Protección de datos personales en Chile: cómo te ayuda Adereso Desk

Adereso Desk incorpora herramientas para proteger los datos personales que recibes durante la atención e integrar Desk al procedimiento de privacidad de tu empresa: consulta, edición y anonimización de perfiles mediante API, protección de información confidencial, permisos para integraciones y trazabilidad de accesos y descargas.

Las políticas de compliance y los controles de privacidad y seguridad descritos en este artículo tienen un alcance general y sirven a todos nuestros clientes, independientemente del país en que operen. Su aplicación no se limita al cumplimiento normativo chileno: forman parte del marco general de protección de datos de Adereso y apoyan los procesos de cumplimiento de cada cliente, según la normativa que le corresponda y el alcance y la configuración de las herramientas utilizadas. La referencia a Chile entrega un contexto específico para entender su aplicación.

La Ley N.º 21.719 modifica la Ley N.º 19.628 y entra en vigencia el 1 de diciembre de 2026. Refuerza la protección de los datos personales y los derechos de las personas, incluyendo acceso, rectificación, supresión, oposición y portabilidad.

Para tu operación, esto implica organizar cómo recibes y atiendes solicitudes, qué información necesitas conservar, quién puede acceder a ella y qué medidas utilizas para protegerla. Puedes consultar el texto oficial de la ley en la Biblioteca del Congreso Nacional.

Tu empresa es dueña del proceso integral de atención de solicitudes de sus clientes. Recibe la solicitud, verifica la identidad, evalúa qué corresponde ejecutar y coordina los sistemas involucrados, como su CRM, comercio electrónico y plataforma de atención.

Adereso permite ejecutar las acciones correspondientes dentro de Desk, comprobar sus resultados y obtener la evidencia disponible para incorporarla al proceso de tu empresa. Tu equipo o integración conserva esos resultados junto con las demás evidencias y comunica la respuesta al solicitante.

Para las operaciones sobre datos que Adereso trata por instrucciones de tu empresa, esta distribución se complementa con las obligaciones de Adereso como proveedor y los acuerdos de tratamiento aplicables.

La API permite incorporar Desk a tu procedimiento mediante tres acciones:

Ejemplo: una persona solicita corregir sus datos o eliminarlos. Tu empresa verifica su identidad y determina qué corresponde hacer en cada sistema. La integración identifica los perfiles pertinentes en Desk, consulta la información, ejecuta la edición o solicita la anonimización y comprueba el resultado. Tu empresa incorpora esa evidencia a la solicitud y responde al cliente.

Si una persona tiene varios perfiles o canales, tu proceso debe identificar y gestionar los que correspondan. La consulta de perfiles cubre la información expuesta por los endpoints utilizados; si la solicitud comprende conversaciones, adjuntos u otros datos, debes considerar también su recuperación y tratamiento.

La lectura por API puede servir como base para preparar una entrega de datos o atender una solicitud de portabilidad. Tu empresa determina el alcance aplicable y organiza la información y su entrega segura; leer un perfil no equivale por sí solo a completar toda la solicitud.

La anonimización se procesa de forma asíncrona: tu integración debe consultar su estado y comprobar la finalización. La recepción de la solicitud no equivale a que la operación haya terminado. Conserva el identificador y el resultado como parte de la evidencia de tu proceso.

Todos los tickets se mantienen, junto con las acciones y los mensajes de los ejecutivos, para conservar el historial de la atención. El perfil del usuario, sus metadatos y los mensajes del usuario comprendidos en la anonimización se reemplazan por contenido anónimo: sus datos y textos originales dejan de poder leerse en la plataforma.

Desk crea un nuevo perfil para atenderla. Las comunicaciones posteriores se asocian automáticamente a ese nuevo perfil, sin vincularse con su perfil anonimizado ni con los tickets anteriores. Volver a contactar a tu empresa no recupera los datos anonimizados ni restablece la relación con el historial anterior.

Adereso mantiene un registro independiente de las solicitudes de anonimización y su ejecución. Este registro permite identificar y volver a ejecutar las acciones que corresponda aplicar cuando se restaura un respaldo que todavía contiene datos anteriores a su anonimización.

Por ejemplo, si el respaldo se tomó antes de anonimizar a una persona y luego se utiliza para restaurar el servicio, el procedimiento de restauración contempla revisar ese registro y reaplicar la anonimización antes de volver a habilitar la operación. Así se evita que la restauración vuelva a exponer datos que ya habían sido anonimizados. El registro permite también revisar solicitudes pendientes o fallidas; restaurar un respaldo no las convierte en solicitudes completadas.

Ten en cuenta: esta función no elimina automáticamente los archivos adjuntos, las exportaciones ya descargadas ni las copias en otros sistemas. Esos elementos deben considerarse en el procedimiento de tu empresa. La anonimización es una herramienta para apoyar la atención de solicitudes; por sí sola no resuelve todos los derechos sobre datos personales.

Los controles de prevención de pérdida de datos, conocidos como DLP, permiten enmascarar información detectada en el contenido de los mensajes, como números de tarjetas y credenciales acompañadas de etiquetas como contraseña, PIN o CVV.

La protección se aplica antes de almacenar el mensaje en Desk. Con las reglas correspondientes habilitadas, DLP reemplaza los datos detectados por un marcador de protección antes de que el contenido se guarde en los puntos de almacenamiento de mensajes del sistema. Por lo tanto, el mensaje se almacena con esos datos ya enmascarados: el ejecutivo no recibe el valor original y desactivar la regla después no permite recuperarlo.

Por ejemplo, cuando DLP detecta un número de tarjeta en un mensaje, Desk guarda el contenido con ese número reemplazado por el marcador de protección. El mismo criterio se aplica a las credenciales que reconocen las reglas habilitadas.

Tu empresa define qué controles DLP necesita su operación y los habilita en su cuenta; Desk aplica las reglas configuradas al contenido que procesa. Tu proceso debe considerar además las copias que puedan conservar el canal de origen u otros sistemas externos, que quedan fuera de esta protección.

También puedes solicitar el bloqueo de archivos adjuntos para los flujos en que tu operación no deba recibirlos o enviarlos.

Estas reglas requieren configuración para tu cuenta. Su detección depende del formato y del contexto del mensaje: complementan las buenas prácticas de atención y no garantizan reconocer cualquier dato confidencial. Tampoco realizan una limpieza automática de todas las conversaciones históricas.

Para configurarlo: Sección de Administración / Seguridad.

Tener una credencial de API no debe dar acceso a todos los datos de tus usuarios. Los permisos granulares permiten restringir qué información puede consultar y qué acciones puede ejecutar cada integración, para evitar que colaboradores o terceros que utilizan esa credencial accedan a datos que no necesitan o no están autorizados a consultar.

Por ejemplo, puedes entregar a un proveedor una credencial limitada a las operaciones necesarias para su integración, sin habilitar la consulta de perfiles y datos de usuarios cuando esa función no la requiere. Desk verifica los permisos de la credencial en cada solicitud y rechaza las operaciones para las que no tiene autorización.

Tu empresa determina qué personas e integraciones están autorizadas y qué acceso necesita cada una. Asigna una credencial independiente a cada integración y entrega únicamente los permisos necesarios. Todas las personas que utilicen una misma credencial podrán ejercer los permisos asignados a ella; por eso es importante protegerla y evitar compartir credenciales con acceso amplio. Puedes ajustar los permisos o revocar la credencial cuando deje de necesitarse. Las operaciones de anonimización requieren autorización específica.

Desk registra consultas al detalle de tickets y solicitudes de descarga de exportaciones realizadas a través de los flujos auditados. Los registros permiten relacionar la acción con el usuario, el recurso y la fecha y hora.

Tu empresa puede incorporar la evidencia disponible en estos historiales a sus revisiones de acceso e investigaciones. Los historiales están sujetos a los permisos de acceso correspondientes. La dirección IP puede formar parte del registro técnico cuando la infraestructura permite identificarla de forma confiable. Esta trazabilidad complementa el registro independiente de solicitudes y ejecución de anonimización; cada registro acredita las acciones comprendidas en su alcance.

Un registro de solicitud de descarga no acredita por sí solo que la transferencia del archivo se completó. Las copias y los enlaces utilizados fuera de los flujos auditados requieren controles adicionales.

Adereso utiliza conexiones cifradas para transmitir información y cifrado en reposo en sus servicios de almacenamiento en GCP. Estas medidas complementan los controles de acceso y ayudan a proteger los datos durante su transmisión y almacenamiento. Tu empresa incorpora estas medidas a la evaluación de seguridad de sus proveedores y protege también sus propias integraciones, dispositivos y copias descargadas.

La conservación de información debe responder a su finalidad y a las obligaciones que correspondan. No existe un plazo único aplicable a todas las conversaciones y empresas.

Tu empresa define los criterios de conservación según sus finalidades y obligaciones y coordina su aplicación en los sistemas involucrados. Adereso está trabajando en la definición e implementación de la gestión de retención de datos en Desk. Coordina con Adereso los requisitos de tu cuenta y el alcance disponible, considerando conversaciones, adjuntos, exportaciones y respaldos. La anonimización por solicitud y la eliminación automática por vencimiento de un plazo son mecanismos distintos.

Tu procedimiento coordina las acciones y evidencias de todos los sistemas involucrados. Para integrar Desk, considera:

Estas decisiones se coordinan con tus equipos de Privacidad, Legal, Ciberseguridad o TI. Las capacidades descritas en este artículo apoyan la parte del proceso que se ejecuta en Desk; las funciones adicionales y los antecedentes necesarios deben revisarse según el caso.

Tu empresa dirige su programa de protección de datos y utiliza las capacidades de Desk como parte de ese proceso. Adereso ejecuta las operaciones autorizadas dentro del alcance de sus herramientas, entrega sus resultados y la evidencia disponible, y cumple las obligaciones que le corresponden como proveedor. Podemos apoyar a tus equipos de Ciberseguridad, Legal o TI en la configuración e integración de Desk.

Contacta a Soporte Adereso para revisar cómo integrar la consulta, edición y anonimización por API a tu procedimiento, qué resultados y evidencias están disponibles, la configuración de DLP, los permisos y las necesidades de retención de tu cuenta.