ANEXO CONTRACTUAL — ACUERDO DE TRATAMIENTO DE DATOS PERSONALES (DPA)

Versión: 2026-10-12.1

Documento integrante de la contratación de Mapcom Hub

Proveedor y encargado en los tratamientos aquí descritos: MAPCOM SpA, RUT 78.462.681-4, Antonio Varas 175, oficina 208, Providencia, Chile; hola@mapcom.io.

1. Partes, incorporación y vigencia

Este Acuerdo de Tratamiento de Datos (DPA) se integra al contrato de suscripción de Hub celebrado entre MAPCOM SpA («MAPCOM» o «encargado») y el negocio identificado en su registro contractual («Negocio» o «responsable»), cuando este último determina las finalidades y medios relevantes de los tratamientos comerciales o laborales encargados a MAPCOM.

El Negocio acepta este DPA mediante la contratación electrónica verificable de Hub, quedando asociados su identificación legal, representante, fecha y versión. Las condiciones del DPA entrarán en aplicación según la normativa vigente en cada momento; su contenido contempla especialmente los deberes exigibles a partir del 1 de diciembre de 2026 por la Ley N.º 21.719. La calificación de encargado no se extiende automáticamente a finalidades propias de MAPCOM.

2. Objeto, naturaleza y duración del encargo

MAPCOM procesará datos personales que el Negocio incorpore o genere en Hub para permitir la administración y operación del negocio mediante el servicio contratado: clientes, reservas, órdenes, facturación operativa, inventario vinculado a personas, personal, autorizaciones internas y programas de fidelización configurados por el Negocio.

Las operaciones autorizadas incluyen recepción, registro, organización, conservación, consulta, modificación, acceso controlado, comunicación técnica necesaria para la prestación, exportación y supresión o anonimización conforme a instrucciones válidas. El encargo dura mientras MAPCOM preste el servicio y por el período de cierre, exportación o conservación legalmente justificado posterior a su terminación.

3. Personas y categorías de datos

Interesados: clientes del Negocio, potenciales clientes que solicitan reservas o hacen pedidos, trabajadores, colaboradores y representantes autorizados del Negocio.

Categorías: nombres, datos de contacto, identificadores de cuenta, perfil comercial o laboral, roles y permisos, sucursales, pedidos, reservas, preferencias expresamente informadas, historial de operaciones, estados de fidelización, registros de actividad y datos técnicamente necesarios para ejecutar el servicio.

No se autoriza el ingreso indiscriminado de datos de salud, biométricos, documentos bancarios completos, credenciales privadas u otras categorías sensibles. Si un flujo requiere datos sensibles legítimamente, el Negocio deberá determinar la necesidad, fundamento jurídico, salvaguardas y limitación de acceso antes de habilitarlo; no podrán utilizarse alergias identificables para campañas promocionales por defecto.

4. Instrucciones documentadas del Negocio

MAPCOM tratará los datos por cuenta del Negocio únicamente conforme a instrucciones lícitas, documentadas a través de este DPA, la configuración permitida de Hub, las solicitudes válidas de exportación o supresión y comunicaciones autorizadas de representantes del Negocio. MAPCOM no utilizará esos datos con fines comerciales propios incompatibles, ni los venderá a terceros por el hecho de prestar el SaaS.

Si MAPCOM considera que una instrucción vulnera la normativa aplicable, lo informará al Negocio en la medida permitida y podrá suspender su ejecución hasta resolver la situación. MAPCOM podrá realizar tratamientos independientes necesarios para su seguridad, defensa de derechos, obligaciones legales o administración de su relación contractual, actuando como responsable en esos fines y sujetándose a su Política de Privacidad.

5. Deberes del Negocio como responsable

Corresponde al Negocio determinar el fundamento jurídico de sus tratamientos, informar a sus titulares, establecer políticas de conservación razonables, limitar la recopilación a lo necesario, gestionar las decisiones de marketing, configurar los accesos de su personal, atender las reclamaciones por sus productos o servicios y comunicar instrucciones adecuadas a MAPCOM.

El Negocio no interpretará que seguir un perfil social en MAPCOM equivale a consentimiento para exportar datos personales a campañas externas. Deberá mantener evidencia válida de las autorizaciones obtenidas cuando legalmente se requieran.

6. Deberes de MAPCOM como encargado

MAPCOM se obliga, en la medida aplicable al encargo, a: tratar datos solo por instrucciones legítimas; sujetar a confidencialidad a personas autorizadas; aplicar medidas de seguridad proporcionales; limitar acceso según funciones; adoptar mecanismos de control ante incidentes; mantener registros necesarios de ejecución; asistir razonablemente al Negocio en solicitudes de titulares, evaluaciones y requerimientos legalmente exigibles; y efectuar devolución, exportación, supresión o anonimización al término del servicio conforme a instrucciones válidas y excepciones legales.

MAPCOM no asumirá la toma de decisiones comerciales del Negocio sobre la legalidad de bases de datos, contactos publicitarios o tiempos legales de archivo que deba determinar éste, sin perjuicio de sus propias obligaciones técnicas y legales.

7. Personal autorizado, seguridad y confidencialidad

Solo personal de MAPCOM y proveedores autorizados con necesidad funcional accederán a datos objeto del encargo, sujetos a deberes de confidencialidad. MAPCOM adoptará medidas proporcionales de autenticación, control de acceso, permisos, registro de eventos relevantes, segregación lógica, protección de credenciales y gestión de vulnerabilidades e incidentes.

El Negocio deberá administrar usuarios y permisos, notificar cambios de personal e informar vulneraciones sospechosas. Ambas partes cooperarán razonablemente en el análisis de riesgos atribuibles a su ámbito.

8. Subencargados y proveedores

MAPCOM podrá utilizar subencargados necesarios para alojamiento, almacenamiento, autenticación, procesamiento técnico, comunicaciones y servicios conexos, asegurando compromisos contractuales de confidencialidad, seguridad e instrucciones compatibles con este encargo y con la legislación aplicable.

El listado actualizado de subencargados efectivamente utilizados, países y función estará disponible por medio razonable a solicitud del Negocio o en el registro de proveedores que MAPCOM publique. Se comunicará anticipadamente un cambio sustancial cuando sea legalmente necesario, otorgando al Negocio la posibilidad de formular objeciones fundadas; si el servicio no puede prestarse con un proveedor alternativo, se evaluarán las alternativas contractuales de terminación conforme a la ley.

9. Transferencias internacionales

El Negocio reconoce que el servicio puede implicar almacenamiento o acceso técnico desde países distintos de Chile, incluida infraestructura de terceros en Brasil o Estados Unidos cuando corresponda a la configuración real. MAPCOM y el Negocio deben evaluar quién realiza la transferencia y cuál es el mecanismo válido; la aceptación de este DPA no reemplaza por sí sola las garantías exigidas por la normativa aplicable.

Desde la entrada en vigencia de la Ley N.º 21.719, deberán observarse sus requisitos de transferencia internacional, incluidas garantías contractuales u otros mecanismos legales cuando correspondan. Si no es posible habilitar un flujo internacional lícitamente, las partes deberán suspenderlo o adoptar una alternativa adecuada.

10. Incidentes de seguridad

MAPCOM comunicará al Negocio, sin dilación indebida desde que tenga conocimiento suficiente, los incidentes que afecten datos tratados por cuenta de éste, aportando la información disponible sobre naturaleza, categorías potencialmente afectadas, mitigaciones y medidas previstas. La información podrá complementarse progresivamente.

El Negocio responderá por las notificaciones que le correspondan como responsable, con asistencia razonable de MAPCOM, sin perjuicio de los avisos que MAPCOM deba efectuar directamente por sus propias obligaciones. Ninguna cláusula fija un plazo que pueda desplazar uno legalmente más breve.

11. Derechos de titulares y requerimientos

Cuando MAPCOM reciba una solicitud relativa a un tratamiento realizado por cuenta del Negocio, la dirigirá o coordinará con el responsable, verificando identidad de manera proporcionada y preservando los datos necesarios. MAPCOM prestará asistencia técnicamente posible para localizar, exportar, corregir, bloquear o suprimir datos conforme a instrucciones válidas y derechos legalmente ejercidos.

MAPCOM podrá atender directamente las solicitudes sobre su propio tratamiento como responsable, sin derivarlas automáticamente al Negocio.

12. Terminación, devolución y eliminación

Tras el fin efectivo de Hub, el Negocio podrá solicitar exportación durante los 30 días siguientes al término efectivo del servicio, sujeto a las capacidades técnicas y a las excepciones informadas. Finalizado el proceso o el plazo correspondiente, MAPCOM suprimirá o anonimizará los datos objeto del encargo conforme a instrucciones lícitas, calendario de eliminación y obligaciones de retención aplicables.

Los respaldos serán depurados según su ciclo técnico documentado, limitándose su uso y acceso mientras subsistan. Podrán conservarse aquellos antecedentes exigidos por ley, necesarios para litigios, auditorías o seguridad, con finalidades y plazos separados. La eliminación de una cuenta personal de trabajador o titular de negocio no debe eliminar indebidamente registros sujetos a obligaciones de conservación del Negocio.

13. Verificación y evidencia de cumplimiento

MAPCOM facilitará información razonable para que el Negocio pueda evaluar el cumplimiento del DPA, respetando secretos empresariales, seguridad, privacidad de otros clientes y límites proporcionados de acceso. Si la ley requiere verificaciones adicionales, se coordinarán su alcance y condiciones evitando interferencias innecesarias al servicio.

14. Responsabilidades, prioridad y controversias

Cada parte responde por sus propias decisiones, instrucciones y deberes legales. MAPCOM será responsable de incumplimientos que le resulten imputables como encargado o responsable según el tratamiento. El DPA prevalece sobre términos generales o de suscripción en cuestiones específicas del encargo, sin desconocer las normas imperativas.

Las controversias se regirán por la ley chilena sin limitar los derechos y tribunales legalmente competentes. Contacto del encargado: hola@mapcom.io.

ANEXO A — Instrucciones iniciales incorporadas

Servicio: Mapcom Hub. Responsable: negocio identificado en el contrato electrónico. Encargado: MAPCOM SpA. Duración: prestación y cierre del servicio. Finalidad: gestión operativa del negocio, incluida administración de empleados, catálogo, pedidos, reservas y fidelización expresamente configurada. Interesados: clientes, empleados y representantes. Datos: identificación y contacto, interacción y actividad comercial, perfiles y autorizaciones laborales. Operaciones: almacenamiento, consulta, edición, comunicación controlada, recuperación, exportación y supresión. Destinatarios autorizados: colaboradores del negocio con permisos adecuados y subencargados necesarios bajo garantías. Instrucciones especiales: no utilizar información de salud para marketing; no exportar seguidores sociales como contactos publicitarios sin base válida; tratar los datos solo para fines del negocio y requisitos legales del prestador.