Transparencia y seguridad
en Openagora.
Tu confianza,
nuestro compromiso.
Transparencia y seguridad
en Openagora.
Tu confianza,
nuestro compromiso.
Introducción
Propósito
El propósito de esta política es es establecer los principios, lineamientos y responsabilidades que regulan el tratamiento de la Información de Identificación Personal (IIP) de los colaboradores de Openagora en su rol de Controlador de los Datos y para los clientes de Openagora en su rol de Tratante de los Datos, en cumplimiento de la normativa aplicable en materia de protección de datos personales y de los estándares internacionales, particularmente la norma ISO/IEC 27701.
Alcance
Esta política aplica a todos los procesos internos de Openagora que involucren el control de datos personales de sus colaboradores, excolaboradores, postulantes, proveedores internos (ej. consultoras de selección) y cualquier otra persona natural cuyo IIP sea tratado en el contexto de la gestión de recursos humanos o administración interna y el tratamiento de datos personales de sus clientes, de acuerdo al producto que tengan contratado, la finalidad de uso y base legal de estos.
Definiciones
Información de Identificación Personal IIP: Cualquier información que permita identificar directa o indirectamente a una persona natural, como nombre, RUT, correo electrónico, dirección, entre otros.
Titular de los Datos: Persona natural a quien se refieren los datos personales objeto de tratamiento. En este contexto, generalmente son los colaboradores de la organización.
Tratamiento de Datos Personales: Cualquier operación realizada sobre datos personales, incluyendo su recolección, uso, almacenamiento, modificación, transmisión o eliminación.
Responsable del Tratamiento (Controller): Entidad que determina los fines y medios del tratamiento de los datos personales. En este caso, Openagora.
Encargado del Tratamiento (Processor): Persona natural o jurídica que trata datos personales por cuenta del responsable.
Consentimiento: Autorización libre, específica, informada e inequívoca del titular para el tratamiento de sus datos personales.
Responsabilidades
Comité SGSI / Openagora:
-
Definir los fines y medios del tratamiento de los datos personales.
-
Asegurar el cumplimiento normativo de la organización en materia de privacidad.
Subgerente de Control de Gestión:
-
Supervisar la aplicación de la política.
-
Brindar asesoría sobre protección de datos.
-
Coordinar PIAs y respuesta ante incidentes de privacidad.
Recursos Humanos Openagora:
-
Gestionar los datos personales de los colaboradores de acuerdo con esta política.
-
Asegurar el consentimiento y el cumplimiento de los principios de privacidad.
Colaboradores:
-
Conocer y respetar las normas de privacidad internas.
-
Reportar cualquier incidente o sospecha de vulneración de datos.
Política de Privacidad
Para Openagora como responsable del tratamiento
Propósito y Base Legal para Procesar IIP
Openagora Spa., en su rol de responsable del Tratamiento (Controller), gestiona los datos personales de sus colaboradores para fines estrictamente relacionados con la relación laboral, conforme a la legislación aplicable y a su Política Interna de Privacidad. A continuación, se detallan las principales actividades de tratamiento:
Gestión de contratación y registro laboral: Se tratan datos como nombre, RUT, información de contacto, historial laboral, CV y documentos contractuales, con la finalidad de formalizar y mantener la relación laboral.
Base Legal: Ejecución del contrato de trabajo y cumplimiento de obligaciones legales (Código del Trabajo).
Plazo: Relación Laboral + 5 años.
Terceros Involucrados: Plataforma de firma electrónica, Sistema de RRHH.
Pago de remuneraciones y cotizaciones previsionales: Se utilizan datos personales y financieros como cuenta bancaria, renta imponible, cargas familiares, afiliaciones previsionales y de salud, con el fin de gestionar el pago de sueldos y obligaciones legales.
Base Legal: Cumplimiento de obligaciones legales laborales, tributarias y previsionales.
Plazo: Relación Laboral + 5 años.
Terceros Involucrados: Bancos, SII, Previred, software contable.
Gestión de permisos, feriados y licencias médicas: Se tratan datos como certificados médicos, fechas de ausencia, y motivos (cuando corresponda), con el objetivo de administrar los beneficios laborales.
Base Legal: Cumplimiento de la normativa laboral vigente.
Plazo: Relación Laboral + 5 años.
Terceros Involucrados: Mutualidades, Cajas de compensación.
Evaluación de desempeño, promociones y desarrollo profesional: Se utilizan evaluaciones, resultados, competencias y metas individuales para gestionar procesos de ascenso o retroalimentación continua.
Base Legal: Ejecución del contrato laboral y gestión organizacional.
Plazo: Relación Laboral.
Terceros Involucrados: Uso Interno.
Procesos de selección internos y movilidad: Se registran postulaciones internas y evaluaciones de perfil para participar en nuevos cargos o ascensos dentro de la organización.
Base Legal: Interés legítimo o consentimiento, si la participación es voluntaria.
Plazo: 1 año después de cierre de proceso.
Terceros Involucrados: Uso Interno.
Control de asistencia y jornada laboral: Se recopilan marcaciones horarias, registros de entrada/salida y, eventualmente, direcciones IP (en trabajo remoto), con fines de control de jornada legal.
Base Legal: Cumplimiento de la normativa laboral vigente.
Plazo: Relación Laboral + 5 años.
Terceros Involucrados: Software control horario.
Procesamiento de datos para finiquitos y cierre de relación laboral: Se utilizan datos personales, causas de desvinculación y documentos contractuales finales para gestionar el fin de la relación.
Base Legal: Cumplimiento de la normativa laboral vigente.
Plazo: 5 años desde la desvinculación.
Terceros Involucrados: Notarías, Sistemas de firma electrónica.
Consentimiento
El consentimiento es solicitado en ocasión de firma de Contrato para el caso de Colaboradores Titulares de IIP nuevos o mediante anexo de contrato para Colaboradores Titulares de IIP antiguos, cumpliendo el proceso de [MAN-018-24] Gestión de RRHH en sus actividades:
Selección de Personal:
Cumplir con leyes de privacidad y notificación.
Términos y condiciones de Empleo:
Incorporar políticas de seguridad en los contratos.
Definir acuerdos de confidencialidad o no divulgación.
Especificar responsabilidades legales y derechos.
Establecer responsabilidad de tratamiento de información.
Asegurar el acuerdo del personal.
El modelo de consentimiento se encuentra alojado en [DOC-006-24] Modelo Contrato sin Comisiones y en [DOC-005-24] Modelo Contrato con Comisiones. Los documentos firmados, se encuentran en los expedientes de cada uno de los colaboradores.
Evaluación de Impacto en la Privacidad
La evaluación de impacto en la privacidad está descrita en el procedimiento: [PRO-001-25] Procedimiento de Evaluación de Impacto en la Privacidad (PIA).
Controlador conjunto
Dos o más organizaciones actúan como controladores conjuntos cuando:
Deciden conjuntamente los fines y los medios del tratamiento de datos personales.
No hay una relación clara de controller-processor; es decir, no uno da instrucciones al otro, sino que comparten el control.
Tras el análisis de las relaciones con terceros, se ha determinado que Openagora no mantiene actualmente relaciones de control conjunto en el tratamiento de datos personales.
Registros relacionados con el procesamiento
-
Registro de Actividades de Tratamiento y Bases Legales del tratamiento : Listado de todos los procesos internos de tratamiento de datos personales de colaboradores (selección, remuneraciones, desempeño, licencias, etc.) Justificación legal para cada tratamiento (ej. contrato, interés legítimo, consentimiento), Control 7.2.2
-
Consentimientos obtenidos: Copias de consentimientos firmados por trabajadores, Expedientes Colaboradores.
-
PIAs (Evaluaciones de impacto): Documentación de evaluaciones cuando corresponde, Repositorio Openagora.
-
Solicitudes de ejercicio de derechos: Registro de solicitudes de acceso, rectificación, oposición, etc., y sus respuestas, Repositorio Openagora.
-
Incidentes de privacidad: Registro de cualquier evento que haya afectado datos personales de colaboradores, Repositorio Openagora.
-
Acuerdos con terceros: Contratos o acuerdos con proveedores que tengan acceso a IIP (Procesadores), Repositorio Openagora.
-
Políticas y procedimientos: Políticas de privacidad internas, procedimientos de tratamiento, medidas de seguridad, etc., Repositorio Openagora.
Condiciones para la Recopilación y Procesamiento
Para Openagora como responsable del tratamiento
Información proporcionada a los colaboradores titulares de IIP
Openagora Spa, en calidad de Controlador del tratamiento de datos personales de sus colaboradores, proporciona la siguiente información de manera clara, precisa y oportuna al inicio de la relación laboral, a través de:
El contrato de trabajo.
[POL-010-24] Política de Privacidad.
La información proporcionada incluye:
Identidad y datos de contacto del Controlador: Openagora Spa – datospersonales@openagora.com Al firmar contrato y disponible permanentemente.
Finalidades del tratamiento: Gestión de RRHH, contratos, remuneraciones, evaluaciones, asistencia, beneficios, etc, en Política de Privacidad.
Base legal del tratamiento: Consentimiento del titular e intereses legítimos derivados de la relación laboral, en Política de Privacidad.
Categorías de datos tratados: Datos de identificación, contacto, laborales, financieros, salud (licencias), etc, en Política de Privacidad.
Destinatarios o terceros con quienes se comparten los datos: Proveedores externos (ej. contabilidad, seguros, selección) bajo contratos con cláusulas de confidencialidad, en Política de Privacidad.
Transferencias internacionales, si aplica: No aplican actualmente. En caso de aplicar, se informará previamente, en Política de Privacidad.
Plazo de conservación de los datos: Hasta 5 años después del fin del vínculo laboral, en Política de Privacidad.
Derechos del titular y cómo ejercerlos: Acceso, rectificación, cancelación, oposición, portabilidad, limitación y retiro del consentimiento, en Política de Privacidad.
Mecanismos
Los mecanismos para que los Titulares modifiquen o retiren el consentimiento, oponerse al procesamiento de IIP, acceso, corrección y/o borrado su IIP se encuentra en [PRO-010-24] Procedimiento Gestión Solicitudes Titulares Datos Personales.
Obligación de Openagora de informar a terceros
La obligación de Openagora de informar a terceros se describe en [PRO-010-24] Procedimiento Gestión Solicitudes Titulares Datos Personales, para garantizar el cumplimiento continuo de los principios de privacidad y protección de datos.
Decisiones Automatizadas
Openagora no toma decisiones significativas que afecten directamente a sus colaboradores basadas únicamente en tratamientos automatizados de datos personales. Todos los procesos internos que involucren procesamiento de IIP de los Colaboradores Titulares se realizan con intervención y revisión humana.
Para Openagora como encargado del tratamiento
Información proporcionada a los Titulares de IIP Clientes de Openagora
Openagora, en calidad de Responsable del tratamiento de datos de sus cliente, proporciona la siguiente información de manera clara, precisa y oportuna al inicio de la relación contractual, a través de:
-
Cláusula contractual “Mandato de Tratamiento de datos.”
Mecanismos
Los mecanismos para que los Titulares modifiquen o retiren el consentimiento, oponerse al procesamiento de IIP, acceso, corrección y/o borrado su IIP se encuentra en [PRO-010-24] Procedimiento Gestión Solicitudes Titulares Datos Personales.
Obligaciones con los titulares de IIP
Para Openagora como responsable del tratamiento
Límite a la Recopilación
Openagora limita la recopilación de datos personales de sus Colaboradores Titulares de IIP al mínimo necesario para cumplir con finalidades laborales, legales y operativas claramente definidas. Esta recopilación se realiza bajo criterios de pertinencia, proporcionalidad y legalidad, evitando el tratamiento de datos excesivos o irrelevantes.
Se mantiene el registro [REG-031-24] Inventario de Datos Personales, con el objetivo de dar a conocer la recopilación IIP para los propósitos identificados.
Límite del Procesamiento
Openagora garantiza que los datos personales de sus Colaboradores Titulares de IIP son procesados exclusivamente para las finalidades previamente definidas y comunicadas al titular. Cualquier nuevo tratamiento o uso distinto será evaluado conforme al principio de minimización y requerirá una base legal o consentimiento informado.
Precisión y Actualización de Datos Personales
Openagora se compromete a mantener la información personal de sus colaboradores exacta, completa y actualizada. Para ello, dispone del mecanismo descrito en [PRO-010-24] Procedimiento Gestión Solicitudes Titulares Datos Personales, que permite a los titulares revisar y modificar sus datos en cualquier momento, las solicitudes se deben gestionar mediante el correo datospersonales@openagora.com
Minimización de datos personales
Openagora limita la recopilación y el tratamiento de datos personales a lo estrictamente necesario para cumplir con sus finalidades laborales y legales. Para ello:
Se revisan cada un año los formularios y procesos para evitar recopilar datos innecesarios.
Cualquier tratamiento adicional requiere evaluación previa por parte del Comité de SGSIP.
Retención y Borrado de IIP permanente y/o temporal
Openagora eliminará toda información personal permanente y/o temporal identificable cuando haya dejado de ser necesaria para los fines por los que fue recolectada, salvo que exista una obligación legal que justifique su retención.
Las condiciones de Retención y Eliminación están descritas en la política [POL-004-24] Política de Gestión de Activos, en su apartado de retención y disposición de activos.
Transmisión de Datos Personales
Las condiciones de transmisión de Datos Personales, se debe hacer según la [POL-012-24] Política de Transferencia de Información, en su apartado de transferencia de datos personales
Para Openagora como encargado del tratamiento (Processor)
Retención y Borrado de IIP permanente y/o temporal
Las condiciones de Retención y Eliminación están descritas en la política [POL-004-24] Política de Gestión de Activos, en su apartado de retención y disposición de activos.
Devolución, Transferencia o Eliminación de IIP
El procedimiento para la devolución, transferencia o eliminación de IIP se encuentra descrito en la actividad Baja de Clientes, del Proceso [MAN-015-24] Gestión Operativa de Clientes.
Transmisión de Datos Personales
Las condiciones de transmisión de Datos Personales, se debe hacer según la [POL-012-24] Política de Transferencia de Información, en su apartado de transferencia de datos personales.
Privacidad por Diseño y Privacidad por Defecto
Transferencia entre Jurisdicciones
Plataforma AWS (EEUU)
Tipo de datos personales: Datos laborales de colaboradores de Openagora, Datos de los clientes.
Finalidad: Almacenamiento y procesamiento de datos, infraestructura de servidores, gestión y soporte de bases de datos, Monitoreo de seguridad, firewall, copias de seguridad.
Terminos y Condiciones con AWS con cláusulas de privacidad.
Plataforma Microsoft Office (EEUU)
Tipo de datos personales: Datos laborales de colaboradores de Openagora, Datos de los clientes.
Finalidad: Sistema de ofimática, videoconferencia y respaldo.
Terminos y Condiciones con Microsoft con cláusulas de privacidad.
Países y Organizaciones Internacionales a los que se puede transferir
Solo se puede trasferir Información de Identificación Personal a los países listados en el apartado anterior. Cualquier modificación, inclusión y/o eliminación de países y organizaciones autorizadas, debe ser analizada y aprobada por el Comité SGSIP.
Registros
Openagora. se compromete a garantizar la transparencia y trazabilidad en todas las transferencias y divulgaciones de Información de Identificación Personal (IIP) realizadas hacia o desde terceros, tanto dentro como fuera de las jurisdicciones donde opera.
La organización establecerá y mantendrá registros actualizados que documentan cada transferencia o divulgación de IIP, incluyendo detalles como el destinatario, finalidad, tipo de datos, base legal y fecha de la acción, los cuales será alojados en [REG-032-25] Registro de Transferencias de Datos Personales.
Estos registros estarán protegidos y serán gestionados conforme a los procedimientos internos para asegurar su disponibilidad, integridad y confidencialidad. Además, Openagora garantizará la cooperación con terceros involucrados para facilitar la respuesta oportuna a solicitudes relacionadas con las obligaciones hacia los titulares de datos personales.
Notificación y Gestión de Solicitudes de Divulgación de Datos Personales
Openagora se compromete a resguardar la confidencialidad y seguridad de la Información de Identificación Personal (IIP) que procesa, tanto en calidad de responsable del tratamiento (por ejemplo, respecto de sus colaboradores, candidatos y proveedores), como en calidad de encargado del tratamiento (respecto de los datos de clientes procesados en la plataforma).
En caso de recibir una solicitud de divulgación de IIP proveniente de una autoridad o tercero, se aplicarán los siguientes principios:
-
Notificación obligatoria al cliente o titular correspondiente
o Cuando Openagora actúe como encargado de tratamiento, notificará al Cliente, de manera oportuna, sobre cualquier solicitud legalmente vinculante de divulgación de IIP, salvo prohibición legal expresa.
o Cuando Openagora actúe como responsable de tratamiento, notificará al Titular de los datos personales en la medida en que la ley lo permita.
-
Rechazo de solicitudes no vinculantes
o Openagora rechazará toda solicitud de divulgación de IIP que no sea legalmente obligatoria y carezca de la debida fundamentación jurídica.
-
Consulta previa con el cliente o análisis interno
o Como encargado de tratamiento, Openagora consultará al Cliente antes de realizar cualquier divulgación de IIP que no sea legalmente clara.
o Como responsable de tratamiento, evaluará internamente la validez de la solicitud antes de cualquier divulgación.
-
Divulgación autorizada contractualmente o por mandato legal. La divulgación de IIP se realizará únicamente en los siguientes casos:
o Exista un mandato legal o judicial vinculante.
o Haya sido expresamente autorizada por el Cliente, cuando Openagora actúe como encargado.
o Se encuentre debidamente documentado el consentimiento o autorización aplicable, cuando Openagora actúe como responsable.
Compartir, Transferir y Divulgar
Solicitud de Acceso, Rectificación, Eliminación, Portabilidad de Datos Personales y Revocación de Consentimiento
El titular de los datos personales deberá ingresar la solicitud a través del correo electrónico indicado en la política de privacidad del sitio web de Openagora, sitios de los Cliente Openagora y Sistema de Gestión de la Seguridad de Información (datospersonales@openagora.com)
La solicitud deberá realizarse por escrito, indicando con precisión la petición concreta del titular de los datos.
El responsable de gestionar la solicitud será el CISO o a la persona en la que la empresa desempeñe dicho rol.
Gestión Interna
El Comité SGSIP, en coordinación con la Gerencia de TI, identificará los procesos o activos de información dónde existan datos personales del titular que realizó la solicitud.
Identificados los procesos donde se realiza el tratamiento de datos personales del requirente, consultará al área técnica encargada del tratamiento por la factibilidad de dar curso a la solicitud del titular de los datos y los impactos en el giro del negocio que conlleva la solicitud. La comunicación entre el Comité SGSIP y el área técnica a cargo de la base de datos deberá constar por escrito, bastando un medio digital como un correo electrónico.
Dada la respuesta del área técnica, el Comité SGSIP evaluará sobre si acceder o no a la solicitud y responderá al requirente en el plazo de 2 días hábiles siguientes a la recepción de la solicitud, de manera fundada y por escrito, sobre la resolución de su solicitud.
Insistencia del titular de datos personales
El titular de los datos podrá insistir a la respuesta negativa o a la falta de respuesta dentro de plazo por parte de Openagora a su solicitud de derechos sobre sus datos personales.
El Comité SGSIP, deberá ponderar los antecedentes y argumentos del titular de los datos y ponderar los impactos de la solicitud en el negocio, debiendo dar una respuesta definitiva en el plazo de 2 días hábiles siguientes a la insistencia.
Término de la gestión interna
Si el Comité SGSIP determina que se debe acceder a la solicitud del titular de datos personales, informará al área técnica respectiva para que proceda a la edición de la base de datos donde se tratan los datos del requirente, procediendo a dar acceso, modificando, rectificando, portando, o realizando cualquier operación solicitada por el titular.
En caso de que el Comité SGSIP determine que no procede la solicitud del titular, deberá responder fundadamente y dar por cerrado el caso, dejando abierta la opción de que el titular pueda recurrir a la Justicia Ordinaria e interponer la acción de Habeas Data conforme se informa en la política de privacidad del sitio web.
Obligación de Openagora de informar a terceros
Openagora Spa se compromete a informar de manera oportuna a todos los terceros con los que haya compartido Información de Identificación Personal (IIP), sobre cualquier modificación, corrección, objeción o retiro del consentimiento ejercido por el titular de los datos. Esta obligación aplica en todos los casos en que dichas acciones puedan afectar la exactitud, vigencia o legalidad del tratamiento de datos previamente transferidos. Para garantizar este cumplimiento, se implementan procedimientos internos que aseguran el registro, trazabilidad y comunicación efectiva con dichos terceros, resguardando los derechos de los titulares y el cumplimiento normativo aplicable.
Procedimiento Gestión Solicitudes Titulares Datos Personales
Declaración Empresarial
Openagora reconoce de manera irrestricta la dignidad de la persona humana y el respeto del derecho fundamental a la privacidad y a la protección de los datos personales en el tratamiento de éstos.
Openagora declara que el tratamiento que realiza respecto de los datos personales de sus trabajadores, proveedores y el tratamiento que realiza la plataforma de Openagora respecto de los datos que sus clientes carguen en ésta, será de conformidad a la legislación vigente en Chile sobre la materia.
Openagora se compromete al cumplimiento normativo y respeto de la privacidad de titulares de datos personales en el marco de todas sus actividades.
Derechos de los Titulares
Los titulares de los derechos personales recolectados por la Openagora en su rol de Controlador y Tratante de los datos tendrán derecho al Acceso, Rectificación, Supresión, Bloqueo, Oposición y Portabilidad de sus datos personales, definidos en el Título II de la Ley N°19.628 sobre Protección de la vida Privada. Estos derechos pueden ser ejercidos por trabajadores, proveedores, candidatos y trabajadores de los clientes que usan la Plataforma de Servicio y cualquier otra persona natural externa que tenga o haya tenido relación con nosotros.
Los derechos se ejercerán mediante solicitud al Subgerente de Control de Gestión, a través del correo electrónico datospersonales@openagora.com tal y como lo indica el [PRO-010-24] Procedimiento Gestión Solicitudes Titulares Datos Personales; y en su caso, ante la justicia ordinaria conforme el procedimiento establecido en el artículo 16 de la Ley N°19.628 ya referida.
Tratamiento de Datos Personales
El tratamiento de datos personales que realice Openagora propenderá a dar cumplimiento a la normativa legal vigente y a los estándares internacionales en materia de privacidad y protección de datos personales.
El tratamiento será lícito y transparente, sujeto a las finalidades específicas de cada proceso en virtud del cual se recolectan. Además, la empresa se compromete a utilizar el mínimo de datos posibles que permitan alcanzar las finalidades respectivas.
El tratamiento velará por mantener información exacta y actualizada de los titulares, y además se realizará con el compromiso de confidencialidad, seguridad y responsabilidad en el uso de tal información.
En cuanto a la cesión y/o transmisión de datos personales que Openagora deba efectuar con terceros para el cumplimiento de sus fines, contratación de servicios externos o cumplimiento normativo, la empresa se hace responsable de cuidar de éstos con la debida diligencia exigida por el artículo 11 de la Ley N°19.628, y se compromete a exigir los mismos estándares a terceros relacionados en cuanto a privacidad y confidencialidad de los datos personales objeto de tratamiento.
Los datos personales que carguen los clientes de Openagora dentro de los módulos de la plataforma de servicios serán de exclusiva responsabilidad de éstos y la empresa obrará únicamente como encargada del tratamiento automatizado y el almacenamiento en la nube de la data, en representación del responsable, como su mandatario. Sin perjuicio de lo anterior, la empresa garantiza la seguridad y confidencialidad de tales datos conforme las condiciones de servicio de la infraestructura en la cual se desarrolla la plataforma.
Referencias Normativas
Nos comprometemos al cumplimiento de todos los requisitos legales, normativos y contractuales relativos a la Protección de Datos Personales, en particular a las exigencias de la Ley N°19.628 sobre protección a la vida privada y sus modificaciones, al igual que a cualquier otro equivalente normativo en caso de prestación de servicios en el extranjero.
Se prestará especial atención a la normativa y criterios fijados por su respectivo ente regulador en materia de protección de datos, ciberseguridad, consumo, derechos laborales, privacidad en materia de salud y fichas clínicas y cualquier otra materia relacionada a la protección de datos personales.
Por último, en tanto se tramita la reforma legal chilena, Openagora basará sus estándares de protección de datos personales al Reglamento General de Protección de Datos Personales de la Unión Europea o GDPR.
Mecanismos de Difusión
El Comité SGSIP liderará la estrategia de difusión de la presente política, con el apoyo de los colaboradores que éste defina. Además, se deberá garantizar que en los planes de formación y perfeccionamiento de su personal se contemplen programas para el adecuado resguardo de la privacidad de las personas y la protección de sus datos personales, en conformidad a la presente política.