Contrato de encargo de tratamiento de datos

1. Partes

El Responsable es la persona o empresa que contrata MyWacc y que se identifica, con su nombre o razón social, RUT y representante, al aceptar este contrato o firmarlo. Puede ser una empresa que usa MyWacc para sí misma o un contador (persona natural o estudio) que lo usa para las empresas que atiende.

El Encargado es Mywacc SpA, RUT 77.758.911-3, domicilio en Huelén 10, oficina 403, Santiago, Chile, que opera la plataforma MyWacc y su asistente Wacky («MyWacc»).

Si el Responsable es un contador que trata datos por cuenta de sus clientes, declara que cada cliente lo autorizó a contratar a MyWacc para ello. En ese caso cada cliente sigue siendo el responsable de sus propios datos, y el contador y MyWacc los tratan solo para los fines de ese cliente. MyWacc mantiene los datos de cada empresa separados de los de las demás.

2. Marco y documentos relacionados

Este contrato se rige por la Ley 19.628 y, desde su plena vigencia el 1 de diciembre de 2026, por la Ley 21.719 sobre protección de datos personales. Complementa los Términos de Uso (v2.3, incluido su Anexo A), la Política de Privacidad (v2.3) y el contrato de conexión con el SII (v2.4), que el Responsable acepta al conectar una empresa. En lo que se refiere a datos personales, si hay diferencias, vale lo que sea más protector de los datos de los titulares.

3. Objeto

El Responsable encarga a MyWacc tratar datos personales por su cuenta, solo para prestarle el servicio contratado: leer información del SII, de Previred y de otros registros públicos; preparar borradores de formularios, liquidaciones y planillas; calcular caja, valor y alertas; y avisar al Responsable por la plataforma, correo, WhatsApp u otro canal que él use.

4. Datos y personas afectadas

Datos que se tratan, según lo que el Responsable conecte o entregue:

• SII y Tesorería: registro de compras y ventas, formularios 29 y 22, declaraciones juradas, carpeta tributaria, giros, deudas, socios y representantes, y boletas de honorarios (nombre, RUT y montos de quien las emitió).
• Previred y remuneraciones: datos de los trabajadores para preparar liquidaciones, cotizaciones y planillas: nombre, RUT, cargo, contrato, sueldo, AFP, seguro de cesantía, cargas familiares, fechas de ingreso y salida, y datos de salud (institución de salud, plan y licencias médicas), que son datos sensibles.
• Cartolas y movimientos bancarios que el Responsable suba o envíe, con sus contrapartes. MyWacc no usa ni guarda credenciales bancarias.
• Documentos y mensajes que los usuarios envíen (contratos, liquidaciones, certificados, boletas, correos y chats con Wacky).
• Usuarios: nombre, correo y teléfono de quienes usan la plataforma por el Responsable.

Titulares: el propio Responsable, sus socios y representantes, sus trabajadores, quienes le emiten boletas de honorarios, sus clientes y proveedores, y sus usuarios.

5. Instrucciones y finalidades

1. MyWacc trata los datos solo según las instrucciones del Responsable contenidas en este contrato, en los Términos y en lo que el Responsable pida por la plataforma, y solo para los fines de la sección 3. Si MyWacc cree que una instrucción infringe la ley, se lo dice.
2. MyWacc no vende los datos, no los cede a terceros y no los usa para beneficiar a otro cliente. No cruza información entre empresas.
3. MyWacc puede usar datos derivados del uso del servicio para mejorar sus modelos propios solo después de anonimizarlos de forma irreversible, y el Responsable puede oponerse escribiendo a contact@mywacc.com, como explica la Política de Privacidad.
4. MyWacc no muestra datos de trabajadores ni de prestadores a terceros, incluidos los fondos, bancos o analistas a quienes el Responsable autorice a ver indicadores agregados de su empresa.

6. Obligaciones del Responsable

1. Contar con base de licitud para los datos que carga o conecta. Respecto de sus trabajadores, esa base es el cumplimiento de sus obligaciones legales y del contrato de trabajo.
2. Informar a los titulares del tratamiento, como exige la ley, y mantener la reserva que le corresponde.
3. Entregar datos fidedignos y completos, y revisar lo que MyWacc prepara antes de presentarlo, pagarlo, firmarlo o entregarlo.
4. Cuidar las credenciales de sus usuarios y avisar a MyWacc si sospecha un acceso no autorizado.

7. Confidencialidad

MyWacc guarda reserva de los datos y la exige a todo su personal y a cualquier persona que acceda a ellos. Esa obligación sigue después del término de este contrato.

8. Medidas de seguridad

MyWacc aplica las medidas técnicas y organizativas del Anexo 2, adecuadas al riesgo de los datos, entre ellos datos de salud. El Anexo 2 describe lo que existe al día de este contrato.

9. Subencargados y transferencia internacional

El Responsable autoriza a MyWacc a usar los subencargados del Anexo 1. Parte del tratamiento ocurre en Estados Unidos, donde están los servidores de Amazon, por lo que el Responsable autoriza esa transferencia internacional. MyWacc la resguarda con compromisos contractuales de sus proveedores y con las medidas técnicas del Anexo 2. El Responsable puede pedir en cualquier momento la lista actualizada de subencargados.

10. Derechos de los titulares

1. Los titulares pueden pedir acceso, rectificación, supresión, oposición, bloqueo y portabilidad de sus datos. Quien responde es el Responsable, dentro de 30 días corridos, prorrogables una vez por otros 30 con aviso del motivo.
2. MyWacc asiste al Responsable: si un titular le escribe a MyWacc, se lo traslada dentro de 5 días hábiles, y entrega al Responsable lo necesario para responder dentro de 10 días hábiles desde que se lo pide.
3. MyWacc no responde directamente a los titulares por datos del Responsable, salvo que este se lo pida o la ley lo exija.

11. Brechas de seguridad

1. Si MyWacc conoce una vulneración de seguridad que afecte los datos del Responsable, se lo avisa sin demora y a más tardar dentro de 48 horas, con lo que sepa: qué pasó, qué datos y de qué titulares, qué hizo MyWacc y qué recomienda hacer. Completa la información a medida que la tenga.
2. El aviso va a la persona que el Responsable designó como contacto, no a buzones generales.
3. El Responsable decide si debe avisar a los titulares y a la Agencia de Protección de Datos Personales. MyWacc coopera y no comunica el incidente a terceros en su nombre sin su acuerdo, salvo que la ley se lo exija.
4. MyWacc registra cada incidente, sus causas y las medidas adoptadas.

12. Auditoría e información

MyWacc pone a disposición del Responsable la información razonablemente necesaria para comprobar que cumple este contrato. Las auditorías se piden con aviso previo, bajo confidencialidad y sin afectar la operación del servicio ni los datos de otros clientes.

13. Duración, devolución y borrado

1. Este contrato rige mientras MyWacc trate datos del Responsable. Termina junto con el servicio o cuando el Responsable lo ponga fin, revocando las conexiones desde la plataforma o avisando a contact@mywacc.com. MyWacc puede ponerle término con 30 días de aviso, o antes en los casos que establecen los Términos.
2. Al terminar, MyWacc elimina los datos y las claves del Responsable, o se los devuelve si él lo elige, dentro de 30 días, salvo lo que la ley obligue a conservar. Las copias de respaldo se eliminan solas a los 14 días. Si el Responsable lo pide, MyWacc se lo certifica por escrito.
3. Las cláusulas de confidencialidad, responsabilidad y ley aplicable siguen vigentes después del término.

14. Responsabilidad

1. MyWacc responde por cumplir este contrato y por los datos que trata como encargado.
2. Salvo dolo o culpa grave de MyWacc, su responsabilidad total por cualquier reclamo derivado de este contrato no supera lo que el Responsable pagó a MyWacc en los doce meses anteriores al hecho, y rige también el tope de la sección 9 de los Términos. No incluye daños indirectos ni lucro cesante.
3. MyWacc no responde por las decisiones que el Responsable, sus clientes o terceros tomen con la información, los borradores o los análisis del servicio, que son propuestas que el Responsable revisa. Tampoco por datos falsos, incompletos o desactualizados que entregue el Responsable, ni por fallas o información errónea de los portales del SII, la Tesorería o Previred.
4. Este contrato no quita a nadie los derechos irrenunciables que la ley le reconoce, ni los de los titulares de datos.

15. Ley aplicable y tribunales

Este contrato se rige por la ley chilena. Cualquier controversia se somete a los tribunales ordinarios de justicia de Santiago, sin perjuicio de los derechos que la ley reconozca al Responsable para demandar en su domicilio.

16. Aceptación

La aceptación electrónica en la plataforma o la firma de este documento equivalen a la firma del contrato. MyWacc conserva la versión aceptada, la fecha y hora y quién la aceptó. Si MyWacc cambia este contrato, pide una nueva aceptación antes de usar el cambio.

Anexo 1. Subencargados

MyWacc avisa con al menos 15 días de anticipación cualquier incorporación o cambio de subencargado que trate datos del responsable. El responsable puede objetar por motivos fundados de protección de datos dentro de ese plazo. MyWacc impone a cada subencargado obligaciones de protección equivalentes a las de este contrato y responde ante el responsable por su cumplimiento.

Anexo 2. Medidas de seguridad

1. Cifrado en reposo. La base de datos y los archivos se guardan cifrados con una llave de Amazon (AWS KMS) que se rota una vez al año. Los discos nuevos se crean cifrados por defecto y el acceso público a los archivos está bloqueado a nivel de toda la cuenta.
2. Cifrado en tránsito. Las conexiones entre el navegador y MyWacc, y entre la red de distribución y los servidores, usan HTTPS. El tráfico sin cifrar se redirige a HTTPS y los servidores solo aceptan conexiones que vienen de la red de distribución de Amazon.
3. Clave tributaria. Se guarda cifrada en un servicio de gestión de secretos, sin registrarla en documentos, mensajes ni bitácoras y sin entregarla a nadie. Cada acceso a ella queda en una bitácora de auditoría. Se revoca desde la plataforma o cambiándola en el SII.
4. Verificación de certificados. Las conexiones de los servidores de MyWacc con el SII, Previred, la Dirección del Trabajo, la Tesorería, Flow, WhatsApp, el correo y los servicios de Amazon verifican el certificado del otro lado.
5. Control de acceso. Permisos mínimos por rol. La cuenta de administración de la infraestructura exige doble factor. Las herramientas automáticas trabajan con un rol limitado que no puede crear usuarios ni apagar los registros de auditoría.
6. Separación por empresa. Los datos de cada empresa están separados. Ninguna empresa ni ningún fondo ve datos de otra, y MyWacc no cruza información entre empresas.
7. Registro de accesos. Se registran la actividad de la cuenta de Amazon (con validación de integridad de los registros), los accesos a la red de distribución, las decisiones del firewall web y el tráfico de red (30 días).
8. Detección de amenazas. Detección de amenazas, revisión de vulnerabilidades y evaluación de configuración de Amazon activadas en las dos regiones. Los hallazgos graves y los cambios de permisos o de auditoría avisan por correo al responsable de seguridad.
9. Firewall web. Reglas administradas de Amazon que registran y vigilan ataques comunes, tráfico malicioso y direcciones de mala reputación. Hoy funcionan en modo de vigilancia; MyWacc las pasa a bloqueo una vez comprobado que no afectan el uso legítimo.
10. Respaldos. La base de datos se respalda con 14 días de retención, con protección contra borrado y con copia automática a otra región (Oregón). El disco del servidor principal se respalda a diario, también con 14 días de retención.
11. Incidentes. Plan escrito de gestión de incidentes, con registro de cada uno, evaluación, contención y avisos a quienes corresponda.
12. Políticas escritas. Once documentos de seguridad (política general, incidentes, continuidad, respaldos, accesos y credenciales, vulnerabilidades, desarrollo seguro, proveedores, matriz de riesgos, inventario de activos y nombramiento del encargado de seguridad).

MyWacc puede mejorar estas medidas con el tiempo; no las reducirá en perjuicio del nivel de protección acordado.

Dudas sobre este contrato: contact@mywacc.com. Ver también Seguridad y datos.