Política de Tratamiento de Datos Personales
Maldito Sudaca, Consultora Gastronómica
Versión 1.2
Esta política explica qué datos personales trata la consultora, con qué finalidad, con qué fundamento legal, con quién los comparte, cuánto tiempo los conserva y cómo pueden ejercerse los derechos que la ley reconoce a sus titulares. Se dicta conforme a la Ley N° 19.628, sobre protección de los datos personales, en el texto fijado por la Ley N° 21.719, y en especial al deber de información y transparencia de su artículo 14 ter. Esta versión reemplaza a la versión 1.1 y rige desde su publicación en malditosudaca.cl/privacidad.
1. Responsable del tratamiento
El responsable de los datos personales descritos en esta política es Maldito Sudaca SpA, RUT 78.203.769-2 (en adelante, «la consultora»), que opera bajo la marca Maldito Sudaca, Consultora Gastronómica.
- Domicilio: comuna de Viña del Mar, Región de Valparaíso.
- Representante legal: Javier Andrés Díaz Gurruchaga, gerente general.
- Canal de contacto y de ejercicio de derechos: [email protected].
- Delegado de protección de datos: la consultora no ha designado delegado de protección de datos ni encargado de prevención. Todas las consultas sobre esta política se dirigen al canal indicado.
2. Alcance
Esta política se aplica a los tratamientos de datos personales vinculados al sitio malditosudaca.cl, a la publicidad de la consultora en Google Ads y a los servicios de consultoría que la consultora presta bajo la marca Maldito Sudaca, Consultora Gastronómica. Las demás actividades de Maldito Sudaca SpA, si las hubiere, se rigen por su propia política.
La ley protege los datos de las personas naturales (artículo 1° de la Ley N° 19.628). La información de una empresa (su razón social, su RUT, su giro o sus cifras) no es, en sí misma, un dato personal. Sí lo son los datos de las personas que actúan por ella: dueños, socios, representantes y contactos. Cuando el cliente es un empresario individual, o una empresa cuya información permite identificar a su dueño, la consultora trata la información de su negocio con el mismo cuidado que un dato personal.
La política distingue dos situaciones:
- La consultora como responsable (sección 3): trata los datos para sus propios fines, como responder solicitudes, contratar, facturar, medir su publicidad y acreditar la correcta ejecución de sus servicios.
- La consultora como encargada (sección 4): trata, por cuenta de cada cliente y según sus instrucciones, los datos de las personas vinculadas al negocio del cliente. Respecto de esos datos, el responsable es el cliente.
3. Datos que la consultora trata como responsable
3.1. Cuestionario web
- Titulares: dueños, administradores y contactos de bares, restaurantes y otros negocios gastronómicos que completan el cuestionario del sitio.
- Datos: nombre, correo electrónico, cargo y, si se entregan, los datos del negocio que pide el cuestionario: local, comuna, formato, capacidad, dotación, rangos de ventas y costos, y existencia de permisos y contratos. Las preguntas sobre cifras se responden en rangos y son opcionales.
- Fuente: el propio titular.
- Finalidad: evaluar la solicitud y preparar un presupuesto.
- Base de licitud: el consentimiento del titular, otorgado al marcar la casilla de autorización del cuestionario (artículo 12 de la Ley N° 19.628). El titular declara, además, en una casilla separada, haber leído esta política. El titular puede retirar su consentimiento en cualquier momento, sin expresión de causa, escribiendo a [email protected]. El retiro no afecta la licitud del tratamiento anterior (artículos 12 y 14 ter, letra k)).
- Cómo funciona el envío: las respuestas no se guardan en una base de datos del sitio. Se transmiten por correo electrónico a la casilla de la consultora en Google Workspace (ver sección 5). El correo incluye la constancia de las dos casillas, la versión de la política y la fecha y hora del envío. Si el envío falla, el sitio ofrece enviarlas desde el propio correo del visitante.
- Publicidad: el contenido del cuestionario, el nombre y el correo del titular no se comunican a Google Ads ni se usan para crear audiencias publicitarias. El envío del cuestionario solo puede registrarse como conversión, sin su contenido, en los términos de la sección 3.9.
3.2. Contacto directo
- Titulares: personas que escriben a la consultora por correo electrónico o por WhatsApp.
- Datos: nombre, teléfono, correo electrónico y contenido de los mensajes.
- Finalidad: responder las consultas y coordinar reuniones.
- Base de licitud: interés legítimo de la consultora en atender las consultas que recibe (artículo 13, letra d)). Si quien escribe es un empresario individual que pide una cotización, la base es la ejecución de medidas precontractuales adoptadas a su solicitud (artículo 13, letra c)).
3.3. Primera conversación con prospectos
- Titulares: personas que evalúan contratar a la consultora y, en su caso, el contador del negocio mencionado en la conversación.
- Datos: ficha de calificación con formato y tamaño del negocio, comuna, estado, persona que decide la contratación, sistemas que usa, pedido declarado y disponibilidad horaria. En su caso, el nombre y el contacto del contador.
- Canal: videollamada por Google Meet o reunión presencial. Las videollamadas no se graban.
- Finalidad: calificar la solicitud y elaborar una propuesta.
- Base de licitud: medidas precontractuales a solicitud del titular, cuando el titular será parte del contrato (artículo 13, letra c)). En los demás casos, el interés legítimo de la consultora en preparar la propuesta que se le pidió (artículo 13, letra d)).
3.4. Contratación, ejecución administrativa y facturación
- Titulares: clientes personas naturales y representantes, socios y contrapartes de clientes personas jurídicas.
- Datos: identificación, RUT, domicilio, datos de contacto, firma electrónica y datos de facturación.
- Finalidad: celebrar y ejecutar el contrato, emitir documentos tributarios y cobrar los servicios.
- Base de licitud:
- la ejecución del contrato, cuando el titular es parte (artículo 13, letra c));
- el interés legítimo en relacionarse con quien representa al cliente (artículo 13, letra d));
- el cumplimiento de obligaciones legales tributarias (artículo 13, letra b)).
3.5. Constancias y resultados del servicio
- Titulares: dueños y representantes del cliente, y personas del local identificadas solo por su cargo.
- Datos:
- el aviso escrito de hallazgo crítico y, en su caso, la constancia firmada de su rechazo;
- una copia del informe, de las actas y de las planillas de resultados, con los datos de personas reducidos a cargos o anonimizados.
- Finalidad: acreditar la correcta ejecución del servicio y las advertencias formuladas al cliente.
- Base de licitud: interés legítimo de la consultora en poder acreditar el servicio prestado y, en su caso, defender sus derechos (artículo 13, letras d) y e)).
3.6. Uso de casos y testimonios
La consultora puede usar casos de sus clientes para difundir su método solo con autorización escrita del cliente y una vez anonimizados. El dato anonimizado deja de ser un dato personal (artículo 2°, letra k)). La consultora publica testimonios, nombres o imágenes de personas, en el sitio o en sus anuncios, solo con su consentimiento expreso y específico (artículo 12), que puede retirarse en cualquier momento.
3.7. Proveedores de la consultora
- Titulares: proveedores personas naturales y contactos de proveedores personas jurídicas.
- Datos: identificación, datos de contacto y datos de facturación.
- Finalidad: contratar y pagar los servicios que la consultora recibe.
- Base de licitud: la ejecución del contrato (artículo 13, letra c)), el interés legítimo en relacionarse con los contactos (artículo 13, letra d)) y las obligaciones tributarias (artículo 13, letra b)).
3.8. Equipo de la consultora
La página «Nosotros» muestra el retrato y los antecedentes profesionales de los integrantes del equipo. Se publican con el consentimiento de cada integrante (artículo 12).
3.9. Publicidad en Google Ads y medición de conversiones
La consultora anuncia sus servicios en Google Ads. Cuando una persona hace clic en un anuncio y llega al sitio, la consultora puede medir si ese clic terminó en un contacto y mostrar nuevamente sus anuncios a quienes visitaron el sitio. Para eso el sitio incorpora la etiqueta de Google, que solo se carga si el visitante lo acepta en el aviso de cookies.
- Titulares: visitantes del sitio que aceptan las cookies publicitarias.
- Datos: identificadores almacenados en cookies y el identificador del clic en el anuncio; las páginas visitadas y las acciones realizadas en el sitio que la consultora define como conversión (envío del cuestionario y clic en los enlaces de WhatsApp, correo o teléfono), sin su contenido; la fecha y hora; y los datos técnicos de la conexión, como la dirección IP y el navegador, que Google recibe al cargarse su etiqueta.
- Lo que no se comunica a Google: la consultora no entrega a Google nombres, correos, teléfonos ni respuestas del cuestionario, y no usa las funciones de Google Ads que cargan esos datos, como las conversiones mejoradas o las listas de clientes.
- Finalidades:
- medir el resultado de las campañas y ajustar su inversión;
- mostrar anuncios de la consultora a personas que visitaron el sitio (remarketing), solo si el visitante acepta también la personalización de anuncios.
- Base de licitud: el consentimiento del visitante, otorgado en el aviso de cookies, que ofrece aceptar o rechazar con la misma facilidad (artículo 12). Sin consentimiento, la etiqueta de Google no se carga y no se instalan cookies publicitarias. El visitante puede retirar o cambiar su decisión en cualquier momento desde el enlace «Preferencias de cookies», al pie de cada página.
- Posición de Google: respecto de los datos que obtiene a través de su etiqueta y de sus propios servicios publicitarios, Google actúa como responsable independiente, conforme a sus términos de protección de datos entre responsables para Google Ads, y los trata también para sus propios fines, según su política de privacidad (policies.google.com/privacy). La consultora solo recibe de Google informes agregados de sus campañas, que no identifican a los visitantes.
- Oposición: además de retirar su consentimiento, el titular puede oponerse en cualquier momento al tratamiento con fines de mercadotecnia (artículo 8) y administrar la personalización de anuncios en su cuenta de Google (myadcenter.google.com).
3.10. Registros técnicos del sitio
Ver la sección 10.
3.11. Gestión de solicitudes de derechos e incidentes de seguridad
- Datos: los datos de quien ejerce un derecho, la solicitud, la respuesta y el respaldo de su envío. En su caso, el registro de las vulneraciones de seguridad y de sus comunicaciones.
- Base de licitud: el cumplimiento de obligaciones legales (artículo 13, letra b); artículos 11 y 14 sexies).
4. Datos que la consultora trata por encargo de sus clientes
Durante el diagnóstico y los módulos contratados, la consultora recibe y observa información del negocio del cliente que puede contener datos de personas. Respecto de esos datos, el responsable es el cliente, y la consultora actúa como encargada del tratamiento, por cuenta del cliente y conforme a sus instrucciones (artículos 2°, letra x), y 15 bis). Esta relación se regula en un acuerdo de encargo escrito, anexo a la carta de encargo.
4.1. Qué datos y de quiénes
| Actividad |
Titulares |
Cómo se trata la información |
| Antecedentes del diagnóstico |
Socios, representantes y trabajadores del cliente |
Se piden resumidos o con nombres y RUT tachados. Las remuneraciones se piden agregadas y los turnos y organigramas, sin nombres o con iniciales. Se guardan en una carpeta por cliente en Google Drive, con acceso restringido al equipo del encargo. |
| Revisión de contratos de trabajo |
Trabajadores del cliente |
Se revisan en el local, sin llevarse copia. |
| Entrevista al dueño |
Dueño o administrador; terceros mencionados |
Se conversa en privado. Las notas registran la situación de la empresa, sin nombres de trabajadores y sin datos sensibles. |
| Visitas técnica e incógnita |
Personal del local |
Sin audio ni video. Las fotos no muestran rostros y las personas se identifican solo por su cargo o turno. Si un trabajador relata una situación de acoso o violencia, se le informa del canal que establece el protocolo del cliente, y la consultora no registra ni transmite el relato. |
| Encuesta a comensales |
Comensales del cliente |
Se aplica en una plataforma contratada por el cliente, configurada para no pedir nombre ni contacto y dirigida a mayores de 18 años. La consultora depura la exportación, la anonimiza y elimina la exportación original al terminar la depuración. |
| Reseñas públicas |
Autores de reseñas publicadas en internet |
Por instrucción del cliente, se registran solo el mes, el tema y el tono de cada reseña, con una paráfrasis y sin el nombre ni una cita literal del autor. |
| Compras, bodega y costeo |
Proveedores del cliente y sus contactos |
Se trata la identificación, el contacto, los precios y las condiciones comerciales, sin datos bancarios. |
| Informes, actas y planillas |
Cliente y personas del local, por cargo |
Contienen hallazgos, indicadores y acuerdos. |
| Acompañamiento mensual, si el cliente lo contrata |
Cliente; trabajadores, en forma agregada |
La consultora trata los datos operativos que el cliente carga en el archivo dispuesto para el servicio, alojado en Google Workspace. |
Minimización. La metodología de la consultora trabaja con cifras agregadas y sin identificar a las personas. Aun así, en un local pequeño un cargo o unas iniciales pueden permitir identificar a alguien. Por eso la consultora trata esta información como dato personal y aplica las reglas de esta sección.
Sin uso publicitario. La información tratada por encargo de los clientes nunca se usa en Google Ads ni en ninguna otra herramienta publicitaria.
4.2. Compromisos de la consultora como encargada
- La consultora usa la información solo para el diagnóstico y los módulos contratados. No la comunica ni la cede a terceros ni la usa para otro fin.
- Solo acceden a ella el equipo del encargo y los proveedores que la tratan por cuenta de la consultora, autorizados por el cliente (sección 5).
- Guarda secreto sobre la información, también después de terminado el servicio (artículos 14 bis y 15 bis).
- Solo la comunica a una autoridad cuando una obligación legal lo exige.
- Informa al cliente de toda vulneración de seguridad que afecte esa información.
- Al término del servicio, devuelve o elimina lo recibido dentro de los 90 días siguientes al cierre, salvo lo que la ley obligue a conservar. La copia de los resultados descrita en la sección 3.5 se conserva con los datos de personas reducidos a cargos o anonimizados.
4.3. Ante quién se ejercen los derechos
Los derechos sobre estos datos se ejercen ante el cliente, que es su responsable. Si un titular dirige su solicitud a la consultora, esta la remite al cliente dentro de los 5 días hábiles siguientes a su recepción, informa de ello al titular y colabora con el cliente para responderla dentro del plazo legal.
5. Destinatarios y encargados
La consultora no vende datos personales y no los cede ni comunica a terceros para sus propios fines. Los datos solo se comunican:
- a los proveedores que los tratan por cuenta de la consultora, en calidad de encargados o subencargados;
- a Google, como responsable independiente, respecto de los datos que su etiqueta obtiene de los visitantes que aceptan las cookies publicitarias (sección 3.9);
- a las autoridades, cuando una ley lo exige;
- al cliente, respecto de los datos tratados por su encargo.
Los proveedores que participan en los tratamientos son los siguientes:
| Proveedor |
Servicio y posición |
País de tratamiento |
| Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, EE.UU.) |
Alojamiento del sitio, DNS, red de distribución, procesamiento del cuestionario y envío del correo que el cuestionario genera. Encargado. |
Estados Unidos y centros de datos distribuidos en otros países |
| Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, EE.UU.) · Google Workspace |
Correo electrónico, videollamadas, almacenamiento de archivos y carpetas por cliente, contratados por Maldito Sudaca SpA. Encargado, conforme al acuerdo de tratamiento de datos de Google Cloud (Cloud Data Processing Addendum). |
Estados Unidos y otros países en que Google o sus subencargados operan |
| Google LLC · Google Ads |
Publicidad de la consultora y medición de conversiones (sección 3.9). Responsable independiente de los datos que obtiene con su etiqueta, conforme a sus términos de protección de datos entre responsables para Google Ads. |
Estados Unidos y otros países en que Google opera |
| Anthropic PBC (Claude) y OpenAI OpCo, LLC (ChatGPT) |
Herramientas de inteligencia artificial de apoyo al análisis y la redacción, sin datos personales identificables |
Estados Unidos y otros países en que operan |
| WhatsApp LLC (1 Meta Way, Menlo Park, CA 94025, EE.UU.) |
Mensajería con prospectos y clientes mediante WhatsApp Business. Encargado, conforme a los términos de tratamiento de datos de WhatsApp Business. |
Estados Unidos y otros países en que opera |
| Empresa Nacional de Certificación Electrónica SpA (eCert) |
Firma electrónica de la carta de encargo y de otros documentos |
Proveedor establecido en Chile |
Condiciones para las herramientas de inteligencia artificial. La consultora usa las versiones individuales de Claude y ChatGPT como apoyo al análisis y la redacción, siempre con revisión humana y con la opción de uso de contenidos para entrenar modelos desactivada. Los términos de esas versiones no incluyen un acuerdo de tratamiento de datos. Por eso la consultora no ingresa en ellas datos personales identificables: solo información previamente anonimizada o que no se refiere a personas.
Diseño gráfico. Cuando un módulo incluye el diseño de una carta, la consultora coordina a un diseñador externo que recibe solo el contenido de la carta, sin datos personales. Si la carta incluyera nombres o imágenes de personas, el envío requiere la autorización escrita del cliente.
6. Transferencias internacionales
Los proveedores de la sección 5, salvo eCert, tratan datos fuera de Chile, principalmente en Estados Unidos. La ley chilena entrega a la Agencia de Protección de Datos Personales la determinación de los países con un nivel adecuado de protección (artículo 28). La consultora no tiene conocimiento de que la Agencia haya publicado esa determinación. Por eso, las transferencias se fundan en los instrumentos contractuales de cada proveedor (artículo 27, letra b)) o, en el caso de Google Ads, en el consentimiento del visitante:
- Cloudflare: su acuerdo de tratamiento de datos se incorpora a los términos del servicio. Contempla, entre otras garantías, cláusulas contractuales tipo y las certificaciones Global CBPR y Global PRP.
- Google Workspace: el acuerdo de tratamiento de datos de Google Cloud, aceptado por la consultora, obliga a Google a tratar los datos solo según las instrucciones de la consultora, a avisar con anticipación la incorporación de nuevos subencargados, a mantener medidas de seguridad, a notificar sin demora indebida los incidentes que afecten los datos y a eliminarlos al término del servicio.
- Google Ads: la comunicación de datos a Google se produce solo cuando el visitante acepta las cookies publicitarias, después de ser informado de que Google los trata en Estados Unidos y en otros países, como responsable independiente y conforme a su propia política de privacidad.
- Anthropic y OpenAI: la consultora no transfiere a estas herramientas datos personales identificables (sección 5).
- WhatsApp: sus términos para la aplicación WhatsApp Business la califican como encargada e incorporan términos de tratamiento de datos y un anexo de transferencias aplicable a los países de Sudamérica.
Estos instrumentos no fueron redactados con referencia específica a la ley chilena. La consultora los revisa periódicamente y ajustará esta política cuando la Agencia apruebe cláusulas modelo o determine países adecuados.
7. Plazos de conservación
| Datos |
Plazo |
| Cuestionario, mensajes y fichas de prospectos |
Mientras se evalúa la solicitud. Si la contratación no se concreta dentro de los 90 días siguientes al último contacto, los datos se suprimen. También se suprimen antes si el titular retira su consentimiento. El correo que contiene la constancia del consentimiento se conserva mientras se conserven los demás datos del prospecto. |
| Carta de encargo y documentación de facturación |
Mientras esté pendiente el plazo del Servicio de Impuestos Internos para revisar las declaraciones (artículos 17 y 200 del Código Tributario). |
| Información recibida del cliente (sección 4) |
Durante el servicio. Se devuelve o elimina dentro de los 90 días siguientes al cierre, salvo lo que la ley obligue a conservar. |
| Exportación original de la encuesta a comensales |
Se elimina al terminar la depuración. El formulario se elimina al cierre del diagnóstico. |
| Constancias y resultados del servicio (sección 3.5) |
Un año desde el cierre del servicio, salvo que el cliente contrate un servicio de continuidad; en ese caso, mientras este dure y un año más. |
| Datos de proveedores de la consultora |
Mientras dure la relación y, luego, el plazo tributario indicado arriba. |
| Testimonios e imágenes publicadas |
Hasta que el titular retire su consentimiento. |
| Decisión del visitante sobre las cookies |
Se guarda en su propio navegador durante 6 meses; luego el aviso se vuelve a mostrar. |
| Cookies publicitarias de Google Ads (sección 3.9) |
Las del sitio que miden conversiones duran hasta 90 días. Las que Google instala en sus propios dominios duran los plazos que Google informa en policies.google.com/technologies/cookies. El visitante puede borrarlas en cualquier momento desde su navegador. |
| Informes de campañas de Google Ads |
Son agregados y no identifican a personas; la consultora los conserva mientras le sean útiles para gestionar su publicidad. |
| Registro de solicitudes de derechos y de vulneraciones |
Cuatro años, plazo de prescripción de las acciones por infracciones a la ley (artículo 40). |
| Registros técnicos del sitio |
Los plazos breves que fija Cloudflare (sección 10). |
Anonimización al término del período de conservación. Cumplida la finalidad del tratamiento o vencido el período de conservación que esta política declara, los datos personales serán suprimidos o anonimizados, conforme a la letra c) del artículo 3° de la Ley N° 19.628. La anonimización se practica mediante un procedimiento irreversible que destruye el nexo que vincula, asocia o identifica al titular, en los términos de la letra k) del artículo 2° de dicha ley. Comprende la eliminación de todo identificador y de toda clave que permita reunir la información por persona, así como la agregación de los atributos que pudieren permitir la identificación indirecta. Conforme a la norma citada, el dato anonimizado deja de ser un dato personal, y su conservación y utilización posteriores, incluida su utilización con fines analíticos o estadísticos, no constituyen tratamiento de datos personales ni quedan sujetas a esta política. Maldito Sudaca SpA mantiene documentado el procedimiento de anonimización aplicado y la evaluación del riesgo de reidentificación que lo respalda, y lo actualizará conforme a la reglamentación que se dicte en virtud del artículo 26 de la referida ley. La consultora no anonimiza datos para eludir una solicitud de supresión ya formulada.
8. Derechos de los titulares
Toda persona puede ejercer ante la consultora, por sí o mediante su representante legal o mandatario, los siguientes derechos (artículos 4° a 9° de la Ley N° 19.628):
- Acceso: saber si la consultora trata sus datos y, en ese caso, conocerlos junto con su origen, su finalidad, sus destinatarios, el plazo de conservación y el interés legítimo invocado, cuando corresponda.
- Rectificación: corregir o completar datos inexactos, desactualizados o incompletos.
- Supresión: pedir la eliminación de sus datos en los casos que prevé la ley, entre otros, cuando ya no sean necesarios o cuando se haya retirado el consentimiento.
- Oposición: oponerse a un tratamiento basado en el interés legítimo de la consultora y, en cualquier caso, al tratamiento con fines de mercadotecnia.
- Portabilidad: recibir en formato electrónico estructurado los datos entregados mediante el cuestionario web, que se tratan en forma automatizada con base en el consentimiento.
- Bloqueo: pedir la suspensión temporal del tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.
Cómo ejercerlos. La solicitud se envía por escrito a [email protected] e indica, a lo menos (artículo 11):
- el nombre del titular y, en su caso, el de su representante;
- un correo electrónico o domicilio para la respuesta;
- los datos o el tratamiento a que se refiere;
- en caso de rectificación, las correcciones precisas y sus antecedentes; en caso de supresión u oposición, la causa invocada, salvo que la oposición se refiera a fines de mercadotecnia.
La consultora puede pedir antecedentes razonables para verificar la identidad de quien solicita, conforme a los procedimientos que fije la Agencia.
Plazos.
- La consultora acusa recibo y responde por escrito dentro de 30 días corridos desde la recepción de la solicitud. Ese plazo puede prorrogarse una sola vez, hasta por otros 30 días corridos (artículo 11).
- Las solicitudes fundadas de bloqueo temporal se responden dentro de 2 días hábiles.
Gratuidad. Los derechos de rectificación, supresión y oposición son siempre gratuitos. El acceso es gratuito al menos una vez por trimestre (artículo 10).
Reclamo ante la Agencia. Si la consultora rechaza total o parcialmente la solicitud, o no responde dentro de plazo, el titular puede reclamar ante la Agencia de Protección de Datos Personales dentro de los 30 días hábiles siguientes a la respuesta negativa o al vencimiento del plazo para responder (artículos 11 y 41).
Datos tratados por encargo. Respecto de los datos descritos en la sección 4, los derechos se ejercen ante el cliente que es su responsable, según se indica en la sección 4.3.
Datos tratados por Google como responsable. Respecto de los datos que Google trata para sus propios fines (sección 3.9), los derechos se ejercen también ante Google, en la forma que indica su política de privacidad. La consultora orienta al titular que lo solicite.
9. Seguridad
La consultora aplica, entre otras, las siguientes medidas, proporcionales al tipo de datos que trata y a su tamaño:
- Minimización. Pide solo la información necesaria, resumida o con nombres y RUT tachados. Las cifras se piden en rangos. Los contratos de trabajo se revisan sin llevarse copia. Las fotos no muestran rostros, y las notas y encuestas no registran nombres.
- Cuentas de trabajo. Usa cuentas de Google Workspace a nombre de Maldito Sudaca SpA, con verificación en dos pasos, separadas de las cuentas personales de sus integrantes.
- Separación y acceso restringido. Usa una carpeta por cliente, a la que solo accede el equipo del encargo.
- Plazos y eliminación. Devuelve o elimina lo recibido dentro de los 90 días siguientes al cierre, suprime los datos de prospectos que no contratan y elimina la exportación original de las encuestas.
- Transmisión cifrada. El sitio se sirve mediante conexión cifrada (HTTPS).
- Control del formulario. El cuestionario no almacena las respuestas en una base de datos del sitio, aplica controles contra el envío automatizado y sus registros técnicos no guardan el contenido de las respuestas.
- Publicidad separada. La etiqueta de Google no se carga sin consentimiento y no recibe el contenido de los formularios.
- Proveedores. Usa proveedores con compromisos contractuales de seguridad, en los términos de la sección 6.
- Vulneraciones. Ante una vulneración de seguridad que genere un riesgo razonable para los titulares, la consultora la reporta a la Agencia sin dilaciones indebidas y la registra. Cuando afecte datos sensibles, datos de menores de 14 años o datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, la comunica también a los titulares afectados (artículo 14 sexies). Si la vulneración afecta datos tratados por encargo, la consultora informa al cliente.
Ningún sistema es invulnerable. La consultora revisa y ajusta estas medidas conforme a los riesgos de sus tratamientos y a las instrucciones que dicte la Agencia.
10. Cookies y registros técnicos
Aviso de cookies. Al entrar al sitio, un aviso permite aceptar o rechazar las cookies publicitarias con la misma facilidad, y elegir por separado la medición de conversiones y la personalización de anuncios. Hasta que el visitante decide, y si las rechaza, el sitio no carga la etiqueta de Google ni instala cookies publicitarias. La decisión puede cambiarse en cualquier momento desde el enlace «Preferencias de cookies», al pie de cada página.
El sitio usa tres tipos de almacenamiento en el navegador:
- Necesario: la decisión sobre cookies. El sitio guarda en el navegador del visitante la opción que eligió, para no volver a preguntarla. No identifica al visitante, no sale de su navegador y dura 6 meses.
- Necesario: seguridad. Cloudflare, que aloja y protege el sitio, puede instalar cookies estrictamente necesarias para detectar tráfico automatizado o verificar que el visitante no es un programa, cuando esas funciones de seguridad están activas (por ejemplo, las cookies denominadas
__cf_bm o cf_clearance). Duran por lo general alrededor de 30 minutos y no se usan para identificar ni perfilar a los visitantes.
- Publicitario, solo con consentimiento: Google Ads. La etiqueta de Google instala en el sitio cookies con el prefijo
_gcl_, que miden si un clic en un anuncio terminó en un contacto y duran hasta 90 días. Si el visitante acepta la personalización de anuncios, Google usa además sus propias cookies publicitarias, como IDE, para mostrarle anuncios de la consultora en otros sitios. El detalle y los plazos de las cookies de Google están en policies.google.com/technologies/cookies.
Sin otras herramientas. Fuera de Google Ads, el sitio no incorpora herramientas de analítica, publicidad o seguimiento de terceros. Sus tipografías están incorporadas en el propio sitio y no se descargan de servidores externos.
Registros técnicos. Como todo servicio en internet, Cloudflare procesa datos técnicos de cada visita, como la dirección IP, el navegador y la fecha y hora de la solicitud, para entregar el sitio, protegerlo y diagnosticar errores. Esos registros se conservan por los períodos breves que fija el proveedor. El procesamiento del cuestionario está configurado para no registrar el contenido de las respuestas.
Base de licitud. El almacenamiento necesario y los registros técnicos se fundan en el interés legítimo de la consultora en mantener su sitio disponible y seguro y en recordar la decisión del visitante (artículo 13, letra d)); el titular puede oponerse a ellos por el canal de la sección 8. Las cookies publicitarias se fundan exclusivamente en el consentimiento (sección 3.9).
11. Decisiones automatizadas
La consultora no adopta decisiones basadas en el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, que produzcan efectos jurídicos en los titulares o les afecten significativamente. Las listas de remarketing de Google Ads solo determinan que ciertos visitantes puedan ver anuncios de la consultora; no se usan para decidir sobre la atención, el precio ni la contratación de nadie. Las herramientas de inteligencia artificial de la sección 5 se usan solo como apoyo, y una persona revisa todos sus resultados.
12. Menores de edad
El sitio, la publicidad y los servicios de la consultora están dirigidos a empresas y a personas mayores de 18 años. La consultora no recoge a sabiendas datos de menores de edad ni configura sus campañas para dirigirse a ellos. Si recibe datos de un menor, los suprime. Las encuestas a comensales que la consultora aplica por encargo están dirigidas a mayores de 18 años.
13. Modificaciones
La consultora puede modificar esta política para reflejar cambios en sus tratamientos, en sus proveedores o en la normativa. Cada versión se identifica por su número y es firmada electrónicamente por el representante legal de la consultora. La fecha de cada versión es la de su firma electrónica, que consta en el documento firmado disponible en malditosudaca.cl/privacidad, donde estará siempre publicada la versión vigente. Cada versión rige desde su publicación en esa dirección. Si un cambio afecta un tratamiento basado en el consentimiento o incorpora una finalidad nueva, la consultora lo informará a los titulares afectados y, cuando corresponda, pedirá un nuevo consentimiento.
Maldito Sudaca SpA
RUT 78.203.769-2
p.p. Javier Andrés Díaz Gurruchaga
Gerente general
Política de Tratamiento de Datos Personales, versión 1.2, firmada electrónicamente por el representante legal de Maldito Sudaca SpA.
Descargar el documento firmado electrónicamente (PDF)