Anexo DPA

1. Objeto del encargo

El presente Contrato de Encargo de Tratamiento de Datos Personales ("Anexo DPA") regula la relación entre la empresa cliente ("el Responsable") y Soul Light Therapy SpA — Método Fish ("el Encargado"), conforme a la Ley N°21.719 sobre Protección de Datos Personales y, cuando aplique, el Reglamento General de Protección de Datos (GDPR, UE).

2. Roles de las partes

• •El Responsable es la empresa cliente que contrata los servicios de Método Fish y determina los fines y medios del tratamiento de los datos laborales y de clima organizacional de sus trabajadores.
• •El Encargado (Método Fish) trata los datos por cuenta y siguiendo las instrucciones del Responsable, únicamente para la prestación del servicio contratado.
• •Para los datos de salud mental recogidos directamente del trabajador a través de la app (check-ins, tests, fichas clínicas), Método Fish actúa como Responsable del tratamiento.

3. Finalidad y categorías de datos

• •Datos laborales y de clima organizacional (encuestas de clima, indicadores de riesgo psicosocial, ROI): tratados como Encargado por cuenta del Responsable.
• •Datos sensibles de salud mental (check-ins, tests psicométricos, fichas clínicas): tratados como Responsable por Método Fish, bajo secreto profesional, y no se comparten individualmente con el empleador.
• •El Responsable autoriza el uso de los datos laborales agregados exclusivamente para la generación de indicadores anónimos de clima y riesgo psicosocial.

4. Obligaciones del Encargado

• •Tratar los datos solo conforme a las instrucciones documentadas del Responsable.
• •Garantizar la confidencialidad del personal con acceso a los datos (acuerdos de confidencialidad internos).
• •Aplicar medidas técnicas y organizativas de seguridad: cifrado en tránsito y reposo, control de acceso basado en roles (RLS), registro de actividad y auditoría.
• •No subencargar el tratamiento a terceros sin autorización del Responsable, salvo los subprocesadores listados en el Anexo A de la Política de Privacidad vigente.
• •Notificar al Responsable cualquier brecha de seguridad sin dilación indebida, conforme al Art. 32 ter de la Ley N°21.719.
• •Asistir al Responsable en el cumplimiento de sus obligaciones frente a los titulares y la APDP.

5. Obligaciones del Responsable

• •Garantizar que los datos entregados al Encargado fueron recogidos conforme a la ley, con el consentimiento informado de los trabajadores cuando corresponda.
• •Determinar las finalidades del tratamiento y velar por su licitud.
• •Responder ante los titulares y la APDP por el tratamiento de los datos laborales encargados.
• •Informar al Encargado de cualquier solicitud de ejercicio de derechos que reciba y que involucre datos tratados por el Encargado.

6. Subencargados (subprocesadores)

El Encargado utiliza los subprocesadores listados en el Anexo A de la Política de Privacidad vigente (infraestructura de hosting, modelos de IA con configuración de no-entrenamiento, envío de correos transaccionales). El Encargado notificará al Responsable con al menos 30 días de anticipación cualquier incorporación o reemplazo relevante de un subprocesador; el Responsable podrá oponerse conforme a sus derechos.

7. Transferencias internacionales

Determinados subprocesadores tratan datos fuera de Chile (principalmente Estados Unidos y UE), bajo Cláusulas Contractuales Tipo y garantías adecuadas (GDPR art. 46) y las salvaguardas de la Ley N°21.719 para transferencias internacionales. El Encargado garantiza que sus subprocesadores mantienen configuraciones de no-entrenamiento y retención cero de datos para los modelos de IA.

8. Medidas de seguridad

• •Cifrado TLS en tránsito y cifrado en reposo para datos almacenados.
• •Control de acceso basado en roles (RLS): cada usuario solo accede a los datos que le corresponden.
• •Registro de actividad (auditoría) para accesos sensibles.
• •Separación lógica de datos sensibles de salud mental respecto de datos laborales identificables.
• •Planes de respuesta a incidentes con notificación a la APDP y a los titulares sin dilación indebida.

9. Notificación de brechas

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de la brecha, describiendo su naturaleza, los datos afectados, las medidas adoptadas y las recomendaciones para el Responsable. El Responsable asumirá la notificación a la APDP y a los titulares cuando corresponda.

10. Retención y supresión

• •Al término del contrato, el Encargado devolverá o destruirá los datos laborales tratados por cuenta del Responsable, salvo obligación legal de conservación.
• •Las cuentas de los trabajadores pasan a estado inactivo con acceso de solo lectura por 60 días para descarga de sus propios resultados.
• •Los datos de clima laboral y check-ins se anonimizan a los 90 días post-término del contrato corporativo.
• •Las fichas clínicas se conservan por 15 años conforme al Decreto MINSAL N°41, bajo custodia del profesional, sin acceso del empleador.

11. Auditoría y fiscalización

El Responsable podrá realizar o encargar auditorías razonables del cumplimiento del Encargado, previa notificación. El Encargado mantendrá a disposición de la APDP el Registro de Actividades de Tratamiento (RAT, Art. 14 ter) y la Evaluación de Impacto en la Protección de Datos (EIPD) correspondientes.

12. Vigencia y resolución

El presente anexo entra en vigor con la suscripción del contrato de servicios y permanece vigente mientras el Responsable utilice los servicios de Método Fish. Cualquier modificación será comunicada por escrito y surtirá efecto conforme a lo pactado en el contrato principal.