Política de Seguridad de la Información y Tratamiento de Datos Personales

1. Introducción

ASESORÍAS WALL PARTNERS SpA (en adelante, “la Empresa”), una entidad que se dedica a ofrecer servicios de asesoría en diversas áreas, se encuentra profundamente comprometida con la protección de la información sensible y el respeto a la privacidad de todas las personas que interactúan con nosotros. En este sentido, hemos establecido esta Política con el objetivo de regular de manera clara y precisa la recolección, almacenamiento, uso, tratamiento, transferencia y eliminación de datos personales que podamos obtener en el ejercicio de nuestras actividades. Esta política se elabora de conformidad con la legislación vigente en Chile, así como con los principios de seguridad de la información que son fundamentales para garantizar la integridad y confidencialidad de los datos que manejamos.

La Empresa reconoce la importancia de la confianza que nuestros clientes y usuarios depositan en nosotros al compartir su información personal. Por ello, nos comprometemos a implementar medidas adecuadas que aseguren que dicha información sea tratada con el más alto nivel de cuidado y responsabilidad. Esto incluye la adopción de prácticas que no solo cumplen con la normativa legal, sino que también reflejan nuestro compromiso ético hacia la protección de la privacidad.

2. Objetivo

Esta Política tiene como objetivo principal garantizar la protección de los datos personales de los usuarios y la seguridad de la información que se maneja dentro de la organización. Se busca prevenir accesos no autorizados a la información sensible, así como el uso indebido de los datos, la pérdida de información valiosa o la alteración de los registros. Además, es fundamental asegurar el cumplimiento de las leyes aplicables en Chile, que regulan la protección de datos y la privacidad, con el fin de mantener la confianza de los usuarios y cumplir con las normativas establecidas por las autoridades competentes.

La implementación de esta Política implica la adopción de medidas técnicas y organizativas adecuadas que permitan salvaguardar la integridad y confidencialidad de los datos personales. Esto incluye la capacitación del personal en temas de seguridad de la información, la realización de auditorías periódicas y la revisión constante de los procedimientos internos para adaptarse a los cambios en la legislación y en el entorno digital.

3. Ámbito de aplicación

Esta Política es aplicable a:

• Todos los trabajadores, contratistas y proveedores de la Empresa, sin excepción, lo que incluye a aquellos que se encuentran en relación laboral directa, así como a aquellos que prestan servicios de manera independiente o a través de terceros. Es fundamental que todos estos individuos comprendan y se adhieran a las directrices establecidas en esta Política para garantizar la protección de los datos.
• Todos los datos personales y sensibles que sean recolectados, tratados y almacenados en el marco de las actividades de la Empresa. Esto abarca no solo la información básica como nombres y direcciones, sino también datos más delicados que puedan incluir información financiera, de salud o cualquier otro dato que pueda identificar a una persona de manera directa o indirecta.
• Todas las tecnologías, procesos y sistemas utilizados para el tratamiento de datos personales. Esto incluye, pero no se limita a, software de gestión de datos, bases de datos, plataformas de almacenamiento en la nube y cualquier otro sistema que facilite la recopilación, el procesamiento y la conservación de la información personal. Es esencial que estos sistemas cumplan con los estándares de seguridad y privacidad establecidos por la legislación vigente.

4. Principios

El tratamiento de datos personales en la Empresa se rige por los siguientes principios fundamentales que garantizan la protección y el manejo adecuado de la información de los usuarios:

• Finalidad específica: Los datos se recolectarán y tratarán exclusivamente para los fines legítimos que han sido previamente informados al titular de los datos. Esto significa que cada dato recopilado tiene un propósito claro y definido, y no se utilizará para ningún otro fin que no haya sido comunicado de manera transparente al usuario.
• Consentimiento informado: La Empresa se compromete a recolectar datos personales únicamente con el consentimiento expreso del titular. Esto implica que el usuario debe estar plenamente informado sobre qué datos se están recolectando y con qué finalidad, salvo en las excepciones que están previstas en la ley. La transparencia es clave en este proceso.
• Proporcionalidad: Solo se recopilarán datos que sean estrictamente necesarios para el propósito informado. Esto significa que la Empresa evaluará cuidadosamente qué información es realmente esencial para cumplir con el objetivo planteado, evitando la recolección de datos innecesarios que puedan comprometer la privacidad del usuario.
• Confidencialidad: La información será tratada con el máximo nivel de reserva y protección. La Empresa implementará políticas y prácticas que aseguren que los datos personales no sean divulgados a terceros sin la debida autorización del titular, garantizando así la privacidad de la información.
• Seguridad: Se adoptarán medidas técnicas y organizativas apropiadas para proteger los datos personales. Esto incluye la implementación de sistemas de seguridad robustos, así como protocolos de acceso restringido, para salvaguardar la información contra accesos no autorizados, pérdidas o alteraciones.

5. Obligaciones de la Empresa

La empresa tiene la responsabilidad de implementar medidas técnicas, administrativas y físicas que sean efectivas y adecuadas para garantizar la seguridad de los datos personales de todos los usuarios y clientes. Esto implica no solo la adopción de tecnologías avanzadas, sino también la creación de políticas internas que promuevan una cultura de protección de datos dentro de la organización.

Además, es fundamental que la empresa informe a los titulares de los datos sobre el propósito específico del tratamiento de su información personal. Esto incluye detallar cómo se utilizarán sus datos, así como proporcionar información clara sobre sus derechos y las condiciones bajo las cuales se manejarán sus datos. La transparencia en este proceso es clave para fomentar la confianza de los usuarios.

La empresa también debe respetar los derechos de los titulares, que incluyen el acceso, la rectificación, la cancelación y la oposición (ARCO). Esto significa que los individuos tienen el derecho de conocer qué datos se tienen sobre ellos, solicitar correcciones si la información es incorrecta, pedir la eliminación de sus datos cuando así lo deseen, y oponerse al tratamiento de sus datos en determinadas circunstancias. Es esencial que se establezcan procedimientos claros y accesibles para que los titulares puedan ejercer estos derechos sin complicaciones.

Finalmente, es imperativo que la empresa notifique oportunamente cualquier incidente de seguridad que pueda afectar los datos personales de los titulares. Esta notificación debe ser rápida y efectiva, asegurando que los afectados estén al tanto de cualquier posible riesgo y de las medidas que se están tomando para mitigar las consecuencias. La comunicación clara y directa en estos casos es vital para mantener la confianza de los usuarios en la gestión de sus datos personales.

6. Derechos de los titulares

Los titulares de datos personales, que son aquellas personas a quienes pertenecen los datos, tienen una serie de derechos fundamentales que están establecidos de manera clara y precisa en la Ley N° 19.628. Estos derechos son esenciales para garantizar la protección de la privacidad y la información personal de los individuos en el contexto de su relación con las empresas que manejan sus datos. A continuación, se detallan los derechos que tienen los titulares:

• Acceder a sus datos personales almacenados en la Empresa: Esto significa que cualquier persona tiene el derecho de solicitar y obtener información sobre los datos que una empresa tiene sobre ella. Este acceso incluye la posibilidad de conocer qué tipo de datos se han recopilado, con qué finalidad se utilizan y quiénes tienen acceso a ellos.
• Solicitar la corrección, actualización o eliminación de datos inexactos o desactualizados: Los titulares tienen la facultad de pedir que se realicen modificaciones en sus datos personales si estos son incorrectos o si han cambiado con el tiempo. Esto es crucial para asegurar que la información que se maneja sea precisa y refleje la realidad actual del titular.
• Oponerse al tratamiento de sus datos por motivos legítimos: Los individuos pueden manifestar su desacuerdo con el uso de sus datos personales en situaciones específicas, especialmente si consideran que hay razones válidas para hacerlo. Este derecho permite a los titulares proteger su información en circunstancias que puedan resultar perjudiciales o invasivas.
• Retirar su consentimiento para el tratamiento de datos, salvo excepciones legales: Los titulares tienen la opción de revocar su consentimiento para que una empresa utilice sus datos personales. Sin embargo, es importante señalar que existen ciertas excepciones legales donde el tratamiento de datos puede continuar a pesar de la retirada del consentimiento, lo que se debe tener en cuenta al ejercer este derecho.

Estos derechos son parte fundamental de la legislación sobre protección de datos y son esenciales para fomentar un entorno de confianza entre los titulares de datos y las empresas que los manejan. Es importante que los titulares conozcan y ejerzan estos derechos para proteger su información personal de manera efectiva.

7. Medidas de seguridad

La Empresa, con el objetivo de salvaguardar la integridad y confidencialidad de la información, implementará las siguientes medidas de seguridad para proteger la información sensible y personal de sus trabajadores y clientes:

• Control de acceso: Se establecerán protocolos estrictos para restringir el acceso a la información personal únicamente al personal autorizado, garantizando que solo aquellos que realmente necesiten acceder a dicha información por razones laborales puedan hacerlo. Esto incluirá la utilización de sistemas de identificación y autenticación robustos, como tarjetas de acceso y contraseñas seguras.
• Cifrado: Todos los datos almacenados y transmitidos serán protegidos mediante técnicas avanzadas de cifrado. Esto asegurará que, incluso en el caso de que la información sea interceptada o accedida de manera no autorizada, no pueda ser leída ni utilizada sin las claves de cifrado adecuadas. Se emplearán estándares de cifrado reconocidos internacionalmente para garantizar la máxima seguridad.
• Respaldo de datos: Se realizarán copias de seguridad periódicas de toda la información crítica y sensible, con el fin de prevenir la pérdida de datos en caso de fallos técnicos, desastres naturales o ataques cibernéticos. Estas copias de seguridad se almacenarán en ubicaciones seguras y se probarán regularmente para asegurar su integridad y disponibilidad.
• Auditorías: La Empresa llevará a cabo auditorías regulares y sistemáticas para verificar el cumplimiento de esta Política de Seguridad de la Información. Estas auditorías permitirán identificar posibles vulnerabilidades y áreas de mejora, asegurando que se mantengan los estándares de seguridad establecidos y se implementen las correcciones necesarias de manera oportuna.
• Capacitación: Se implementará un programa de capacitación regular para todo el personal en temas relacionados con la seguridad de la información y la protección de datos. Este programa incluirá talleres, seminarios y materiales educativos que abordarán las mejores prácticas en el manejo de información sensible, así como la importancia de la seguridad cibernética en el entorno laboral actual.

8. Responsabilidades

• Gerencia General: La gerencia tiene la responsabilidad fundamental de aprobar y supervisar la implementación de esta Política. Esto implica no solo dar su visto bueno, sino también asegurarse de que se sigan todos los procedimientos establecidos y que se mantenga un control adecuado sobre las acciones que se realicen en relación con la seguridad de la información. La gerencia debe estar atenta a los cambios en el entorno y adaptar la política según sea necesario para proteger los intereses de la organización y la privacidad de los datos de los usuarios.
• Responsable de Seguridad de la Información: Esta figura clave en la organización tiene la tarea de coordinar todas las acciones necesarias para garantizar la protección de datos personales. Esto incluye la planificación y ejecución de medidas de seguridad, así como la formación del personal en prácticas adecuadas para el manejo de la información sensible. Además, el responsable debe estar preparado para responder a incidentes de seguridad y realizar auditorías periódicas para evaluar la eficacia de las medidas implementadas.
• Trabajadores: Todos los trabajadores de la organización tienen la obligación de cumplir con las disposiciones establecidas en esta Política. Esto significa que deben estar informados sobre las normas y procedimientos que rigen la seguridad de la información. Además, es crucial que reporten cualquier incidente de seguridad que puedan observar, ya que esto ayudará a la organización a reaccionar de manera oportuna y a minimizar los riesgos asociados a la pérdida o exposición de datos personales. La participación activa de cada trabajador es esencial para mantener un entorno seguro y protegido.

9. Tratamiento de incidentes de seguridad

Ante cualquier incidente que comprometa la seguridad de los datos personales, la Empresa tomará una serie de acciones necesarias para garantizar la protección de la información y la confianza de los usuarios. En primer lugar, se procederá a:

• Evaluar el alcance y las posibles consecuencias del incidente: Esto implica realizar un análisis exhaustivo para determinar la naturaleza del incidente, identificar qué datos han sido afectados y evaluar el impacto potencial en los titulares de la información. Se considerarán factores como la cantidad de datos comprometidos, la sensibilidad de la información y las repercusiones que podría tener en la privacidad de las personas involucradas.
• Notificar a los titulares y a las autoridades competentes: La Empresa se compromete a cumplir con las obligaciones legales establecidas en la normativa vigente, lo que incluye informar a los titulares de los datos afectados sobre el incidente. Además, se notificará a las autoridades competentes, en caso de que la ley lo requiera. Esta notificación incluirá detalles sobre la naturaleza del incidente, las medidas adoptadas y los pasos que los titulares pueden seguir para protegerse.
• Implementar medidas correctivas para prevenir futuros incidentes: Una vez que se haya gestionado el incidente, la Empresa llevará a cabo una revisión de sus políticas y procedimientos de seguridad. Se implementarán medidas correctivas que pueden incluir la actualización de sistemas de seguridad, la capacitación del personal en materia de protección de datos y la mejora de los protocolos de respuesta ante incidentes. El objetivo es fortalecer la infraestructura de seguridad para evitar que situaciones similares ocurran en el futuro.

Estas acciones son parte del compromiso de la Empresa con la protección de los datos personales y la transparencia en la gestión de incidentes de seguridad. La seguridad de la información es una prioridad, y se tomarán todas las medidas necesarias para salvaguardar los datos de los usuarios.

10. Vigencia y revisión de la política

Fecha de vigencia: 01.12.2024. Responsable: Gerencia de Operaciones.