Acuerdo de tratamiento de datos para inversionistas

1. Partes

El Responsable es el fondo, banco, empresa o inversionista que usa MyWacc y que se identifica, con su razón social, RUT y representante, al aceptar este acuerdo o firmarlo.

El Encargado es Mywacc SpA, RUT 77.758.911-3, domicilio en Huelén 10, oficina 403, Santiago, Chile («MyWacc»).

2. Marco y documentos relacionados

Este acuerdo se rige por la Ley 19.628 y, desde su plena vigencia el 1 de diciembre de 2026, por la Ley 21.719. Complementa los Términos de Uso (v2.3, con su Anexo A) y la Política de Privacidad (v2.3). En lo que se refiere a datos personales, si hay diferencias, vale lo que sea más protector de los datos de los titulares. Este acuerdo no cambia el contrato entre el fondo y cada empresa; la autorización de cada empresa se regula en la cláusula de consentimiento.

3. Tres tipos de datos y quién es responsable de cada uno

1. Datos del propio Responsable (sus usuarios en la plataforma, su cartera, sus análisis y notas, su información de pago): el Responsable es el responsable y MyWacc es encargado, según este acuerdo.
2. Datos de cada empresa (SII, Previred, caja, remuneraciones): el responsable es esa empresa. MyWacc los trata por encargo de ella y solo comparte con el Responsable lo que la empresa autoriza, y siempre lo mismo que la empresa puede ver. MyWacc no comparte con el Responsable datos de trabajadores ni de prestadores de la empresa.
3. Datos que el Responsable recibe de una empresa autorizada: desde que los recibe, el Responsable es responsable de ellos y los usa solo para el fin para el que la empresa los autorizó.

4. Datos del Responsable que MyWacc trata

• Nombre, cargo, correo y teléfono de sus usuarios.
• Las empresas que sigue o evalúa, sus análisis, notas y alertas configuradas (que MyWacc trata como confidenciales y no muestra a nadie más).
• Datos de cobro del servicio (a través de Flow; MyWacc no guarda datos de tarjeta).
• Mensajes que sus usuarios envíen a Wacky.

5. Instrucciones y finalidades

1. MyWacc trata estos datos solo para prestar el servicio al Responsable, según este acuerdo y lo que él pida por la plataforma. Si cree que una instrucción infringe la ley, se lo dice.
2. MyWacc no vende los datos del Responsable, no los muestra a otros clientes y no los usa para beneficiar a otro. No cruza información entre empresas ni entre fondos.
3. MyWacc puede usar datos derivados del uso del servicio para mejorar sus modelos propios solo después de anonimizarlos de forma irreversible, y el Responsable puede oponerse escribiendo a contact@mywacc.com.

6. Obligaciones del Responsable

1. Usar la información de cada empresa solo para evaluar o monitorear su inversión o crédito con ella, mantenerla en reserva, no cederla a terceros sin el acuerdo de la empresa y eliminarla cuando termine esa relación, salvo lo que la ley o su regulación le exijan conservar.
2. Respetar la revocación de la empresa: si una empresa retira su autorización, el Responsable deja de usar el acceso y no intenta obtener esa información por otras vías en contra de lo que la empresa decidió, sin perjuicio de lo que el contrato entre ambos establezca.
3. Cuidar las credenciales de sus usuarios y avisar a MyWacc si sospecha un acceso no autorizado.
4. Tomar sus propias decisiones de inversión o crédito: MyWacc entrega información y análisis, no recomendaciones.

7. Confidencialidad

MyWacc guarda reserva de los datos del Responsable y la exige a su personal y a quien acceda a ellos. La obligación sigue después del término de este acuerdo.

8. Medidas de seguridad

MyWacc aplica las medidas del Anexo 2, que describe lo que existe al día de este acuerdo.

9. Subencargados y transferencia internacional

El Responsable autoriza los subencargados del Anexo 1 y la transferencia internacional a Estados Unidos que implican. MyWacc avisa con 15 días de anticipación cualquier cambio, y el Responsable puede objetar por motivos fundados.

10. Derechos de los titulares

Los titulares de los datos del Responsable pueden pedir acceso, rectificación, supresión, oposición, bloqueo y portabilidad. Quien responde es el Responsable, dentro de 30 días corridos, prorrogables una vez por otros 30 con aviso del motivo. MyWacc le traslada cualquier solicitud que reciba dentro de 5 días hábiles y le entrega lo necesario para responder dentro de 10 días hábiles desde que se lo pide.

11. Brechas de seguridad

Si MyWacc conoce una vulneración que afecte los datos del Responsable, se lo avisa sin demora y a más tardar dentro de 48 horas, con lo que sepa (qué pasó, qué datos, qué se hizo y qué recomienda). El aviso va a la persona de contacto que el Responsable designó. El Responsable decide si avisa a los titulares y a la Agencia. Si la brecha afecta datos de una empresa autorizada, MyWacc avisa también a esa empresa. MyWacc registra cada incidente y las medidas adoptadas.

12. Auditoría e información

MyWacc entrega la información razonablemente necesaria para comprobar el cumplimiento. Las auditorías se piden con aviso previo, bajo confidencialidad y sin afectar la operación ni los datos de otros clientes. Si el Responsable está sujeto a la normativa de un regulador, las partes pueden acordar por separado los requisitos adicionales que esa normativa exija.

13. Duración, devolución y borrado

El acuerdo rige mientras MyWacc preste el servicio al Responsable y termina con él. Al terminar, MyWacc elimina o devuelve los datos del Responsable dentro de 30 días, a elección de este, salvo lo que la ley obligue a conservar. Las copias de respaldo se eliminan solas a los 14 días. A pedido, MyWacc lo certifica por escrito.

14. Responsabilidad

1. Salvo dolo o culpa grave de MyWacc, su responsabilidad total por cualquier reclamo derivado de este acuerdo no supera lo que el Responsable pagó a MyWacc en los doce meses anteriores al hecho, y rige también el tope de la sección 9 de los Términos. No incluye daños indirectos ni lucro cesante.
2. MyWacc no responde por las decisiones de inversión, crédito o cualquier otra que el Responsable tome con la información o los análisis del servicio. Esos datos son referenciales, provienen de la empresa y de los portales públicos, y pueden tener errores o atrasos. Tampoco responde por fallas o información errónea del SII, la Tesorería o Previred.
3. El acuerdo no quita derechos irrenunciables a nadie.

15. Ley aplicable y tribunales

Este acuerdo se rige por la ley chilena. Las controversias se someten a los tribunales ordinarios de justicia de Santiago.

16. Aceptación

La aceptación electrónica o la firma de este documento equivalen a la firma del acuerdo. MyWacc conserva la versión aceptada, la fecha y hora y quién la aceptó. Si MyWacc lo cambia, pide una nueva aceptación antes de usar el cambio.

Anexo 1. Subencargados

MyWacc avisa con al menos 15 días de anticipación cualquier incorporación o cambio de subencargado que trate datos del responsable. El responsable puede objetar por motivos fundados de protección de datos dentro de ese plazo. MyWacc impone a cada subencargado obligaciones de protección equivalentes a las de este contrato y responde ante el responsable por su cumplimiento.

Anexo 2. Medidas de seguridad

1. Cifrado en reposo. La base de datos y los archivos se guardan cifrados con una llave de Amazon (AWS KMS) que se rota una vez al año. Los discos nuevos se crean cifrados por defecto y el acceso público a los archivos está bloqueado a nivel de toda la cuenta.
2. Cifrado en tránsito. Las conexiones entre el navegador y MyWacc, y entre la red de distribución y los servidores, usan HTTPS. El tráfico sin cifrar se redirige a HTTPS y los servidores solo aceptan conexiones que vienen de la red de distribución de Amazon.
3. Clave tributaria. Se guarda cifrada en un servicio de gestión de secretos, sin registrarla en documentos, mensajes ni bitácoras y sin entregarla a nadie. Cada acceso a ella queda en una bitácora de auditoría. Se revoca desde la plataforma o cambiándola en el SII.
4. Verificación de certificados. Las conexiones de los servidores de MyWacc con el SII, Previred, la Dirección del Trabajo, la Tesorería, Flow, WhatsApp, el correo y los servicios de Amazon verifican el certificado del otro lado.
5. Control de acceso. Permisos mínimos por rol. La cuenta de administración de la infraestructura exige doble factor. Las herramientas automáticas trabajan con un rol limitado que no puede crear usuarios ni apagar los registros de auditoría.
6. Separación por empresa. Los datos de cada empresa están separados. Ninguna empresa ni ningún fondo ve datos de otra, y MyWacc no cruza información entre empresas.
7. Registro de accesos. Se registran la actividad de la cuenta de Amazon (con validación de integridad de los registros), los accesos a la red de distribución, las decisiones del firewall web y el tráfico de red (30 días).
8. Detección de amenazas. Detección de amenazas, revisión de vulnerabilidades y evaluación de configuración de Amazon activadas en las dos regiones. Los hallazgos graves y los cambios de permisos o de auditoría avisan por correo al responsable de seguridad.
9. Firewall web. Reglas administradas de Amazon que registran y vigilan ataques comunes, tráfico malicioso y direcciones de mala reputación. Hoy funcionan en modo de vigilancia; MyWacc las pasa a bloqueo una vez comprobado que no afectan el uso legítimo.
10. Respaldos. La base de datos se respalda con 14 días de retención, con protección contra borrado y con copia automática a otra región (Oregón). El disco del servidor principal se respalda a diario, también con 14 días de retención.
11. Incidentes. Plan escrito de gestión de incidentes, con registro de cada uno, evaluación, contención y avisos a quienes corresponda.
12. Políticas escritas. Once documentos de seguridad (política general, incidentes, continuidad, respaldos, accesos y credenciales, vulnerabilidades, desarrollo seguro, proveedores, matriz de riesgos, inventario de activos y nombramiento del encargado de seguridad).

MyWacc puede mejorar estas medidas con el tiempo; no las reducirá en perjuicio del nivel de protección acordado.

Dudas sobre este acuerdo: contact@mywacc.com. Ver también Seguridad y datos.