Acuerdo de Tratamiento de Datos (DPA)

La empresa cliente es el Responsable del Tratamiento de los datos de sus trabajadores. Generativo SpA actúa como Encargado del Tratamiento, procesando esos datos únicamente por mandato de la empresa y para la finalidad del servicio.

• Datos de nómina: nombre, RUT o identificador, correo electrónico, cargo y unidad de los trabajadores invitados a responder la encuesta.
• Respuestas de encuesta: valores numéricos tratados en forma seudonimizada, separados de la identidad del respondente y sin acceso individual por parte de la empresa ni del equipo QSP Index. El vínculo técnico se elimina al expirar la nómina, quedando solo estadística sin posibilidad razonable de reidentificación.

Exclusivamente para: enviar las invitaciones de encuesta por correo, procesar las respuestas y generar el informe de resultados. No usamos los datos para ningún otro fin.

El tratamiento se realiza en virtud del contrato de servicios suscrito entre las partes. La empresa cliente, como Responsable del Tratamiento, es quien invoca la base legal aplicable frente a sus trabajadores. El fundamento típico es el interés legítimo del empleador (art. 13 lit. f, Ley 21.719) para conocer el estado de la cultura organizacional, el cual debe ser documentado por la empresa mediante una Evaluación de Interés Legítimo (LIA).

QSP Index, como Encargado del Tratamiento, procesa los datos exclusivamente bajo instrucciones documentadas del Responsable y no invoca base legal propia.

• Datos de nómina (nombre, RUT, correo, cargo): 12 meses desde su carga o última actualización. La eliminación es automática (TTL) al cumplirse el plazo. Al término del contrato, la supresión ocurre dentro de los 30 días corridos siguientes.
• Respuestas confidenciales: hasta 5 años desde su envío, para análisis comparativo y de evolución longitudinal.
• Informes y resultados agregados: permanentes, ya que son información de la empresa cliente. El PDF se conserva 14 días y se regenera a demanda.

Los datos se almacenan en infraestructura cloud de un proveedor Tier-1 certificado en SOC 2 Tipo II e ISO/IEC 27001, con múltiples zonas de disponibilidad redundantes. Se aplica cifrado en reposo y en tránsito mediante estándares industriales actuales. El acceso está restringido a personal autorizado bajo control de acceso por roles. Se mantienen registros de auditoría de las operaciones relevantes sobre datos personales.

La lista nominada de sub-encargados (proveedores que acceden a datos en nombre de QSP Index), con sus ubicaciones, está publicada en qspindex.com/trust. Notificaremos cambios en sub-encargados con 30 días de anticipación.

Cualquier trabajador puede solicitar acceso, rectificación, supresión, oposición, portabilidad o bloqueo temporal de sus datos desde el formulario de solicitudes ARCO, que registra la solicitud y envía un comprobante. Las solicitudes de bloqueo temporal se atienden dentro de 2 días hábiles (art. 11, Ley 21.719); las demás, dentro de 10 días hábiles (DPA §13.3).

Los datos se procesan y almacenan en infraestructura cloud ubicada en Estados Unidos. Las garantías contractuales de la transferencia internacional se formalizan en el acuerdo con cada empresa cliente (Anexo B del DPA).

En caso de una vulneración de seguridad que afecte datos personales, notificaremos a la empresa cliente sin dilaciones indebidas, conforme al art. 14 sexies de la Ley 21.719.

El texto completo y vinculante del Acuerdo de Tratamiento de Datos queda disponible al crear una cuenta, durante el proceso de firma. La versión que rige entre las partes es la que suscribe cada empresa.