...se genera un registro que vincula a una persona real con un lugar, una hora y un movimiento. Nombre, RUT, historial de acceso: datos personales bajo cualquier definición legal.

​Esto significa que toda empresa o administración que use un sistema de control de acceso opera como responsable del tratamiento de datos personales y tiene obligaciones concretas bajo la Ley 21.719. Y significa que el proveedor del sistema — Dapta — también las tiene.

No por defecto. Dapta Access y Gestkontrol by Dapta no recopilan huellas dactilares, reconocimiento facial ni ningún otro dato biométrico de forma nativa o estándar.

Si un cliente opta por integrar tecnología biométrica compatible con la plataforma, la responsabilidad de obtener el consentimiento explícito e informado de cada titular recae sobre el cliente, conforme a la Ley 21.719. Los datos biométricos son datos sensibles bajo la nueva ley y requieren tratamiento especial. En ese escenario, Dapta actúa como encargado del tratamiento bajo instrucción del cliente responsable.

Bajo la Ley 21.719, el "responsable del tratamiento" decide qué datos se recopilan, para qué y por cuánto tiempo. El "encargado del tratamiento" los procesa siguiendo instrucciones del responsable. En el modelo de Dapta, el cliente (administración del edificio o empresa) es el responsable, y Dapta es el encargado cuando procesa los datos ingresados a la plataforma.

Esta distinción es crítica y frecuentemente genera confusión. En términos prácticos:

Dapta actúa como responsable de los datos que recopila directamente, como  datos de clientes para gestión de contratos,  visitantes del sitio web dapta.cl,  leads y contactos comerciales.

Dapta actúa como encargado cuando procesa datos que el cliente ingresa a la plataforma, como  residentes, empleados, visitas y proveedores del edificio o empresa

​En términos simples: Dapta provee la infraestructura técnica y los controles de seguridad, pero es tu organización quien decide qué datos se recopilan y quién accede a ellos. Eso tiene implicancias prácticas:

Como responsable del tratamiento, te corresponde:

Una pregunta legítima de cualquier administrador o gerente de TI: ¿en qué servidores viven los datos de mi empresa y dónde están físicamente? La respuesta es concreta.

Toda la información gestionada en la plataforma Dapta se almacena en Amazon Web Services (AWS), en las regiones US East (Norte de Virginia, us-east-1) y Sudamérica (São Paulo, sa-east-1). No existen servidores propios con datos de clientes. La infraestructura es 100% cloud.​

Implica un flujo transfronterizo de datos, una práctica regulada expresamente por la Ley 21.719. Dapta gestiona esta transferencia mediante marcos legales robustos:

Nuestra infraestructura en la nube cuenta con certificaciones internacionales que respaldan el máximo nivel de protección: ISO 27001, ISO 27017, ISO 27018, SOC 2 Tipo II y SOC 3, además de cumplimiento íntegro con el estándar GDPR.

Dapta no incorpora seguridad como un parche al final: está integrada en cómo se construyó el sistema desde el principio. Esto se conoce como privacy by design. Las medidas de protección cubren cifrado, control de acceso, seudonimización, monitoreo y auditoría.

En la base de datos, los registros no aparecen con nombres reales. En cambio, se usan códigos internos que solo el sistema puede traducir. Esto se llama seudonimización y es la razón por la que, aunque alguien accediera ilegalmente a la base de datos, no vería quién es quién. Esto significa que incluso en el escenario hipotético de un acceso no autorizado a la base de datos, los registros no serían directamente atribuibles a personas reales sin la clave de mapeo.

Cada acción dentro de la plataforma queda registrada: quién hizo qué, cuándo y desde dónde. Este registro no puede ser modificado ni eliminado por usuarios de la plataforma y sirve como evidencia forense ante incidentes de seguridad o requerimientos legales.

Guardar datos más tiempo del necesario no es solo innecesario — es un riesgo legal bajo la Ley 21.719. La ley establece el principio de minimización: los datos no deben conservarse más tiempo del necesario para el fin que justificó su recopilación. En Dapta, cada tipo de dato tiene un período definido:

Una vez que un dato cumple su ciclo de vida, se elimina mediante un proceso de dos etapas:

1. Soft-delete (borrado lógico): Primero se desactiva el dato (el sistema deja de mostrarlo) — esto es el borrado lógico.

2. Hard-delete (borrado definitivo): Luego se elimina de forma permanente e irrecuperable — el borrado definitivo. Ningún backup lo conserva.

​Módulo ARCO+P en plataforma: Dapta incorporará un módulo que permitirá a administradores del cliente y a los propios usuarios ejecutar el borrado permanente e irreversible de sus datos directamente desde la interfaz, con trazabilidad completa de la acción ejecutada.

Los datos gestionados en la plataforma Dapta no se venden, ceden ni comparten con terceros ajenos a la operación del servicio.

Las únicas excepciones operativas, todas con base legal documentada:

Bajo la Ley 21.719, toda persona cuyos datos son procesados tiene derecho a acceder, rectificar, cancelar, oponerse y portar su información (derechos ARCO+P). También puede revocar su consentimiento en cualquier momento.

Derecho de Acceso (A): conocer qué datos se tienen sobre ti, de dónde provienen y cómo se usan.

Derecho de Rectificación (R): corregir datos inexactos, incompletos o desactualizados.

Derecho de Cancelación / Supresión (C): solicitar la eliminación de tus datos cuando ya no sean necesarios o cuando revoques tu consentimiento, siempre que no exista otra base legal que justifique su conservación.

Derecho de Oposición (O): oponerte al tratamiento de tus datos en determinadas circunstancias, en especial para fines de marketing directo.

​Derecho de Portabilidad (nuevo en Ley 21.719) (P): recibir tus datos en un formato estructurado, legible por máquina y de uso común, para trasladarlos a otro responsable si lo deseas.

Si eres cliente directo de Dapta (empresa o administración): contacta a contacto@dapta.cl

​Si eres residente, empleado o visitante cuyos datos ingresó la administración de tu edificio o tu empleador: dirígete en primera instancia al responsable del tratamiento (la administración o empresa), quienes gestionarán la solicitud con las herramientas que Dapta les provee.
​
​Tiempo de respuesta objetivo: plazo razonable conforme a los términos que establezca la reglamentación de la Ley 21.719.

La transparencia también implica reconocer qué está implementado y qué está en proceso.

Dapta almacena nombre, apellido, RUT y registro de entrada/salida de visitas en servidores de AWS con cifrado AES-256. Los datos se conservan 6 años por obligación legal y no se comparten con terceros. Su finalidad es exclusivamente el control de acceso y la trazabilidad de seguridad.

Dapta está en proceso activo de adecuación a la Ley 21.719, con implementación plena programada para antes de diciembre de 2026. Las medidas técnicas ya están en funcionamiento (cifrado, MFA, RBAC, seudonimización, audit log). Los elementos de gobernanza —DPD, RAT, protocolo de notificación de brechas y módulo ARCO+P— están en desarrollo con fechas definidas.

Sí. Los datos se almacenan cifrados con AES-256 en reposo y TLS 1.2/1.3 en tránsito, en infraestructura AWS certificada ISO 27001. El acceso está restringido por roles (RBAC), requiere MFA y queda registrado en un audit log inalterable. Los datos se seudonimizan en la base de datos.

No por defecto. Dapta no recopila datos biométricos de forma nativa. Si un cliente implementa tecnología biométrica integrada a la plataforma, la responsabilidad de obtener el consentimiento explícito de cada titular recae sobre el cliente como responsable del tratamiento.

Los registros de acceso (logs de entrada y salida de personas) se conservan por 6 años, criterio establecido por obligaciones de auditoría y cumplimiento legal. Las credenciales activas se mantienen mientras el usuario tenga vínculo vigente con las instalaciones.

Sí. Bajo la Ley 21.719 tienes derecho a solicitar la cancelación o supresión de tus datos. Si tus datos fueron ingresados por la administración de tu edificio o tu empleador, la solicitud debe dirigirse a ellos en primera instancia. Durante el transcurso la plataforma contará con un módulo de autogestión para que los administradores ejecuten solicitudes ARCO+P directamente.

No. Dapta no vende, cede ni comparte datos personales con terceros ajenos al servicio. El único acceso externo es AWS como sub-procesador de infraestructura, bajo contrato que le impide usar la información para cualquier fin propio.

Al término del contrato puedes solicitar la exportación de tus datos. Dapta procede a la eliminación segura (soft-delete + hard-delete) de la información en sus sistemas conforme a los plazos documentados en la Política de Privacidad.

Dapta opera bajo legislación chilena (Ley 21.719) y aplica estándares técnicos equivalentes al GDPR: cifrado, control de acceso por roles, minimización de datos, seudonimización y derechos ARCO+P. Clientes con operaciones que involucren titulares de datos europeos pueden solicitar condiciones específicas en contacto@dapta.cl.

Ante cualquier incidente, Dapta activa su protocolo interno de detección, contención y análisis de impacto. En 2026 se implementará el protocolo formal de notificación a la APDP y a los titulares afectados, conforme a los plazos que establezca la reglamentación de la Ley 21.719.