1. Partes y objeto
Este acuerdo se celebra entre Keebai SpA, RUT 78310041-K, con domicilio en Av. La Dehesa 1822, Of. 705 (Piso 7), Lo Barnechea, Santiago, Chile (en adelante 'Keebai'), y la persona natural o jurídica que contrata la plataforma (en adelante 'el Cliente'). Forma parte integrante de los términos de servicio y los complementa. Su objeto es regular el tratamiento que Keebai realiza, por cuenta y bajo instrucción del Cliente, de los datos personales de los clientes finales, contactos y demás titulares que el Cliente gestiona a través de la plataforma. En caso de contradicción entre este acuerdo y los términos de servicio, prevalece este acuerdo en lo relativo a protección de datos personales.
2. Roles de las partes
Respecto de los datos personales que el Cliente incorpora o hace tratar a través de la plataforma, el Cliente es el responsable del tratamiento y Keebai es el encargado, en los términos del artículo 15 bis de la Ley N° 21.719. El Cliente determina las finalidades y los medios esenciales del tratamiento; Keebai los ejecuta por su cuenta. Respecto de los datos de la cuenta del Cliente, de la facturación, del soporte y de la telemetría de uso de la plataforma, Keebai actúa como responsable del tratamiento, conforme a su política de privacidad, y este acuerdo no le resulta aplicable.
3. Duración
Este acuerdo entra en vigencia con la aceptación de los términos de servicio o con la firma del contrato de suscripción, lo que ocurra primero, y se mantiene vigente mientras Keebai trate datos personales por cuenta del Cliente. Las obligaciones de secreto del artículo 14 bis de la Ley N° 21.719 y las de supresión o devolución de la sección 15 subsisten tras el término del acuerdo.
4. Finalidad y alcance de las instrucciones
Keebai trata los datos personales únicamente para prestar el servicio contratado, lo que comprende: recibir, almacenar y encaminar mensajes en los canales que el Cliente conecte; generar respuestas asistidas por modelos de lenguaje; mantener el registro de contactos, conversaciones, tickets, citas y transacciones del Cliente; sincronizar con los sistemas de terceros que el Cliente habilite; y entregar al Cliente reportes y analítica sobre su propia operación. La configuración de la cuenta, los prompts, los flujos, los campos personalizados y las integraciones que el Cliente define en la plataforma constituyen instrucciones documentadas para todos los efectos de este acuerdo. Keebai no trata los datos personales del Cliente para finalidades propias distintas de las anteriores. En particular, Keebai no utiliza el contenido de las conversaciones del Cliente para entrenar modelos de lenguaje generales ni de terceros, ni lo cede con fines publicitarios o de comercialización. Si Keebai considerase que una instrucción del Cliente infringe la legislación de protección de datos, se lo informará sin demora y podrá suspender la ejecución de esa instrucción.
5. Tipos de datos personales tratados
Según la configuración que el Cliente elija, el tratamiento puede comprender: datos de identificación y contacto (nombre, apellidos, número de teléfono, correo electrónico, identificador de canal, documento de identidad cuando el Cliente lo capture); contenido de las comunicaciones (texto, imágenes, audio, video y documentos intercambiados en los canales conectados); datos de la relación comercial (historial de compras, carritos, pedidos, pagos, tickets de soporte, citas y reservas, programa de fidelización); campos personalizados definidos libremente por el Cliente; datos técnicos y de conexión (dirección IP, identificador de dispositivo, marcas de tiempo, metadatos de canal); y datos inferidos por el asistente y conservados como memoria de largo plazo cuando el Cliente habilite esa funcionalidad. El Cliente no debe incorporar a la plataforma datos personales sensibles ni datos de menores de edad fuera de los módulos expresamente habilitados para ello; si lo hace, asume la responsabilidad de contar con la base de licitud reforzada que exigen los artículos 16 y 16 quáter de la Ley N° 21.719.
6. Categorías de titulares
Los titulares cuyos datos son objeto de este encargo son las personas naturales que se relacionan con el Cliente a través de los canales gestionados por la plataforma: clientes finales y clientes potenciales, contactos comerciales, pacientes o usuarios cuando el Cliente opera en un rubro de salud, asistentes a reservas y citas, participantes en programas de fidelización, y trabajadores o colaboradores del Cliente que operen la plataforma o aparezcan en el contenido de las comunicaciones.
7. Obligaciones de Keebai como encargado
Keebai se obliga a: (a) tratar los datos personales exclusivamente conforme a las instrucciones documentadas del Cliente; (b) garantizar que las personas autorizadas para tratarlos se hayan comprometido a la confidencialidad; (c) aplicar las medidas técnicas y organizativas del artículo 14 quinquies descritas en la sección 10; (d) no subdelegar el tratamiento en un tercero sin la autorización escrita del Cliente, que este otorga respecto de los subencargados listados en la sección 13 y del procedimiento de altas allí descrito; (e) asistir al Cliente en la atención de las solicitudes de los titulares conforme a la sección 12; (f) notificarle las vulneraciones de seguridad conforme a la sección 11; (g) poner a su disposición la información necesaria para acreditar el cumplimiento de estas obligaciones; y (h) suprimir o devolver los datos al término del servicio conforme a la sección 15.
8. Obligaciones del Cliente como responsable
El Cliente declara y garantiza que: (a) los datos personales que incorpora a la plataforma fueron obtenidos lícitamente y cuenta con una base de licitud válida del artículo 12 o 13 de la Ley N° 21.719 para cada finalidad que persigue; (b) ha entregado a los titulares la información de transparencia que exige el artículo 14 ter, incluida la mención de que utiliza un proveedor tecnológico para gestionar sus comunicaciones; (c) ha obtenido el consentimiento expreso cuando trata datos sensibles y la autorización del representante legal cuando trata datos de menores de 14 años; (d) es el único responsable del contenido de los prompts, los flujos, los campos personalizados y las URL de destino de los webhooks salientes que configure; y (e) responderá directamente frente a los titulares y frente a la autoridad por el cumplimiento de sus obligaciones como responsable. El Cliente es asimismo responsable de gestionar los accesos de sus propios usuarios dentro de la plataforma y de revocarlos oportunamente.
9. Deber de secreto y acceso de soporte
Keebai y su personal están sujetos al deber de secreto del artículo 14 bis de la Ley N° 21.719, que subsiste indefinidamente tras el término de la relación contractual. El personal técnico autorizado de Keebai puede acceder a los datos del Cliente únicamente cuando sea necesario para operar la plataforma, diagnosticar una incidencia o atender una solicitud de soporte del propio Cliente. Estos accesos quedan registrados y el registro está disponible para el Cliente a solicitud. Keebai no accede al contenido de las comunicaciones del Cliente con ningún otro propósito.
10. Medidas de seguridad
Keebai aplica medidas técnicas y organizativas proporcionales al riesgo, orientadas a garantizar la confidencialidad, integridad, disponibilidad y resiliencia del tratamiento conforme al artículo 14 quinquies de la Ley N° 21.719. Comprenden, entre otras: cifrado en tránsito mediante TLS 1.2 o superior y cifrado en reposo del almacenamiento; segregación lógica de los datos de cada cliente y controles de acceso que impiden el acceso entre cuentas; autenticación de los servicios internos y control de acceso basado en roles y permisos; autenticación multifactor para el acceso administrativo; segregación de los ambientes productivo y de desarrollo, con anonimización de los datos personales replicados a este último; registro de auditoría de las operaciones sobre datos personales, con plazo de conservación definido; verificación de la firma criptográfica de los webhooks entrantes de los canales; y revisión periódica de la eficacia de estas medidas. Keebai puede actualizar las medidas concretas siempre que no disminuya el nivel de protección.
11. Notificación de vulneraciones de seguridad
Keebai notificará al Cliente sin dilaciones indebidas, y en todo caso dentro de las 48 horas siguientes a tomar conocimiento, cualquier vulneración de seguridad que afecte a los datos personales tratados por su cuenta. La notificación se dirigirá al contacto de seguridad que el Cliente haya designado en la plataforma y describirá, en la medida en que la información esté disponible: la naturaleza de la vulneración, las categorías y el número aproximado de titulares y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para mitigarla, y un punto de contacto para obtener más información. Keebai mantiene el registro de vulneraciones que exige el artículo 14 sexies. Corresponde al Cliente, en su calidad de responsable, evaluar el riesgo para los derechos de los titulares y efectuar las notificaciones que procedan a la Agencia de Protección de Datos Personales y a los titulares afectados; Keebai le prestará la asistencia razonable que requiera para ello.
12. Asistencia en el ejercicio de derechos de los titulares
Los titulares ejercen sus derechos de acceso, rectificación, supresión, oposición, bloqueo, portabilidad y de no ser objeto de decisiones automatizadas ante el Cliente, que es el responsable del tratamiento. Keebai pone a disposición del Cliente las funcionalidades de la plataforma necesarias para atender esas solicitudes dentro de los plazos del artículo 11 de la Ley N° 21.719, esto es, 30 días corridos para la respuesta general y 2 días hábiles para el bloqueo. Si un titular dirige una solicitud directamente a Keebai, esta la remitirá al Cliente sin demora y sin responderla por sí misma, salvo instrucción en contrario del Cliente.
13. Subencargados autorizados
El Cliente autoriza expresamente a Keebai a subcontratar el tratamiento con los proveedores que se indican a continuación, exigiéndoles obligaciones de protección de datos no menos estrictas que las de este acuerdo. Infraestructura, siempre activa: Amazon Web Services (cómputo, almacenamiento de objetos, correo transaccional, notificaciones y gestión de secretos, región us-east-1, Estados Unidos), MongoDB Atlas (base de datos, región us-east-1, Estados Unidos) y Google Cloud Platform (notificaciones push a dispositivos móviles, Estados Unidos). Modelos de lenguaje y embeddings, según el modelo que el Cliente seleccione: OpenAI, Anthropic y Google (Estados Unidos), y Moonshot AI (China) únicamente si el Cliente habilita expresamente esa familia de modelos. Voz, solo si el Cliente activa canales de voz: Deepgram, ElevenLabs, Google Cloud y OpenAI (Estados Unidos). Canales de mensajería, solo los que el Cliente conecte: Meta Platforms (WhatsApp, Messenger, Instagram y Lead Ads), Telegram, TikTok, Twilio, Google (Gmail) y Microsoft (Graph). Agenda, salud, comercio y pagos, solo las integraciones que el Cliente conecte: Google Calendar, Microsoft Outlook, AgendaPro, Medilink, Reservo, Dentalink, Shopify, Justo, Mercado Pago y Fintoc. Conectores de base de conocimiento, solo los que el Cliente autorice mediante OAuth: Google Drive, Microsoft OneDrive y SharePoint, Notion, Dropbox, Box y Confluence. Servicios auxiliares: Google Maps, Google reCAPTCHA, Tavily, Apple Wallet y Google Wallet. Keebai informará al Cliente con al menos 30 días de anticipación la incorporación de un nuevo subencargado, publicando la actualización en esta página y notificándola al contacto registrado. El Cliente podrá oponerse fundadamente dentro de ese plazo; si la oposición impide prestar el servicio, cualquiera de las partes podrá terminar el contrato sin cargo por el período no utilizado.
14. Transferencias internacionales
La prestación del servicio implica la transferencia de datos personales fuera de Chile, principalmente a Estados Unidos, donde se encuentran la infraestructura de cómputo y almacenamiento y la mayoría de los subencargados listados en la sección anterior, y eventualmente a China si el Cliente habilita los modelos de Moonshot AI. El Cliente autoriza expresamente estas transferencias. Mientras la Agencia de Protección de Datos Personales no dicte los modelos contractuales del artículo 28 de la Ley N° 21.719, Keebai las ampara en cláusulas contractuales con cada subencargado que garantizan un nivel de protección adecuado, incluidas obligaciones de confidencialidad, limitación de finalidad, seguridad y asistencia ante solicitudes de titulares. Keebai adecuará estos instrumentos a los modelos que apruebe la Agencia dentro del plazo que esta determine.
15. Supresión o devolución al término del servicio
Terminado el servicio por cualquier causa, y a elección del Cliente manifestada dentro de los 30 días siguientes, Keebai le devolverá los datos personales en un formato estructurado y de uso común o los suprimirá. Transcurrido ese plazo sin instrucción del Cliente, Keebai procederá a la supresión. La supresión alcanza a las copias operativas y se extiende a las copias de respaldo dentro del ciclo de rotación de estas. Keebai podrá conservar los datos que una obligación legal le exija mantener, y únicamente por ese plazo y para esa finalidad, informándolo al Cliente.
16. Acreditación del cumplimiento
Keebai pondrá a disposición del Cliente, a solicitud razonable y no más de una vez al año, la información y la documentación necesarias para acreditar el cumplimiento de las obligaciones de este acuerdo, incluida la descripción actualizada de las medidas de seguridad y los informes de evaluación de que disponga. El Cliente podrá solicitar la realización de una auditoría por un tercero independiente sujeto a confidencialidad, con aviso previo de 30 días, en horario hábil, sin interrumpir la operación y a su costo, salvo que la auditoría revele un incumplimiento material de Keebai.
17. Responsabilidad
Cada parte responde por el incumplimiento de las obligaciones que este acuerdo le impone. Conforme al artículo 15 bis de la Ley N° 21.719, el encargado que trata los datos para una finalidad distinta de la encargada, los cede sin autorización expresa o incumple las obligaciones del encargo adquiere la calidad de responsable y responde personalmente por las infracciones, solidariamente con el responsable por los daños causados. Keebai asume esa consecuencia respecto de los hechos que le sean imputables. El Cliente mantendrá indemne a Keebai frente a las reclamaciones de titulares o de la autoridad que tengan su origen en la falta de base de licitud, en el incumplimiento del deber de información o en las instrucciones ilícitas del propio Cliente.
18. Modificaciones, ley aplicable y contacto
Keebai podrá actualizar este acuerdo para reflejar cambios normativos, de la infraestructura o de los subencargados, publicando la versión vigente en esta misma URL con su fecha de actualización y notificando al Cliente con la anticipación indicada en la sección 13 cuando el cambio afecte a los subencargados. Este acuerdo se rige por las leyes de la República de Chile y las controversias se someten a los tribunales ordinarios de justicia con asiento en la ciudad de Santiago. Para consultas sobre este acuerdo, solicitar su firma en soporte material o designar el contacto de seguridad: privacy@keebai.com. Para reportar incidentes de seguridad: security@keebai.com.