Política de Privacidad y Tratamiento de Datos PersonalesPrivacy and Personal Data Processing Policy

La protección de los datos personales es parte del núcleo de nuestro negocio: operamos infraestructura de comunicaciones para organizaciones que nos confían datos de millones de personas. En esta página le explicamos, en lenguaje simple, cómo tratamos sus datos personales y cómo puede ejercer control sobre ellos.Protecting personal data is part of the core of our business: we operate communications infrastructure for organizations that entrust us with the data of millions of people. On this page we explain, in plain language, how we process your personal data and how you can exercise control over it.

Tratamos sus datos conforme a la Ley N° 19.628 sobre protección de datos personales y al estándar que introduce la Ley N° 21.719, que entra en vigencia el 1 de diciembre de 2026 y cuyas exigencias aplicamos desde ya. Publicamos esta política en cumplimiento del deber de información y transparencia de su artículo 14 ter.We process your data in accordance with Law No. 19,628 on the protection of personal data and with the standard introduced by Law No. 21,719, which takes effect on December 1, 2026 and whose requirements we already apply. We publish this policy in compliance with the duty of information and transparency under its article 14 ter.

Esta política se refiere al tratamiento de datos que realizamos:This policy covers the data processing we carry out:

• a través de nuestro sitio web fidelizador.com y sus subdominios públicos (el "Sitio");through our website fidelizador.com and its public subdomains (the "Site");
• cuando usted contrata nuestros productos y servicios, solicita una demo, se suscribe a nuestros contenidos o se pone en contacto con nosotros;when you purchase our products and services, request a demo, subscribe to our content or contact us;
• respecto de los usuarios administradores de las cuentas de nuestros clientes.with respect to the administrator users of our customers' accounts.

1. Quiénes somos y cómo contactarnos1. Who we are and how to contact us

Responsable del tratamiento: Fidelizador SpA, RUT 76.005.174-8, domiciliada en Avenida Los Leones 2225, Of. 101, Providencia, Santiago de Chile ("Fidelizador").Data controller: Fidelizador SpA, Chilean tax ID 76.005.174-8, domiciled at Avenida Los Leones 2225, Of. 101, Providencia, Santiago, Chile ("Fidelizador").

Representante legal: Alvaro Olavarria Aichele.Legal representative: Alvaro Olavarria Aichele.

Delegado de Protección de Datos: no hemos designado uno; la ley chilena no lo exige para nuestro caso. Las solicitudes se atienden por el canal indicado a continuación.Data Protection Officer: we have not appointed one; Chilean law does not require it in our case. Requests are handled through the channel indicated below.

Canal para solicitudes de titulares: [email protected] o el formulario de ejercicio de derechos. Al contactarnos, indique su nombre y un correo o dirección de respuesta para poder tramitar correctamente su solicitud.Channel for data subject requests: [email protected] or the rights request form. When contacting us, please state your name and a reply email or address so that we can properly process your request.

2. Nuestro doble rol: cuándo aplica esta política2. Our dual role: when this policy applies

Esta política aplica cuando Fidelizador es responsable del tratamiento: visitantes del Sitio, prospectos, usuarios administradores de cuentas, contactos comerciales y de facturación de clientes, y postulantes a empleos.This policy applies when Fidelizador is the data controller: Site visitors, prospects, account administrator users, customers' commercial and billing contacts, and job applicants.

3. Qué datos personales tratamos y de dónde provienen3. What personal data we process and where it comes from

Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable, incluidos identificadores indirectos como la dirección IP.Personal data is any information linked or referring to an identified or identifiable natural person, including indirect identifiers such as the IP address.

• Datos de contacto y acceso: nombre, apellidos, cargo, empresa, correo electrónico, teléfono, credenciales de usuario.Contact and access data: first name, last name, job title, company, email address, phone number, user credentials.
• Datos de facturación y verificación comercial: RUT, razón social, dirección de facturación, historial de pago.Billing and commercial verification data: tax ID, legal name, billing address, payment history.
• Datos de navegación: dirección IP, tipo de dispositivo y navegador, páginas visitadas, y los datos recogidos mediante cookies según la Política de Cookies.Browsing data: IP address, device and browser type, pages visited, and the data collected through cookies as described in the Cookie Policy.
• Datos de uso de la plataforma: registros de actividad (logs) y métricas de uso de los usuarios administradores.Platform usage data: activity logs and usage metrics of administrator users.
• Datos de postulantes: antecedentes proporcionados en procesos de selección.Applicant data: background information provided in recruitment processes.

Fuente: los datos nos los proporciona directamente usted, a través de formularios del Sitio, de la contratación del servicio o del uso de la plataforma. No compramos bases de datos ni enriquecemos sus datos con fuentes de terceros.Source: the data is provided directly by you, through Site forms, service contracting or use of the platform. We do not buy databases nor enrich your data with third-party sources.

Universo de titulares: representantes y usuarios de empresas clientes, prospectos, visitantes del Sitio y postulantes. No tratamos como responsable datos personales sensibles ni datos de niños, niñas o adolescentes; si un formulario los recogiera incidentalmente, serán suprimidos.Data subjects: representatives and users of customer companies, prospects, Site visitors and job applicants. As a controller we do not process sensitive personal data or data of children or adolescents; should a form incidentally collect such data, it will be deleted.

4. Para qué tratamos sus datos y por cuánto tiempo4. Why we process your data and for how long

Tratamos sus datos para tres grupos de finalidades. Para cada grupo le indicamos la base de licitud, si está obligado a entregarnos los datos y por cuánto tiempo los conservamos. En todos los casos aplicamos el principio de proporcionalidad del artículo 3 letra c): conservamos los datos solo por el tiempo necesario para cumplir la finalidad, y luego los suprimimos o anonimizamos.We process your data for three groups of purposes. For each group we state the lawful basis, whether you are required to provide the data and how long we keep it. In every case we apply the proportionality principle of article 3(c): we keep data only for as long as is necessary to fulfill the purpose, after which it is deleted or anonymized.

4.1 Finalidades contractuales y legales4.1 Contractual and legal purposes

Estas finalidades comprenden: (a) permitirle navegar por el Sitio; (b) crear y administrar la cuenta de usuario, incluida la verificación de identidad y recuperación de acceso; (c) celebrar y ejecutar el contrato de servicio; (d) tramitar solicitudes de demo, cotizaciones, inscripción a webinars y suscripciones; (e) atender consultas, reclamos y enviar comunicaciones operativas de servicio; (f) verificar la situación comercial, facturar y gestionar cobranza; (g) cumplir obligaciones legales, tributarias y contables, y responder requerimientos de autoridad competente.These purposes comprise: (a) enabling you to browse the Site; (b) creating and administering the user account, including identity verification and access recovery; (c) entering into and performing the service contract; (d) processing demo requests, quotes, webinar registrations and subscriptions; (e) handling inquiries and complaints and sending operational service communications; (f) verifying commercial standing, invoicing and managing collections; (g) complying with legal, tax and accounting obligations, and responding to requests from competent authorities.

4.2 Finalidades basadas en nuestro interés legítimo4.2 Purposes based on our legitimate interest

Estas finalidades comprenden: (h) gestionar la seguridad de nuestra infraestructura, sitios y plataforma, prevenir ciberataques e investigar incidentes; (i) analizar las listas importadas y el contenido de campañas en búsqueda de patrones que infrinjan nuestra Política Anti-Spam y los Términos de Servicio; (j) elaborar estadísticas agregadas de uso para mejorar el servicio; (k) defender los derechos de Fidelizador ante reclamaciones.These purposes comprise: (h) managing the security of our infrastructure, sites and platform, preventing cyberattacks and investigating incidents; (i) analyzing imported lists and campaign content for patterns that breach our Anti-Spam Policy and Terms of Service; (j) producing aggregate usage statistics to improve the service; (k) defending Fidelizador's rights against claims.

4.3 Finalidades de marketing propio4.3 Our own marketing purposes

Estas finalidades comprenden: (l) enviarle novedades, contenidos y ofertas de productos y servicios de Fidelizador por correo electrónico u otros canales que haya aceptado; (m) invitarlo a eventos y webinars; (n) mostrarle publicidad de Fidelizador en plataformas de terceros —Google, Meta y LinkedIn— y medir el rendimiento de esas campañas, incluida la elaboración de perfiles a partir de su navegación en el Sitio y la construcción de públicos similares.These purposes comprise: (l) sending you news, content and offers about Fidelizador products and services by email or other channels you have accepted; (m) inviting you to events and webinars; (n) showing you Fidelizador advertising on third-party platforms —Google, Meta and LinkedIn— and measuring the performance of those campaigns, including profiling based on your browsing of the Site and the building of lookalike audiences.

Nuestras comunicaciones comerciales cumplen además el artículo 28 B de la Ley 19.496: identifican al remitente, indican la materia del mensaje e incluyen una dirección válida para solicitar la suspensión de los envíos. No enviamos comunicaciones a quienes no las han consentido —la misma regla que exigimos a nuestros clientes en la Política Anti-Spam—. Si considera que un cliente de Fidelizador envía correos no solicitados, escríbanos a [email protected].Our commercial communications also comply with article 28 B of Law 19,496: they identify the sender, state the subject of the message and include a valid address to request that sending stop. We do not send communications to people who have not consented —the same rule we require of our customers in the Anti-Spam Policy. If you believe a Fidelizador customer is sending unsolicited email, write to us at [email protected].

5. Con quiénes compartimos sus datos5. Who we share your data with

No vendemos, comercializamos ni arrendamos datos personales. Compartimos datos únicamente con:We do not sell, trade or rent personal data. We share data only with:

• Subencargados que nos prestan servicios de infraestructura, envío, analítica y soporte, bajo contrato y solo según nuestras instrucciones. La lista vigente —con función y país de tratamiento de cada uno— está publicada en subencargados.Sub-processors that provide us with infrastructure, delivery, analytics and support services, under contract and only on our instructions. The current list —with each one's function and country of processing— is published at sub-processors.
• Asesores profesionales (jurídicos, contables, de auditoría) sujetos a confidencialidad, cuando es necesario.Professional advisers (legal, accounting, audit) bound by confidentiality, where necessary.
• Entidades y autoridades públicas, cuando una ley o una orden de autoridad competente lo exige.Public bodies and authorities, where required by law or by an order from a competent authority.
• Potenciales adquirentes o entidades resultantes de una reorganización empresarial, bajo deberes de confidencialidad y solo en lo necesario para evaluar o ejecutar la operación.Potential acquirers or entities resulting from a corporate reorganization, under confidentiality duties and only as needed to evaluate or execute the transaction.
• Proveedores de analítica y publicidad digital (Google, Meta, LinkedIn), únicamente respecto de los datos de navegación asociados a las cookies que usted haya aceptado. Algunos de estos proveedores actúan como responsables autónomos de su propio tratamiento, no como encargados nuestros; el detalle de cada rol está en la Política de Cookies.Digital analytics and advertising providers (Google, Meta, LinkedIn), solely with respect to the browsing data associated with the cookies you have accepted. Some of these providers act as independent controllers of their own processing, not as our processors; the detail of each role is in the Cookie Policy.

6. Transferencias internacionales6. International transfers

Los datos de la plataforma se alojan en Chile. Para un cliente con residencia en Chile, la operación ordinaria del servicio no involucra transferencia internacional de sus datos.Platform data is hosted in Chile. For a customer with residency in Chile, ordinary operation of the service involves no international transfer of their data.

Cuando un subencargado trata datos fuera del país —soporte, funcionalidades de inteligencia artificial, red de distribución de contenido, respaldos—, la transferencia se ampara en los mecanismos de los artículos 27 y 28 de la ley: la adecuación del país de destino declarada por la Agencia de Protección de Datos Personales, o cláusulas contractuales u otros instrumentos que otorguen garantías equivalentes, con derechos exigibles para los titulares. El detalle por proveedor —entidad, función, país y mecanismo aplicable— consta en subencargados, y el panorama de infraestructura en residencia de datos. Puede solicitar más información sobre las garantías aplicables escribiendo a [email protected].Where a sub-processor processes data outside the country —support, AI features, content delivery, backups— the transfer relies on the mechanisms of articles 27 and 28 of the law: adequacy of the destination country as declared by the Personal Data Protection Agency, or contractual clauses or other instruments providing equivalent safeguards, with enforceable rights for data subjects. Provider-by-provider detail —entity, function, country and applicable mechanism— is at sub-processors, and the infrastructure overview at data residency. You can request more information about the applicable safeguards by writing to [email protected].

Las cookies de analítica y publicidad que usted acepte implican además el tratamiento de datos de navegación en Estados Unidos por parte de los proveedores indicados en la Política de Cookies. Si no las acepta, el uso del Sitio no implica esa transferencia.The analytics and advertising cookies you accept also involve the processing of browsing data in the United States by the providers listed in the Cookie Policy. If you do not accept them, using the Site does not involve that transfer.

7. Cómo protegemos sus datos7. How we protect your data

Operamos bajo un sistema de gestión de seguridad de la información certificado ISO/IEC 27001 y aplicamos las medidas técnicas y organizativas del artículo 14 quinquies: cifrado en tránsito y en reposo (TLS / AES-256), control de acceso bajo mínimo privilegio con acuerdos de confidencialidad de nuestro personal, segregación de datos por cliente, respaldos con capacidad de restauración rápida, monitoreo, gestión de vulnerabilidades y verificación periódica de la eficacia de los controles. El detalle está en Confianza y seguridad.We operate under an ISO/IEC 27001 certified information security management system and apply the technical and organizational measures of article 14 quinquies: encryption in transit and at rest (TLS / AES-256), least-privilege access control with confidentiality agreements for our staff, per-customer data segregation, backups with fast restore capability, monitoring, vulnerability management and periodic verification of the effectiveness of controls. Details are available at Trust & security.

Ante una vulneración de seguridad que genere un riesgo razonable para sus derechos, la reportaremos a la Agencia de Protección de Datos Personales y, cuando corresponda conforme al artículo 14 sexies, a los titulares afectados. Cuando la vulneración afecte datos que tratamos como encargado, la reportaremos sin dilación al cliente responsable.In the event of a security breach that poses a reasonable risk to your rights, we will report it to the Personal Data Protection Agency and, where required under article 14 sexies, to the affected data subjects. Where the breach affects data we process as a processor, we will report it without delay to the customer acting as controller.

Como prestador de servicios digitales y de tecnologías de la información gestionados por terceros, estamos además dentro del ámbito de la Ley N° 21.663 Marco de Ciberseguridad (artículo 4). Frente a un incidente de ciberseguridad con efectos significativos, reportamos al CSIRT Nacional conforme a su artículo 9: alerta temprana dentro de 3 horas, evaluación inicial dentro de 72 horas e informe final tras la contención. Estos reportes son independientes y adicionales al aviso a la Agencia y a nuestros clientes.As a provider of digital services and third-party managed information technology services, we also fall within the scope of the Cybersecurity Framework Law No. 21,663 (article 4). Following a cybersecurity incident with significant effects, we report to the National CSIRT under its article 9: early warning within 3 hours, initial assessment within 72 hours and a final report after containment. These reports are separate from, and additional to, the notice to the Agency and to our customers.

8. Sus derechos y cómo ejercerlos8. Your rights and how to exercise them

Usted tiene el control sobre sus datos. Puede ejercer gratuitamente los siguientes derechos:You are in control of your data. You may exercise the following rights free of charge:

• Acceso: confirmar si tratamos datos suyos, acceder a ellos y conocer su origen, finalidades, destinatarios y plazo de conservación. Gratuito al menos una vez por trimestre.Access: confirm whether we process your data, access it and learn its origin, purposes, recipients and retention period. Free of charge at least once per quarter.
• Rectificación: corregir o completar datos inexactos, desactualizados o incompletos.Rectification: correct or complete data that is inaccurate, outdated or incomplete.
• Supresión: obtener la eliminación de sus datos en los casos del artículo 7 (datos innecesarios, consentimiento revocado, tratamiento ilícito, entre otros).Deletion: obtain the erasure of your data in the cases set out in article 7 (unnecessary data, withdrawn consent, unlawful processing, among others).
• Oposición: oponerse a un tratamiento determinado; tratándose de marketing directo, su oposición será acogida siempre.Objection: object to a specific processing activity; in the case of direct marketing, your objection will always be granted.
• Portabilidad: recibir copia de sus datos en formato electrónico estructurado y de uso común, y transmitirlos a otro responsable.Portability: receive a copy of your data in a structured, commonly used electronic format, and transmit it to another controller.
• Bloqueo temporal: suspender el tratamiento de sus datos mientras se resuelve una solicitud de rectificación, supresión u oposición. Respondemos estas solicitudes dentro de 2 días hábiles.Temporary blocking: suspend the processing of your data while a rectification, deletion or objection request is being resolved. We respond to these requests within 2 business days.
• Revocación del consentimiento: en cualquier momento, por medios tan simples como los que usó para otorgarlo, sin efecto retroactivo.Withdrawal of consent: at any time, by means as simple as those you used to give it, without retroactive effect.

Cómo ejercerlos: escríbanos a [email protected] o use el formulario de ejercicio de derechos, indicando su identificación, el derecho que ejerce y los datos o tratamiento concernidos. Acusaremos recibo y responderemos por escrito dentro de 30 días corridos, prorrogables por una sola vez por 30 días adicionales.How to exercise them: write to [email protected] or use the rights request form, stating your identification, the right you are exercising and the data or processing concerned. We will acknowledge receipt and reply in writing within 30 calendar days, extendable once by a further 30 days.

Derecho a reclamar: si denegamos su solicitud total o parcialmente, la respuesta será fundada, y usted podrá reclamar ante la Agencia de Protección de Datos Personales dentro de los 30 días hábiles siguientes (artículo 41). También puede reclamar ante la Agencia si no respondemos dentro de plazo.Right to complain: if we deny your request in whole or in part, our reply will state the grounds, and you may file a complaint with the Personal Data Protection Agency within the following 30 business days (article 41). You may also complain to the Agency if we fail to reply within the deadline.

9. Decisiones automatizadas9. Automated decisions

Fidelizador no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre usted o le afecten significativamente. Nuestros sistemas realizan análisis automatizados de apoyo —por ejemplo, la detección de patrones de envío o de importación de listas que puedan infringir nuestra Política Anti-Spam, o señales de riesgo para la seguridad de la plataforma—, pero las decisiones que afectan una cuenta, como su suspensión o el rechazo de una solicitud, son siempre adoptadas o revisadas por una persona de nuestro equipo. La segmentación publicitaria descrita en la finalidad (n) tampoco constituye una decisión automatizada con efectos jurídicos o significativos: no la utilizamos para decidir sobre su acceso al servicio, sus condiciones comerciales ni su precio.Fidelizador does not make decisions based solely on automated processing that produce legal effects on you or significantly affect you. Our systems perform supporting automated analysis —for example, detecting sending or list-import patterns that may breach our Anti-Spam Policy, or risk signals for platform security— but decisions affecting an account, such as its suspension or the rejection of a request, are always taken or reviewed by a person on our team. The advertising segmentation described in purpose (n) likewise does not constitute an automated decision with legal or significant effects: we do not use it to decide on your access to the service, your commercial terms or your price.

Cuando, por razones de seguridad, un sistema aplique una medida preventiva inmediata —como la pausa temporal de un envío en curso ante señales anómalas—, dicha medida será revisada por una persona a la brevedad y usted podrá solicitar su revisión y una explicación escribiendo a [email protected], conforme al artículo 8 bis.Where, for security reasons, a system applies an immediate preventive measure —such as temporarily pausing an in-flight send upon anomalous signals— that measure will be reviewed by a person promptly, and you may request its review and an explanation by writing to [email protected], in accordance with article 8 bis.

10. Cookies10. Cookies

Utilizamos cookies y tecnologías similares. Las esenciales —seguridad del Sitio y registro de su propia decisión sobre cookies— se instalan sin consentimiento, conforme al artículo 13. Las de analítica, publicidad y remarketing se instalan únicamente con su consentimiento previo, que puede otorgar por categoría, revocar en cualquier momento desde el botón de cookies de la esquina inferior izquierda, y que nunca se presume por el hecho de seguir navegando. Las cookies pueden constituir datos personales cuando permiten identificarlo directa o indirectamente.We use cookies and similar technologies. Essential ones —Site security and recording your own cookie decision— are set without consent, under article 13. Analytics, advertising and remarketing cookies are set only with your prior consent, which you can give by category, withdraw at any time from the cookie button in the bottom-left corner, and which is never presumed from the mere fact of continuing to browse. Cookies may constitute personal data where they allow you to be identified directly or indirectly.

El inventario completo —nombre, titular, finalidad y duración de cada cookie— y el detalle de los terceros que reciben datos están en la Política de Cookies.The full inventory —name, provider, purpose and duration of each cookie— and the detail of the third parties that receive data are in the Cookie Policy.

11. Cambios y actualizaciones11. Changes and updates

Publicaremos aquí toda actualización de esta política, indicando su nueva fecha y versión. Si el cambio es sustantivo respecto de tratamientos basados en su consentimiento, se lo comunicaremos directamente antes de aplicarlo y, cuando corresponda, solicitaremos nuevamente su consentimiento. El registro de versiones está al final de esta página; puede solicitar el texto completo de una versión anterior escribiendo a [email protected].We will publish every update to this policy here, stating its new date and version. If a change is substantive with respect to processing based on your consent, we will notify you directly before applying it and, where appropriate, ask for your consent again. The version log is at the end of this page; you can request the full text of an earlier version by writing to [email protected].

12. Glosario de artículos citados12. Glossary of cited articles

Los artículos citados corresponden a la Ley N° 19.628, modificada por la Ley N° 21.719, salvo indicación en contrario. Versión simplificada:The articles cited are from Law No. 19,628, as amended by Law No. 21,719, unless otherwise stated. Simplified version:

• Artículo 3, letra c — Principio de proporcionalidad. Los datos solo pueden conservarse por el período de tiempo necesario para cumplir los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados; un período mayor requiere autorización legal o consentimiento del titular.Article 3(c) — Proportionality principle. Data may be kept only for the period necessary to fulfill the purposes of processing, after which it must be deleted or anonymized; a longer period requires legal authorization or the data subject's consent.
• Artículo 4 — Derechos del titular. Reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y regula su ejercicio por los herederos del titular fallecido.Article 4 — Rights of the data subject. Recognizes the rights of access, rectification, deletion, objection, portability and blocking, and governs their exercise by the heirs of a deceased data subject.
• Artículo 7 — Derecho de supresión. Enumera los casos en que el titular puede exigir la eliminación de sus datos y sus excepciones.Article 7 — Right to deletion. Lists the cases in which a data subject may demand erasure of their data, and the exceptions.
• Artículo 8, letra b — Oposición al marketing directo. El titular puede oponerse siempre al tratamiento de sus datos con fines de marketing directo, incluida la elaboración de perfiles asociada; el responsable debe cesar ese tratamiento sin condiciones.Article 8(b) — Objection to direct marketing. A data subject may always object to the processing of their data for direct marketing, including associated profiling; the controller must stop that processing unconditionally.
• Artículo 8 bis — Decisiones automatizadas. Derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado con efectos significativos, y garantías de explicación, intervención humana y revisión.Article 8 bis — Automated decisions. Right not to be subject to decisions based solely on automated processing with significant effects, and safeguards of explanation, human intervention and review.
• Artículo 11 — Procedimiento ante el responsable. Regula la forma de las solicitudes, el plazo de respuesta de 30 días corridos prorrogable por una vez, y el bloqueo temporal con respuesta en 2 días hábiles.Article 11 — Procedure before the controller. Governs the form of requests, the 30-calendar-day response deadline extendable once, and temporary blocking with a response within 2 business days.
• Artículo 12 — Consentimiento. Debe ser libre, informado, específico, previo e inequívoco, y revocable en cualquier momento por medios equivalentes a los de su otorgamiento. El responsable debe poder probarlo.Article 12 — Consent. Must be freely given, informed, specific, prior and unambiguous, and revocable at any time by means equivalent to those used to give it. The controller must be able to prove it.
• Artículo 13 — Otras fuentes de licitud. Permite tratar datos sin consentimiento cuando es necesario para ejecutar un contrato, cumplir una obligación legal o satisfacer un interés legítimo que no afecte los derechos del titular, entre otros casos.Article 13 — Other lawful bases. Allows processing without consent where necessary to perform a contract, comply with a legal obligation or satisfy a legitimate interest that does not affect the data subject's rights, among other cases.
• Artículo 14 ter — Deber de información y transparencia. Obliga al responsable a mantener públicamente disponible la información contenida en esta política, incluido el periodo durante el que se conservarán los datos.Article 14 ter — Duty of information and transparency. Requires the controller to keep the information contained in this policy publicly available, including the period for which data will be kept.
• Artículo 14 quinquies — Deber de adoptar medidas de seguridad. Exige medidas técnicas y organizativas adecuadas al riesgo —seudonimización y cifrado, disponibilidad y resiliencia, restauración rápida y verificación periódica de su eficacia—, y pone en el responsable la carga de acreditar su existencia y funcionamiento ante un incidente.Article 14 quinquies — Duty to adopt security measures. Requires technical and organizational measures appropriate to the risk —pseudonymization and encryption, availability and resilience, fast restoration and periodic verification of their effectiveness— and places on the controller the burden of demonstrating their existence and operation following an incident.
• Artículo 14 sexies — Deber de reportar vulneraciones. Obliga a reportar a la Agencia, sin dilaciones indebidas, las vulneraciones de seguridad con riesgo razonable para los derechos de los titulares, a registrarlas y, en ciertos casos, a comunicarlas a los afectados.Article 14 sexies — Duty to report breaches. Requires reporting security breaches posing a reasonable risk to data subjects' rights to the Agency without undue delay, recording them and, in certain cases, communicating them to those affected.
• Artículo 15 bis — Tratamiento a través de un encargado. Regula el tratamiento de datos por cuenta de un responsable, el contrato de encargo y las responsabilidades del encargado.Article 15 bis — Processing through a processor. Governs the processing of data on behalf of a controller, the processing agreement and the processor's responsibilities.
• Artículos 27 y 28 — Transferencias internacionales. Permiten transferir datos a países con nivel adecuado de protección declarado por la Agencia, o mediante cláusulas contractuales y otros instrumentos que ofrezcan garantías adecuadas.Articles 27 and 28 — International transfers. Allow transfers to countries with an adequate level of protection declared by the Agency, or by means of contractual clauses and other instruments providing adequate safeguards.
• Artículo 41 — Reclamación ante la Agencia. Procedimiento administrativo de tutela de derechos ante la Agencia de Protección de Datos Personales.Article 41 — Complaint before the Agency. Administrative procedure for the protection of rights before the Personal Data Protection Agency.
• Artículo 28 B, Ley 19.496 (protección al consumidor). Toda comunicación promocional por correo electrónico debe indicar su materia, la identidad del remitente y una dirección válida para solicitar la suspensión de los envíos.Article 28 B, Law 19,496 (consumer protection). Every promotional email communication must state its subject, the sender's identity and a valid address to request that sending stop.
• Artículos 4 y 9, Ley 21.663 (Marco de Ciberseguridad). El artículo 4 incluye entre los servicios esenciales a los proveedores de infraestructura digital, servicios digitales y servicios de TI gestionados por terceros; el artículo 9 fija los plazos de reporte de incidentes al CSIRT Nacional: 3 horas para la alerta temprana, 72 horas para la evaluación inicial y un informe final tras la contención.Articles 4 and 9, Law 21,663 (Cybersecurity Framework). Article 4 includes among essential services the providers of digital infrastructure, digital services and third-party managed IT services; article 9 sets the incident reporting deadlines to the National CSIRT: 3 hours for the early warning, 72 hours for the initial assessment and a final report after containment.