La presente Política de Transferencias Internacionales de Datos tiene por objeto establecer el marco de licitud, los mecanismos habilitantes y las garantías aplicables a toda transferencia de datos personales que Estudio Ideas Diseño Ltda. efectúe, en su calidad de responsable del tratamiento, hacia destinatarios ubicados fuera del territorio de la República de Chile, incluyendo transferencias a encargados de tratamiento, subencargados, proveedores de infraestructura tecnológica y demás terceros que operen bajo jurisdicciones distintas a la chilena.

Se entenderá por transferencia internacional de datos toda comunicación, acceso remoto, almacenamiento o puesta a disposición de datos personales a un destinatario situado en un país distinto de aquel en que se hayan recogido originalmente los datos, con independencia del medio técnico utilizado para dicha transferencia.

Este instrumento se enmarca, entre otras normas, en las siguientes disposiciones:

• Ley N.º 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Chile).
• Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679, en lo relativo a transferencias hacia y desde la Unión Europea, cuando resulte aplicable en razón de la nacionalidad o residencia del titular.
• California Consumer Privacy Act (CCPA) y California Privacy Rights Act (CPRA), respecto de titulares con residencia en el estado de California, Estados Unidos.
• Lei Geral de Proteção de Dados Pessoais (LGPD), Ley N.º 13.709/2018 de la República Federativa del Brasil.
• Demás normativa imperativa de protección de datos personales que resulte aplicable en razón del país de residencia u origen del titular.

En caso de conflicto entre disposiciones normativas de distintas jurisdicciones, Estudio Ideas aplicará el estándar de protección más exigente que resulte razonablemente aplicable a la relación jurídica concreta, sin perjuicio de las obligaciones imperativas que correspondan conforme a cada ordenamiento.

Como regla general, Estudio Ideas no efectuará transferencias internacionales de datos personales salvo que concurra alguno de los mecanismos habilitantes descritos en la sección siguiente, y siempre que se garantice un nivel de protección adecuado y equivalente al exigido por la legislación de origen de los datos.

La sola circunstancia de que un proveedor tecnológico opere infraestructura en el extranjero no exime a Estudio Ideas de verificar, con carácter previo, que dicha transferencia cuente con un fundamento jurídico habilitante.

Estudio Ideas fundamenta sus transferencias internacionales de datos personales en, al menos, uno de los siguientes mecanismos:

• Decisión de adecuación: cuando el país de destino haya sido reconocido por la autoridad competente como país que garantiza un nivel de protección adecuado.
• Cláusulas contractuales tipo: mediante la suscripción de cláusulas contractuales estandarizadas con el destinatario extranjero, que impongan obligaciones de protección de datos equivalentes a las exigidas en el país de origen.
• Consentimiento explícito e informado del titular: obtenido de forma previa a la transferencia, tras haber sido informado de los riesgos que la transferencia a un país sin nivel de protección adecuado pudiera implicar.
• Necesidad para la ejecución de un contrato: cuando la transferencia resulte objetivamente necesaria para la ejecución de un contrato entre el titular y Estudio Ideas, o para la ejecución de medidas precontractuales adoptadas a solicitud del titular.
• Normas corporativas vinculantes u otros mecanismos reconocidos: cuando el proveedor extranjero cuente con certificaciones, códigos de conducta o normas corporativas vinculantes reconocidos por la autoridad competente.

En el desarrollo de sus actividades, Estudio Ideas podrá transferir datos personales a proveedores de infraestructura tecnológica domiciliados o con centros de datos ubicados fuera de la República de Chile, entre ellos, a título enunciativo y no limitativo:

• Proveedores de servicios de protección perimetral y mitigación de ataques (Cloudflare, Inc.).
• Proveedores de infraestructura cloud y almacenamiento (Amazon Web Services, Google Cloud, Microsoft Azure).
• Proveedores de servicios de inteligencia artificial y procesamiento de lenguaje natural (OpenAI, Anthropic, Google).
• Proveedores de servicios de correo electrónico transaccional y marketing.
• Pasarelas de pago y procesadores de transacciones con presencia internacional.
• Registradores de dominios y proveedores de certificados digitales con domicilio en el extranjero.

La identidad y ubicación específica de cada proveedor se mantiene documentada internamente y puede ser solicitada por el titular en ejercicio de su derecho de acceso.

Con carácter previo a la incorporación de un nuevo proveedor extranjero que implique tratamiento de datos personales, Estudio Ideas efectúa una evaluación que considera, entre otros factores:

• El marco normativo de protección de datos vigente en el país de destino.
• La existencia de mecanismos de supervisión y control por parte de una autoridad de protección de datos en dicho país.
• Las garantías contractuales y certificaciones de seguridad ofrecidas por el proveedor.
• La naturaleza y sensibilidad de los datos personales objeto de la transferencia.
• Los riesgos de acceso por parte de autoridades públicas del país de destino, cuando resulte pertinente evaluarlos.

Cuando dicha evaluación arroje riesgos que no puedan ser mitigados mediante garantías contractuales o medidas técnicas adicionales, Estudio Ideas se abstendrá de efectuar la transferencia o buscará un proveedor alternativo.

Estudio Ideas exige a sus proveedores extranjeros que actúen como encargados o subencargados del tratamiento, la suscripción de acuerdos que contemplen, como mínimo:

• La obligación de tratar los datos personales únicamente conforme a las instrucciones documentadas de Estudio Ideas.
• La implementación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
• La obligación de notificar sin dilación indebida cualquier violación de seguridad que afecte los datos personales tratados.
• La prohibición de subcontratar el tratamiento a un tercero sin autorización previa de Estudio Ideas.
• La obligación de suprimir o devolver los datos personales al término de la prestación del servicio, salvo obligación legal de conservación.
• El sometimiento a auditorías o solicitudes de información razonables por parte de Estudio Ideas.

Sin perjuicio de los mecanismos jurídicos habilitantes descritos, Estudio Ideas implementa, cuando resulte técnicamente razonable, medidas complementarias destinadas a reforzar la protección de los datos personales objeto de transferencia internacional, tales como:

• Cifrado de datos en tránsito y en reposo mediante protocolos y algoritmos estándar de la industria.
• Seudonimización o minimización de los datos personales transferidos, limitándolos a lo estrictamente necesario para la finalidad perseguida.
• Segregación de credenciales de acceso y control de accesos basado en roles respecto de los sistemas del proveedor extranjero.

En aquellos casos en que la transferencia internacional se fundamente en el consentimiento del titular, dicho consentimiento se solicitará de forma previa, específica e informada, detallando el país o países de destino, la identidad del destinatario cuando sea posible, la finalidad de la transferencia y los eventuales riesgos derivados de la ausencia de un nivel de protección adecuado en el país receptor, conforme a lo dispuesto en la Política de Gestión de Consentimientos de Estudio Ideas.

El titular podrá revocar dicho consentimiento en los términos descritos en la referida política, sin que ello afecte la licitud de las transferencias efectuadas con anterioridad a la revocación.

Determinados servicios prestados por Estudio Ideas requieren, por su propia naturaleza tecnológica, el uso de infraestructura ubicada en el extranjero (por ejemplo, protección perimetral, procesamiento en la nube o servicios de inteligencia artificial). En tales casos, la transferencia se fundamenta en la necesidad objetiva de dicha infraestructura para la ejecución del contrato de servicios suscrito con el cliente, informándose de dicha circunstancia en la documentación contractual correspondiente.

Cuando un proveedor extranjero autorizado por Estudio Ideas subcontrate, a su vez, a otro proveedor (subencargado) para la prestación parcial del servicio, dicha subtransferencia deberá quedar sujeta a obligaciones de protección de datos equivalentes a las asumidas por el encargado principal, siendo este último responsable frente a Estudio Ideas del cumplimiento de dichas obligaciones por parte de sus subencargados.

Todo incidente de seguridad que afecte datos personales objeto de una transferencia internacional será gestionado conforme al procedimiento de gestión de incidentes y notificación de brechas descrito en la Política de Seguridad de la Información de Estudio Ideas, exigiéndose a los proveedores extranjeros la notificación oportuna de cualquier incidente que llegue a su conocimiento.

En el ejercicio de su derecho de acceso, conforme a las Políticas ARCO de Estudio Ideas, el titular podrá solicitar información sobre los países de destino de sus datos personales, la identidad de los destinatarios cuando ello sea razonablemente posible, y el mecanismo habilitante que ampara la transferencia correspondiente.

Sin perjuicio de las demás acciones legales que le correspondan, el titular que estime que una transferencia internacional de sus datos personales se ha efectuado en contravención a lo dispuesto en este instrumento o en la Ley N.º 21.719, podrá presentar el reclamo respectivo ante la Agencia de Protección de Datos Personales de Chile.

Para cualquier consulta relativa a la presente Política de Transferencias Internacionales de Datos, el titular podrá dirigirse a contacto@estudioideas.cl o a través de los canales de contacto publicados en el sitio web de Estudio Ideas.

El presente instrumento será revisado y actualizado por Estudio Ideas al menos una vez al año, o con anterioridad cuando se modifique la normativa aplicable, se incorporen nuevos proveedores extranjeros, o varíen sustancialmente las condiciones de las transferencias internacionales descritas en este documento.