Diagnóstico de Cumplimiento de Protección de Datos y Seguridad de la Información
1. Identificación de las partes
El servicio es prestado por Ariel Rosenmann SpA, RUT 76.985.048-1, con domicilio en Av. Libertador Bernardo O'Higgins 1302, oficina 70 (en adelante, “el Prestador”). Contacto: [email protected].
2. Objeto y naturaleza del servicio
El servicio consiste en un diagnóstico profesional independiente del nivel de cumplimiento de una organización en materia de protección de datos personales, seguridad de la información y controles relacionados, realizado conforme a una metodología propia basada en controles legales, técnicos y organizacionales.
Los resultados representan una opinión técnica fundada respecto de los aspectos efectivamente evaluados y de la evidencia disponible al momento del análisis. El servicio no constituye una certificación oficial, no garantiza el cumplimiento absoluto de la normativa vigente, no reemplaza una auditoría integral ni sustituye el pronunciamiento o la fiscalización de una autoridad competente.
3. Plan y alcance contratado
El servicio se cotiza y contrata de forma 100% personalizada, a través del cotizador automático — no existen planes de precio fijo. El alcance de cada diagnóstico queda definido exclusivamente por lo que el cliente declaró al cotizar: tamaño de la organización, canales y sistemas, y áreas a incluir en el diagnóstico. El detalle de cómo se define ese alcance, y qué ocurre si el alcance real de la organización difiere de lo declarado, está en la Cláusula 19 de este documento.
4. Respaldo legal
El respaldo de abogados especializados en protección de datos y ciberseguridad está incluido cuando el alcance cotizado comprende aspectos legales o contractuales (áreas de políticas, contratos con trabajadores/clientes/proveedores — ver Cláusula 19); qué áreas fueron declaradas queda registrado en cada cotización. Este respaldo legal no constituye ni reemplaza una auditoría laboral, tributaria o financiera.
5. Valor y forma de pago
El valor de cada diagnóstico no es un precio fijo — corresponde al monto calculado y congelado en la cotización generada para cada cliente a través del cotizador automático, con su desglose e IVA incluido (ver Cláusula 19).
Los valores están expresados en pesos chilenos. El pago se realiza antes del inicio del servicio, salvo acuerdo distinto indicado en la propuesta comercial.
6. Plazos de entrega
El plazo comienza a contarse desde la confirmación del pago y la recepción de todos los antecedentes necesarios. Para el Nivel 1, el plazo es de hasta 72 horas hábiles. Los Niveles 2 y 3 tienen un plazo definido en su propuesta comercial.
7. Política comercial y derecho a retracto
El servicio corresponde a una prestación de ejecución inmediata. Una vez confirmado el pago comienza la planificación y asignación de recursos para cumplir el plazo comprometido.
El cliente podrá ejercer su derecho a retracto únicamente dentro de las tres (3) horas siguientes a la confirmación del pago, siempre que el proceso de evaluación aún no haya sido iniciado. Transcurrido dicho plazo, el servicio se entenderá formalmente iniciado y no procederán devoluciones totales ni parciales del monto pagado, salvo que exista una obligación legal que expresamente lo exija.
Si antes del inicio del servicio se determina que el alcance requerido excede el nivel contratado, el Prestador podrá ofrecer un cambio de plan, emitir una cotización complementaria o dejar sin efecto la contratación devolviendo íntegramente el monto pagado.
8. Información requerida y responsabilidad del cliente
Como mínimo, el cliente debe proporcionar la URL principal del sitio. Según el plan contratado, podrán solicitarse documentación, políticas, contratos, accesos temporales, código fuente, evidencias, diagramas o inventarios. La calidad y completitud del diagnóstico depende de la información y los accesos proporcionados por el cliente.
9. Limitaciones
El diagnóstico depende de la información proporcionada por el cliente, los accesos otorgados, la evidencia disponible y la información pública accesible. Cuando un control no pueda verificarse por falta de información suficiente, será clasificado como “No fue posible verificar”.
10. Exclusiones
El servicio no incluye: implementación de mejoras, desarrollo de software, corrección de vulnerabilidades, certificaciones oficiales, pentesting, ethical hacking, auditorías financieras, tributarias o laborales, monitoreo continuo, ni representación judicial, administrativa o gestiones ante organismos públicos. Estos servicios podrán contratarse posteriormente de forma independiente.
11. Garantía
Si durante la elaboración del informe se omitiera algún aspecto comprendido dentro del alcance contratado que debió haber sido evaluado conforme a la metodología utilizada, dicho análisis será incorporado posteriormente sin costo adicional para el cliente.
12. Confidencialidad y tratamiento de datos personales del cliente
Toda la información entregada por el cliente será tratada con estricta confidencialidad, será utilizada exclusivamente para la prestación del servicio contratado y será protegida mediante medidas de seguridad razonables para evitar accesos no autorizados.
Si para realizar el diagnóstico el Prestador accede a sistemas, documentos o información que contengan datos personales de terceros de los que el cliente sea responsable (por ejemplo, datos de sus propios clientes, usuarios o trabajadores), el Prestador actúa respecto de esos datos como encargado de tratamiento en los términos de la Ley N° 21.719, y se obliga a: (a) tratar esos datos únicamente conforme a las instrucciones del cliente y para los fines del diagnóstico contratado, sin utilizarlos para fines propios ni de terceros; (b) aplicar medidas de seguridad técnicas y organizativas razonables para protegerlos; (c) mantener confidencialidad respecto de todo el personal que participe en el diagnóstico; (d) no subcontratar el tratamiento de esos datos a terceros sin informarlo previamente al cliente — salvo los abogados externos especializados indicados en la Cláusula 4, cuando el alcance contratado incluya revisión legal; (e) colaborar con el cliente, en la medida de lo razonable, si este debe responder a una solicitud de ejercicio de derechos de un titular o notificar una vulneración de seguridad relacionada con la información revisada durante el diagnóstico; y (f) eliminar o devolver los accesos y datos obtenidos durante el diagnóstico al finalizar el servicio, salvo que exista una obligación legal de conservarlos por un plazo mayor.
13. Entrega y uso del informe
El informe se entrega al cliente a través de un canal privado y con control de acceso. El informe es para uso del cliente respecto de su propia organización y no debe interpretarse como una certificación oponible a terceros.
14. Principio de legalidad
Todas las evaluaciones se realizan conforme a la legislación vigente en la República de Chile al momento de la prestación del servicio, incluyendo la Ley N° 21.719 sobre protección y tratamiento de datos personales y demás normativa aplicable, así como buenas prácticas nacionales e internacionales cuando resulten pertinentes y no contradigan la normativa chilena.
15. Naturaleza y limitación de responsabilidad
El informe constituye una opinión técnica fundada sobre los aspectos evaluados. El Prestador no será responsable por consecuencias derivadas de información incompleta o inexacta proporcionada por el cliente, ni por decisiones que el cliente adopte a partir del diagnóstico. El diagnóstico no garantiza que la organización quede exenta de sanciones, incidentes o fiscalizaciones.
16. Versionado de la metodología
La metodología se actualiza periódicamente para incorporar cambios legislativos, nuevos reglamentos, criterios de autoridades y buenas prácticas. Cada informe indica expresamente la versión de la metodología utilizada, garantizando la trazabilidad del diagnóstico.
17. Modificaciones a estos términos
El Prestador podrá actualizar estos Términos y Condiciones. La versión aplicable a cada contratación será la vigente al momento de confirmarse el pago. Los planes de precio fijo (Nivel 1 y Nivel 2) descritos en versiones anteriores de este documento ya no se ofrecen — las contrataciones ya realizadas bajo esos términos siguen rigiéndose por el texto vigente al momento de su aceptación, sin verse afectadas por este cambio.
18. Constancia de aceptación y firma electrónica
La aceptación de estos Términos y Condiciones —y, en el caso del cotizador automático, la autorización de tratamiento de datos y la confirmación de "Contratar ahora"— no queda registrada únicamente como una casilla marcada. En ambos casos se guarda una constancia verificable: nombre e identificación de quien acepta, fecha y hora exactas, la dirección IP y el navegador utilizados, la versión exacta del texto vigente al momento de aceptar, y un hash criptográfico (HMAC-SHA256) calculado sobre todos esos datos. Si alguno de esos datos fuera alterado con posterioridad, el hash deja de coincidir, lo que permite acreditar la integridad de la aceptación en caso de disputa.
19. Alcance declarado en el cotizador automático
Para las cotizaciones generadas a través del cotizador automático, el precio se calcula exclusivamente en base a lo que el propio cliente declara en el formulario: el tramo de tamaño de la organización, los canales y sistemas seleccionados, y las áreas a incluir en el diagnóstico. El Prestador no verifica estas declaraciones antes de emitir la cotización — el precio mostrado corresponde únicamente a lo declarado, no al tamaño o complejidad real de la organización.
Si durante la ejecución del servicio se determina que el alcance real de la organización excede lo declarado —por ejemplo, un tramo de tamaño mayor al seleccionado, canales o sistemas adicionales no declarados, o una actividad sustancialmente distinta a la descrita— el Prestador lo comunicará al cliente y podrá, a su elección: (a) emitir una cotización complementaria que cubra únicamente la diferencia de alcance, calculada con la misma fórmula de precios vigente al momento de la cotización original, o (b) ajustar la ejecución del servicio a lo efectivamente declarado, dejando constancia expresa en el informe de los aspectos que no fueron evaluados por exceder el alcance contratado.
La cotización original cubre únicamente el alcance declarado y en ningún caso incluye aspectos que lo excedan. Esta cláusula opera de forma análoga a la derivación de Nivel 2 a Nivel 3 descrita en la Cláusula 3, adaptada al mecanismo de precio variable del cotizador.
Toda cotización generada por este medio tiene una vigencia de 30 días desde su emisión. Transcurrido ese plazo sin haberse confirmado la contratación, la cotización deja de ser válida y debe generarse una nueva, que reflejará las tarifas y el alcance declarado vigentes al momento de volver a cotizar.
20. Contacto
Para consultas sobre estos términos o sobre el servicio: [email protected].