Acuerdo de Tratamiento de Datos de CloudControl
Este acuerdo forma parte de los Términos y Condiciones de CloudControl y regula cómo EtaSoft trata, por cuenta del Cliente, los datos personales que el Cliente envía a la Plataforma, conforme a la Ley N° 19.628 modificada por la Ley N° 21.719.
- Responsable del tratamiento: el Cliente, que decide qué sistemas monitorea y con qué fin.
- Encargado del tratamiento: [por completar: razón social de EtaSoft], RUT [por completar: RUT] ("EtaSoft"), que presta el servicio CloudControl.
El Cliente lo acepta al activar su cuenta. Si este acuerdo y los Términos se contradicen en materia de datos personales, prevalece este acuerdo. A pedido del Cliente se firma también en papel o con firma electrónica.
1. Descripción del tratamiento
Finalidad: detectar, alertar y gestionar riesgos e incidentes de seguridad del Cliente y apoyar su cumplimiento de la Ley 21.663, la Ley 21.719 e ISO 27001. Titulares: trabajadores, usuarios y proveedores del Cliente, y personas que acceden a sus sistemas o sitios. Datos sensibles: la Plataforma no está diseñada para recibirlos; los agentes envían resúmenes técnicos, no contenidos.
| Módulo | Datos personales que puede recibir |
|---|---|
| Agente Linux y Windows | Nombres de usuario del sistema, IPs de origen de ingresos, intentos fallidos y ataques, IPs de destino de conexiones salientes, nombres de equipos. Resúmenes agregados de registros: nunca líneas completas, contenidos de archivos ni parámetros de las URL |
| Beacon de sitios web | URL y tecnologías del sitio; no recoge datos de los visitantes |
| Cuentas en la nube (Microsoft 365, Google Workspace) | Correos y nombres de cuentas, ingresos (fecha, IP, país, resultado), cambios de administradores y segundo factor, reglas de reenvío, nombres de archivos compartidos o descargados. Nunca el contenido de correos ni de archivos |
| Incidentes, diagnóstico y reportes | Lo que los Usuarios del Cliente escriban, incluidos nombres de responsables y descripciones de hechos |
| Tráfico internacional | País y organización de red de las IPs anteriores, calculados en el propio servidor de CloudControl |
| Asistente de IA (si el Cliente lo activa) | Los datos del incidente o alerta consultado, seudonimizados antes de enviarse al proveedor de IA |
Operaciones: recepción, almacenamiento, análisis automatizado, presentación al Cliente, exportación a pedido, respaldo y eliminación.
2. Obligaciones de EtaSoft
- Tratar los datos solo para prestar el servicio y según las instrucciones del Cliente, que son los Términos, este acuerdo y la configuración que el Cliente haga en la Plataforma. Si una instrucción le parece contraria a la ley, avisa al Cliente.
- No usar los datos para fines propios, no venderlos, no cederlos y no usarlos para entrenar modelos de inteligencia artificial.
- Dar acceso a los datos solo al personal de EtaSoft que lo necesita para operar, monitorear o dar soporte, obligado a confidencialidad, y solo con la autorización del Cliente. El administrador del Cliente la da y la quita en Administración → Soporte, eligiendo si es de solo lectura o de lectura y escritura y su duración (4 horas, 24 horas, 7 días o sin vencimiento). Con ella, una persona de EtaSoft puede entrar a la cuenta del Cliente confirmando su contraseña y su segundo factor, por sesiones de hasta 1 hora que se informan en ese momento por correo a los administradores del Cliente. Aun con autorización de escritura, EtaSoft no crea ni elimina usuarios, no cambia sus contraseñas ni su segundo factor, no exporta ni elimina la organización y no modifica la autorización. Cada sesión, lo revisado y cada cambio quedan registrados a nombre de la persona de EtaSoft y el Cliente los puede revisar en Administración → Soporte. Sin autorización vigente, EtaSoft solo ve los datos comerciales de la cuenta (plan, estado y totales de uso).
- Mantener las medidas de seguridad de la sección 3.
- Ayudar al Cliente a responder las solicitudes de los titulares (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) y reenviarle dentro de 2 días hábiles cualquier solicitud que llegue directamente a EtaSoft.
- Ayudar al Cliente con la información que necesite para sus evaluaciones de impacto y para demostrar cumplimiento.
Obligaciones del Cliente: tener una base de licitud para el tratamiento, informar a los titulares que corresponda (por ejemplo, a sus trabajadores sobre el monitoreo de los equipos), y configurar la Plataforma de modo que reciba solo los datos necesarios.
3. Medidas de seguridad
EtaSoft mantiene al menos estas medidas y puede mejorarlas sin aviso; no las reduce sin avisar al Cliente.
| Ámbito | Medida |
|---|---|
| Infraestructura | Servidor sin puertos expuestos a internet salvo administración por SSH con llave desde direcciones autorizadas; tráfico web solo a través de Cloudflare; servidor dedicado en un centro de datos con control de acceso físico del proveedor |
| Transmisión | HTTPS en la web y en el envío de los agentes; verificación de certificados en las conexiones salientes |
| Datos en reposo | Credenciales de agentes, de cuentas en la nube, claves de API y secretos de segundo factor cifrados con AES-256-GCM, con la clave fuera de la base de datos; contraseñas y tokens guardados solo como huella |
| Acceso de usuarios | Roles (administrador, analista, visualizador), segundo factor obligatorio para administradores, cierre de sesión por inactividad y límite de intentos de ingreso |
| Aislamiento | Cada organización accede solo a sus datos; verificado con pruebas automáticas |
| Trazabilidad | Registro de auditoría de solo inserción de ingresos, cambios de configuración, exportaciones y accesos denegados, sellado en lotes encadenados que delatan cualquier cambio |
| Agentes | Credencial propia por equipo; el agente lee y resume, y el envío lo hace un proceso sin privilegios |
| Respaldos | Copia diaria verificada, cifrada con clave pública (el servidor no puede leerla) y guardada fuera del servidor |
| Desarrollo | Revisión automática de cada cambio: pruebas, análisis estático de seguridad, búsqueda de secretos y de dependencias vulnerables |
| IA | Seudonimización antes de cada consulta y registro de lo enviado; desactivado por defecto |
4. Subencargados y transferencias internacionales
El Cliente autoriza a EtaSoft a usar estos subencargados. EtaSoft avisa con 30 días de anticipación cualquier cambio o incorporación; el Cliente puede oponerse con causa justificada y, si no se llega a acuerdo, terminar el contrato sin costo. Cada subencargado está obligado por contrato a condiciones de protección no inferiores a las de este acuerdo; los que están fuera de Chile, además, con cláusulas contractuales que dan garantías adecuadas (Ley N° 19.628, art. 27 y 28).
| Subencargado | Servicio | País | Datos que trata |
|---|---|---|---|
| [por completar: proveedor del servidor] | Servidor y base de datos | [por completar: país del centro de datos] | Todos los Datos del Cliente; los secretos y credenciales, cifrados |
| Cloudflare, Inc. | Protección y entrega del tráfico web | Estados Unidos y red global | Datos en tránsito entre usuarios, agentes y la Plataforma |
| [por completar: proveedor de correo] | Avisos y notificaciones por correo | [por completar: país del proveedor de correo] | Correo del destinatario y texto del aviso |
| [por completar: proveedor de respaldos] | Respaldos externos | [por completar: país del proveedor de respaldos] | Respaldos cifrados, ilegibles para el proveedor |
| Anthropic, PBC (solo si el Cliente activa el asistente) | Asistente de IA | Estados Unidos | Datos de la consulta, seudonimizados |
Las integraciones con Microsoft 365 y Google Workspace no son subencargados: son servicios del propio Cliente, desde los cuales CloudControl lee con la autorización que el Cliente le da.
5. Plazos de conservación
La Plataforma elimina automáticamente cada tipo de dato al cumplirse su plazo. Al terminar el contrato se aplica la sección 6, aunque el plazo no se haya cumplido.
| Datos | Plazo |
|---|---|
| Detalle de los resúmenes de registros de los servidores | 7 días |
| Totales de actividad de los servidores | 30 días |
| Eventos de cuentas en la nube | 90 días |
| Eventos del beacon de sitios web | 90 días |
| Eventos de seguridad de Windows | 180 días |
| Orígenes conocidos de ingreso por usuario | 180 días sin uso |
| Ataques por país | 180 días |
| Accesos desde el extranjero y destinos internacionales | 365 días sin uso |
| Registro de auditoría de la Plataforma y de los servidores (auditd) | 365 días (configurable, mínimo 180) |
| Registro de accesos del personal de EtaSoft | 365 días |
| Copia del registro de auditoría de la Plataforma fuera del servidor | No se mantiene |
| Inventarios, postura, alertas, incidentes, diagnósticos y reportes | Mientras dure el contrato |
| Respaldos | 14 días en el servidor y 90 días en el almacenamiento externo |
6. Vulneraciones, auditoría, devolución y vigencia
- Vulneraciones: EtaSoft avisa al Cliente dentro de 24 horas desde que conoce una vulneración de seguridad que afecte sus datos, al correo de sus administradores y del delegado registrado. El aviso indica qué ocurrió, qué datos pueden estar afectados, las medidas tomadas y un contacto, y se completa a medida que se conozca más. EtaSoft entrega la información que el Cliente necesite para informar a la Agencia de Protección de Datos Personales (Ley 21.719, art. 14 sexies) y, si corresponde, al CSIRT Nacional (Ley 21.663, art. 9). La decisión de notificar es del Cliente.
- Auditoría: EtaSoft entrega, a pedido, la descripción actualizada de sus medidas de seguridad y responde los cuestionarios de seguridad del Cliente una vez al año, o después de una vulneración. Una auditoría presencial se acuerda por escrito, con 30 días de aviso, a costo del Cliente.
- Devolución y borrado: al terminar el contrato, el Cliente puede exportar sus datos durante 30 días. Luego EtaSoft los elimina de la Plataforma y, a más tardar en 90 días, de los respaldos, y lo certifica si el Cliente lo pide.
- Vigencia: este acuerdo rige mientras EtaSoft trate datos del Cliente. Se rige por la ley chilena y las controversias se resuelven según los Términos y Condiciones.
Contacto de protección de datos: [por completar: correo de privacidad].