Anexo Chile: Mandato y Contrato de Encargo, con Cláusulas de Transferencia Internacional

Chile — ANX-CL: Mandato y Contrato de Encargo, con Cláusulas de Transferencia Internacional

ID del documento: ANX-CL · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación, que debe ser anterior al 1 de diciembre de 2026]] Idioma: este texto en español es el auténtico. La versión en inglés (../annex-cl.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en la República de Chile. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Naturaleza y vigencia

1.1 Hasta el 30 de noviembre de 2026. Este Anexo, junto con el MDPA, constituye el mandato por escrito previsto en el artículo 8 de la Ley 19.628 sobre Protección de la Vida Privada ("Ley 19.628"). Mediante él, la Clínica, como responsable del registro o banco de datos, encarga a VstreamX, como mandatario, el tratamiento de los Datos de la Clínica. Especifica las condiciones de utilización de los datos, que VstreamX debe respetar.

1.2 Desde el 1 de diciembre de 2026. Este Anexo, junto con el MDPA, constituye además el contrato entre el responsable (la Clínica) y el encargado (VstreamX) previsto en el artículo 15 bis de la Ley 19.628, modificada por la Ley 21.719 ("la Ley modificada"). Cumple los requisitos de transferencia internacional de los artículos 27 y 28 de la Ley modificada.

1.3 Postergación. Si se posterga la entrada en vigor de la Ley 21.719, la cláusula 1.2 surte efecto en la nueva fecha.

2. Contenido exigido por el artículo 15 bis

3. Obligaciones del encargado

VstreamX:

• (a) trata los datos únicamente conforme a las instrucciones de la Clínica;
• (b) no trata los datos para una finalidad distinta, ni los comunica o transfiere, salvo a los Subencargados autorizados (cláusula 4) o cuando la ley lo exija. Si VstreamX tratara los datos para fines propios, sería considerado responsable de ese tratamiento y respondería solidariamente con la Clínica por las infracciones que de ello resulten (art. 15 bis);
• (c) guarda confidencialidad respecto de los datos y obliga a su personal a ello; ese deber subsiste tras el término del contrato (cláusula 5 del MDPA);
• (d) aplica las medidas de seguridad del Apéndice 2 del MDPA;
• (e) asiste a la Clínica en la atención de los derechos de los titulares (cláusula 6) y en el reporte de vulneraciones de seguridad (cláusula 7);
• (f) al término del servicio, devuelve los datos a la Clínica mediante la exportación completa y luego los suprime conforme a la cláusula 14 del MDPA; y
• (g) pone a disposición de la Clínica la información necesaria para demostrar el cumplimiento y permite auditorías (cláusula 12 del MDPA).

4. Subencargados: autorización escrita

4.1 Autorización. La Clínica otorga su autorización escrita a los Subencargados individualizados en el Apéndice 3 del MDPA, cada uno con su servicio y ubicación.

4.2 Obligaciones. Cada Subencargado queda sujeto a las mismas obligaciones que VstreamX. VstreamX sigue siendo responsable ante la Clínica por ellos.

4.3 Cambios. Los cambios siguen la cláusula 7 del MDPA. Para una Clínica en Chile, la autorización de un nuevo Subencargado se otorga por escrito en el Servicio.

5. Cláusulas de transferencia internacional

5.1 La transferencia. Desde el 1 de diciembre de 2026, la comunicación de los Datos de la Clínica a VstreamX en Canadá, y luego a los Subencargados en los Estados Unidos y otros países, constituye una transferencia internacional conforme al artículo 27 de la Ley modificada, salvo que la Agencia de Protección de Datos Personales (la "Agencia") determine otra cosa [[TO CONFIRM: si la práctica de la Agencia considera transferencia el almacenamiento por un encargado extranjero]]. Las Partes adoptan las siguientes cláusulas contractuales como la garantía exigida por el artículo 27.

5.2 Compromisos de VstreamX como destinataria. VstreamX:

• (a) Finalidad: trata los datos únicamente para las finalidades del Apéndice 1 del MDPA;
• (b) Seguridad: aplica las medidas del Apéndice 2 del MDPA, apropiadas para datos sensibles de salud;
• (c) Transferencias ulteriores: solo realiza transferencias ulteriores a los Subencargados del Apéndice 3 del MDPA. Cada uno queda sujeto a obligaciones que aseguran un nivel de protección equivalente a estas cláusulas;
• (d) Derechos: permite a los titulares, a través de la Clínica, ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (cláusula 6);
• (e) Autoridades públicas: aplica la cláusula 16 del MDPA a todo requerimiento de acceso de una autoridad pública;
• (f) Leyes del destino: declara que, tras la evaluación resumida en el paquete de evaluación (cláusula 13.5 del MDPA), no tiene motivos para creer que las leyes que le son aplicables le impidan cumplir estas cláusulas. Si ello cambia, lo informa sin demora a la Clínica. En tal caso, la Clínica puede suspender la transferencia y terminar el servicio afectado, con exportación;
• (g) Supervisión: acepta que la Agencia supervise el cumplimiento de estas cláusulas, y coopera con ella; y
• (h) Responsabilidad: responde ante la Clínica de los daños causados por su incumplimiento de estas cláusulas. La limitación de responsabilidad de los Términos no limita la responsabilidad que la Ley modificada establece como solidaria (cláusula 17.2(b) del MDPA).

5.3 Terceros beneficiarios. Los titulares pueden exigir a VstreamX el cumplimiento de las cláusulas 5.2(a), (d), (e) y (h) como terceros beneficiarios, en la medida en que la ley chilena lo permita.

5.4 Cláusulas tipo de la Agencia. Cuando la Agencia apruebe cláusulas contractuales tipo, las Partes las adoptarán en sustitución de la cláusula 5.2, conforme a la cláusula 18.4 del MDPA.

6. Derechos de los titulares

VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA), para que la Clínica pueda responder a los titulares dentro de los plazos de la Ley modificada.

7. Vulneraciones de seguridad

7.1 Aviso a la Clínica. VstreamX notifica a la Clínica dentro de las 24 horas siguientes a haber establecido una vulneración de las medidas de seguridad que afecte a los Datos de la Clínica (cláusula 9 del MDPA).

7.2 Lo que debe hacer la Clínica. Desde el 1 de diciembre de 2026, la Clínica debe reportar esas vulneraciones a la Agencia. Cuando la vulneración afecte a datos sensibles, como los de salud, debe además informar a cada titular afectado, en lenguaje claro y sencillo. VstreamX proporciona la información que posee para esas comunicaciones.

8. Fichas clínicas

8.1 Acceso. Conforme a la Ley 20.584 sobre derechos y deberes de los pacientes, el acceso a la ficha clínica se limita a las personas directamente relacionadas con la atención del paciente y a las demás que la ley autoriza. La Clínica configura los roles del Servicio para ese efecto.

8.2 Conservación. La ficha clínica debe conservarse por un mínimo de 15 años. DentalX no suprime automáticamente las fichas clínicas. Al término del servicio, la exportación permite a la Clínica conservarlas.

9. Ley aplicable

La Ley 19.628, en su texto modificado, se aplica al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.

Puntos por confirmar antes de la publicación (Chile)

1. La fecha de publicación, anterior al 1 de diciembre de 2026, y el estado del proyecto de postergación (Boletín 18.623-07).
2. Si la Agencia considera transferencia el almacenamiento por un encargado extranjero (§5.1).