Política de privacidad

La presente Política de Privacidad regula el tratamiento de datos personales que efectúa Bandada HC SpA, RUT 78.400.057-5 (en adelante, indistintamente, "Bandada HC" o "la Sociedad"), respecto de la totalidad de los servicios prestados bajo la marca Bandada HC, comprendiendo, sin limitación, el sitio público bandadahc.com, el hub mi.bandadahc.com, los instrumentos de diagnóstico organizacional disponibles en encuestas.bandadahc.com, el agente Feedback Coach y los demás productos que en lo sucesivo se incorporen al catálogo (en adelante, conjuntamente, la "Plataforma").

El marco normativo aplicable está conformado por la Ley N° 21.719 sobre Protección de Datos Personales (Chile), de aplicación plena a partir de diciembre de 2026 y en adecuación gradual desde su publicación; la Ley N° 19.628 en lo que corresponda durante el período de convivencia; y, como referencia interpretativa, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, el "RGPD").

1. Identidad del Responsable

Responsable del tratamiento	Bandada HC SpA · RUT 78.400.057-5
Domicilio	Badajoz 100, Of. 1014, Las Condes, Región Metropolitana, Chile
Representante legal	Daniela Leiva
Sitio web	www.bandadahc.com
Correo de contacto general	contacto@bandadahc.com
Correo de privacidad / ARCOP	privacidad@bandadahc.com
Delegada de Protección de Datos (DPO)	Daniela Leiva · dpo@bandadahc.com

2. Ámbito de aplicación

La presente Política resulta aplicable a las siguientes categorías de personas:

• Visitantes del sitio público bandadahc.com.
• Personas usuarias de los productos de la Plataforma, en particular líderes, profesionales de Recursos Humanos y administradores de organizaciones clientes, que acceden al hub mi.bandadahc.com y a los productos contratados (en adelante, el "Usuario").
• Respondentes que, por invitación de su organización, completan alguno de los instrumentos de diagnóstico ofrecidos por la Plataforma, tales como las encuestas de clima, mindset, liderazgo 360°, cultura organizacional, efectividad de equipo, gestión del desempeño y Mapa de Comunicación Interna.
• Colaboradores cuya información es cargada por el Cliente a fin de que sus líderes preparen conversaciones de retroalimentación mediante el agente Feedback Coach.
• Prospectos y leads comerciales, esto es, personas que entregan voluntariamente sus datos de contacto a Bandada HC, por ejemplo al descargar contenidos del sitio público, y con quienes Bandada HC puede iniciar una gestión comercial.

Las personas anteriores, en cuanto sujetos de los datos personales tratados, serán denominadas indistintamente "el Titular".

3. Roles bajo Ley N° 21.719

• Responsable del tratamiento. Bandada HC actúa en calidad de Responsable respecto de los datos personales de sus propias personas usuarias, incluyendo, entre otros, los relativos a la creación y mantención de la cuenta, la autenticación y el uso de la Plataforma, así como respecto de los datos agregados y anonimizados que se generen a partir de dicho uso.
• Encargado del tratamiento. Bandada HC asume la condición de Encargado respecto de los datos personales que las organizaciones clientes cargan en la Plataforma, comprendiendo nóminas de colaboradores, listados de personas invitadas a instrumentos de diagnóstico y respuestas asociadas. El detalle de cada relación se formaliza en el correspondiente Acuerdo de Encargo de Tratamiento de Datos (en adelante, "DPA", por sus siglas en inglés) suscrito entre Bandada HC y la organización cliente.

4. Categorías de datos tratados

4.1 Datos de personas usuarias del hub y de los productos

• Datos identificatorios, tales como nombre completo, dirección de correo electrónico, RUT cuando se aporte voluntariamente y rol declarado.
• Credenciales de acceso, incluyendo el hash de la contraseña y los tokens de sesión.
• Datos contractuales, comprendiendo la organización de pertenencia, el cargo, los productos contratados y los registros de facturación.
• Datos de uso de la Plataforma, tales como páginas visitadas, sesiones, dirección IP y agente de usuario.

4.2 Datos de respondentes de instrumentos de diagnóstico

• Dirección de correo electrónico, utilizada con la exclusiva finalidad de validar la invitación única y de impedir respuestas duplicadas.
• Respuestas individuales al instrumento aplicado, en formato Likert 1-5, multiselección, distribución de puntos o texto libre, según corresponda.
• Datos demográficos opcionales, tales como área y cargo, en la medida en que la organización los configure.

4.3 Datos de colaboradores cargados al Feedback Coach

• Datos identificatorios, comprendiendo nombre, RUT y dirección de correo electrónico cuando se aporten.
• Datos de carácter laboral, tales como cargo, departamento, antigüedad y fecha de contratación.
• Datos demográficos opcionales, en particular edad y género.
• Datos sensibles. Se incluyen en esta categoría el perfil DISC y demás instrumentos psicométricos, las notas cualitativas elaboradas por el líder y el contenido de los mensajes que el líder redacta sobre el colaborador. La Sociedad otorga a estos datos un tratamiento reforzado en materia de confidencialidad y acceso, encontrándose restringida su visualización al líder asignado.
• Datos derivados, comprendiendo los diagnósticos y planes generados por el agente.

4.4 Datos técnicos

• Registros de acceso, errores y limitación de tasa, con una política de rotación de doce (12) meses.
• Cookies y elementos de almacenamiento local, conforme al detalle contenido en la sección 11.

4.5 Datos de prospectos y leads comerciales

• Datos de contacto aportados voluntariamente en formularios del sitio público, tales como nombre, correo electrónico, empresa, cargo y tamaño de la organización.
• Contexto de la captura, comprendiendo la página de origen y la fecha de registro.
• Registros de gestión comercial en el CRM interno de Bandada HC, tales como notas, tareas y estado de la oportunidad.

4.6 Datos derivados de modelos predictivos

• Indicadores y puntajes generados por modelos predictivos propios de Bandada HC sobre el Titular, en la medida en que éste haya prestado consentimiento expreso conforme a la finalidad F12, tales como indicadores de riesgo de baja, ajuste cultural y recomendaciones de desarrollo.
• Versión del modelo, fecha de cálculo y rangos de confianza, los que se conservan junto al resultado generado.

5. Finalidades y bases de licitud

#	Finalidad	Datos	Base de licitud
F1	Creación y mantención de la cuenta del Usuario	Identificadores y credenciales	Ejecución de contrato
F2	Procesamiento de nómina y habilitación de los productos contratados	Datos de colaboradores e invitados	Encargo de la organización cliente
F3	Generación de diagnósticos e informes	Respuestas y datos del colaborador	Consentimiento del respondente y encargo del Cliente
F4	Conservación del histórico de sesiones del agente	Mensajes y sesiones	Ejecución de contrato e interés legítimo en la mejora del servicio
F5	Soporte y atención de incidencias	Identificadores y contenido del reclamo	Ejecución de contrato
F6	Métricas internas y facturación	Datos de uso seudonimizados	Interés legítimo y obligación legal
F7	Mejora del producto y analítica	Datos agregados o anonimizados	Interés legítimo
F8	Cumplimiento legal y tributario	Datos contractuales	Obligación legal
F9	Comunicaciones operativas, incluyendo avisos y manuales	Correo electrónico del Usuario	Ejecución de contrato
F10	Comunicaciones promocionales	Correo electrónico del Usuario	Consentimiento opt-in independiente
F11	Mejora del servicio y entrenamiento de modelos predictivos propios sobre datos seudonimizados o anonimizados	Respuestas, datos de uso y diagnósticos en forma seudonimizada o anonimizada	Consentimiento granular del respondente, otorgado mediante opt-in independiente, y autorización contractual del Cliente en calidad de Responsable principal
F12	Generación de predicciones individuales sobre el Titular, comprendiendo, sin limitación, indicadores de riesgo de baja, ajuste cultural, recomendaciones de desarrollo y demás indicadores de capital humano, para entrega al Cliente en calidad de Responsable principal	Datos del Titular asociados a su persona	Consentimiento granular del Titular, otorgado mediante opt-in independiente, y encargo del Cliente
F13	Gestión comercial de prospectos, comprendiendo la entrega del contenido solicitado, el registro del contacto en el CRM interno de Bandada HC y las comunicaciones de seguimiento	Datos de contacto de prospectos y contexto de la captura	Consentimiento del Titular (art. 12) y celebración o ejecución de un contrato (art. 13 letra c)

Sobre el uso secundario de los datos. Los datos cargados por los clientes y las respuestas aportadas por los respondentes no se utilizan para entrenar modelos de inteligencia artificial de terceros. En particular, Anthropic, PBC no entrena sus modelos con la información transmitida a través de su API. Bandada HC podrá, no obstante, utilizar dichos datos en forma seudonimizada o anonimizada con la finalidad de entrenar modelos predictivos propios, conforme a la finalidad F11, y, mediando consentimiento expreso del Titular, generar predicciones individuales conforme a la finalidad F12. Ambos tratamientos se rigen por un régimen de opt-in independiente: su rechazo no impide al Titular responder al instrumento, recibir la retroalimentación derivada del mismo, ni acceder al servicio.

6. Períodos de conservación

Categoría	Plazo principal	Acción al término
Cuenta de Usuario activa	Vigencia del contrato más doce (12) meses desde la última actividad	Anonimización y borrado
Respuestas individuales a instrumentos de diagnóstico	Cinco (5) años contados desde el cierre del instrumento	Eliminación automática
Indicadores agregados o anonimizados	Sin plazo de retención	—
Datasets de entrenamiento de modelos predictivos, en datos seudonimizados o anonimizados, conforme a la finalidad F11	Durante la vigencia en producción del modelo o de sus versiones derivadas más veinticuatro (24) meses	Borrado lógico del registro del Titular tras la revocación, con re-entrenamiento periódico que excluye los datos revocados
Predicciones individuales sobre el Titular, conforme a la finalidad F12	Veinticuatro (24) meses desde la generación, salvo refresco autorizado	Borrado efectivo al término del plazo o ante revocación del consentimiento
Mensajes de chat y sesiones del agente	Veinticuatro (24) meses desde la última edición	Borrado o anonimización
Nómina de colaboradores	Mientras la organización lo solicite, con un período de gracia de treinta (30) días al término	Borrado efectivo
Datos de facturación	Seis (6) años, en cumplimiento de la normativa tributaria aplicable	Borrado
Datos de prospectos y leads comerciales	Veinticuatro (24) meses desde la última interacción, o antes si el Titular revoca su consentimiento o se opone al tratamiento	Borrado o anonimización
Logs técnicos y de acceso	Doce (12) meses	Borrado
Respaldos (backups)	Doce (12) meses con rotación periódica	Sobrescritura

7. Destinatarios y Encargados

Bandada HC comunica datos personales únicamente a los Encargados que se detallan a continuación, todos ellos vinculados mediante el correspondiente DPA, con cláusulas de confidencialidad y de seguridad equivalentes a las exigidas por la Ley N° 21.719:

Proveedor	Función	País
Supabase	Base de datos y autenticación	Estados Unidos de América
Vercel	Hosting de aplicaciones, edge runtime y logs	Estados Unidos de América
Digital Ocean	Hosting del sitio público	Estados Unidos de América
Anthropic, PBC	Procesamiento del modelo de lenguaje Claude	Estados Unidos de América
Upstash	Servicio de limitación de tasa basado en Redis	Estados Unidos de América
Google LLC	Respaldos mediante Google Workspace y Drive, así como analítica del sitio público mediante Google Analytics 4	Estados Unidos de América

Bandada HC declara expresamente que no comercializa datos personales ni los comunica a terceros con fines de marketing. Sin perjuicio de lo anterior, la Sociedad podrá comunicar datos a las autoridades públicas competentes cuando exista un requerimiento legal formal que así lo exija.

8. Transferencias internacionales

Algunos de los Encargados individualizados en la sección precedente procesan datos personales en los Estados Unidos de América o en otros países que no han sido declarados como de nivel adecuado de protección por la Agencia de Protección de Datos Personales (APDP) de Chile. En consideración a lo anterior, Bandada HC aplica las siguientes garantías:

• Cláusulas Contractuales Tipo, conforme al modelo del RGPD o al modelo oficial que en su oportunidad publique la APDP.
• Compromisos contractuales reforzados en materia de seguridad y confidencialidad.
• Cifrado en tránsito mediante protocolos TLS y cifrado en reposo.
• Información explícita en la presente Política y consentimiento del Titular cuando corresponda.

Mediante el uso de los servicios de Bandada HC, el Titular declara conocer y consentir las transferencias internacionales descritas.

9. Derechos del Titular (ARCOP+)

El Titular goza, respecto de sus datos personales, de los derechos que se enuncian a continuación:

• Acceso. El Titular tiene derecho a conocer la totalidad de los datos personales que se tratan sobre su persona, incluidas las predicciones individuales que se hubieren generado a su respecto, comprendiendo puntajes, indicadores de riesgo, recomendaciones y demás resultados de modelos predictivos, si los hubiere.
• Rectificación. El Titular tiene derecho a obtener la corrección de los datos personales que resulten inexactos o se encuentren desactualizados.
• Cancelación o supresión. El Titular tiene derecho a obtener la eliminación de sus datos personales cuando éstos hayan dejado de ser necesarios para los fines que justificaron su recolección o cuando se hubiere retirado el consentimiento que sirviere de base al tratamiento.
• Oposición. El Titular tiene derecho a oponerse al tratamiento de sus datos personales por motivos legítimos, comprendiendo de manera específica la oposición al perfilamiento y a la inclusión en datasets de modelos predictivos.
• Portabilidad. El Titular tiene derecho a recibir sus datos personales en un formato estructurado y de uso común, tales como JSON o CSV.
• Bloqueo. El Titular tiene derecho a obtener la suspensión del tratamiento mientras se resuelve una controversia relativa a la exactitud o licitud de los datos.
• Derecho a no ser objeto de decisiones únicamente automatizadas que produzcan efectos jurídicos significativos. Bandada HC declara que no adopta decisiones de tal naturaleza, toda vez que los modelos predictivos y los agentes de inteligencia artificial producen únicamente insumos destinados a apoyar la decisión humana; la decisión laboral final corresponde, en todos los casos, al empleador y a sus líderes.
• Revocación del consentimiento. El Titular podrá revocar en cualquier momento el consentimiento previamente otorgado, sin que dicha revocación afecte la legalidad del tratamiento efectuado con anterioridad a la misma. La revocación comprende, asimismo, el consentimiento prestado para usos secundarios, incluyendo la mejora del servicio, el entrenamiento de modelos predictivos y la generación de predicciones individuales.

Sobre el perfilamiento y los modelos predictivos

Bandada HC realiza actividades de perfilamiento en dos niveles. En primer lugar, al generar diagnósticos a partir de las respuestas a los instrumentos aplicados, tales como clima, mindset y liderazgo 360°, entre otros. En segundo lugar, al entrenar y aplicar modelos predictivos propios, cuando el Titular hubiere otorgado consentimiento expreso. Las predicciones se entregan al Cliente que actúa como Responsable principal, en su calidad de empleador, con la exclusiva finalidad de servir de apoyo a su gestión del capital humano, sin sustituir en caso alguno el juicio humano. El Titular que desee conocer las predicciones existentes sobre su persona deberá dirigir su solicitud al correo privacidad@bandadahc.com, invocando expresamente el ejercicio del derecho de acceso.

Procedimiento para el ejercicio de los derechos

1. El Usuario del hub podrá ingresar a su cuenta en mi.bandadahc.com y formular la solicitud desde el perfil del Usuario.
2. El respondente, colaborador o cualquier otro Titular deberá remitir su solicitud al correo privacidad@bandadahc.com, indicando su nombre, RUT y el derecho que pretende ejercer, debiendo acompañar copia de su cédula de identidad o documento equivalente, a efectos de verificación de identidad.

Bandada HC responderá al Titular dentro del plazo máximo de treinta (30) días corridos contados desde la recepción de la solicitud completa. En caso de requerirse plazo adicional, se informará al Titular de manera justificada y por escrito.

En caso de no obtener respuesta o de no encontrarse conforme con la misma, el Titular podrá presentar el correspondiente reclamo ante la Agencia de Protección de Datos Personales (APDP) de Chile.

10. Medidas de seguridad

Bandada HC aplica medidas técnicas y organizativas razonables y proporcionadas, entre las que se cuentan:

• Autenticación obligatoria de los Usuarios, almacenándose las contraseñas mediante algoritmos de hash modernos.
• Cifrado en tránsito conforme al estándar TLS 1.2 o superior y cifrado en reposo, este último provisto por los Encargados.
• Aislamiento por organización mediante la implementación de Row-Level Security en la base de datos.
• Control de acceso basado en roles, comprendiendo, entre otros, los perfiles de Usuario, Recursos Humanos, administrador y super-administrador.
• Respaldos cifrados con custodia controlada.
• Registros de uso y monitoreo permanente de errores.
• Procedimiento formalmente documentado de respuesta a brechas de seguridad, conforme a la sección 12.

Sin perjuicio de las medidas adoptadas, Bandada HC reconoce que ningún sistema de información puede considerarse absolutamente seguro. En caso de detectarse una vulneración relevante, la Sociedad actuará conforme al procedimiento establecido en la sección 12.

11. Cookies y tecnologías similares

Bandada HC utiliza cookies HTTP y elementos de almacenamiento local del navegador (localStorage) con las finalidades que se detallan a continuación. Bandada HC no emplea pixels de rastreo, beacons, fingerprinting de dispositivo, SDKs publicitarios ni otras tecnologías equivalentes. Los proveedores Vercel, Upstash, Digital Ocean y Anthropic, identificados en la sección 7, no instalan cookies observables en los dominios de Bandada HC.

11.1 Cookies estrictamente necesarias

Estas cookies y elementos de almacenamiento son indispensables para entregar el servicio que el Titular solicita: mantienen activa la sesión autenticada, protegen el flujo de inicio de sesión frente a ataques de suplantación y conservan la preferencia del Titular sobre cookies de analítica. Se activan sin necesidad de consentimiento previo, sobre las bases de licitud de celebración o ejecución de un contrato (artículo 13, letra c) y de interés legítimo (artículo 13, letra d) de la Ley N° 21.719, toda vez que sin ellas la Plataforma no resulta operativa o no es posible respetar la decisión del Titular.

Cookie	Proveedor	País	Dónde	Finalidad	Base de licitud	Duración
sb-*-auth-token	Supabase Inc.	Estados Unidos	mi.bandadahc.com, encuestas.bandadahc.com y feedback.bandadahc.com (sólo tras autenticación)	Mantención de la sesión autenticada del Usuario	Ejecución del contrato (art. 13 letra c)	Hasta el cierre de sesión; si la sesión permanece abierta, el token expira automáticamente a los siete (7) días
sb-*-auth-token-code-verifier	Supabase Inc.	Estados Unidos	Mismos dominios, durante el flujo de inicio de sesión	Protección del flujo de magic link mediante PKCE (técnica criptográfica que evita la interceptación del enlace) y anti-CSRF (impide que un tercero ejecute la sesión en nombre del Titular)	Ejecución del contrato (art. 13 letra c)	Duración del flujo de inicio de sesión
bandada_consent_v1	Bandada HC, en localStorage	Chile (el dato no abandona el navegador del Titular)	bandadahc.com	Conservación de la decisión del Titular respecto de las cookies analíticas, de modo que el banner no se le presente repetidamente	Interés legítimo (art. 13 letra d), por cuanto sin este registro no es posible respetar el rechazo del Titular	Hasta su eliminación por el Titular

11.2 Cookies funcionales

A la fecha de la presente Política, Bandada HC no utiliza cookies funcionales adicionales a las estrictamente necesarias. En caso de incorporarse en lo sucesivo cookies de preferencias, tales como tema, idioma o vistas favoritas, las mismas se sujetarán a un régimen de opt-in y se notificará oportunamente al Titular mediante el banner correspondiente.

11.3 Cookies analíticas (opt-in)

Bandada HC realiza una medición agregada del uso del sitio público bandadahc.com, con la finalidad de identificar qué contenidos resultan de utilidad y, consecuentemente, mejorar el sitio. Estas cookies se activan únicamente si el Titular las acepta de manera libre, expresa e informada en el banner de cookies. El rechazo es plenamente válido y no condiciona el acceso, la navegación ni la funcionalidad del sitio. La base de licitud aplicable es el consentimiento del Titular contemplado en el Artículo 12 de la Ley N° 21.719.

El proveedor en uso, en calidad de Encargado del tratamiento bajo el correspondiente DPA, es el siguiente:

Cookie	Proveedor	País	Finalidad	Base de licitud	Duración
_ga	Google LLC (Google Analytics 4)	Estados Unidos	Distinción de navegadores únicos para construcción de métricas agregadas	Consentimiento del Titular (art. 12)	Dos (2) años
_ga_NEHDZ8LR5F	Google LLC (Google Analytics 4)	Estados Unidos	Mantención del estado de sesión por propiedad analítica	Consentimiento del Titular (art. 12)	Dos (2) años

Bandada HC aplica el estándar Google Consent Mode v2, mecanismo técnico de Google que ajusta el comportamiento de sus etiquetas en función de la decisión del Titular. En consecuencia, si el Titular rechaza las cookies analíticas, el script de Google no instala cookies y se limita a transmitir pings agregados, sin identificadores de usuario ni de evento individuales.

Tratándose de la dirección IP, Google Analytics 4 no la almacena: la utiliza únicamente con fines de geolocalización aproximada y la descarta de manera automática, conforme a su arquitectura técnica documentada. La función Google Signals (seguimiento entre dispositivos asociado a la cuenta de Google del Titular), la función User-ID y las audiencias de remarketing se encuentran desactivadas en la propiedad de Bandada HC. El plazo de retención de los datos a nivel de evento configurado en Google Analytics 4 es de catorce (14) meses, vencido el cual los datos son eliminados automáticamente por el proveedor.

El Titular podrá optar por no ser objeto de medición instalando el complemento de inhabilitación de Google Analytics, o bien navegando en modo incógnito o privado. La transferencia internacional asociada al uso de Google Analytics 4 se rige por las garantías descritas en la sección 8.

11.4 Revocación o modificación del consentimiento

El Titular podrá volver a mostrar el banner de cookies a fin de modificar su decisión, o bien dirigir su solicitud al correo privacidad@bandadahc.com. Asimismo, podrá eliminar las cookies _ga* y la entrada bandada_consent_v1 desde la configuración de su navegador. La revocación operará sin efecto retroactivo respecto del tratamiento realizado con anterioridad sobre la base del consentimiento entonces otorgado.

12. Brechas de seguridad

En caso de producirse una brecha que afecte datos personales, Bandada HC observará el siguiente procedimiento:

1. Contención del incidente y evaluación de su severidad.
2. Notificación a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, conforme a la Ley N° 21.719 y su reglamento.
3. Notificación a las personas afectadas cuando la brecha genere un riesgo razonable para sus derechos y libertades.
4. Documentación formal del incidente y de las medidas adoptadas.

13. Menores de edad

Los servicios prestados por Bandada HC no se encuentran destinados a personas menores de dieciocho (18) años. La Sociedad no solicita ni trata, a sabiendas, datos personales correspondientes a menores. En caso de que el Titular o cualquier persona tome conocimiento de un tratamiento de esta naturaleza, deberá comunicarlo a Bandada HC para su eliminación inmediata.

14. Modificaciones

Bandada HC podrá actualizar la presente Política a fin de reflejar cambios legales, técnicos o del servicio. La nueva versión se publicará en esta misma URL. En caso de tratarse de cambios sustanciales, se comunicarán al Titular por correo electrónico, con una antelación mínima de quince (15) días respecto de su entrada en vigor.

15. Contacto

Vía	Dirección
Correo de privacidad / ARCOP	privacidad@bandadahc.com
DPO	dpo@bandadahc.com
Correo general	contacto@bandadahc.com
Sitio web	www.bandadahc.com