Política de Tratamiento de Datos Personales de Arrenda

Versión 1.0 · Vigente desde 03-11-2026

Esta es la política de tratamiento de datos que exige el art. 14 ter letra a) de la Ley 19.628, en el texto que le da la Ley 21.719 (LPDP). Obliga a todas las personas que trabajan en Arrenda o le prestan servicios. Los artículos citados son los de la LPDP salvo que se diga otra cosa.

1. Objeto y alcance

Esta política fija cómo Boostr SpA (RUT 78.512.536-3, "la Empresa") trata los datos personales en Arrenda: quién decide, qué se trata, con qué medidas, cómo se atienden los derechos y las vulneraciones, y cuándo se eliminan los datos. Se aplica al sitio, a la app, al portal del arrendatario, a la API, a los respaldos, al soporte y a los proveedores.

2. Roles

Regla del rol de encargado: la Empresa trata los datos de terceros solo para prestar el servicio al propietario y según sus instrucciones. Está prohibido usarlos para otro fin, cruzarlos entre cuentas, usarlos en marketing, venderlos o cederlos (art. 15 bis inciso primero).

Responsable interno de esta política: el representante legal, Elizabeth Ulloa, como permite el art. 50 a las empresas de menor tamaño. Contacto: [email protected].

3. Principios que aplicamos (art. 3)

Protección desde el diseño y por defecto (art. 14 quáter): cada funcionalidad nueva pasa por la lista de verificación del §10 antes de publicarse. Las opciones no esenciales vienen desactivadas.

4. Inventario de tratamientos

Datos que no se tratan: datos sensibles (art. 2 letra g)), biométricos, geolocalización, datos de niños como titulares principales, y evaluaciones o puntajes de arrendatarios. Si un tratamiento nuevo pudiera implicar alto riesgo, se hará antes una evaluación de impacto (art. 15 ter).

5. Medidas de seguridad (arts. 14 quinquies y 15 bis)

5.1 Técnicas

• Cifrado en tránsito: HTTPS en todo el sitio, la app y la API, con HSTS. La API no está expuesta directamente a Internet: recibe el tráfico a través de un proxy.
• Cifrado de datos delicados: los números de cuenta bancaria y los secretos de segundo factor se guardan cifrados con AES-256-GCM. Los respaldos se cifran antes de salir del servidor.
• Archivos: se guardan con nombres aleatorios, fuera de cualquier carpeta pública, se valida su tipo real al subirlos y solo se entregan a quien tiene acceso, después de verificar su cuenta.
• Aislamiento por cuenta: toda la información del negocio lleva la cuenta a la que pertenece y toda consulta filtra por la cuenta de la sesión. La identidad sale solo de la sesión. Pruebas automáticas con dos cuentas verifican que una no ve ni modifica los datos de la otra.
• Contraseñas y códigos: se guardan solo como huella (bcrypt para las contraseñas, SHA-256 para los códigos y enlaces de un solo uso), con política de largo mínimo. Los códigos y enlaces vencen y sirven una sola vez; los códigos de registro admiten un máximo de intentos. Crear o cambiar la contraseña anula los enlaces pendientes.
• Sesiones: un identificador aleatorio en una cookie protegida (inaccesible para los scripts y restringida al propio sitio); la base guarda solo su huella. Las sesiones vencen por inactividad y se pueden cerrar desde Seguridad y privacidad.
• Antibots y abuso: Cloudflare Turnstile en el registro, el inicio de sesión y la recuperación de clave, y límites de intentos por correo e IP. Tras varios intentos fallidos se bloquea el ingreso por un tiempo y se avisa al titular.
• Avisos al titular: inicio de sesión desde un dispositivo nuevo, bloqueo por intentos y cambio de contraseña.
• Mínimo privilegio: la app usa un usuario de base de datos sin permisos para cambiar la estructura; las migraciones usan otro. Los roles de la app (dueño, editor, lector) limitan lo que cada miembro puede hacer.
• Registro de accesos: eventos de seguridad y acciones del equipo de soporte. Los registros técnicos no contienen datos personales como RUT, correos completos o montos con nombre.
• Respaldos: diarios, cifrados y guardados fuera del servidor, con rotación de máximo 35 días. La restauración se prueba al menos cada 6 meses.
• Actualizaciones: se revisan las dependencias en cada publicación y se aplican los parches de seguridad del sistema operativo.

5.2 Organizativas

• Acceso del equipo a cuentas ajenas: solo para soporte pedido por el usuario, para resolver una falla o para atender un incidente de seguridad. Requiere verificación en dos pasos, se hace en modo de solo lectura, visible en la interfaz, y cada entrada queda registrada con quién, cuándo, qué cuenta y el motivo. El usuario puede pedir ese registro.
• Acceso al servidor: solo personas autorizadas, con llave SSH. Las credenciales de producción no salen del servidor.
• Confidencialidad: toda persona con acceso asume un deber de secreto que sigue vigente después de terminada la relación (art. 14 bis).
• Proveedores: solo los listados en el §7, con contrato que cumple el art. 15 bis.
• Revisión anual de esta política, del inventario y de las medidas, con registro de lo revisado.

6. Procedimiento ante vulneraciones de seguridad (art. 14 sexies)

1. Detectar y registrar. Quien sospeche un incidente lo informa de inmediato al responsable interno. Se abre un registro con la fecha y hora, qué se sabe y quién lo detectó.
2. Contener. Cortar el acceso, rotar las credenciales, revocar las sesiones y preservar la evidencia.
3. Evaluar (dentro de 24 horas). Qué datos, de quiénes, cuántos titulares, de qué cuentas, si incluye datos sensibles, de niños menores de 14 años o datos sobre obligaciones económicas, financieras o comerciales (los pagos y atrasos de arrendatarios caben aquí), y si existe un riesgo razonable para los titulares.
4. Avisar a los propietarios afectados (dentro de 48 horas desde que se toma conocimiento). Para los datos de terceros, la Empresa es encargada y reporta al responsable (art. 15 bis). Se le informa lo mismo que en el paso 5 y se le ofrece hacer por él los avisos a la Agencia y a sus arrendatarios.
5. Reportar a la Agencia (meta interna: 72 horas) cuando haya riesgo razonable y la Empresa sea responsable, o cuando el propietario se lo encargue. El reporte incluye la naturaleza del incidente, sus efectos, las categorías de datos, el número aproximado de titulares y las medidas adoptadas.
6. Avisar a los titulares cuando se trate de datos sensibles, de niños menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales: a cada uno, en lenguaje claro, con los datos afectados, las consecuencias posibles y las medidas. Si no es posible avisar a cada uno, se publica un aviso en un medio de alcance nacional.
7. Ciberseguridad. Si a Arrenda le resulta aplicable la Ley 21.663 Marco de Ciberseguridad, el incidente se reporta además al CSIRT Nacional en los plazos de esa ley.
8. Cerrar y aprender. Se registran la causa, las medidas para que no se repita y las comunicaciones enviadas. El registro de vulneraciones se conserva 4 años (art. 40).

7. Encargados (subencargados, en el caso de los datos de terceros)

Las pasarelas de pago del servicio (Flow u otra que se indique antes de pagar) reciben solo los datos del usuario que contrata un plan y los tratan como responsables independientes. Las fuentes de indicadores (SII, mindicador.cl, findic.cl) no reciben datos personales.

Para incorporar un proveedor nuevo que trate datos de terceros, se avisa a los propietarios con 30 días de anticipación y pueden oponerse (Acuerdo de Tratamiento de Datos, §6).

8. Procedimiento de derechos (acceso, rectificación, supresión, oposición, portabilidad, bloqueo y decisiones automatizadas)

Autoservicio en la app: Mis datos y el perfil (rectificar), Seguridad y privacidad → Tus datos (descargar todos los datos: acceso y portabilidad) y Cerrar cuenta (supresión). Gratis, salvo lo previsto en el art. 10 para el acceso y la portabilidad pedidos más de una vez por trimestre.

9. Retención y supresión

10. Lista de verificación de privacidad para cada funcionalidad nueva

1. ¿Qué datos nuevos trata y son todos necesarios?
2. ¿Quién es el responsable: la Empresa o el propietario?
3. ¿Cuál es la base de licitud? Si es el consentimiento, ¿la casilla viene desmarcada y queda registrada?
4. ¿Hay un proveedor nuevo o una transferencia internacional nueva?
5. ¿Cuál es el plazo de conservación y cómo se borra?
6. ¿Respeta el aislamiento por cuenta? ¿Tiene prueba con dos cuentas?
7. ¿Hay decisiones automatizadas o perfiles? ¿Requiere una evaluación de impacto (art. 15 ter)?
8. ¿Hay que actualizar la Política de Privacidad, esta política, el inventario o el Acuerdo de Tratamiento de Datos?

11. Modelo de prevención de infracciones (arts. 48 y 49)

El modelo certificado del art. 49 es voluntario. La Empresa cumple el deber general del art. 48 de prevenir infracciones con esta política, el inventario, los procedimientos de los §6 y §8, la lista del §10, el registro de vulneraciones, los deberes de confidencialidad y la revisión anual. Cuando el tamaño de Arrenda lo justifique, se evaluará adoptar el modelo completo del art. 49, con un delegado de protección de datos (art. 50).

12. Vigencia y revisión

Esta política se revisa al menos una vez al año y cada vez que cambia un tratamiento, un proveedor o la normativa, incluidas las instrucciones generales que dicte la Agencia.