Datos en SaaS extranjeros y la Ley 21.719
Actualizado el
No, usar HubSpot, Salesforce, Google Workspace o AWS no es ilegal bajo la Ley 21.719. Almacenar datos de personas chilenas en un SaaS extranjero es un tratamiento legítimo siempre que exista un contrato de encargo (DPA) que fije las obligaciones del proveedor y, cuando los datos salen de Chile, una garantía válida de transferencia internacional. El problema casi nunca es el software: es el papel que falta. Como la Agencia (APDP) todavía no está constituida y no ha declarado países con nivel adecuado de protección, la vía practicable hoy son las garantías adecuadas por contrato, es decir, un DPA firmado con cláusulas de transferencia. Cambiar de proveedor no lo exime de nada; firmar el DPA sí cierra la brecha. En orden: mapee qué SaaS trata sus datos, exija a cada uno su DPA con cláusulas de transferencia, y guarde la documentación como evidencia de cumplimiento antes del 1 de diciembre de 2026.
La Ley 21.719 permite tratar datos a través de un encargado siempre que ese encargo se regule por contrato, y para enviar datos al extranjero exige garantías adecuadas cuando el país de destino no cuenta con un nivel de protección declarado.
Usar HubSpot, Salesforce o AWS no es ilegal
Circula una lectura alarmista de la Ley 21.719: que tener datos de personas chilenas en un servicio extranjero queda prohibido desde el 1 de diciembre de 2026. No es así, y vale la pena separar el mito del dato verificado. La ley no prohíbe usar software extranjero ni alojar datos fuera de Chile. Regula bajo qué condiciones se hace.
El titular de la responsabilidad sigue siendo su empresa. Cuando usted contrata a HubSpot, Salesforce, Google Workspace o AWS para procesar datos por cuenta suya, esos proveedores actúan como encargados de tratamiento. La ley no le pide dejar de usarlos, le pide dejar por escrito quién responde por qué.
Lo que la ley sí exige: un contrato de encargo (DPA)
El instrumento que la ley exige para esta relación es el contrato de encargo de tratamiento, conocido por su sigla en inglés como DPA (Data Processing Agreement). Es un contrato entre usted, como responsable, y el proveedor, como encargado, que fija como mínimo:
La buena noticia es que los grandes proveedores ya publican un DPA estándar. Google, AWS, Salesforce y HubSpot tienen addenda de tratamiento de datos que usted puede revisar y aceptar. El problema real no es que no exista, es que casi nadie lo ha firmado ni lo ha incorporado a su registro. Ese es el vacío más común que encontramos en las revisiones.
- Qué datos se tratan y con qué finalidad, sin que el proveedor pueda usarlos para fines propios.
- Las medidas de seguridad que el proveedor se obliga a mantener.
- El deber de confidencialidad y las reglas sobre subencargados.
- Qué pasa con los datos cuando termina el contrato: devolución o eliminación.
Transferencia internacional: cuándo hay que mirar más de cerca
Si el proveedor almacena o procesa los datos fuera de Chile, además del DPA entra en juego la transferencia internacional de datos. Aquí la ley pide una base que la habilite: que el país de destino ofrezca un nivel de protección adecuado, o que el contrato incorpore garantías apropiadas, como cláusulas contractuales, normas corporativas vinculantes u otros mecanismos equivalentes.
En la práctica, para los servicios grandes de Estados Unidos y Europa esto se resuelve con las cláusulas que el propio proveedor ya ofrece en su addendum. No es un trámite imposible, es un paso que hay que documentar. Lo importante es no confundir dos cosas distintas: el DPA regula la relación con el encargado; las garantías de transferencia regulan que los datos crucen la frontera. A veces se necesitan ambas.
Los proveedores que casi nadie tiene mapeados
Cuando revisamos qué software toca datos personales en una empresa, la lista siempre es más larga de lo que el equipo cree. Un mapa típico incluye:
Note la distinción: Buk y Defontana son chilenos, así que no plantean transferencia internacional, pero siguen siendo encargados y necesitan su DPA igual. HubSpot, Salesforce, Google y AWS suman, además, el análisis de transferencia. El dato sensible que maneja Buk, por su parte, es uno de los factores que puede gatillar una Evaluación de Impacto obligatoria.
- CRM y marketing: HubSpot, Salesforce. Guardan nombres, correos, teléfonos y comportamiento de contactos.
- Productividad y correo: Google Workspace, Microsoft 365. Casi todo pasa por ahí.
- Infraestructura: AWS, Google Cloud, Azure. Donde efectivamente viven las bases de datos.
- Remuneraciones y RR.HH.: Buk. Aquí hay un punto sensible, porque los datos de sueldos son situación socioeconómica, que la ley chilena clasifica como dato sensible.
- Contabilidad y ERP: Defontana. Proveedor nacional, pero igual necesita su contrato de encargo aunque no haya transferencia al extranjero.
Qué hacer, en orden
El camino es acotado y no requiere cambiar de proveedores:
Esto es trabajo de implementación, no un litigio. Lo hacemos junto a su asesor legal cuando hace falta afinar una cláusula, pero el grueso es ordenar contratos y documentar. Si quiere resolverlo de una vez, el pack de remediación de DPA hace exactamente esto.
- Levantar el inventario real de SaaS que tocan datos personales. Suele tomar una tarde.
- Para cada uno, conseguir y firmar el DPA. Muchos ya existen, hay que activarlos.
- Para los proveedores fuera de Chile, dejar documentada la base de transferencia.
- Incorporar todo al registro de actividades de tratamiento para que quede trazable.
Preguntas frecuentes
¿Es ilegal guardar datos de clientes chilenos en AWS o en servidores en Estados Unidos?
No. La Ley 21.719 no prohíbe alojar datos fuera de Chile. Exige dos cosas: un contrato de encargo con el proveedor y una base que habilite la transferencia internacional, como las garantías apropiadas y cláusulas contractuales que AWS ya ofrece. Con eso documentado, el uso es plenamente legítimo.
¿Necesito firmar un DPA con Google Workspace si ya acepté sus términos del servicio?
Sí. Los términos generales no equivalen al contrato de encargo. Google publica un Data Processing Amendment aparte que hay que aceptar e incorporar a su documentación. Aceptar el servicio no es lo mismo que activar y archivar el DPA.
¿Buk y Defontana también necesitan contrato de encargo si son proveedores chilenos?
Sí. Que el proveedor sea nacional elimina el análisis de transferencia internacional, pero no la obligación de tener un DPA: siguen siendo encargados que tratan datos por cuenta suya. En el caso de Buk hay un punto extra, porque los datos de remuneraciones son situación socioeconómica, clasificada como dato sensible.
¿La transferencia internacional de datos está prohibida por la Ley 21.719?
No está prohibida, está regulada. Se permite hacia países con nivel de protección adecuado o mediante garantías apropiadas en el contrato. Para los grandes proveedores esas garantías ya vienen en su addendum de datos; el trabajo es revisarlas, aceptarlas y dejar constancia.