1. Partes y objeto
Este anexo forma parte de los Términos y Condiciones que acepta la organización cliente (la «Organización», responsable del tratamiento) al contratar NexoÍntegro, y regula el tratamiento que GHAnalytics SpA (el «Encargado») realiza por su cuenta de los datos personales contenidos en las denuncias y su gestión: relato, antecedentes, evidencia, mensajes, identidad de la persona denunciante y de terceros, y registros asociados.
2. Instrucciones
El Encargado trata los datos únicamente para prestar el servicio contratado y según las instrucciones documentadas de la Organización, que se expresan en la configuración de la plataforma (canales, formularios, roles, políticas de retención, exportaciones) y en solicitudes escritas. No los usa para fines propios, no los comercializa ni los usa para entrenar modelos. Si una instrucción le parece contraria a la ley, lo informará a la Organización.
3. Confidencialidad y personal
Solo acceden a los datos las personas del Encargado que lo necesitan para operar o dar soporte al servicio, sujetas a deber de confidencialidad, con segundo factor de autenticación y con cada acceso registrado en la auditoría de la Organización.
4. Medidas de seguridad
- Aislamiento por organización con seguridad a nivel de fila (RLS).
- Cifrado en reposo (AES-256) y en tránsito (TLS 1.2 o superior).
- Identidad de la persona denunciante separada del caso, con acceso por permiso explícito y auditado.
- Registro de auditoría de solo anexión, consultable por la Organización.
- Respaldo diario de la base de datos y monitoreo de errores sin datos personales.
5. Subencargados
La Organización autoriza a los subencargados listados en la Política de Privacidad (Supabase, Vercel, Cloudflare, Sentry, Resend y Mercado Pago), con obligaciones de protección equivalentes a las de este anexo. El Encargado informará con al menos 30 días de anticipación cualquier subencargado nuevo que trate datos de denuncias, y la Organización podrá oponerse por motivos fundados.
6. Transferencias internacionales
Los datos se alojan y procesan principalmente en Estados Unidos, con las garantías contractuales de cada proveedor, conforme a la normativa chilena de protección de datos personales.
7. Asistencia a la Organización
- Derechos de las personas: el Encargado derivará a la Organización, sin responderlas por su cuenta, las solicitudes que reciba, y la plataforma permite consultar, exportar, anonimizar y eliminar casos.
- Incidentes: el Encargado notificará a la Organización, sin dilación indebida desde que tome conocimiento, cualquier vulneración de seguridad que afecte sus datos, con la información disponible para que cumpla sus propias obligaciones de notificación.
- Evaluaciones y autoridad: entregará la información razonable que la Organización necesite para evaluaciones de impacto o requerimientos de la autoridad.
8. Término del servicio
Durante la vigencia y al terminar el servicio, la Organización puede descargar una exportación completa de sus datos desde la plataforma. Terminado el contrato, el Encargado suprime los datos de la Organización a su solicitud, salvo obligación legal de conservarlos, y acredita la supresión.
9. Auditoría
La Organización puede solicitar, con aviso razonable, la información necesaria para verificar el cumplimiento de este anexo. Los controles vigentes se publican en el Centro de confianza.