cliente designó, para que retome sin que la persona repita nada
Operar, mantener y reparar el servicio Diagnosticar fallas y restablecer el servicio, con el límite de acceso de la cláusula 8

6. Tipos de datos personales tratados#

Categoría Qué incluye
Identificadores de contacto Número de teléfono, nombre de usuario de Instagram, dirección de correo, y el nombre con que la persona se identifica
Contenido de los mensajes El texto, las imágenes, los audios y los archivos que la persona envía o recibe
Metadatos de la conversación Fecha y hora, canal, estado de entrega y lectura, identificadores técnicos que asignan Meta u otros proveedores de canal
Datos que la persona entrega voluntariamente Lo que decida escribir en el mensaje, que puede incluir RUT, dirección, datos de un pedido u otros
Datos enviados por formulario web Los campos del formulario del sitio del Cliente que el sistema atienda: habitualmente nombre, correo, teléfono de contacto y sitio de la empresa, más los que el Cliente decida agregar
Datos de los usuarios del panel Nombre, correo y registro de actividad de las personas que el Cliente designa para atender

El Cliente define los campos del formulario, y responde por ellos. Prinu provee el mecanismo; qué se pregunta y para qué lo decide el Cliente, que es el Responsable. Si el Cliente agrega campos que recojan datos sensibles o datos de menores, se aplica la advertencia siguiente y Prinu puede exigir que se retiren como condición para seguir atendiendo ese formulario.

Advertencia que el Cliente declara conocer. El servicio no está diseñado para tratar datos personales sensibles —salud, origen étnico, situación socioeconómica, afiliación política o sindical, vida sexual, datos biométricos— ni datos de niños, niñas o adolescentes. Si por la naturaleza de su negocio el Cliente prevé recibirlos, tiene que decirlo antes de conectar el canal, para evaluar si el servicio es apto. Prinu puede negarse a prestarlo.


6 bis. Canales adicionales y datos de usuarios de redes sociales#

Cuando el Cliente contrata canales además de WhatsApp, Instagram, correo y el formulario de su propio sitio, el encargo se extiende a las cuentas que conecte, y se rige además por esta cláusula.

Donde hay conversación, hay tratamiento, y se rige por todo lo demás de este anexo. Es el caso de Facebook, Threads, Telegram, los comentarios y mensajes de TikTok, los mensajes directos de X, y las reseñas y preguntas de Google Business Profile: los mismos tipos de datos de la cláusula 6, la misma finalidad de la cláusula 5, la misma retención de la cláusula 13.

Donde solo se publica, no hay tratamiento de datos de usuarios de esa red. Prinu publica contenido que el Cliente aprobó. No descarga listas de seguidores, no exporta perfiles, no construye bases de contactos a partir de esas redes y no cruza a sus usuarios con los titulares de la cláusula 7. Es el caso de LinkedIn y Pinterest, y de cualquier red contratada solo en modalidad de publicación.

LinkedIn, en particular. Prinu publica en la página del Cliente y gestiona su pauta cuando está contratada; no lee comentarios, ni perfiles, ni seguidores. Sus condiciones de uso prohíben conservar datos de miembros más allá de veinticuatro horas para datos de perfil y cuarenta y ocho horas para el resto, y prohíben exportarlos al Cliente. Prinu no conserva ningún dato de miembros de LinkedIn, lo que hace que el plazo no llegue a correr. El Cliente reconoce que, por esa razón, Prinu no puede entregarle datos de miembros de LinkedIn aunque se los pida, y que la obligación de devolución de la cláusula 13 no alcanza a esa red.

Plataformas que conservan menos de lo que conserva Prinu. Algunas entregan un histórico más corto que los doce meses de la cláusula 13 —TikTok entrega noventa días de conversaciones—. En esos casos el histórico completo existe del lado de Prinu, no del lado de la plataforma, y se elimina en el mismo plazo y con la misma cascada que el resto.

Herramientas no oficiales. Prinu declara que opera exclusivamente por las interfaces de programación oficiales de cada plataforma, y que no emplea raspado de datos, cuentas automatizadas ni intermediarios que operen fuera de esas interfaces. Esta declaración es una obligación contractual, no una descripción.

Subencargados nuevos. Si para operar una plataforma Prinu necesita apoyarse en un proveedor intermediario, ese proveedor es un subencargado y se aplica íntegramente la cláusula 10: aviso por escrito con treinta días, derecho de oposición del Cliente y salida sin costo si no hay acuerdo. La lista vigente de subencargados está en la cláusula 10.


7. Categorías de titulares#


8. Quién puede leer las conversaciones#

Esta cláusula es la más concreta del anexo y conviene leerla entera.

  1. Por regla, nadie de Prinu lee las conversaciones de un cliente. El sistema las procesa; las personas no las miran.
  2. La excepción es el incidente. Una persona de Prinu puede abrir conversaciones de una cuenta solo cuando hay una falla que reparar o un incidente de seguridad que investigar, y solo en la medida necesaria para eso.
  3. Ese acceso es nominado y queda registrado. Queda anotado quién entró, cuándo, a qué cuenta y por qué. El Cliente puede pedir ese registro cuando quiera y Prinu tiene que entregárselo.
  4. Nadie más. Ni personal de otros proveedores, ni terceros, ni otros clientes de Prinu.
  5. El Cliente sí accede a las suyas, siempre, a través del panel, sin pedir permiso a nadie.

Las personas de Prinu con acceso están sujetas a un deber de confidencialidad que sobrevive al término del contrato y al término de su relación con la empresa.


9. Instrucciones del Cliente#

Prinu trata los datos únicamente conforme a las instrucciones del Cliente. Son instrucciones documentadas: este anexo, el contrato de servicios y la configuración que el Cliente define en el panel o por escrito.

Si Prinu estima que una instrucción del Cliente infringe la ley, tiene que decirlo por escrito y puede suspender su ejecución hasta que el punto se resuelva.

El Cliente reconoce lo que la ley ya dispone: si Prinu tratara los datos para un objeto distinto del encargo, o los cediera sin autorización expresa, pasaría a ser considerado Responsable para todos los efectos legales y respondería personalmente, y solidariamente con el Cliente por los daños.


9 bis. Requerimientos de autoridades públicas#

Si una autoridad pública requiere a Prinu datos personales tratados por encargo del Cliente, Prinu:

  1. Revisa la legalidad del requerimiento antes de responder, con asesoría legal: que provenga de autoridad competente, que invoque una facultad legal vigente y que su alcance corresponda a esa facultad.
  2. Lo impugna por las vías que la ley franquea si concluye que es ilegal, excesivo o carente de fundamento.
  3. Entrega el mínimo necesario. Nunca la totalidad de los datos de un Cliente cuando el requerimiento admite recortarse por período, por titular o por tipo de dato.
  4. Deja registro del requerimiento, de la respuesta entregada, del razonamiento legal y de quiénes intervinieron. Ese registro queda a disposición del Cliente.
  5. Avisa al Cliente antes de responder, salvo que la ley se lo prohíba expresamente; si se lo prohíbe, apenas esa prohibición cese.

Fuera de un requerimiento formal que cumpla lo anterior, Prinu no entrega datos personales a autoridades públicas.


10. Subencargados#

El Cliente autoriza de manera específica y por escrito, mediante la firma de este anexo, que Prinu se apoye en los siguientes subencargados:

Subencargado Para qué Dónde trata los datos Qué recibe
OpenAI, L.L.C. Generar las respuestas del sistema automatizado Estados Unidos El contenido del mensaje entrante y el contexto necesario para responderlo
Cal.com, Inc. Reservar la cita cuando el sistema automatizado la agenda Estados Unidos Nombre, correo, teléfono y horario de quien agenda
Hostinger International Limited Servidores donde corren el panel, el motor de automatización y la base de datos de Prinu Brasil (entidad contratante en Chipre) Acceso al servidor que aloja la plataforma

Ninguno de estos proveedores accede a las conversaciones por rutina, ni puede usarlas para fines propios. Son servicios de infraestructura: procesan los datos de forma automática, bajo contratos que los obligan a confidencialidad y seguridad. La regla de la cláusula 8 —que nadie de Prinu abre una conversación salvo bajo incidente, de forma nominada y registrada— no se relaja por esta lista.

Dónde corre el servicio. El panel, el motor de automatización y la base de datos del servicio corren en servidores que Prinu opera directamente, en Hostinger. Quitar un subencargado no requiere el aviso de treinta días del párrafo siguiente: ese aviso protege al Cliente de proveedores nuevos, no de que haya menos.

Qué hace OpenAI con esos datos, según sus propias políticas públicas: no usa los datos enviados por su API para entrenar ni mejorar sus modelos, salvo que el cliente opte expresamente por compartirlos; conserva los registros de monitoreo de abuso por un máximo de treinta días y después los elimina, salvo que la ley le exija conservarlos más tiempo; y actúa como procesador de datos por cuenta de su cliente. Prinu mantiene con OpenAI el acuerdo de tratamiento de datos que ese proveedor ofrece.

Cambios. Si Prinu quiere sumar o sustituir un subencargado, tiene que avisar al Cliente por escrito con treinta días de anticipación. Dentro de ese plazo el Cliente puede oponerse por escrito y fundadamente; si se opone y no hay acuerdo, cualquiera de las partes puede terminar el contrato sin costo ni multa, y se aplica la salida de la cláusula 13.

Responsabilidad. Prinu responde ante el Cliente por los actos de sus subencargados como si fueran propios.


10 bis. El compromiso que WhatsApp le exige al Cliente pedirnos#

Esta cláusula existe porque las WhatsApp Business Solution Terms obligan al Cliente a lo siguiente: si contrata a un tercero para operar su acceso a la Plataforma de WhatsApp Business —y Prinu es exactamente ese tercero—, ese tercero tiene que comprometerse por escrito a tres cosas. Prinu se compromete a las tres, aquí:

(a) Usar la Plataforma y tratar los datos solo por cuenta del Cliente, conforme a sus instrucciones y autorización, para prestar los servicios que el Cliente pide y para ningún otro fin, incluidos los fines propios de Prinu.

(b) Tratar esos datos cumpliendo las WhatsApp Business Solution Terms, las Business Terms y los demás términos que ellas incorporen, en su versión vigente.

(c) Mantener resguardos administrativos, físicos y técnicos que cumplan o superen los estándares de la industria dada la sensibilidad de los datos, que cumplan la legislación aplicable de seguridad y privacidad, y que estén diseñados para impedir el acceso, la destrucción, la pérdida, la alteración, la divulgación o el compromiso no autorizados de esos datos. El detalle está en la cláusula 12.

Por qué le conviene al Cliente tener esto firmado. WhatsApp establece que el Cliente es plena y exclusivamente responsable por los actos y omisiones de sus proveedores externos, y que un incumplimiento de ese proveedor se considera un incumplimiento del propio Cliente. Este documento es lo que WhatsApp le exige tener, y el Cliente lo obtiene sin tener que pedirlo.

Prinu además declara que no revende, no arrienda ni distribuye a terceros los servicios de WhatsApp. La cuenta de WhatsApp Business es del Cliente, está en su propio portafolio de Meta, y lo que Prinu presta es software y operación sobre esa cuenta.


11. Transferencia internacional#

Operar el servicio implica tratar datos fuera de Chile. Estas son todas las transferencias, y el Cliente las autoriza al firmar este anexo:

Destino Quién trata ahí Qué se transfiere
Estados Unidos OpenAI y Cal.com El contenido del mensaje para generar la respuesta, y los datos de agendamiento
Brasil Hostinger, en los servidores donde corre la plataforma de Prinu Lo que la plataforma aloja en esos servidores. La entidad contratante de Hostinger está en Chipre y puede acceder desde ahí

Prinu mantiene con cada uno de esos proveedores el acuerdo de tratamiento de datos que ofrece, con obligaciones de confidencialidad y seguridad equivalentes a las de este anexo.


12. Medidas de seguridad#

Prinu mantiene, como mínimo:

Las medidas pueden cambiar por otras de nivel equivalente o superior, sin necesidad de modificar este anexo.


13. Cuánto se guarda, y qué pasa al final#

Mientras el contrato está vigente: las conversaciones y sus metadatos se conservan por doce meses móviles. Lo que cumple doce meses se elimina automáticamente, aunque el contrato siga vigente.

Cuando el contrato termina: el Cliente tiene sesenta días corridos para pedir la devolución de sus datos, que se entregan en un formato de uso común y legible por máquina. Cumplido ese plazo, Prinu elimina los datos y lo confirma por escrito.

Redes sin datos almacenados. En LinkedIn, en Pinterest y en cualquier red contratada solo para publicar no hay nada que conservar ni que devolver, porque no se guardan datos de sus usuarios (cláusula 6 bis). Lo publicado queda en la cuenta del Cliente, que es suya.

La eliminación es en cascada y alcanza a: la base de datos operativa, el índice de búsqueda sobre los documentos cargados, la memoria de conversación, los buffers temporales, la bandeja de eventos entrantes, los registros de ejecución del motor de automatización y los respaldos. Los respaldos dejan de ser accesibles dentro de los treinta días siguientes.

Se exceptúa lo que Prinu deba conservar por obligación legal. En particular, los documentos tributarios ya emitidos y sus datos de facturación se conservan seis años, conforme al Código Tributario, con tratamiento limitado a fines de archivo y cumplimiento legal. Prinu conserva prueba del requisito legal que justifica cada conservación y la entrega si se le pide.


14. Brechas de seguridad#

Si ocurre una vulneración que afecte datos tratados por encargo del Cliente, Prinu avisa al Cliente sin dilación indebida desde que toma conocimiento, y en todo caso dentro de las veinticuatro horas siguientes.

El aviso incluye, con lo que se sepa en ese momento: qué pasó y cuándo, qué categorías de datos y cuántos titulares están afectados aproximadamente, qué consecuencias se prevén, qué medidas se tomaron o se van a tomar, y un contacto para el seguimiento. Si no se sabe todo, se avisa igual con lo que hay y se completa después.

Quien notifica a la Agencia y a los titulares es el Cliente, porque es el Responsable. Prinu le entrega toda la información y asistencia que necesite para hacerlo, y no notifica por su cuenta a los titulares salvo que el Cliente se lo pida por escrito.


15. Derechos de los titulares#

Las personas ejercen sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo —y el derecho a no quedar sujetas a una decisión basada solo en tratamiento automatizado— ante el Cliente, que es el Responsable. La ley chilena habla de supresión, no de cancelación.

Si una solicitud le llega a Prinu, la deriva al Cliente dentro de dos días hábiles y no la responde por su cuenta.

Prinu asiste al Cliente para responderla en plazo: le entrega los datos que tenga de esa persona, ejecuta la rectificación o la supresión que el Cliente instruya, y deja constancia de lo ejecutado. Esta asistencia está incluida en el precio del servicio y no se cobra aparte.

El bloqueo temporal es el plazo corto y hay que tratarlo aparte. Si un titular pide rectificación, supresión u oposición, puede además exigir el bloqueo temporal de sus datos, y el Responsable tiene que responder dentro de dos días hábiles; mientras no lo resuelva, la ley le prohíbe tratar esos datos. Para que el Cliente pueda cumplir ese plazo, Prinu excluye a ese contacto del procesamiento automático dentro de un día hábil desde que el Cliente se lo instruya por escrito.


16. Acreditación de cumplimiento#

Prinu entrega al Cliente, cuando este lo pida y como máximo una vez al año, la información razonable que permita verificar el cumplimiento de este anexo: el registro de accesos de la cláusula 8, la descripción vigente de las medidas de seguridad y la lista de subencargados.

Si el Cliente quiere una auditoría más profunda, se acuerda con aviso de treinta días, en horario hábil, sin interrumpir el servicio, sujeta a confidencialidad y de cargo del Cliente, salvo que la auditoría revele un incumplimiento de Prinu.


17. Obligaciones del Cliente#

El Cliente, como Responsable:

  1. Tiene la relación con los titulares y es quien les informa que sus datos se tratan, para qué y por quién.
  2. Se asegura de contar con base legal para tratar los datos que se procesan a través del servicio.
  3. Cumple las reglas del canal. En particular, las políticas de WhatsApp y de Meta sobre consentimiento previo, contenido permitido y uso de plantillas. Prinu opera el canal; el contenido y a quién se le escribe los define el Cliente.
  4. No carga en el sistema datos sensibles ni de menores, según la advertencia de la cláusula 6.
  5. Mantiene una ventana horaria y personas designadas para atender lo que el sistema traspasa, según el contrato de servicios.
  6. Avisa a Prinu de cualquier reclamo, requerimiento de autoridad o incidente relacionado con estos datos.

18. Que el interlocutor es un sistema automatizado#

El servicio informa a la persona, al inicio de la conversación, que le responde un sistema automatizado y no una persona. Ni el Cliente ni Prinu pueden desactivar ese aviso ni redactarlo de forma que induzca a creer que hay una persona.

No es una concesión de cortesía: es lo que exige el artículo 28 de la Ley 19.496, que prohíbe inducir a error o engaño en la relación de consumo, y es además condición del servicio.


19. Responsabilidad#

Cada parte responde por el incumplimiento de sus propias obligaciones bajo este anexo.

Las limitaciones de responsabilidad del contrato de servicios no se aplican a la infracción del deber de confidencialidad de la cláusula 8, al tratamiento para un objeto distinto del encargo, ni a la cesión no autorizada de datos.


20. Ley aplicable y tribunales#

Este anexo se rige por la ley chilena.

Sobre el tribunal, decimos lo que corresponde y no lo que nos convendría. Si el Cliente califica como micro o pequeña empresa según la Ley 20.416, tiene derecho a demandar ante el juez de policía local del lugar donde se produjo la infracción, donde se celebró el contrato o donde empezó a ejecutarse, a su elección, y ese derecho es irrenunciable de antemano. Prinu no lo restringe. Para todo lo demás, y para los clientes que no califiquen como empresa de menor tamaño, son competentes los tribunales ordinarios con asiento en la comuna de Santiago.


21. Vigencia#

Este anexo empieza a regir con la firma y se mantiene mientras dure el tratamiento. Las cláusulas de confidencialidad, eliminación y responsabilidad sobreviven a su término.

Si la Ley 21.719 se modifica o su entrada en vigencia se posterga, este anexo sigue vigente entre las partes en todo lo que no contradiga la ley aplicable en cada momento.


Firman en dos ejemplares del mismo tenor, en Santiago, a la fecha que se indique al pie de la copia firmada.

(En esta versión pública de referencia no hay partes ni fecha: se completan al firmar con cada cliente.)

Por el Cliente Por Prinu
[REPRESENTANTE] [REPRESENTANTE]
[CLIENTE] Secure Delivery Service Limitada
RUT [RUT CLIENTE] RUT 76.827.701-K

Anexo A — Dónde viven los datos#

Se entrega como parte del anexo y se actualiza cuando cambia la arquitectura, sin necesidad de volver a firmar.

Sistema Qué guarda Quién lo opera Dónde
Sitio y plataforma El sitio público y la infraestructura que Prinu opera directamente Prinu, sobre servidor de Hostinger Brasil
Base de datos de conversaciones Conversaciones, contactos, configuración, bandeja de eventos Prinu, sobre servidor de Hostinger Brasil
Motor de automatización Ejecuciones y registros del flujo Prinu, sobre servidor de Hostinger Brasil
Índice de búsqueda Los documentos y la información del sitio que el Cliente cargó Prinu, sobre servidor de Hostinger Brasil
Memoria de conversación Los últimos turnos de cada conversación, para no hacer repetir Prinu, sobre servidor de Hostinger Brasil
Buffer temporal Agrupación de mensajes en ráfaga, de vida efímera Prinu, sobre servidor de Hostinger Brasil
Agendamiento La cita reservada y los datos de quien la agenda Cal.com, Inc. Estados Unidos
Modelo de lenguaje Procesa el mensaje para generar la respuesta; no lo almacena para entrenar OpenAI, L.L.C. Estados Unidos
Canales Los mensajes en su origen, bajo la cuenta del propio Cliente Meta Platforms Según Meta

Sobre los canales: la cuenta de WhatsApp Business y las cuentas de redes sociales son del Cliente y viven en su propio portafolio de Meta. Prinu opera sobre ellas con la autorización que el Cliente otorga, y el Cliente puede revocarla cuando quiera, sin pedirle permiso a nadie. Lo que Meta hace con esos datos se rige por las políticas de Meta, que el Cliente acepta directamente con Meta.


Versiones. Todas las versiones de este documento, con la fecha desde la que rigió cada una, quedan publicadas en prinu.ai/versiones.