Contrato de encargo de tratamiento de datos

Última actualización: 20 de octubre de 2026

Este contrato forma parte de los Términos de uso de Blix y se acepta con ellos. Es el mandato por escrito que exige el artículo 8 de la Ley 19.628 y, desde que entre en vigor su reforma por la Ley 21.719 (prevista para el 1 de diciembre de 2026), el encargo que regula su artículo 15 bis. En este contrato, «la ley reformada» es la Ley 19.628 con esa reforma.

1. Partes y papeles

El negocio que contrata Blix es el responsable de los datos personales de sus clientes finales y de las demás personas cuyos datos trata con Blix.
Blix SpA, RUT 78.535.727-2, con domicilio en Avenida Berlín 843, torre D, oficina 910, comuna de San Miguel, Región Metropolitana de Santiago, Chile («Blix»), es el encargado: trata esos datos por cuenta del negocio. Contacto: contacto@blix.cl.
Para los datos de la cuenta, del equipo y de la facturación del negocio, Blix es responsable y se rige por su Política de privacidad.

2. Instrucciones del negocio

Blix trata los datos solo para prestar el servicio contratado y siguiendo las instrucciones del negocio: responder por los canales conectados, gestionar citas y cotizaciones, hacer los seguimientos y envíos que el negocio active, pasar conversaciones a su equipo, guardar el historial y generar los informes del panel.
Son instrucciones del negocio: este contrato, la configuración que hace en Blix y lo que pida por escrito a contacto@blix.cl desde el correo del dueño de la cuenta. Antes de seguir una instrucción por correo que borre, exporte o ceda datos, Blix puede pedir una confirmación adicional.
Si Blix cree que una instrucción infringe la ley, se lo dice al negocio y puede no seguirla mientras se aclara, sin que eso sea un incumplimiento.

3. Qué datos y de quién

De quién: las personas que se comunican con el negocio por WhatsApp, chat web, correo, SMS o teléfono; las que el negocio registra en Blix; y las personas de su equipo que aparecen en las conversaciones.
Qué datos: nombre, teléfono, correo, documento de identidad si el negocio lo pide, mensajes, transcripciones de notas de voz y de llamadas, descripciones de las imágenes que envían, citas, cotizaciones, notas del equipo, lo que el asistente recuerda de cada contacto (horario preferido, servicio que le interesa, si quería reservar y otras preferencias que cuente) y los datos técnicos de cada contacto (fecha, hora y canal).
Datos sensibles: si el negocio es de salud, kinesiología, estética u otro similar, los mensajes pueden contener datos de salud. Se tratan con las condiciones del Anexo 3.

4. Proteger el servicio y mejorar Blix

Proteger el servicio: el negocio instruye a Blix a tratar los datos, en todos los canales, para detectar y frenar fraudes, abusos, amenazas, ataques y usos prohibidos.
Anonimizar para mejorar: el negocio autoriza a Blix a anonimizar los datos de forma irreversible, sin forma razonable de volver a identificar a nadie, y a usar lo anonimizado para mejorar el software, la seguridad, los algoritmos y los modelos de inteligencia artificial de Blix. Lo anonimizado ya no son datos personales.
Lo que queda fuera de la mejora:
- los datos de salud u otros datos sensibles y los de menores: nunca se usan para mejorar ni entrenar;
- los de WhatsApp: sus condiciones prohíben usarlos, ni siquiera anonimizados, agregados o derivados, para crear, entrenar o mejorar modelos de inteligencia artificial. Con ellos, Blix solo puede ajustar un modelo para ese mismo negocio. Lo mismo con cualquier otro canal cuyas condiciones lo prohíban (por ejemplo, cuentas de Gmail conectadas por la interfaz de Google);
- los de quien se haya opuesto a ese uso.
Blix no vende los datos ni los cede a terceros, salvo a los proveedores del Anexo 1 o cuando la ley o una autoridad le obliguen, y no permite que sus proveedores los usen para entrenar sus propios modelos.
Las métricas técnicas que no contienen datos personales (número de mensajes, tiempos de respuesta, errores) las usa Blix para operar, facturar, proteger y mejorar el servicio.

5. Confidencialidad

Las personas de Blix que pueden acceder a los datos tienen obligación de confidencialidad, también después de dejar Blix.
Solo acceden quienes lo necesitan para prestar el servicio, darle soporte o protegerlo. El acceso está limitado y queda registrado.

6. Seguridad

Blix aplica las medidas técnicas y organizativas del Anexo 2, adecuadas al riesgo y a la naturaleza de los datos, y las revisa periódicamente.
Ninguna medida hace imposible un incidente; Blix se compromete a la diligencia y al nivel de protección adecuados al riesgo, no a una seguridad absoluta.

7. Proveedores que tratan datos (subencargados)

El negocio autoriza de forma específica y por escrito a los proveedores que figuran con su nombre en el Anexo 1, para las tareas que allí se indican.
Los proveedores marcados en el Anexo 1 como «autorizados, sin uso» no reciben datos hasta que Blix avise al negocio con 30 días de antelación. Si el negocio no está de acuerdo, puede darse de baja sin coste antes de esa fecha, con efecto inmediato si lo pide; Blix le devuelve entonces la parte ya pagada y no usada, y sus datos no pasan por ese proveedor.
Un proveedor que no figure en el Anexo 1 solo puede recibir datos del negocio cuando el dueño de la cuenta haya aceptado con un clic la nueva versión de este contrato que lo incluya. Mientras no la acepte, los datos de ese negocio no pasan por él.
Cada proveedor recibe solo lo necesario y queda obligado por contrato a proteger los datos al menos como lo hace Blix y a no usarlos para entrenar modelos ni para fines distintos de prestar su servicio, salvo la conservación limitada para vigilar abusos que indica el Anexo 1.
Blix responde ante el negocio del cumplimiento de sus proveedores, en los términos de la ley.

8. Transferencias internacionales

Varios proveedores del Anexo 1 tratan los datos fuera de Chile, sobre todo en Estados Unidos. Mientras no rija la reforma de la Ley 21.719, la Ley 19.628 no regula estas transferencias. Desde que rija, Blix las hará con alguna de las garantías de los artículos 27 y 28 de la ley reformada.
Como la ley exige que esas garantías las firme quien transfiere los datos, el negocio da a Blix un poder especial para que, en su nombre y por su cuenta, firme o acepte con cada proveedor del Anexo 1 las cláusulas o garantías de transferencia que permita la ley: las cláusulas modelo aprobadas por el Ministerio de Economía (Resolución Exenta RAEX202503748, publicada el 19 de diciembre de 2025), las que apruebe la Agencia de Protección de Datos Personales u otras cláusulas contractuales con el contenido que exige la ley, como los contratos de tratamiento de datos de esos proveedores. Blix entregará copia al negocio si la pide.

9. Derechos de las personas

Si una persona pide a Blix acceder a sus datos, rectificarlos, suprimirlos, oponerse a su tratamiento, portarlos o bloquearlos, Blix se lo traslada al negocio en el día hábil siguiente.
Blix ayuda al negocio a responder: el panel permite exportar los datos de un contacto, corregirlos y enviarlo a la papelera, y Blix atiende lo que el panel no cubra.
Si el asistente toma decisiones automatizadas que afecten de forma importante a una persona (por ejemplo, rechazar citas o bloquear a quien no acude), el negocio debe permitir que una persona de su equipo las revise y las explique, como exige el artículo 8 bis de la ley reformada.

10. Incidentes de seguridad

Si Blix confirma un incidente que afecta a los datos del negocio, se lo comunica sin dilaciones indebidas, dentro de los plazos que fije la ley, con lo que sepa en ese momento: qué pasó, qué datos y personas pueden verse afectados, qué medidas tomó y cuáles recomienda. Completará la información a medida que la tenga.
Blix ayuda al negocio a avisar a la Agencia de Protección de Datos Personales y a las personas afectadas cuando la ley lo exija (artículo 14 sexies de la ley reformada), y guarda un registro de los incidentes.

11. Ayuda al negocio

Blix da al negocio la información razonable que necesite para cumplir sus propias obligaciones, incluida su evaluación de impacto cuando trate datos sensibles o a gran escala (artículo 15 ter de la ley reformada).

12. Fin del encargo

Mientras la cuenta esté activa, Blix guarda los datos. Un contacto que el negocio borra pasa 30 días en la papelera y después se borran sus datos personales.
El negocio tiene 30 días desde el fin del servicio para descargar sus datos desde el panel o pedir una copia a contacto@blix.cl.
Blix borra o anonimiza de forma irreversible todos los datos personales de los clientes del negocio a los 60 días del fin del servicio, también en los registros técnicos, de correos y de auditoría. Las copias de seguridad se borran solas en un máximo de 29 días más, así que a los 89 días no queda ninguna copia en los sistemas de Blix. Los proveedores borran lo que recibieron según sus condiciones; los plazos que constan están en el Anexo 1.
Esos plazos no corren si una ley o una autoridad obligan a conservar los datos (retención legal); en ese caso, se conservan solo mientras dure la obligación y bloqueados para cualquier otro uso.
Si el negocio lo pide, Blix le confirma por escrito el borrado.
Lo que el negocio deba conservar por ley (por ejemplo, registros clínicos o tributarios) lo tiene que descargar y guardar él antes de esos plazos.

13. Auditoría

Una vez al año, o tras un incidente, el negocio puede pedir a Blix la información necesaria para comprobar que cumple este contrato. Blix responde con un cuestionario, sus políticas o los informes de que disponga.
Una auditoría presencial o técnica requiere acuerdo previo, confidencialidad, aviso razonable, horario hábil y no puede acceder a datos de otros negocios. Su coste lo paga el negocio, salvo que revele un incumplimiento grave de Blix.

14. Responsabilidad

Cada parte responde de sus incumplimientos de la ley de protección de datos.
Entre las partes se aplica el límite de responsabilidad de los Términos de uso, con las mismas excepciones, sin perjuicio de lo que la ley establezca frente a los titulares de los datos.

15. Duración y prevalencia

Este contrato dura lo mismo que la suscripción y, después, lo necesario para cumplir el punto 12.
En lo que se refiere al tratamiento de datos de los clientes del negocio, este contrato prevalece sobre los Términos de uso.

Anexo 1 · Proveedores que tratan datos del negocio

Con la aceptación de este contrato, el negocio autoriza de forma específica y por escrito a estos proveedores, cada uno solo para la tarea indicada (artículo 15 bis de la ley reformada). Pueden apoyarse a su vez en los proveedores que cada uno publica en su lista de subencargados, con obligaciones equivalentes; Blix facilita esas listas al negocio si las pide.

En uso o de reserva

Hostinger · HOSTINGER Global S.à r.l. (Luxemburgo). Servidor donde funciona Blix (la aplicación y la base de datos) y correo de blix.cl. Centro de datos en Estados Unidos.
Cloudflare · Cloudflare, Inc. (Estados Unidos). Almacenamiento privado de las copias de seguridad.
OpenAI · OpenAI OpCo, LLC (Estados Unidos). Inteligencia artificial principal, transcripción de audios y descripción de imágenes. No usa los datos para entrenar. Guarda lo que recibe hasta 30 días para vigilar abusos.
Anthropic · Anthropic, PBC (Estados Unidos). Inteligencia artificial de reserva, cuando falla la principal. No usa los datos para entrenar. Borra lo que recibe en 30 días; lo que marque por seguridad, hasta 2 años.
Resend · Plus Five Five, Inc. (Estados Unidos). Envío de los correos del negocio a sus clientes (respuestas, confirmaciones, avisos y los seguimientos que active el negocio). Guarda los registros de envío 30 días.
Brevo · Sendinblue SAS (Francia). Envío de esos mismos correos cuando falla Resend. Guarda los datos en la Unión Europea.

Autorizados, sin uso. Blix no les enviará datos hasta avisar al negocio con 30 días de antelación (punto 7):

Google · Google LLC (Estados Unidos). Inteligencia artificial (Gemini), solo en su modalidad de pago. No usa los datos para entrenar. Guarda lo que recibe hasta 55 días para vigilar abusos.
xAI · SpaceXAI LLC (Estados Unidos). Inteligencia artificial (Grok), solo a través de su servicio sin retención de datos. No usa los datos para entrenar.
Telnyx · Telnyx LLC (Estados Unidos). Llamadas y SMS, y la transcripción de las llamadas. El audio de las llamadas se borra en Telnyx después de transcribirlo.
ElevenLabs · Eleven Labs Inc. (Estados Unidos). Voz sintética con la que el asistente habla en las llamadas. Recibe solo el texto de las respuestas, con el uso de los datos para entrenar desactivado.

No son proveedores de Blix:

WhatsApp, Instagram y Messenger (Meta): el negocio contrata directamente con Meta, que trata los mensajes por cuenta del negocio según sus propias condiciones (en WhatsApp, los guarda hasta 30 días). Blix se conecta a las cuentas del negocio con su autorización.
Mercado Pago: cobra al negocio la suscripción de Blix. Si el negocio conecta su propia cuenta de Mercado Pago para cobrar a sus clientes, Mercado Pago trata esos pagos por cuenta del negocio, con su propio contrato.

Anexo 2 · Medidas de seguridad

Cifrado de las comunicaciones: todo el tráfico con el panel, el chat web y las conexiones con los proveedores va cifrado.
Separación de los datos de cada negocio: cada negocio solo puede ver sus propios datos.
Accesos: permisos por roles en el panel; el acceso del personal de Blix está limitado, con doble autenticación, y queda registrado.
Registro de actividad: quién hizo qué en la cuenta y en la administración de Blix, sin datos personales de los clientes finales.
Copias de seguridad: Blix hace copias de seguridad de los datos.
Recuperación: procedimiento de restauración documentado.
Credenciales: guardadas de forma segura.
Incidentes: protocolo interno de respuesta.
Proveedores: contratos con obligaciones de seguridad y sin entrenamiento con los datos.

Anexo 3 · Datos de salud y de menores

Si el negocio presta servicios de salud, kinesiología, estética, masajes u otros similares:

Finalidad: con datos de salud, Blix se usa solo para agendar, informar de lo administrativo y recordar citas. Los datos de salud se tratan solo para los fines que permite el artículo 16 bis de la ley reformada y nunca para campañas, publicidad ni para mejorar o entrenar modelos.
Base legal: el negocio es responsable de contar con ella y, cuando corresponda, con el consentimiento expreso de sus pacientes, y de informarles de que su atención usa un asistente virtual.
Minimización: el asistente pregunta solo lo necesario para agendar. El negocio no carga fichas clínicas, diagnósticos ni resultados de exámenes: Blix no es una ficha clínica (Ley 20.584).
Sin consejo médico: el asistente no diagnostica ni recomienda tratamientos; ante una posible urgencia, indica acudir a un servicio de urgencia o llamar al 131 (SAMU) y pasa la conversación a una persona.
Menores: los datos de menores de 14 años, y los datos de salud y demás datos sensibles de menores de 16, requieren el consentimiento de sus padres o representantes legales (artículo 16 quáter de la ley reformada). Si un cliente final dice que es menor de esas edades, el asistente pasa la conversación a una persona del equipo, que debe comprobar ese consentimiento.
Evaluación de impacto: si el negocio la necesita, Blix le da la información de su parte del tratamiento.
Incidentes: si un incidente afecta a datos de salud o de menores de 14 años, el negocio tendrá que avisar también a las personas afectadas; Blix le ayudará a hacerlo.