Contrato de encargo de tratamiento de datos personales

Versión 1-auto, del 26 de octubre de 2026. Forma parte de los Términos y condiciones de Lobbia.

Partes y aceptación

El Responsable: el condominio que contrata Lobbia, que actúa por medio de su administración.

El Encargado: inGtz SpA, RUT 78.393.493-0, titular del servicio Lobbia.

Este contrato se incorpora por referencia a los Términos y condiciones de Lobbia. El Responsable lo acepta al aceptar dichos términos al contratar el servicio; la plataforma registra la fecha, la dirección IP y la versión aceptada.

1. Objeto, duración, finalidades y datos

1.1. El Encargado trata datos personales por cuenta del Responsable para prestar el servicio Lobbia (plataforma web y app lobbIA) que éste contrató, regido por los Términos y condiciones y el plan contratado.

1.2. Duración: la del contrato de servicio, más el período de devolución y supresión de la cláusula 12.

1.3. Finalidades: la administración de la comunidad: registro de unidades, propietarios y residentes; control de accesos, visitas y encomiendas; comunicaciones; reservas de espacios comunes; mesa de ayuda; asambleas, actas y votaciones; documentos; y, si el Responsable los contrata, gastos comunes y pagos. El Encargado no tratará los datos para ninguna finalidad propia.

1.4. Tipos de datos: identificación (nombre, RUT, correo, teléfono, foto); unidad y grupo familiar; vehículos y mascotas; accesos y visitas; encomiendas; comunicaciones y publicaciones; gastos comunes y pagos; datos de conserjería (turnos y ubicación al marcar asistencia); y datos técnicos (identificador de dispositivo, dirección IP, registros). Los datos de menores de edad, solo cuando el Responsable o el titular de la unidad los registren. No se tratarán datos sensibles salvo que el Responsable los incorpore con base legal y lo informe por escrito al Encargado.

1.5. Categorías de titulares: propietarios, arrendatarios y residentes; integrantes del grupo familiar, incluidos menores; visitas; personal de conserjería y proveedores; y la administración.

1.6. El detalle del tratamiento está en el anexo 1; las listas de los anexos se actualizan por aviso (cláusula 6).

2. Instrucciones del Responsable

2.1. El Encargado trata los datos únicamente siguiendo las instrucciones documentadas del Responsable: este contrato, el uso que la administración hace de las funciones de la plataforma y las instrucciones escritas adicionales que le imparta.

2.2. Si el Encargado considera que una instrucción infringe la ley, lo informará de inmediato al Responsable.

2.3. Si el Encargado trata los datos para un fin distinto o fuera de las instrucciones, será considerado responsable de ese tratamiento.

2.4. Tratamientos propios de inGtz SpA. El Encargado actúa como responsable independiente respecto de los datos de las personas que administran la cuenta y la facturación del servicio, de los registros técnicos y de seguridad de la plataforma, y de las comunicaciones de soporte, según su Política de privacidad.

3. Obligaciones del Responsable

3.1. Contar con una base de licitud para cada tratamiento y poder acreditarla.

3.2. Informar a los titulares y obtener los consentimientos que correspondan, incluido el de quienes representan a menores de edad y el consentimiento expreso para datos sensibles.

3.3. Registrar en la plataforma solo datos necesarios, exactos y actualizados, y gestionar los accesos de su personal (altas y bajas de administradores y conserjes).

3.4. Cumplir sus propios deberes ante la Agencia de Protección de Datos Personales y ante los titulares: atención de derechos, reporte de vulneraciones y evaluaciones de impacto cuando procedan.

4. Confidencialidad

4.1. El Encargado mantiene la confidencialidad de los datos y se obliga a que su personal y los terceros autorizados con acceso estén sujetos a un deber de confidencialidad por escrito, que subsiste tras el término de la relación.

4.2. El acceso interno se limita a quien lo necesita para prestar el servicio; por ejemplo, el equipo que carga las unidades en la puesta en marcha («Lo cargamos nosotros»), cuyos archivos se eliminan a los 90 días.

5. Seguridad

5.1. El Encargado aplica medidas técnicas y organizativas adecuadas al riesgo, que resguardan la confidencialidad, integridad, disponibilidad y resiliencia de los datos, descritas en el anexo 2.

5.2. El Encargado revisará periódicamente esas medidas y las mejorará según el riesgo; no las reducirá en forma sustancial durante la vigencia del contrato.

6. Subencargados

6.1. Autorización. El Responsable autoriza por escrito, por este acto, la contratación de los subencargados del anexo 3.

6.2. Aviso de cambios. El Encargado avisará por correo a la administración del Responsable y en la plataforma, con al menos 30 días corridos de anticipación, la incorporación o el reemplazo de un subencargado, indicando su nombre, finalidad, datos que trata, país y garantía de la transferencia.

6.3. Objeción. El Responsable podrá objetar fundadamente dentro de 15 días corridos desde el aviso. Si las partes no llegan a una solución, el Responsable podrá poner término al contrato sin penalidad respecto del servicio afectado y obtener la devolución de la parte proporcional prepagada. Sin objeción, el cambio se entiende autorizado.

6.4. El Encargado impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responde ante el Responsable por su incumplimiento.

7. Transferencias internacionales

7.1. El Responsable autoriza la transferencia de datos a los países de los subencargados del anexo 3, entre ellos Estados Unidos de América, donde se aloja la plataforma (Google Cloud).

7.2. El Encargado se obliga a que cada transferencia se ampare en un país con nivel adecuado de protección o en cláusulas contractuales u otras garantías adecuadas, y a entregar al Responsable, a su solicitud, la información de esos instrumentos.

7.3. Mientras la garantía de un proveedor no esté vigente, el Encargado no le transferirá datos o lo informará al Responsable, que podrá desactivar la función correspondiente (por ejemplo, el canal de WhatsApp).

8. Asistencia en el ejercicio de derechos

8.1. Si un titular dirige al Encargado una solicitud de acceso, rectificación, supresión, oposición, portabilidad o bloqueo sobre datos de la comunidad, el Encargado la remitirá al Responsable dentro de 3 días hábiles y no la responderá por sí mismo, salvo instrucción del Responsable.

8.2. El Encargado ayudará al Responsable a responder dentro del plazo legal —30 días corridos, prorrogables una vez por el mismo plazo— con las herramientas de la plataforma: descarga de los datos del titular, edición, baja de cuenta (que se cumple dentro de 30 días) y exportaciones.

8.3. El Encargado conserva el respaldo de las solicitudes recibidas y de su remisión.

8.4. La asistencia estándar está incluida en el plan contratado.

9. Vulneraciones de seguridad

9.1. El Encargado informará al Responsable de toda vulneración de seguridad que afecte datos del encargo sin dilaciones indebidas y, como máximo, dentro de 48 horas desde que tome conocimiento de ella.

9.2. El aviso incluirá, en lo que se conozca: la naturaleza de la vulneración, los datos y titulares afectados, las consecuencias probables, las medidas adoptadas y un punto de contacto. Se completará por etapas.

9.3. El Encargado colaborará en la investigación y la mitigación, llevará un registro de cada vulneración y lo pondrá a disposición del Responsable.

9.4. El reporte a la Agencia de Protección de Datos Personales y la comunicación a los titulares corresponden al Responsable, salvo instrucción distinta. El Encargado le facilitará los medios de la plataforma (avisos en la app y correo) para comunicarse con los titulares.

10. Evaluaciones de impacto y consultas

El Encargado proporcionará la información razonable para que el Responsable realice evaluaciones de impacto cuando el tratamiento sea de alto riesgo, y para que atienda consultas o requerimientos de la Agencia de Protección de Datos Personales.

11. Información y auditoría

11.1. El Responsable puede solicitar la información que acredite el cumplimiento de este contrato; el Encargado la entregará dentro de 15 días hábiles.

11.2. El Responsable puede auditar el cumplimiento una vez al año, con 30 días de aviso, en horario hábil, bajo confidencialidad y a su costo, directamente o por un auditor independiente, sin acceso a datos de otros clientes ni a sistemas de terceros. El Encargado podrá satisfacer la auditoría con informes o certificaciones independientes, si los tiene.

12. Término: devolución y supresión

12.1. Al terminar el servicio, el Encargado devuelve o suprime los datos del encargo y sus copias, a elección del Responsable, salvo obligación legal de conservarlos.

12.2. Devolución. El Responsable dispone de la herramienta «Descargar todo»: libro de actas con acuerdos y firmas, padrones de unidades, copropietarios y ocupantes, acuerdos y votaciones, citaciones, documentos con sus versiones anteriores y libro de novedades. Está disponible incluso con el condominio suspendido y durante 90 días desde la baja. Antes de que venza ese plazo, el Encargado avisa a la administración por correo.

12.3. Supresión. Vencido ese plazo, el Encargado suprime los datos del condominio dentro de los 30 días siguientes, y lo confirma por escrito si se le solicita. Lo que la ley obliga a conservar —actas, registros contables y del fondo de reserva— se conserva anonimizado, sin datos que identifiquen a las personas. Los respaldos se eliminan por rotación en un plazo máximo de 3 años; el Encargado lleva un registro de cada supresión y la vuelve a aplicar si debe restaurar un respaldo.

12.4. Los registros que el Encargado deba conservar como responsable (por ejemplo, la facturación del servicio) se mantienen por el plazo legal.

13. Responsabilidad

Cada parte responde por el cumplimiento de sus obligaciones legales y contractuales en materia de protección de datos personales.

14. Vigencia, modificaciones y ley aplicable

14.1. Este contrato rige mientras exista el servicio y hasta que se cumpla la cláusula 12.

14.2. Se modifica por escrito o por la aceptación electrónica de una nueva versión, informada con 30 días de anticipación, salvo que el cambio lo exija la ley.

14.3. Se rige por la ley chilena. Cualquier controversia se someterá a los tribunales ordinarios de justicia de la ciudad de Santiago.

Anexos

Anexo 1: descripción del tratamiento

Las categorías de datos, quién los aporta y para qué se usan son las que describen las secciones 2 a 4 de la Política de privacidad. Cada condominio trata solo los datos de los módulos que tiene contratados.

Anexo 2: medidas de seguridad

• Comunicaciones cifradas entre los dispositivos y la plataforma.
• Control de acceso por rol y aislamiento de los datos de cada condominio.
• Sesiones con credenciales de corta duración y revocables.
• Registro de auditoría de las acciones sensibles.
• Rotación de los registros técnicos con plazos definidos (sección 6 de la Política de privacidad).
• Respaldos diarios de la base de datos.
• Archivos privados guardados fuera del alcance de internet y entregados solo a quien tiene permiso.
• Procedimiento interno de gestión de vulneraciones de seguridad, con registro de cada una.

Anexo 3: subencargados