Política de Tratamiento de Datos Personales

Kódex Compliance SpA · Versión 1.1 · 3 de noviembre de 2026

1. Objeto de esta política

Kódex Compliance SpA (en adelante, "Kódex" o "nosotros") presta servicios de cumplimiento normativo a empresas y opera una plataforma tecnológica para ese fin. En el desarrollo de esas actividades trata datos personales de las personas que visitan nuestro sitio, completan el diagnóstico normativo, crean una cuenta en la plataforma o actúan en representación de nuestros clientes y partners.

Esta política informa, de manera clara y accesible, quién es el responsable del tratamiento, qué datos tratamos, con qué finalidades y sobre qué bases de licitud, con quién los compartimos, cuánto tiempo los conservamos, cómo los protegemos y cómo puede usted ejercer sus derechos. Se mantiene publicada en forma permanente, con indicación de su fecha y versión, en cumplimiento del artículo 14 ter de la Ley N° 19.628, sobre protección de la vida privada, en el texto que le da la Ley N° 21.719.

2. Responsable del tratamiento

El responsable del tratamiento de los datos personales a que se refiere esta política es:

Cualquier consulta, solicitud o reclamo relativo a esta política o al tratamiento de sus datos puede dirigirse al correo indicado.

3. Marco normativo y ámbito de aplicación

El tratamiento de datos personales en Chile se rige por la Ley N° 19.628, sobre protección de la vida privada. La Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, la modificó sustancialmente y creó la Agencia de Protección de Datos Personales. Conforme a su texto, sus modificaciones entran en vigencia el 1 de diciembre de 2026; a la fecha de esta versión se tramita un proyecto de ley que posterga esa vigencia al 1 de diciembre de 2027 (Boletín N° 18.623-07).

Esta política se aplica a los datos que Kódex trata en calidad de responsable, es decir, aquellos respecto de los cuales decide los fines y medios del tratamiento:

• Datos de visitantes y prospectos que completan el diagnóstico normativo, directamente o a través del sitio de un partner.
• Datos de los usuarios que crean una cuenta en la plataforma.
• Datos de representantes, contactos y personal de nuestros clientes y partners, necesarios para la relación contractual, la facturación y las comunicaciones de servicio.

Esta política no se aplica a los datos personales que nuestros clientes incorporan a la plataforma para gestionar su propio cumplimiento (por ejemplo, denuncias recibidas en su canal, solicitudes de titulares, registros de actividades de tratamiento, datos de sus trabajadores o proveedores). Respecto de esos datos, el cliente es el responsable y Kódex actúa como encargado del tratamiento, por cuenta del cliente y conforme a sus instrucciones, en los términos del contrato de encargo suscrito con él. Si usted es titular de esos datos, le sugerimos dirigir sus solicitudes directamente a la empresa responsable; si las recibimos nosotros, se las remitiremos sin demora.

4. Datos personales que tratamos

Tratamos únicamente los datos adecuados, pertinentes y limitados a lo necesario para cada finalidad. No solicitamos datos personales sensibles en el diagnóstico ni para crear una cuenta. Las preguntas del diagnóstico se refieren a la empresa y a sus prácticas de cumplimiento, no a la persona que responde.

Kódex no almacena los datos de tarjetas de pago: estos son tratados directamente por el procesador de pagos.

5. Finalidades y bases de licitud

Cada tratamiento se funda en una base de licitud específica [PENDIENTE: validar con el abogado las bases de licitud y la calificación del tratamiento automatizado de esta sección]:

Puede revocar su consentimiento en cualquier momento escribiendo al correo indicado en la sección 2. La revocación no afecta la licitud del tratamiento realizado con anterioridad.

El puntaje y el plan que entrega el diagnóstico se calculan automáticamente a partir de las respuestas, pero se refieren a la empresa y tienen carácter orientativo: no producen efectos jurídicos respecto de usted ni le afectan significativamente. Kódex no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan esos efectos.

Kódex no vende datos personales y no utiliza los datos de sus clientes ni de los titulares para entrenar modelos de inteligencia artificial. Cuando nuestro equipo emplea herramientas de inteligencia artificial para preparar borradores de documentos, clasificar internamente solicitudes o elaborar informes, el resultado es siempre revisado por una persona del equipo antes de entregarse o enviarse.

6. Destinatarios y encargados del tratamiento

Para prestar nuestros servicios recurrimos a proveedores que tratan datos por cuenta de Kódex, en calidad de encargados, bajo contratos que los obligan a tratarlos solo según nuestras instrucciones, a mantener su confidencialidad y a adoptar medidas de seguridad adecuadas:

Partners. Si usted completa el diagnóstico en un sitio con la marca de un partner de Kódex (por ejemplo, su contador o estudio jurídico), es decir, el partner que le presenta el diagnóstico, sus datos de contacto y el resultado del diagnóstico se comunican a ese partner para que pueda contactarlo, lo que se le informa al momento de otorgar su consentimiento. [PENDIENTE: definir si el partner actúa como responsable independiente o como encargado de Kódex, y ajustar este párrafo.]

Funciones de inteligencia artificial con clave propia del cliente. Algunos clientes pueden activar funciones de inteligencia artificial con una clave propia de un proveedor que ellos mismos contratan (Anthropic u OpenAI). En ese caso, el tratamiento se realiza por cuenta y bajo la relación contractual del cliente con ese proveedor.

Autoridades. Comunicaremos datos a autoridades administrativas o judiciales cuando una ley o una resolución competente lo exija.

7. Transferencias internacionales

Parte de los proveedores indicados en la sección anterior tratan datos fuera de Chile; en particular, la base de datos de la plataforma se aloja en Brasil, y el servicio de verificación de seguridad del diagnóstico (Cloudflare) opera con infraestructura distribuida en distintos países [PENDIENTE: confirmar países y la garantía de esa transferencia]. Kódex realiza estas transferencias bajo contratos que imponen al proveedor obligaciones de confidencialidad, seguridad y uso limitado, y cifra la información en tránsito y en reposo. [PENDIENTE: completar los países de cada proveedor y la garantía específica que respalda cada transferencia.] Si Kódex traslada el tratamiento a infraestructura ubicada en Chile, actualizará esta política.

8. Plazos de conservación

Conservamos los datos personales solo durante el tiempo necesario para la finalidad que justificó su recolección. Vencido ese plazo, se eliminan o anonimizan mediante procesos programados [PENDIENTE: la purga programada aún no está implementada].

Los datos que nuestros clientes incorporan a la plataforma como responsables (sección 3) se conservan según el plazo de retención que cada cliente configura y las instrucciones de su contrato de encargo.

9. Medidas de seguridad

Kódex adopta medidas técnicas y organizativas apropiadas al riesgo del tratamiento, entre ellas:

• Aislamiento de la información de cada organización en la base de datos, de modo que ningún usuario pueda acceder a datos de una organización a la que no pertenece.
• Cifrado de la información en tránsito y en reposo.
• Autenticación con segundo factor, obligatoria para los usuarios con funciones de administración, gestión y operación [PENDIENTE: la obligatoriedad se habilita en el sprint 15; no publicar esta línea antes].
• Acceso según el principio de mínimo privilegio y registro de auditoría de solo inserción de las acciones relevantes.
• Respaldos periódicos y procedimientos de respuesta ante incidentes.

Si se produce una vulneración de las medidas de seguridad que afecte sus datos, la notificaremos a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, conforme al artículo 14 sexies de la Ley N° 19.628, en el texto que le da la Ley N° 21.719. Le informaremos también a usted cuando la vulneración afecte datos sensibles, datos de niños, niñas o adolescentes o datos relativos a obligaciones económicas.

10. Sus derechos

Como titular de datos personales, usted tiene derecho a:

• Acceso: saber si tratamos sus datos y obtener información sobre ellos y su tratamiento.
• Rectificación: corregir los datos inexactos, desactualizados o incompletos.
• Supresión: obtener la eliminación de sus datos cuando proceda.
• Oposición: oponerse a determinados tratamientos.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Bloqueo: obtener la suspensión temporal del tratamiento de sus datos mientras se resuelve una solicitud.

Para ejercerlos, escriba al correo indicado en la sección 2, señalando su nombre, el derecho que ejerce y un medio de contacto. Podremos solicitarle información adicional razonable para verificar su identidad.

Responderemos su solicitud dentro de 30 días corridos desde su recepción. Ese plazo podrá prorrogarse por una sola vez, hasta por 30 días, mediante aviso fundado. Las solicitudes de bloqueo se resolverán dentro de 2 días hábiles. Estos plazos se rigen por el artículo 11 de la Ley N° 19.628, en el texto que le da la Ley N° 21.719. [PENDIENTE: confirmar la gratuidad del ejercicio de los derechos y los casos de excepción.]

Si considera que su solicitud no fue atendida debidamente, puede reclamar ante la Agencia de Protección de Datos Personales una vez que esta se encuentre constituida (a la fecha de esta versión, aún no lo está) [PENDIENTE: plazo y forma del reclamo], sin perjuicio de las demás acciones que la ley le reconozca.

11. Niños, niñas y adolescentes

Nuestros servicios están dirigidos a empresas y a las personas que actúan en su representación. No recolectamos intencionalmente datos de niños, niñas o adolescentes. Si tomamos conocimiento de haberlos recibido por esta vía, los eliminaremos.

12. Cookies

A la fecha de esta versión, la plataforma utiliza únicamente cookies técnicas estrictamente necesarias para su funcionamiento: la cookie de sesión de los usuarios, que dura hasta 12 horas, y una cookie que recuerda la organización seleccionada durante 180 días, que es solo una preferencia de visualización y no otorga acceso a información. Además, el formulario del diagnóstico incluye la verificación de seguridad Turnstile, de Cloudflare, que evalúa señales técnicas del navegador para prevenir envíos automatizados y el abuso del formulario. Kódex no la utiliza con fines de analítica ni de publicidad. [PENDIENTE: verificar con la documentación vigente de Cloudflare y con el abogado el uso que el proveedor da a esas señales y si instala cookies u otro almacenamiento en el navegador, con su duración; ajustar en consecuencia la palabra «únicamente» de este párrafo.] No utilizamos cookies de analítica ni de publicidad. Si en el futuro las incorporamos, actualizaremos esta política y solicitaremos su consentimiento cuando corresponda.

13. Modificaciones

Kódex podrá actualizar esta política para reflejar cambios normativos o en sus tratamientos. Cada versión indica su número y fecha, y las versiones anteriores se conservan a disposición de los titulares. Informaremos a los usuarios registrados los cambios sustanciales antes de que entren a regir.