Versión: [v1.0]
Fecha de última actualización: [AAAA-MM-DD]
Sitio o servicio: [URL / nombre del LMS / sitio web]
Cliente responsable del tratamiento: [Nombre del cliente]
Empresa prestadora / encargada del tratamiento: [Nombre de la empresa prestadora]
Correo de contacto privacidad: [Correo]
Estado del documento: [Borrador / Revisado / Aprobado]

Advertencia de uso

Esta política debe ser modificada de acuerdo con el contrato, la clase de servicio que se presta, los fines establecidos por el cliente, las tecnologías empleadas, los proveedores implicados, las transferencias pertinentes y la legislación vigente.

Este documento no es asesoría jurídica ni garantiza cumplimiento automático. Tiene que ser revisado por el cliente a cargo del tratamiento y, si es necesario, por la asesoría legal.

El plugin de consentimiento y evidencia web tiene la capacidad de proporcionar registros de consentimiento, un inventario tecnológico, eventos, exportaciones y evidencias que pueden ser auditadas. Sin embargo, no sustituye las determinaciones legales acerca de los propósitos, fundamentos de licitud, periodos de conservación, responsables, subresponsables ni transferencias.

1. Identificación de las partes y roles de tratamiento

[Nombre del cliente], cuyo RUT es [RUT cliente] y tiene su dirección en [Domicilio cliente], emplea el sitio actual, LMS o servicio digital para administrar usuarios, reportes, cursos, actividades, contenidos, comunicaciones u otros servicios digitales relacionados con sus propios objetivos.

En cuanto a la gestión de los datos personales procesados en el servicio digital o LMS, [Nombre del cliente] es el responsable del tratamiento según esta política, debido a que define las finalidades y los medios fundamentales de dicho tratamiento.

La empresa prestadora [Nombre de la empresa prestadora], RUT [RUT de la empresa prestadora] y con domicilio en [Domicilio], es responsable del manejo de los datos personales que se tratan a nombre del cliente, en el contexto de los servicios de implementación, alojamiento, gestión técnica, soporte, mantenimiento, seguridad, respaldo, continuidad operativa y operación técnica del LMS o sitio vinculado.

La empresa proveedora manejará la información personal según las directrices del cliente responsable, el contrato pertinente y exclusivamente para brindar los servicios contratados.

Sin perjuicio de lo anterior, [Nombre de la empresa prestadora] asumirá la responsabilidad del tratamiento de los datos personales que gestione para fines propios, tales como la gestión comercial, la administración contractual, la facturación, la cobranza, el soporte comercial, el cumplimiento de obligaciones legales, la seguridad interna, las comunicaciones institucionales y la gestión de proveedores.

2. Alcance de esta Política

Esta Política tiene como objetivo informar sobre los procedimientos de recolección, utilización, almacenamiento, conservación, comunicación y protección de datos personales en el sitio, LMS o servicio digital identificado.

Aplica, según corresponda, a:

• usuarios registrados;
• participantes de cursos;
• alumnos;
• trabajadores o colaboradores del cliente;
• relatores, tutores, evaluadores o administradores;
• contactos comerciales;
• usuarios de formularios;
• visitantes del sitio;
• proveedores;
• personal autorizado del cliente;
• personal técnico autorizado de la empresa prestadora.

Cuando existan contratos, anexos de tratamiento de datos, políticas internas del cliente, políticas de cookies, términos de uso, reglamentos de capacitación u otros avisos específicos, dichos documentos deberán ser leídos en conjunto con esta Política.

3. Definiciones operativas

Para efectos de esta Política:

Titular de datos: persona natural identificada o identificable a quien se refieren los datos personales.

Dato personal: cualquier información vinculada o referida a una persona natural identificada o identificable.

Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, tales como recolección, registro, almacenamiento, organización, consulta, uso, comunicación, transferencia, bloqueo, supresión o eliminación.

Responsable del tratamiento: persona natural o jurídica que decide las finalidades y los medios del tratamiento de los datos personales.

Encargado del tratamiento: persona natural o jurídica que trata datos personales por cuenta del responsable y conforme a sus instrucciones.

Subencargado: proveedor o tercero contratado por el encargado para apoyar la prestación del servicio, cuando trate datos personales por cuenta del responsable.

Finalidad del tratamiento: propósito específico, explícito y lícito para el cual se tratan los datos personales.

Base de licitud: fundamento jurídico que habilita el tratamiento de datos personales, determinado por el responsable del tratamiento según la normativa aplicable.

LMS: plataforma de gestión de aprendizaje utilizada para administrar cursos, usuarios, contenidos, evaluaciones, actividades, certificados, reportes y otros elementos asociados a procesos formativos o de capacitación.

4. Roles según el tipo de tratamiento

La identificación de roles depende del contexto del tratamiento.

5. Datos personales tratados por cuenta del cliente responsable

En el marco de la prestación del servicio LMS o sitio digital, la empresa prestadora podrá tratar, por cuenta del cliente responsable, las siguientes categorías de datos personales, según la configuración y uso real del servicio.

Categoría de datos	Ejemplos	Origen	Rol de la empresa prestadora
Identificación y contacto	Nombre, apellidos, RUN/RUT, correo, teléfono, cargo, empresa	Cliente, formulario, carga de usuarios, integración	Encargada
Cuenta y acceso	Usuario, correo, rol, estado de cuenta, fecha de creación, último acceso	LMS / WordPress / sistema	Encargada
Actividad en plataforma	Cursos inscritos, progreso, lecciones vistas, evaluaciones, intentos, calificaciones, certificados	LMS	Encargada
Comunicaciones operativas	Correos transaccionales, avisos de curso, tickets, respuestas de soporte	LMS, correo, mesa de ayuda	Encargada
Datos técnicos	IP, navegador, dispositivo, logs, identificadores técnicos, registros de error	Servidor, LMS, plugin, navegador	Encargada, salvo finalidad propia de seguridad
Evidencia de consentimiento	Aceptación, rechazo, preferencias, revocación, versión legal, tecnologías detectadas	Plugin de consentimiento	Encargada respecto del LMS del cliente
Datos de soporte	Solicitudes, capturas, incidencias, historial técnico	Cliente, usuario, mesa de ayuda	Encargada
Datos sensibles	[Completar si existen]	[Completar]	Revisión legal obligatoria

La existencia de datos sensibles debe ser evaluada caso a caso. Si el LMS o servicio digital trata datos sensibles, el cliente responsable deberá determinar la base de licitud aplicable y las medidas reforzadas correspondientes.

6. Datos personales tratados por la empresa prestadora como responsable

La empresa prestadora podrá tratar datos personales para finalidades propias, independientes del tratamiento realizado por cuenta del cliente.

Finalidad propia	Datos tratados	Base de licitud a definir	Evidencia o soporte
Gestión comercial y precontractual	Nombre, correo, teléfono, empresa, cargo, comunicaciones	[Completar]	Formularios, correos, CRM
Administración contractual	Datos de contacto, contrato, representantes, comunicaciones	[Completar]	Contrato, órdenes, anexos
Facturación y cobranza	Datos tributarios, razón social, RUT, dirección, comprobantes	[Completar]	Documentos contables
Soporte comercial y administrativo	Contacto, solicitudes, tickets, historial de atención	[Completar]	Mesa de ayuda, correos
Seguridad interna	Logs, IP, usuario técnico, registros de acceso, eventos de seguridad	[Completar]	Logs, controles de acceso
Cumplimiento legal	Documentos, comunicaciones, registros exigidos por ley	[Completar]	Documentación legal/tributaria
Comunicaciones institucionales	Nombre, correo, preferencias de contacto	[Completar]	Registro de contacto o consentimiento
Gestión de proveedores	Contactos, contratos, órdenes, comunicaciones	[Completar]	Contratos, órdenes, correos

Estas finalidades deben estar documentadas por la empresa prestadora y no deben confundirse con las finalidades definidas por el cliente responsable para el uso del LMS.

7. Finalidades del tratamiento en el LMS o servicio digital

Las finalidades principales del tratamiento de datos en el LMS o sitio digital son determinadas por el cliente responsable.

La empresa prestadora no define por sí sola las finalidades principales del tratamiento de usuarios, alumnos, participantes, trabajadores o personas incorporadas al LMS por el cliente.

Finalidad definida por el cliente responsable	Datos asociados	Base de licitud	Rol de la empresa prestadora
Crear y administrar cuentas de usuario	Identificación, contacto, cuenta	Definida por el cliente responsable	Encargada
Gestionar cursos, contenidos o actividades	Cuenta, cursos, progreso, interacciones	Definida por el cliente responsable	Encargada
Registrar asistencia, avance o participación	Actividad en plataforma, logs, progreso	Definida por el cliente responsable	Encargada
Gestionar evaluaciones o certificaciones	Evaluaciones, intentos, resultados, certificados	Definida por el cliente responsable	Encargada
Emitir reportes al cliente	Usuarios, cursos, progreso, resultados	Definida por el cliente responsable	Encargada
Atender soporte técnico del servicio	Cuenta, incidencia, logs, comunicaciones	Definida por el cliente responsable o contrato	Encargada
Registrar consentimiento y preferencias	Preferencias, eventos, versión legal, tecnología detectada	Definida por el cliente responsable	Encargada
Seguridad, continuidad y operación técnica	Logs, IP, eventos, respaldos, alertas	Definida por contrato / seguridad del servicio	Encargada o responsable según finalidad concreta

8. Instrucciones del cliente responsable

Cuando la empresa prestadora actúe como encargada del tratamiento, tratará los datos personales conforme a las instrucciones documentadas del cliente responsable.

Estas instrucciones podrán constar en:

• contrato de prestación de servicios;
• anexo de tratamiento de datos;
• orden de servicio;
• ticket formal;
• correo autorizado;
• matriz de roles y accesos;
• procedimiento operativo;
• política o instrucción escrita del cliente;
• configuración aprobada del LMS o sitio digital.

La empresa prestadora no utilizará los datos personales tratados por cuenta del cliente para finalidades propias, salvo que exista una base jurídica independiente y una habilitación válida para ello.

9. Encargados, subencargados, proveedores y terceros

Cuando el cliente actúe como responsable, la empresa prestadora actuará como encargada respecto de los datos tratados por cuenta del cliente.

Cuando la empresa prestadora utilice proveedores tecnológicos que traten datos personales en apoyo de la prestación del servicio, dichos proveedores podrán actuar como subencargados, en la medida en que traten datos por cuenta del cliente responsable.

Los subencargados o proveedores deberán estar sujetos a condiciones contractuales, técnicas y organizativas adecuadas, incluyendo confidencialidad, seguridad, limitación de finalidad, control de acceso y cumplimiento de instrucciones.

Proveedor / subencargado	Servicio	Datos tratados	País / transferencia	Resguardo
[Proveedor hosting]	Alojamiento web / servidor	Base de datos, archivos, logs	[País]	[Contrato / DPA / cláusulas]
[Proveedor correo]	Correo transaccional	Correo, nombre, eventos de envío	[País]	[Contrato / DPA]
[Proveedor soporte]	Mesa de ayuda	Tickets, comunicaciones, datos técnicos	[País]	[Contrato / confidencialidad]
[Proveedor analítica]	Analítica no esencial	Identificadores técnicos, eventos	[País]	[Consentimiento / revisión legal]
[Proveedor video]	Reproducción de contenidos	Identificadores, eventos, IP	[País]	[Contrato / revisión legal]
[Proveedor seguridad]	Monitoreo, firewall, logs	IP, eventos técnicos	[País]	[Contrato / medidas de seguridad]

El cliente responsable deberá ser informado de los subencargados relevantes cuando ello corresponda conforme al contrato o normativa aplicable.

10. Cookies, tecnologías equivalentes y consentimiento

El sitio, LMS o servicio digital puede utilizar cookies, scripts, píxeles, iframes, almacenamiento local, identificadores técnicos u otras tecnologías equivalentes.

Estas tecnologías pueden cumplir distintas funciones:

Categoría	Descripción	Requiere revisión
Necesarias	Permiten funcionamiento básico, seguridad, sesión, acceso o prestación esencial del servicio	Sí
Preferencias	Permiten recordar configuraciones o mejorar experiencia no esencial	Sí
Analítica	Permiten medir uso, navegación, rendimiento o interacción	Sí
Marketing	Permiten publicidad, remarketing, seguimiento comercial o segmentación	Sí
Sin clasificar	Tecnología detectada sin validación suficiente	Revisión obligatoria

Las tecnologías no esenciales deberán gestionarse conforme a la Política de Cookies y Tecnologías Equivalentes aplicable al sitio o LMS.

El plugin de consentimiento podrá registrar evidencia técnica relativa a:

• aceptación;
• rechazo;
• preferencias parciales;
• revocación;
• versión legal informada;
• categorías consentidas;
• tecnologías detectadas;
• clasificación sugerida;
• clasificación final;
• justificación humana;
• eventos técnicos asociados.

La evidencia técnica generada por el plugin no sustituye la revisión jurídica de finalidades, bases de licitud, proporcionalidad, necesidad, proveedores ni transferencias.

Cuando la empresa prestadora opere el plugin por cuenta del cliente, el cliente responsable deberá validar la configuración jurídica y funcional de las categorías, textos, finalidades y bases de licitud.

11. Tecnologías no clasificadas o pendientes de revisión

Las tecnologías detectadas automáticamente por el sitio, LMS o plugin no deben entenderse, por ese solo hecho, como autorizadas, necesarias o lícitas.

Toda tecnología detectada debe ser revisada y documentada antes de ser utilizada como base para decisiones de consentimiento, bloqueo, activación, evidencia o reporting legal.

En particular:

• una tecnología sin clasificación final no debe asumirse como necesaria;
• una tecnología marcada como unknown debe quedar pendiente de revisión;
• una tecnología sin finalidad documentada no debe considerarse lista para enforcement;
• una tecnología sin base de licitud definida no debe considerarse jurídicamente validada;
• una tecnología sin impacto de bloqueo evaluado no debe activarse en enforcement real sin revisión previa.

La regla operativa recomendada es:

Tecnología desconocida o no revisada = no ejecutar sin revisión en escenarios de enforcement real.

12. Transferencias internacionales

Los datos personales podrán ser tratados, alojados o accedidos desde países distintos de Chile cuando ello sea necesario para la prestación del servicio, según los proveedores, infraestructura, herramientas o subencargados utilizados.

Cuando existan transferencias internacionales, deberán identificarse:

• proveedor involucrado;
• país de tratamiento o almacenamiento;
• tipo de datos tratados;
• finalidad;
• rol del proveedor;
• medidas contractuales;
• medidas técnicas y organizativas;
• autorización o instrucción del cliente responsable, cuando corresponda.

Proveedor	País	Servicio	Datos tratados	Medida o resguardo
[Completar]	[Completar]	[Completar]	[Completar]	[Completar]

13. Conservación de datos

Los datos personales tratados por cuenta del cliente responsable se conservarán durante el tiempo definido por el cliente, por el contrato aplicable o por las instrucciones documentadas recibidas.

La empresa prestadora no conservará los datos personales por cuenta del cliente más allá de lo necesario para prestar el servicio, cumplir instrucciones, mantener evidencias operativas, atender obligaciones contractuales, gestionar seguridad, respaldos, continuidad, auditoría o requerimientos legales aplicables.

Los datos tratados por la empresa prestadora para finalidades propias se conservarán durante el tiempo necesario para cumplir dichas finalidades, obligaciones legales, responsabilidades contractuales, defensa de derechos, auditorías, seguridad o requerimientos de autoridad.

Tipo de registro	Responsable de definir plazo	Plazo propuesto	Criterio
Cuenta de usuario LMS	Cliente responsable	[Completar]	Prestación del servicio
Progreso y evaluaciones	Cliente responsable	[Completar]	Finalidad formativa / contractual
Certificados	Cliente responsable	[Completar]	Evidencia de capacitación
Registros de consentimiento	Cliente responsable	[Completar]	Evidencia y trazabilidad
Logs técnicos del LMS	Cliente / contrato	[Completar]	Seguridad y operación
Backups	Cliente / contrato / prestadora	[Completar]	Continuidad operativa
Facturación propia	Empresa prestadora	[Completar]	Obligación legal / tributaria
Contactos comerciales propios	Empresa prestadora	[Completar]	Gestión comercial

14. Derechos del titular de datos

Los titulares de datos personales podrán ejercer los derechos que les reconozca la normativa aplicable, tales como acceso, rectificación, supresión, oposición, bloqueo, portabilidad u otros derechos reconocidos por la ley vigente, según proceda.

Cuando la solicitud se refiera a datos tratados en el LMS o servicio digital por cuenta del cliente, el cliente responsable será quien determine la procedencia de la solicitud y las acciones correspondientes.

La empresa prestadora, cuando actúe como encargada, colaborará con el cliente responsable para atender dichas solicitudes, conforme al contrato, instrucciones documentadas y capacidades técnicas del servicio.

Las solicitudes deberán dirigirse a:

Cliente responsable:
Nombre: [Nombre del cliente]
Correo: [Correo privacidad cliente]
Domicilio: [Domicilio cliente]

Empresa prestadora / soporte técnico, si corresponde:
Nombre: [Nombre empresa prestadora]
Correo: [Correo soporte / privacidad prestadora]
Domicilio: [Domicilio prestadora]

Si la empresa prestadora recibe directamente una solicitud de un titular respecto de datos tratados por cuenta del cliente, podrá derivarla al cliente responsable o actuar conforme a las instrucciones contractuales aplicables.

15. Procedimiento para ejercer derechos

El procedimiento mínimo recomendado es el siguiente:

Etapa	Descripción	Responsable principal
Recepción	Ingreso de solicitud por correo, formulario u otro canal habilitado	Cliente responsable
Verificación de identidad	Validación razonable de identidad del solicitante	Cliente responsable
Registro	Creación de ticket o expediente de solicitud	Cliente responsable / prestadora si opera sistema
Análisis	Evaluación de procedencia, alcance y datos afectados	Cliente responsable
Ejecución técnica	Acceso, rectificación, bloqueo, supresión u otra acción técnica	Prestadora, si recibe instrucción
Respuesta	Comunicación formal al titular	Cliente responsable
Evidencia	Conservación de registro de solicitud, análisis, respuesta y ejecución	Cliente responsable / prestadora según contrato

La empresa prestadora no deberá responder de fondo solicitudes de titulares cuando actúe como encargada, salvo que exista instrucción o autorización expresa del cliente responsable.

16. Seguridad de la información

La empresa prestadora aplicará medidas técnicas y organizativas razonables para proteger los datos personales tratados en el marco del servicio contra acceso no autorizado, pérdida, alteración, divulgación indebida, destrucción, uso no autorizado o tratamiento no permitido.

Estas medidas podrán incluir, según corresponda:

• control de acceso;
• gestión de usuarios y roles;
• autenticación;
• segregación de permisos;
• registro de actividad;
• respaldos;
• actualizaciones de software;
• gestión de vulnerabilidades;
• monitoreo;
• cifrado cuando corresponda;
• hardening de WordPress, LMS, plugins o servidor;
• gestión de incidentes;
• control de proveedores;
• separación de ambientes;
• revisión de logs;
• medidas de continuidad operativa.

El cliente responsable deberá adoptar también las medidas organizativas que le correspondan, especialmente en relación con administración de usuarios, asignación de roles, definición de permisos, uso adecuado del LMS, gestión de altas y bajas, conservación de datos y respuesta frente a solicitudes de titulares.

17. Incidentes de seguridad

Cuando la empresa prestadora detecte un incidente que pueda afectar datos personales tratados por cuenta del cliente, deberá gestionarlo conforme al contrato, procedimientos internos e instrucciones del cliente responsable.

El procedimiento mínimo debería considerar:

• detección;
• contención;
• análisis preliminar;
• registro del incidente;
• comunicación al cliente responsable;
• evaluación de impacto;
• medidas correctivas;
• conservación de evidencia;
• seguimiento;
• cierre documentado.

La comunicación a titulares o autoridades, cuando corresponda, será determinada por el cliente responsable, sin perjuicio de los deberes contractuales o legales que puedan aplicar a la empresa prestadora.

El cliente responsable deberá informar si el LMS, sitio o servicio digital realiza decisiones automatizadas, perfilamiento o segmentación que produzca efectos relevantes para los titulares.

18. Decisiones automatizadas y perfilamiento

Actualmente, salvo configuración específica indicada por el cliente, el servicio LMS se orienta a la gestión operativa de usuarios, cursos, actividades, evaluaciones, reportes y evidencia técnica.

Declaración sugerida si no aplica:

Actualmente, este servicio no realiza decisiones automatizadas que produzcan efectos jurídicos o significativamente equivalentes para el titular, salvo que el cliente responsable configure o integre herramientas específicas para tales fines.

Detalle, si aplica: [Completar].

19. Menores de edad

Si el LMS, sitio o servicio digital se dirige a menores de edad o puede tratar datos de menores, el cliente responsable deberá definir reglas específicas de información, autorización, acceso, seguridad, conservación, comunicación y ejercicio de derechos.

La empresa prestadora tratará dichos datos conforme a las instrucciones del cliente responsable y a las medidas técnicas y organizativas aplicables.

Política aplicable a menores: [Completar / No aplica].

20. Comunicaciones comerciales

La empresa prestadora no utilizará los datos personales de usuarios, alumnos, participantes o trabajadores incorporados al LMS por el cliente para comunicaciones comerciales propias, salvo que exista una base jurídica independiente y válida para ello.

Las comunicaciones operativas del LMS, tales como avisos de curso, recuperación de contraseña, notificaciones de actividad, mensajes administrativos o comunicaciones vinculadas a la prestación del servicio, se realizarán conforme a las instrucciones del cliente responsable y la configuración del servicio.

Las comunicaciones comerciales propias de la empresa prestadora dirigidas a contactos comerciales, representantes de clientes, prospectos o proveedores deberán gestionarse bajo sus propias finalidades, bases de licitud y mecanismos de oposición o baja, según corresponda.

21. Auditoría, evidencia y trazabilidad

El LMS, el sitio o el plugin de consentimiento podrán generar registros técnicos y evidencia auditable para fines de operación, seguridad, cumplimiento, soporte, consentimiento, diagnóstico, clasificación tecnológica y control progresivo de tecnologías no esenciales.

Estos registros pueden incluir:

• eventos de consentimiento;
• aceptación, rechazo o revocación;
• preferencias parciales;
• versión de textos legales informados;
• tecnologías detectadas;
• clasificación sugerida;
• clasificación final;
• justificación humana;
• registros de acceso;
• logs técnicos;
• eventos de error;
• exportaciones;
• evidencias asociadas al expediente de consentimiento.

La existencia de evidencia técnica no significa, por sí sola, que el tratamiento sea lícito o suficiente. La determinación jurídica de finalidades, bases de licitud, proporcionalidad, conservación, encargados, subencargados y transferencias corresponde al cliente responsable cuando el tratamiento se realiza por cuenta de éste.

22. Cambios en esta Política

Esta Política podrá actualizarse para reflejar cambios normativos, contractuales, operativos, tecnológicos o de proveedores.

La versión vigente se publicará en [URL de publicación] e indicará su fecha de última actualización.

Cuando los cambios sean relevantes, el cliente responsable o la empresa prestadora, según corresponda, podrán informar mediante aviso en el sitio, correo electrónico, comunicación contractual u otro canal adecuado.

23. Contacto

Para consultas relacionadas con el tratamiento de datos personales en el LMS o servicio digital:

Cliente responsable del tratamiento

Nombre: [Nombre del cliente]
RUT: [RUT cliente]
Domicilio: [Domicilio cliente]
Correo de privacidad: [Correo cliente]
Teléfono: [Opcional]

Empresa prestadora / encargada del tratamiento

Nombre: [Nombre empresa prestadora]
RUT: [RUT empresa prestadora]
Domicilio: [Domicilio prestadora]
Correo de soporte o privacidad: [Correo prestadora]
Teléfono: [Opcional]

Anexo 1. Matriz mínima de roles

Pregunta	Respuesta esperada
¿Quién decide para qué se usa el LMS?	Cliente responsable
¿Quién define usuarios, cursos, reportes y finalidad formativa?	Cliente responsable
¿Quién opera técnicamente la plataforma?	Empresa prestadora
¿Quién administra hosting, soporte, respaldos o mantenimiento?	Empresa prestadora como encargada
¿Quién define la base de licitud de los datos del LMS?	Cliente responsable
¿Quién responde de fondo a los titulares?	Cliente responsable
¿Quién ejecuta acciones técnicas por instrucción?	Empresa prestadora
¿Quién trata datos comerciales propios?	Empresa prestadora como responsable
¿Quién decide proveedores o subencargados?	Según contrato e instrucciones del cliente
¿Quién valida textos legales y política final?	Cliente responsable y asesoría legal