Política de Protección de Datos
Esta Política de Privacidad describe la forma en que Gauss Control recopila, trata, almacena, comunica y protege los datos personales tratados en el contexto de la prestación de sus servicios y de la utilización de sus plataformas tecnológicas.
Este documento contiene información relevante acerca de las categorías de datos personales tratados por Gauss Control, las finalidades para las cuales dichos datos son utilizados, las bases de licitud aplicables al tratamiento, los destinatarios de los datos personales, las medidas de seguridad implementadas, los derechos que asisten a los titulares de datos personales y los mecanismos disponibles para ejercerlos.
Gauss Control pone esta Política de Privacidad permanentemente a disposición de los titulares de datos personales con el objeto de garantizar un tratamiento transparente e informado, de conformidad con la legislación vigente sobre protección de datos personales.
Título I. Naturaleza y Ámbito de Aplicación
Artículo 1. Consideraciones Generales
Desert Point SpA (“Gauss Control”), RUT 76.274.794-4, domiciliada en Rosario Norte 532, oficina 202, Las Condes, Santiago, representada legalmente por Lorena Oliver.
Para consultas relacionadas con la presente Política de Privacidad o con el tratamiento de datos personales realizado por Gauss Control, los titulares podrán contactarse a través del correo electrónico pd@gausscontrol.com.
Gauss Control es una empresa dedicada al desarrollo y prestación de soluciones tecnológicas, plataformas de Software as a Service (SaaS), sistemas de monitoreo y modelos predictivos orientados a la gestión de riesgos operacionales, prevención de la fatiga y promoción de la seguridad de los trabajadores y demás usuarios de sus clientes.
La presente Política de Protección de Datos Personales tiene por objeto establecer los principios, directrices y procedimientos aplicables al tratamiento de datos personales realizado por Gauss Control, así como las medidas destinadas a garantizar la protección de los derechos y libertades de sus titulares, de conformidad con lo dispuesto en el artículo 19 N°4 de la Constitución Política de la República y en la Ley N°19.628 sobre Protección de los Datos Personales, modificada por la Ley N°21.719, y demás normativa aplicable (en adelante, la “Ley de Datos”).
Artículo 2. Ámbito de Aplicación Territorial.
Las disposiciones de esta política se aplicarán al tratamiento de datos personales realizado cuando el responsable o mandatario estén establecidos o constituidos en el territorio nacional. Asimismo, se aplicará cuando el responsable no se encuentre en Chile, pero sus operaciones estén destinadas a ofrecer servicios a titulares en el país o a monitorear, rastrear y elaborar predicciones de su comportamiento.
Para estos efectos, bastará que el responsable o el tercero mandatario o encargado del tratamiento se encuentre establecido o constituido en Chile para que resulte aplicable la Ley de Datos, con independencia del lugar en que se encuentre el titular de los datos personales o del lugar de establecimiento del respectivo responsable. En consecuencia, el tratamiento de datos personales que Gauss Control realice en Chile en su calidad de tercero mandatario o encargado del tratamiento quedará sujeto a las disposiciones de la presente Política y de la Ley de Datos, incluso cuando los titulares de dichos datos se encuentren fuera del territorio nacional, sin perjuicio de la normativa de protección de datos personales que pudiera resultar aplicable en la jurisdicción en que dichos titulares se encuentren.
Artículo 3. Definiciones.
Para la adecuada aplicación de esta política, se entenderá por:
“Dato personal”: Cualquier información vinculada o referida a una persona natural identificada o identificable. Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante uno o más identificadores, tales como el nombre, el número de cédula de identidad, o el análisis de elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
“Datos personales sensibles”: Aquellos datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural.
“Consentimiento”: Toda manifestación de voluntad libre, específica, inequívoca e informada, otorgada mediante una declaración o clara acción afirmativa, mediante la cual el titular de datos, su representante legal o mandatario, según corresponda, autoriza el tratamiento de los datos personales que le conciernen.
“Responsable de datos”: Persona natural o jurídica, pública o privada, que decide acerca de los fines y medios del tratamiento de datos personales, con independencia de si los datos son tratados directamente por ella o a través de un tercero mandatario o encargado.
“Tercero mandatario o encargado”: La persona natural o jurídica que trata datos personales por cuenta y encargo del responsable de datos.
“Anonimización”: Procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona. Un dato anonimizado deja de ser un dato personal.
“Seudonimización”: Tratamiento de datos personales que se efectúa de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona natural identificada o identificable.
“Titular de datos”: Persona natural, identificada o identificable, a quien conciernen o se refieren los datos personales.
“Tratamiento de datos”: Cualquier operación o conjunto de operaciones o procedimientos técnicos, de carácter automatizado o no, que permitan de cualquier forma recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales o conjuntos de datos personales.
Artículo 4. Categoría de Datos Tratados.
En el desarrollo de sus actividades y en la prestación de sus servicios tecnológicos, Gauss Control podrá recopilar y tratar, las siguientes categorías de datos:
(a) Datos identificatorios y de contacto, tales como nombre, cédula de identidad, cargo, empresa a la que pertenece, correo electrónico, teléfono y demás antecedentes necesarios para la prestación de los servicios.
(b) Datos biométricos.
(c) Datos relativos al perfil biológico humano.
(d) Datos derivados o inferidos, incluyendo alertas, reportes, métricas, perfiles e indicadores generados a partir del procesamiento automatizado de información mediante herramientas analíticas, modelos predictivos o sistemas de inteligencia artificial.
(e) Datos técnicos y de uso de plataformas, incluyendo direcciones IP, identificadores de dispositivos, registros de acceso, eventos de seguridad, logs de actividad, información de navegación y demás antecedentes técnicos generados por la utilización de las plataformas y soluciones tecnológicas de Gauss Control.
La recopilación y tratamiento de estas categorías de datos se limitará a aquellos antecedentes que resulten adecuados, pertinentes y estrictamente necesarios para el cumplimiento de las finalidades que justifican su tratamiento.
Artículo 5. Finalidades del Tratamiento
Las finalidades descritas en este artículo corresponden a los tratamientos que Gauss Control realiza en su calidad de responsable del tratamiento, incluyendo las siguientes:
(a) Desarrollar, operar, mantener y prestar las soluciones tecnológicas, plataformas y servicios ofrecidos por Gauss Control a sus clientes.
(b) Gestionar la relación comercial, contractual y laboral con sus clientes, proveedores y trabajadores.
(c) Dar cumplimiento a obligaciones legales, regulatorias, contractuales o de otra naturaleza aplicables a Gauss Control.
(d) Datos de geolocalización
Cuando Gauss Control actúe en calidad de tercero mandatario o encargado del tratamiento por cuenta de sus clientes, las finalidades del tratamiento serán aquellas definidas por el respectivo responsable. A modo ilustrativo, dichas finalidades incluyen habitualmente monitorear y evaluar variables asociadas al estado de alerta, fatiga, somnolencia, distracción y otros factores de riesgo operacional, mediante la captación y el procesamiento de imágenes del conductor y/o la realización de pruebas psicomotoras, con el objeto de contribuir a la prevención de accidentes y promover condiciones seguras de trabajo, así como generar alertas, reportes, indicadores y análisis destinados a apoyar la gestión de riesgos, la seguridad operacional y la toma de decisiones de dichos clientes.
Artículo 6. Titulares de Datos Personales y Destinatarios.
A continuación se identifican los titulares cuyos datos podrá tratar Gauss Control y los terceros destinatarios a quienes podrán ser comunicados.
(a) Titulares de los datos personales. En el desarrollo de sus actividades y en la prestación de sus servicios, Gauss Control podrá tratar datos personales correspondientes a las siguientes categorías de titulares: (i) personas naturales y representantes, empleados, contratistas y demás personas vinculadas a clientes personas jurídicas; (ii) usuarios autorizados de las plataformas y soluciones tecnológicas desarrolladas por Gauss Control; (iii) conductores, operadores y demás personas sometidas a monitoreo mediante las soluciones y servicios proporcionados por Gauss Control por cuenta de sus clientes;(iv) Terceros, peatones y conductores externos capturados incidentalmente: A través de las cámaras frontales (dashcams) y los sistemas ADAS (Advanced Driver Assistance Systems). Gauss Alert graba el entorno vehicular y detecta eventos como «riesgo de colisión frontal» e incluso «colisión con peatón». Por ende, el sistema procesa inevitablemente imágenes de terceros en la vía pública que no tienen vínculo contractual con Gauss Control ni con sus clientes.
(b) (v) Individuos no identificados o no autorizados al volante: El Sistema de Identificación de Conductores (IDC) mediante reconocimiento facial captura imágenes cada vez que se enciende un vehículo (ignitionOn). Si el rostro no coincide con la base de datos de la empresa, el sistema genera registros o registra una «desviación anónima». El titular de este dato biométrico existe en la plataforma, aunque su identidad sea desconocida.
(c) (vi) Contactos técnicos, instaladores y personal de soporte en terreno: En las bases de datos operacionales, se guardan historiales de intervenciones a los dispositivos físicos que incluyen el nombre completo, número de teléfono y correo electrónico de las personas que realizan el soporte o instalación en terreno
(d) Destinatarios de los datos personales. Los datos personales tratados por Gauss Control podrán ser comunicados o puestos a disposición de terceros únicamente cuando exista una base de licitud suficiente y ello resulte necesario para el cumplimiento de las finalidades que justifican su tratamiento. En particular, los datos podrán ser comunicados a: (i) clientes de Gauss Control, cuando ésta actúe en calidad de tercero mandatario o encargado del tratamiento; (ii) empresas relacionadas y filiales, cuando ello sea necesario para la prestación de los servicios o para fines administrativos internos legítimos; (iii) autoridades administrativas, judiciales o cualquier organismo público competente, cuando una disposición legal, reglamentaria o una resolución válida así lo requiera; y (iv) cualquier otra persona o entidad respecto de la cual exista una autorización del titular o una base de licitud prevista por la Ley de Datos.
En ningún caso los datos personales serán vendidos, comercializados o comunicados a terceros para fines incompatibles con las finalidades que justificaron su recopilación.
Lo anterior es sin perjuicio de que, en el contexto de una fusión, adquisición, consolidación, desinversión u otro proceso de reorganización societaria que involucre a Gauss Control, los datos personales puedan ser comunicados o transferidos a la entidad resultante o a los asesores que participen en dicho proceso, sujeto a las medidas de confidencialidad y seguridad que resulten aplicables, y siempre que dicha entidad continúe dando cumplimiento a las finalidades y condiciones informadas a los titulares conforme a la presente Política.
Artículo 7. Transferencias Internacionales de Datos Personales.
Para la prestación de sus servicios, Gauss Control podrá utilizar proveedores tecnológicos, servicios de almacenamiento, infraestructura cloud, herramientas de soporte, monitoreo, seguridad, analítica u otros terceros que puedan encontrarse ubicados fuera de Chile o que permitan el acceso remoto a datos personales desde el extranjero.
En este contexto, determinados tratamientos de datos personales podrán involucrar transferencias internacionales de datos personales, incluyendo su almacenamiento, procesamiento, acceso remoto, comunicación o puesta a disposición desde o hacia jurisdicciones distintas de Chile.
Para efectos de esta política, las transferencias internacionales comprenden tanto la comunicación o almacenamiento de datos personales en el extranjero como el acceso remoto desde el extranjero a datos personales almacenados en Chile por parte de proveedores tecnológicos, empresas relacionadas, encargados del tratamiento o terceros autorizados que participen en la prestación de los servicios de Gauss Control.
Cuando corresponda, dichas transferencias internacionales se efectuarán de conformidad con la legislación aplicable sobre protección de datos personales y sobre la base de las autorizaciones, fundamentos de licitud o mecanismos jurídicos habilitantes que resulten aplicables en cada caso, incluyendo, cuando corresponda, decisiones de adecuación, cláusulas contractuales, instrumentos corporativos vinculantes u otros mecanismos reconocidos por la normativa aplicable.
Gauss Control procurará que los terceros que intervengan en el tratamiento de datos personales se encuentren sujetos a obligaciones apropiadas de confidencialidad, seguridad y protección de datos personales acordes con la naturaleza de los datos tratados y los riesgos asociados al tratamiento realizado.
La licitud de una transferencia internacional de datos personales es independiente de la licitud del tratamiento de los datos que se transfieren. En consecuencia, tratándose de datos sensibles o biométricos, contar con una base de licitud para su tratamiento conforme al Artículo 13 no exime de cumplir, adicionalmente, los requisitos propios de las transferencias internacionales señalados en este artículo, así como tampoco el cumplimiento de estos últimos exime de contar con una base de licitud para el tratamiento de dichos datos. El consentimiento del titular no constituye el único mecanismo que habilita una transferencia internacional de datos sensibles o biométricos: dicha transferencia también podrá ampararse en una decisión de adecuación, cláusulas contractuales, normas corporativas vinculantes u otro instrumento reconocido por la Ley de Datos que otorgue garantías adecuadas, quedando el consentimiento reservado como vía excepcional aplicable a transferencias específicas y no habituales, a falta de tales garantías.
Google Cloud Platform (GCP) – Google LLC: Es el proveedor principal de infraestructura en la nube de Gauss Control. Ubicación: Los datos se encuentran alojados y procesados principalmente en servidores ubicados en Estados Unidos (us-central1).
Amazon Web Services (AWS) – Amazon.com, Inc.: Infraestructura de nube secundaria utilizada para almacenamiento de objetos mediante Amazon S3. Los buckets de almacenamiento se encuentran alojados en la región de Estados Unidos (us-east-1).
MongoDB Atlas – MongoDB Inc.: Plataforma de base de datos NoSQL completamente gestionada en la nube. Almacena configuraciones históricas de dispositivos IoT.
Auth0 (Okta, Inc.): Proveedor de servicios de identidad (Identity-as-a-Service) utilizado para la autenticación segura, control de acceso de usuarios y generación de tokens (JWT).
Proveedores de Inteligencia Artificial y Monitoreo: Plataformas cloud especializadas de proveedores de hardware.
Artículo 8. Tratamiento de Datos Personales por Cuenta de Terceros.
Cuando Gauss Control actúe en calidad de tercero mandatario o encargado del tratamiento por cuenta de sus clientes u otros responsables del tratamiento, los datos personales serán tratados exclusivamente para las finalidades definidas por el respectivo responsable y de conformidad con las instrucciones documentadas impartidas por éste, los contratos, anexos de tratamiento de datos o acuerdos equivalentes celebrados entre las partes y la normativa aplicable.
En estos casos, Gauss Control no utilizará los datos personales para fines propios incompatibles con el encargo recibido ni efectuará operaciones de tratamiento distintas de aquellas que resulten necesarias para la ejecución de los servicios contratados o que hayan sido expresamente autorizadas por el respectivo responsable del tratamiento.
No obstante lo anterior, Gauss Control podrá utilizar los datos tratados por cuenta de sus clientes para desarrollar, entrenar, probar o mejorar sus modelos predictivos y demás herramientas tecnológicas, siempre que dichos datos sean previamente anonimizados o, si ello no resultare posible dada la naturaleza del tratamiento, cuando exista acuerdo previo con el respectivo responsable del tratamiento y, tratándose de datos sensibles o biométricos, el consentimiento del titular u otra base de licitud aplicable conforme a la Ley de Datos.
Las condiciones específicas aplicables a cada tratamiento, incluyendo las instrucciones de tratamiento, medidas de seguridad, utilización de proveedores o subencargados, transferencias internacionales, plazos de conservación, devolución, eliminación, bloqueo o anonimización de datos personales y demás obligaciones particulares asociadas al encargo, se regirán por los contratos, anexos de tratamiento de datos o acuerdos equivalentes celebrados con el respectivo responsable, sin perjuicio del cumplimiento de las obligaciones establecidas por la Ley de Datos.
Cuando corresponda, los titulares deberán dirigirse al respectivo responsable del tratamiento para conocer las condiciones específicas aplicables al tratamiento de sus datos personales, sin perjuicio de los derechos que puedan ejercer directamente frente a Gauss Control en los casos previstos por la legislación aplicable.
Corresponderá a cada responsable del tratamiento obtener y acreditar frente a Gauss Control las autorizaciones, consentimientos y demás bases de licitud que resulten necesarias para el tratamiento de los datos personales cuyo procesamiento le encomiende, así como dar cumplimiento a sus propios deberes en calidad de responsable del tratamiento conforme a la Ley de Datos, incluyendo, entre otros, poner a disposición de los titulares su respectiva política de tratamiento de datos personales, informarles debidamente sobre las finalidades y condiciones del tratamiento, y atender el ejercicio de sus derechos. Gauss Control podrá exigir contractualmente a sus clientes la acreditación del cumplimiento de estas obligaciones.
Artículo 9. Datos Personales de Menores de Edad.
Los servicios y soluciones tecnológicas de Gauss Control se encuentran dirigidos principalmente a empresas, organizaciones y usuarios adultos en contextos laborales, operacionales y de seguridad. Gauss Control no dirige sus servicios a niños, niñas o adolescentes ni recopila intencionalmente datos personales de menores de edad.
En caso de que, de forma excepcional, las soluciones o servicios de Gauss Control involucren el tratamiento de datos personales de menores de edad, dicho tratamiento deberá realizarse de conformidad con las exigencias y salvaguardas especiales establecidas por la Ley de Datos y demás normativa aplicable.
Si Gauss Control toma conocimiento de que ha recopilado datos personales de menores de edad en contravención de la normativa aplicable, adoptará las medidas razonables para su eliminación, bloqueo o regularización conforme a la legislación vigente.
Artículo 10. Aplicabilidad de la presente Política.
Atendida la naturaleza de los servicios prestados, Gauss Control podrá actuar, según el contexto específico y la naturaleza del tratamiento realizado, tanto en calidad de responsable del tratamiento como en calidad de tercero mandatario o encargado del tratamiento, en los términos previstos por la Ley de Datos:
(a) Gauss Control como responsable del tratamiento. Gauss Control actuará en calidad de responsable respecto de los datos personales que trate directamente para la gestión de sus relaciones comerciales, contractuales, laborales y operativas, incluyendo, entre otros, los datos de sus trabajadores, clientes, proveedores, usuarios de sus plataformas, visitantes de su sitio web y demás terceros con quienes mantenga una relación directa.
(b) Gauss Control como tercero mandatario o encargado del tratamiento. Gauss Control actuará en calidad de tercero mandatario o encargado del tratamiento respecto de los datos personales de conductores, operadores, trabajadores, usuarios autorizados y demás personas cuyos datos sean tratados mediante las soluciones tecnológicas, plataformas, sistemas de monitoreo y modelos predictivos proporcionados por la compañía a sus clientes, cuando dicho tratamiento sea efectuado exclusivamente por cuenta, siguiendo las instrucciones y para las finalidades determinadas por estos últimos, quienes tendrán la calidad de responsables del tratamiento.
Las finalidades y bases de licitud descritas en la presente política resultarán aplicables únicamente respecto de aquellos tratamientos en que Gauss Control actúe como responsable del tratamiento.
Sin perjuicio de lo anterior, en caso de existir contratos, anexos de tratamiento de datos u otros acuerdos particulares suscritos entre Gauss Control y sus clientes, proveedores o trabajadores que regulen de manera específica el tratamiento de datos personales, dichos instrumentos prevalecerán sobre la presente Política respecto de las materias que expresamente regulen, aplicándose esta última de manera supletoria en todo aquello que no se encuentre expresamente previsto en los acuerdos respectivos.
Título II. Principios Rectores
Artículo 11. Principios del Tratamiento.
En el tratamiento de datos personales, Gauss Control observará en todo momento los principios establecidos en la Ley de Datos, los cuales orientarán el diseño, implementación y ejecución de todas las actividades de tratamiento realizadas por la compañía, ya sea actuando en calidad de responsable o de tercero mandatario o encargado del tratamiento.
- Licitud y Lealtad: Los datos personales serán tratados únicamente sobre la base de una fuente de licitud válida y mediante procedimientos transparentes y compatibles con las expectativas razonables de los titulares. Gauss Control demostrará e informará la base de licitud para cada tratamiento realizado.
- Finalidad: Los datos personales serán recolectados y tratados para fines determinados, explícitos y lícitos, y no podrán ser utilizados posteriormente para finalidades incompatibles con aquellas que justificaron su recopilación.
- Proporcionalidad: El tratamiento de los datos personales se limitará a aquellos que resulten adecuados, pertinentes y estrictamente necesarios para el cumplimiento de las finalidades que justifican su tratamiento. Asimismo, los datos serán conservados únicamente durante el tiempo necesario para el cumplimiento de dichas finalidades o por el período exigido por la normativa aplicable.
- Calidad: Gauss Control adoptará medidas razonables para procurar que los datos personales sean exactos, completos, pertinentes y se mantengan actualizados, permitiendo su rectificación o actualización cuando corresponda.
- Responsabilidad: Gauss Control será responsable del cumplimiento de la normativa sobre protección de datos personales y adoptará las medidas necesarias para garantizar y poder acreditar el cumplimiento de los principios y obligaciones establecidos por la ley.
- Seguridad: Gauss Control implementará medidas apropiadas, atendiendo a la naturaleza de los datos tratados y a los riesgos asociados al tratamiento, con el objeto de protegerlos frente a accesos no autorizados, pérdida, alteración, destrucción, divulgación o cualquier otra forma de tratamiento ilícito o indebido.
- Transparencia e Información: Los titulares tendrán acceso a información clara, precisa, actualizada y fácilmente accesible sobre las condiciones en que se realiza el tratamiento de sus datos personales, así como sobre los derechos que les reconoce la ley y los mecanismos disponibles para ejercerlos.
- Confidencialidad: Todas las personas que, en razón de sus funciones o de una relación contractual con Gauss Control, tengan acceso a datos personales, estarán sujetas a un deber de reserva y confidencialidad respecto de dicha información, obligación que subsistirá incluso después del término de la relación laboral, contractual o comercial correspondiente.
Título III. Licitud y Tratamiento de Datos Sensibles
Artículo 12. Regla General de Licitud.
Gauss Control realizará el tratamiento de datos personales únicamente cuando exista una base de licitud válida conforme a la Ley de Datos. Dicho tratamiento podrá fundarse, entre otros, en el consentimiento libre, previo, específico, inequívoco e informado del titular; en la necesidad de ejecutar o cumplir un contrato; en el cumplimiento de obligaciones legales; en la satisfacción de intereses legítimos del responsable o de terceros, siempre que no prevalezcan los derechos y libertades fundamentales del titular; en la formulación, ejercicio o defensa de derechos; y en las demás hipótesis previstas por la ley.
En aquellos casos en que el tratamiento requiera el consentimiento del titular, éste deberá ser obtenido y acreditado en los términos exigidos por la normativa aplicable. Cuando Gauss Control actúe en calidad de tercero mandatario o encargado del tratamiento por cuenta de sus clientes, corresponderá al respectivo responsable del tratamiento asegurar la existencia de una base de licitud suficiente para el tratamiento de los datos personales y, cuando proceda, la obtención del consentimiento correspondiente.
Tratándose de tratamientos que impliquen la captación de imágenes u otros datos biométricos del trabajador en un contexto de subordinación laboral, el consentimiento no constituirá, por regla general, una base de licitud idónea, atendida la relación de dependencia existente entre el trabajador y su empleador. En estos casos, el respectivo responsable del tratamiento deberá fundamentar dicho tratamiento en el interés legítimo, sujeto a un test de proporcionalidad, y regularlo conforme a la normativa laboral aplicable, incluyendo su incorporación al Reglamento Interno de Orden, Higiene y Seguridad cuando corresponda. Gauss Control descansa en que dicha evaluación y su regulación laboral correspondiente sean efectuadas por el respectivo responsable del tratamiento.
En el desarrollo de sus actividades, Gauss Control procurará que los tratamientos de datos se encuentren limitados a lo estrictamente necesario para el cumplimiento de las finalidades informadas y se realicen de conformidad con los principios de la Ley de Datos.
Cuando el tratamiento se base en el consentimiento del titular, éste podrá revocarlo en cualquier momento, sin que ello afecte la licitud de los tratamientos efectuados con anterioridad a dicha revocación.
Artículo 13. Datos Sensibles y Biométricos.
En el marco de la prestación de sus servicios tecnológicos, Gauss Control podrá tratar categorías especiales de datos personales, incluyendo datos biométricos y datos relativos al perfil biológico humano, en los términos definidos en el Artículo 4.
El tratamiento de datos sensibles se realizará únicamente cuando exista una base de licitud válida y se cumplan los requisitos especiales establecidos por la Ley de Datos. En todos los casos, Gauss Control adoptará medidas de seguridad reforzadas y limitará el tratamiento a lo estrictamente necesario para las finalidades legítimas que lo justifican.
Cuando Gauss Control actúe por cuenta de sus clientes en calidad de tercero mandatario o encargado del tratamiento, corresponderá al respectivo responsable asegurar la existencia de una base de licitud suficiente para el tratamiento de dichos datos sensibles y, cuando sea exigible, la obtención y acreditación del consentimiento expreso del titular. Sin perjuicio de lo anterior, Gauss Control podrá exigir contractualmente a sus clientes que acrediten el cumplimiento de las obligaciones legales aplicables y que proporcionen las instrucciones necesarias para el tratamiento de esta categoría de datos.
El acceso a los datos sensibles y biométricos estará restringido exclusivamente al personal y a los proveedores autorizados que requieran conocerlos para el cumplimiento de sus funciones, quedando prohibido su tratamiento para finalidades incompatibles con aquellas que justificaron su recolección.
Sin perjuicio de las reglas generales de conservación, eliminación y bloqueo establecidas en el Artículo 14, tratándose de datos sensibles y biométricos tratados por cuenta de un cliente, dichos datos permanecerán sujetos a las instrucciones del respectivo responsable del tratamiento, debiendo Gauss Control eliminarlos o devolverlos en los términos ahí señalados.
Artículo 14. Conservación, Retención y Eliminación de Datos Personales.
Gauss Control conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades que justificaron su recopilación y tratamiento, o durante el plazo que resulte necesario para el cumplimiento de obligaciones legales, regulatorias, contractuales, de seguridad, auditoría, trazabilidad, defensa de derechos o atención de requerimientos de autoridades competentes.
Una vez cumplidas dichas finalidades o expirados los plazos de conservación aplicables, los datos personales serán eliminados, anonimizados o bloqueados, según corresponda, de conformidad con la Ley de Datos y las políticas internas de gestión del ciclo de vida de la información de Gauss Control.
Al término de la relación contractual con el respectivo responsable del tratamiento, Gauss Control eliminará o devolverá los datos personales tratados por su cuenta, según se establezca en el contrato, anexo de tratamiento de datos o acuerdo equivalente aplicable. Sin perjuicio de lo anterior, Gauss Control podrá conservar dichos datos, bloqueados y sin acceso operativo, durante el tiempo mínimo necesario para la formulación, ejercicio o defensa de reclamaciones legales o para dar cumplimiento a obligaciones legales o contractuales.
Cuando Gauss Control actúe como tercero mandatario o encargado del tratamiento por cuenta de sus clientes, la conservación, devolución, eliminación, anonimización o bloqueo de los datos personales se realizará conforme a las instrucciones del respectivo responsable del tratamiento, los contratos aplicables y la normativa vigente.
Título IV. Derechos de los Titulares
Artículo 15. Derechos Garantizados.
Todo titular de datos personales, por sí o debidamente representado, tiene derecho a ejercer, en forma gratuita y en los términos previstos por la ley, los derechos que le confiere la normativa vigente respecto del tratamiento de sus datos personales.
En particular, los titulares tendrán los siguientes derechos:
- Derecho de acceso: solicitar y obtener información sobre los datos personales que le conciernen que estén siendo objeto de tratamiento, su origen, las finalidades del tratamiento, las categorías de destinatarios, el plazo previsto de conservación y cualquier otra información exigida por la ley.
- Derecho de rectificación: solicitar la corrección, actualización o complementación de los datos personales que sean inexactos, incompletos o desactualizados.
- Derecho de supresión: solicitar la eliminación de sus datos personales cuando su tratamiento carezca de fundamento legal, hayan dejado de ser necesarios para las finalidades que justificaron su recopilación o concurra alguna otra circunstancia prevista por la ley.
- Derecho de oposición: oponerse al tratamiento de sus datos personales en los casos previstos por la ley, particularmente cuando dicho tratamiento se funde en intereses legítimos o tenga fines de mercadotecnia directa.
- Derecho a la portabilidad: solicitar y recibir una copia de sus datos personales en un formato electrónico estructurado, genérico y de uso común, y requerir su comunicación o transferencia a otro responsable, cuando ello sea procedente.
- Derecho al bloqueo: solicitar la suspensión temporal de determinadas operaciones de tratamiento respecto de sus datos personales, en los casos establecidos por la ley.
- Derecho a oponerse a decisiones individuales automatizadas: el titular tendrá derecho a no ser objeto de una decisión basada exclusivamente en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, cuando ésta produzca efectos jurídicos sobre él o le afecte significativamente. Asimismo, podrá solicitar información sobre los criterios generales utilizados, expresar su punto de vista y requerir la intervención humana cuando corresponda.
Gauss Control adoptará las medidas necesarias para facilitar el ejercicio efectivo de estos derechos para atender oportunamente las solicitudes presentadas por los titulares, de conformidad con lo dispuesto en la normativa aplicable.
En caso de que Gauss Control rechace una solicitud o no responda dentro de los plazos legales, el titular podrá recurrir ante la Agencia de Protección de Datos Personales conforme al procedimiento establecido en la ley.
Título V. Procedimiento para el Ejercicio de Derechos
Artículo 16. Canales y Plazos de Respuesta.
Para ejercer cualquiera de sus derechos, el titular deberá dirigir una solicitud detallada al correo electrónico pd@gausscontrol.com.
Gauss Control acusará recibo de la solicitud y emitirá una respuesta dentro del plazo máximo establecido por la Ley de Datos. Cuando existan circunstancias que justifiquen una extensión del plazo de respuesta, ésta podrá ser prorrogada en los términos permitidos por la normativa aplicable, informando oportunamente dicha circunstancia al titular.
El ejercicio de los derechos de acceso, rectificación, supresión, oposición, bloqueo y portabilidad será siempre gratuito para el titular.
Título VI. Seguridad, Privacidad desde el Diseño e Incidentes
Artículo 17. Privacidad desde el Diseño y por Defecto.
Gauss Control aplicará medidas técnicas y organizativas adecuadas desde el diseño y durante el tratamiento para garantizar que, por defecto, sólo sean objeto de tratamiento los datos personales específicos y estrictamente necesarios para dicha actividad.
Gauss Control aplicará estos criterios considerando la naturaleza de los datos tratados, los riesgos asociados al tratamiento, las funcionalidades de sus plataformas, las instrucciones impartidas por sus clientes cuando actúe como encargado y sus políticas internas de seguridad de la información.
Artículo 18. Medidas de Seguridad.
Gauss Control adoptará medidas técnicas, organizativas y administrativas razonables y apropiadas para proteger los datos personales contra accesos no autorizados, pérdida, alteración, divulgación, destrucción o cualquier otra forma de tratamiento ilícito o indebido.
Dichas medidas serán definidas considerando la naturaleza de los datos personales tratados, las categorías de titulares involucrados, los riesgos asociados al tratamiento, el estado de la técnica, las políticas internas de seguridad de la información de Gauss Control y las exigencias establecidas por la normativa aplicable.
Estas medidas podrán incluir, según corresponda, controles de acceso, mecanismos de autenticación, gestión de perfiles y permisos, confidencialidad contractual, trazabilidad, respaldo, cifrado, seudonimización, monitoreo, clasificación de información, gestión de incidentes y otras medidas razonables de seguridad.
Artículo 19. Incidentes y Vulneraciones de Seguridad
En caso de incidentes o vulneraciones de seguridad que afecten datos personales, Gauss Control adoptará las medidas de contención, análisis, mitigación, documentación y respuesta que correspondan conforme a la Ley de Datos y a sus procedimientos interno
Cuando una vulneración de seguridad deba ser comunicada conforme a la normativa aplicable, Gauss Control realizará las notificaciones que correspondan ante la Agencia de Protección de Datos Personales y, cuando proceda, a los titulares afectados, dentro de los plazos y en la forma establecidos por la Ley de Datos.
Cuando Gauss Control actúe como tercero mandatario o encargado del tratamiento, comunicará al respectivo responsable del tratamiento los incidentes o vulneraciones que afecten los datos tratados por cuenta de éste, a fin de que se adopten las medidas y comunicaciones que correspondan conforme a la ley y a los acuerdos aplicables.
Título VII. Vigencia y Modificaciones.
Artículo 20. Vigencia y Modificaciones.
La presente Política de Privacidad tiene una vigencia indefinida a partir de su fecha de entrada en vigor, sin perjuicio de las actualizaciones que Gauss Control pueda efectuar conforme a lo indicado a continuación.
Versión: [1]
Fecha de entrada en vigor: [27/07/2026]
Fecha de última actualización: [27/07/2026]
Gauss Control podrá modificar la presente Política de Privacidad para reflejar cambios legales, regulatorios, operativos o tecnológicos. La versión vigente se encontrará permanentemente disponible a través de los canales que la compañía habilite para estos efectos.
