Política de Privacidad — 357 Compliance

PRIVACIDAD · PROTECCIÓN DE DATOS · GOBERNANZA DE IA

AVISO Y POLÍTICA DE PRIVACIDAD

Referencia del documento

357-DOC-PRIV-002

Versión

2.0

Fecha de la versión

17-06-2026

Clasificación

Público

Responsable del tratamiento

357 Compliance SpA — RUT 78.174.176-0

DPO / Contacto de privacidad

Carlos Maneiro — c.maneiro@357compliance.com

Domicilio

Eulogia Sánchez 065, Providencia, Región Metropolitana, Chile

Ámbito normativo

Ley N° 21.719 (Chile) / RGPD (UE) cuando aplique

1. Quiénes somos y propósito de este Aviso

357 Compliance SpA (en adelante, “357 Compliance” o “nosotros”), sociedad por acciones constituida en Chile, RUT 78.174.176-0, con domicilio en Eulogia Sánchez 065, Providencia, Región Metropolitana, presta servicios profesionales de consultoría en privacidad, protección de datos personales, ciberseguridad, cumplimiento normativo y gobernanza de inteligencia artificial. Este Aviso explica, de forma transparente y verificable, cómo tratamos los datos personales de quienes visitan nuestro sitio web, solicitan información, contratan nuestros servicios o se suscriben a nuestras comunicaciones. Como firma especializada en la materia, asumimos este Aviso como un estándar de la industria, no como un formalismo.

2. Marco normativo y criterio de armonización

Este Aviso se rige por la Ley N° 21.719 que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Chile). Cuando tratemos datos de personas ubicadas en la Unión Europea, aplicaremos además el Reglamento General de Protección de Datos (RGPD, UE 2016/679). Ante cualquier discrepancia entre ambos regímenes, adoptamos por defecto el estándar que otorgue mayor protección al titular.

3. Identidad del responsable y contacto del DPO

Responsable del tratamiento

357 Compliance SpA — RUT 78.174.176-0

Domicilio

Eulogia Sánchez 065, Providencia, Región Metropolitana, Chile

Contacto general

c.maneiro@357compliance.com

DPO / Contacto de privacidad

Carlos Maneiro — c.maneiro@357compliance.com

Canal de ejercicio de derechos (DSAR)

c.maneiro@357compliance.com

4. Roles: cuándo somos responsables y cuándo encargados

Operamos en dos calidades jurídicas distintas, y es esencial diferenciarlas:

Como responsable del tratamiento: respecto de los datos de prospectos, clientes (personas de contacto), suscriptores, candidatos y proveedores que recopilamos a través de nuestro sitio y canales comerciales. Este Aviso regula esa actividad.
Como encargado del tratamiento: respecto de los datos que un cliente nos confía para ejecutar un encargo (por ejemplo, al actuar como DPO Externo). En ese rol tratamos los datos siguiendo las instrucciones documentadas del cliente, bajo contrato de encargo conforme al Art. 15 bis de la Ley N° 21.719, y el responsable es el cliente, no nosotros.

5. Ciclo de vida del dato y flujos de recolección de leads B2B

Tratamos el dato como un ciclo trazable de extremo a extremo:

Recolección. Recopilamos datos cuando usted completa el formulario de contacto, solicita una propuesta, agenda una reunión de diagnóstico, se suscribe a contenidos o navega el sitio. En el flujo B2B típico, los datos de identificación profesional ingresan a nuestro CRM como lead.
Uso. Calificamos el lead, preparamos una propuesta y, de avanzar, ejecutamos el contrato. Cada etapa tiene su base de legitimación (sección 7).
Comunicación. Compartimos datos únicamente con encargados bajo contrato (sección 8); nunca los vendemos ni cedemos con fines comerciales.
Transferencia internacional. Cuando un encargado opera fuera de Chile, aplicamos las garantías del Art. 28 (sección 9).
Conservación y eliminación. Conservamos cada categoría solo el tiempo necesario y luego la eliminamos o anonimizamos de forma irreversible (sección 10).

6. Categorías de datos que tratamos

Identificación y contacto: nombre, apellidos, correo, teléfono, cargo y organización. Origen: formulario, solicitud de propuesta, agendamiento.
Datos profesionales y comerciales: sector, tamaño de la organización y necesidades de cumplimiento que usted manifieste durante el proceso comercial.
Datos de suscripción: correo y preferencias de comunicación.
Datos de navegación: dirección IP, dispositivo, navegador, páginas visitadas y datos generados por cookies (detalle en la Política de Cookies).
Datos contractuales y de facturación: los necesarios para ejecutar el contrato y cumplir obligaciones tributarias y contables.

No tratamos datos sensibles a través del sitio web. Le solicitamos no incluir datos sensibles (salud, situación socioeconómica, datos de niñas, niños y adolescentes, entre otros, conforme al Art. 16 bis) en los formularios.

7. Finalidades y bases de legitimación

Finalidad

Base de legitimación

Norma

Responder consultas y solicitudes

Medidas precontractuales a solicitud del titular

Art. 13

Calificar leads y elaborar propuestas

Medidas precontractuales / interés legítimo

Art. 13

Ejecutar el contrato de servicios

Ejecución de contrato

Art. 13

Enviar boletines, contenidos e invitaciones

Consentimiento granular y revocable

Art. 12

Cumplir obligaciones legales, tributarias y contables

Cumplimiento de obligación legal

Art. 13

Analítica del sitio (cookies no esenciales)

Consentimiento

Art. 12

Prevenir fraude y garantizar la seguridad del sitio

Interés legítimo

Art. 13

Cuando la base sea el consentimiento, este será libre, informado, específico e inequívoco, y podrá retirarse en cualquier momento con la misma facilidad con que se otorgó, sin afectar la licitud del tratamiento previo.

8. Destinatarios y encargados de tratamiento

No vendemos ni cedemos sus datos. Los compartimos solo con encargados que actúan bajo nuestras instrucciones y contrato conforme al Art. 15 bis: proveedor de correo y colaboración (Google Workspace), plataforma de gestión comercial (CRM), proveedor de alojamiento y analítica web, plataforma de envío de comunicaciones y proveedor de servicios contables y de facturación electrónica. También podremos comunicar datos a autoridades cuando exista obligación legal, y a nuestros asesores bajo deber de confidencialidad.

9. Transferencias internacionales de datos

Algunos encargados se ubican fuera de Chile (por ejemplo, proveedores tecnológicos con servidores en EE. UU. o la UE). Cuando exista una transferencia internacional, adoptamos las garantías del Art. 28 de la Ley N° 21.719: transferencia a países con nivel adecuado de protección, cláusulas contractuales tipo aprobadas por la Agencia, normas corporativas vinculantes, o el consentimiento expreso del titular cuando corresponda. A diferencia de prácticas habituales del sector, no declaramos ausencia de transferencias cuando estas existen: las identificamos y las dotamos de garantía.

10. Plazos de conservación

Tipo de dato

Plazo de conservación

Prospectos no convertidos

12 meses desde el último contacto

Suscriptores

Hasta el retiro del consentimiento

Clientes y datos de relación comercial

5 años desde el cierre del contrato

Datos contables y tributarios

Según normativa tributaria (mín. 6 años)

Datos de navegación / cookies

Según la Política de Cookies

Vencidos los plazos, los datos se eliminan o anonimizan de forma irreversible.

11. Derechos de los titulares

Usted puede ejercer los derechos de Acceso, Rectificación, Cancelación (supresión), Oposición, Portabilidad y Bloqueo, así como el derecho a oponerse a decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles:

Acceso: conocer qué datos tratamos y obtener copia, incluyendo el origen y, cuando proceda, la lógica de los tratamientos automatizados.
Rectificación: corregir datos inexactos o incompletos.
Cancelación / Supresión: solicitar la eliminación cuando proceda.
Oposición: oponerse al tratamiento por motivos legítimos, en particular al uso con fines publicitarios.
Portabilidad: recibir sus datos en formato estructurado y de uso común y transferirlos a otro responsable.
Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.

Cómo ejercerlos: escribiendo a c.maneiro@357compliance.com. Responderemos dentro de los plazos legales. Si su solicitud no es atendida satisfactoriamente, puede reclamar ante la Agencia de Protección de Datos Personales.

12. Decisiones automatizadas y elaboración de perfiles

Nuestro sitio no adopta decisiones con efectos jurídicos o significativos basadas únicamente en tratamiento automatizado. La analítica se usa con fines estadísticos y de mejora, sin perfilado individual con efectos sobre el titular. Si ello cambiara, lo informaríamos y habilitaríamos el derecho de oposición e intervención humana.

13. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al deber de seguridad del Art. 14 quinquies y a los estándares ISO/IEC 27001 e ISO/IEC 27701: control de acceso bajo mínimo privilegio, autenticación multifactorial, cifrado en reposo y en tránsito, gestión de credenciales, respaldos y un protocolo de respuesta a incidentes con notificación conforme al Art. 14 sexies.

14. Menores

El sitio se dirige a profesionales y organizaciones. No recopilamos intencionadamente datos de niñas, niños y adolescentes. Si detecta que un menor nos ha proporcionado datos, contáctenos para su eliminación.

15. Cambios a este Aviso

Podremos actualizar este Aviso por cambios normativos —en particular ante la entrada en vigencia de la Ley N° 21.719 el 1 de diciembre de 2026— o de nuestras prácticas. La versión vigente, con su fecha, estará siempre disponible en el sitio.

PRIVACY · DATA PROTECTION · AI GOVERNANCE

PRIVACY NOTICE

Document reference

357-DOC-PRIV-002-EN

Version

2.0

Version date

17-06-2026

Classification

Public

Data Controller

357 Compliance SpA — Tax ID (RUT) 78.174.176-0

DPO / Privacy contact

Carlos Maneiro — c.maneiro@357compliance.com

Registered address

Eulogia Sánchez 065, Providencia, Metropolitan Region, Chile

Legal framework

Law No. 21,719 (Chile) / GDPR (EU) where applicable

1. Who we are and purpose of this Notice

357 Compliance SpA (“357 Compliance” or “we”), a corporation incorporated in Chile, Tax ID (RUT) 78.174.176-0, with registered address at Eulogia Sánchez 065, Providencia, Metropolitan Region, provides professional consulting services in privacy, personal data protection, cybersecurity, regulatory compliance and artificial intelligence governance. This Notice explains, transparently and verifiably, how we process the personal data of those who visit our website, request information, engage our services or subscribe to our communications. As a firm specialized in the field, we treat this Notice as an industry standard, not a formality.

2. Legal framework and harmonization criterion

This Notice is governed by Law No. 21,719 on the protection and processing of personal data and the creation of the Personal Data Protection Agency (Chile). Where we process data of individuals located in the European Union, the General Data Protection Regulation (GDPR, EU 2016/679) also applies. In the event of any discrepancy between the two regimes, we default to the standard that grants the data subject the greater level of protection.

3. Identity of the controller and DPO contact

Data controller

357 Compliance SpA — RUT 78.174.176-0

Registered address

Eulogia Sánchez 065, Providencia, Metropolitan Region, Chile

General contact

c.maneiro@357compliance.com

DPO / Privacy contact

Carlos Maneiro — c.maneiro@357compliance.com

Data subject rights channel (DSAR)

c.maneiro@357compliance.com

4. Roles: when we are controller and when processor

We operate in two distinct legal capacities, and distinguishing them is essential:

As data controller: for the data of prospects, clients (contact persons), subscribers, candidates and suppliers that we collect through our website and commercial channels. This Notice governs that activity.
As data processor: for the data a client entrusts to us to perform an engagement (for example, when acting as External DPO). In that role we process the data following the client's documented instructions, under a processing agreement pursuant to Article 15 bis of Law No. 21,719, and the controller is the client, not us.

5. Data lifecycle and B2B lead collection flows

We treat data as a traceable end-to-end lifecycle:

Collection. We collect data when you complete the contact form, request a proposal, book a diagnostic meeting, subscribe to content or browse the site. In the typical B2B flow, professional identification data enters our CRM as a lead.
Use. We qualify the lead, prepare a proposal and, if it advances, perform the contract. Each stage has its legal basis (section 7).
Disclosure. We share data only with processors under contract (section 8); we never sell or transfer it for commercial purposes.
International transfer. When a processor operates outside Chile, we apply the safeguards of Article 28 (section 9).
Retention and deletion. We retain each category only as long as necessary and then delete or irreversibly anonymize it (section 10).

6. Categories of data we process

Identification and contact: name, surname, email, phone, job title and organization. Source: form, proposal request, booking.
Professional and commercial data: sector, organization size and compliance needs you express during the commercial process.
Subscription data: email and communication preferences.
Browsing data: IP address, device, browser, pages visited and data generated by cookies (details in the Cookie Policy).
Contractual and billing data: data needed to perform the contract and comply with tax and accounting obligations.

We do not process sensitive data through the website. Please do not include sensitive data (health, socioeconomic status, data of children and adolescents, among others, under Article 16 bis) in the forms.

7. Purposes and legal bases

Purpose

Legal basis

Rule

Respond to inquiries and requests

Pre-contractual measures at the data subject's request

Art. 13

Qualify leads and prepare proposals

Pre-contractual measures / legitimate interest

Art. 13

Perform the services contract

Performance of a contract

Art. 13

Send newsletters, content and invitations

Granular, revocable consent

Art. 12

Comply with legal, tax and accounting obligations

Compliance with a legal obligation

Art. 13

Website analytics (non-essential cookies)

Consent

Art. 12

Prevent fraud and ensure website security

Legitimate interest

Art. 13

Where the basis is consent, it will be free, informed, specific and unambiguous, and may be withdrawn at any time as easily as it was given, without affecting the lawfulness of prior processing.

8. Recipients and data processors

We do not sell or transfer your data. We share it only with processors acting under our instructions and contract pursuant to Article 15 bis: email and collaboration provider (Google Workspace), commercial management platform (CRM), web hosting and analytics provider, communications delivery platform and accounting and electronic invoicing provider. We may also disclose data to authorities where a legal obligation exists, and to our advisors under a duty of confidentiality.

9. International data transfers

Some processors are located outside Chile (for example, technology providers with servers in the U.S. or the EU). Where an international transfer occurs, we adopt the safeguards of Article 28 of Law No. 21,719: transfer to countries with an adequate level of protection, standard contractual clauses approved by the Agency, binding corporate rules, or the data subject's explicit consent where applicable. Unlike common sector practice, we do not declare an absence of transfers when they exist: we identify them and provide them with a safeguard.

10. Retention periods

Data type

Retention period

Unconverted prospects

12 months from last contact

Subscribers

Until consent is withdrawn

Clients and engagement data

5 years from contract closure

Accounting and tax data

As required by tax law (min. 6 years)

Browsing data / cookies

As stated in the Cookie Policy

Once these periods expire, data is deleted or irreversibly anonymized.

11. Data subject rights

You may exercise the rights of Access, Rectification, Cancellation (erasure), Objection, Portability and Blocking, as well as the right to object to decisions based solely on automated processing, including profiling:

Access: know which data we process and obtain a copy, including its source and, where applicable, the logic of automated processing.
Rectification: correct inaccurate or incomplete data.
Cancellation / Erasure: request deletion where applicable.
Objection: object to processing on legitimate grounds, in particular to use for advertising purposes.
Portability: receive your data in a structured, commonly used format and transfer it to another controller.
Blocking: temporarily suspend processing while a rectification, erasure or objection request is resolved.

How to exercise them: by writing to c.maneiro@357compliance.com. We will respond within the legal deadlines. If your request is not satisfactorily addressed, you may lodge a complaint with the Personal Data Protection Agency.

12. Automated decisions and profiling

Our website does not make decisions producing legal or similarly significant effects based solely on automated processing. Analytics are used for statistical and improvement purposes, without individual profiling having effects on the data subject. Should this change, we would inform you and enable the right to object and to human intervention.

13. Security measures

We apply appropriate technical and organizational measures under the security duty of Article 14 quinquies and standards ISO/IEC 27001 and ISO/IEC 27701: least-privilege access control, multi-factor authentication, encryption at rest and in transit, credential management, backups and an incident response protocol with notification under Article 14 sexies.

14. Minors

The site is aimed at professionals and organizations. We do not knowingly collect data from children and adolescents. If you detect that a minor has provided us with data, contact us for its deletion.

15. Changes to this Notice

We may update this Notice due to regulatory changes — particularly ahead of the entry into force of Law No. 21,719 on 1 December 2026 — or to our practices. The current version, with its date, will always be available on the site.