Política Corporativa de Protección de Datos Personales

Entidad responsable:FDD Innovación y Crecimiento S.A. (“amiPASS”) — Chile.
Versión: 2026 (febrero).
Naturaleza del documento: marco normativo corporativo interno de mayor jerarquía en materia de protección de datos personales dentro de amiPASS.

1. Objetivo

FDD Innovación y Crecimiento S.A. (en adelante, “amiPASS” o la “Empresa”) está comprometido con la protección de los datos personales de todas las personas naturales con las que interactúa en el desarrollo de sus actividades comerciales, operacionales, administrativas y comunitarias. Este compromiso se extiende a los datos personales de trabajadores, extrabajadores, pasantes, practicantes, proveedores (ya sean personas naturales o representantes de personas jurídicas), visitantes a nuestras instalaciones, clientes, usuarios de sus servicios y, en general, a cualquier persona natural identificada o identificable cuyos datos personales sean tratados por la Empresa en el marco de sus operaciones.

Esta Política Corporativa de Protección de Datos Personales (la “Política Corporativa”) constituye el marco normativo interno de mayor jerarquía en materia de protección de datos personales dentro amiPASS.

En consecuencia, todos los instrumentos internos – incluidas políticas, procedimientos, protocolos, directrices e instructivos específicos o locales – que regulen materias vinculadas al tratamiento de datos personales deberán desarrollarse en concordancia con los principios, objetivos y lineamientos establecidos en esta Política Corporativa.

En particular, los objetivos de esta Política Corporativa son:

• Establecer los principios rectores y lineamientos generales para el tratamiento lícito, leal, transparente y proporcional de datos personales por parte de la Empresa.
• Proporcionar una base común para el desarrollo e implementación de políticas, procedimientos, protocolos, directrices e instructivos específicos o locales.
• Definir reglas de conducta que deben cumplir todas las personas participan en actividades de tratamiento de datos personales en el desarrollo de las actividades de la Empresa, incluyendo colaboradores, contratistas, proveedores, socios comerciales.
• Promover una cultura organizacional basada en la protección de datos personales, que facilite la identificación oportuna de riesgos y la implementación de medidas técnicas, organizativas y contractuales adecuadas para mitigarlos.
• Determinar los roles, responsabilidades y canales de reporte necesarios para asegurar la implementación efectiva de esta Política Corporativa y el cumplimiento del marco normativo aplicable.

2. Alcance

Esta Política Corporativa es aplicable a todas las actividades de tratamiento de datos personales realizadas por la Empresa, ya sea directamente o por medio de terceros que actúen en su nombre. Esto incluye, sin limitarse a ello, a sus trabajadores, colaboradores, contratistas, proveedores de servicios, socios comerciales y cualquier otra entidad que participe en operaciones que involucren el tratamiento de datos personales bajo responsabilidad de la Empresa.

El alcance de esta Política Corporativa es transversal y debe ser aplicada con independencia de la base de licitud que justifique el tratamiento; el mecanismo a través del cual se recolectan los datos personales; la tecnología, soporte o medio utilizado para tratar estos datos personales; los fines específicos del tratamiento o la categoría de titulares a quienes conciernen los respectivos datos personales.

3. Marco normativo aplicable

Las siguientes normas determinan la interpretación y aplicación de esta Política Corporativa en atención al territorio, naturaleza y alcance de las operaciones de tratamiento realizadas por la Empresa:

Regulación chilena en materia de protección de datos personales. Este marco normativo incluye los siguientes cuerpos normativos:

• Constitución Política de la República de Chile, en particular su artículo 19 N°4.
• Ley N°19.628 sobre Protección de la Vida Privada.
• Ley N°21.719 que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos.
• Ley N°20.575 que establece el Principio de Finalidad en el Tratamiento de Datos Personales.
• En general, cualquier otra norma legal y/o reglamentaria que resulte aplicable al tratamiento de datos personales efectuado por la Empresa.

Para efectos de esta Política Corporativa, el conjunto de normas enunciadas previamente se entenderá como la “Regulación de Protección de Datos”.

En caso de contradicción entre esta Política Corporativa y la Regulación de Protección de Datos, prevalecerá lo señalado en esta última y la Política Corporativa se tendrá por no escrita en la parte contradictoria.

4. Definiciones

Agencia: Referido a autoridades, locales o regionales, que cuentan con competencias para supervisar, fiscalizar, instruir procedimientos, dictar resoluciones y, en su caso, sancionar a personas naturales o jurídicas que realicen tratamientos de datos personales, en conformidad con la Regulación de Protección de Datos.

Anonimización: procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona. Un dato anonimizado deja de ser un dato personal.

Base de datos: conjunto organizado de datos personales, cualquiera sea la finalidad, forma o modalidad de su creación, almacenamiento, organización y acceso, que permita relacionar los datos entre sí, así como realizar su tratamiento.

Datos Personales: Cualquier información vinculada o referida a una persona natural identificada o identificable. Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante uno o más identificadores, tales como el nombre, el número de cédula de identidad, el análisis de elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

Datos Sensibles: Datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural.

Derechos ARSOP: Cualquiera de los derechos reconocidos por la Regulación de Protección de Datos en favor de los titulares.

Empresa:FDD Innovación y Crecimiento S.A. (“amiPASS”).

Mandatario: Cualquier tercero, ya sea persona natural o jurídica, que trate datos personales en representación de la Empresa. En estos casos, el mandatario de la Empresa actuará siguiendo siempre sus directrices e instrucciones.

Política Corporativa: Referido a esta Política Corporativa de Protección de Datos Personales.

Responsable: Persona natural o jurídica, pública o privada, que decide sobre los fines y medios del tratamiento de datos personales, independientemente de si los datos son tratados directamente por ella o a través de un mandatario del tratamiento.

Seudonimización: tratamiento de datos personales que se efectúa de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona natural identificada o identificable.

Titular: Persona natural a la que se refieren los datos personales.

Tratamiento: Cualquier operación o complejo de operaciones o procedimientos técnicos, de carácter automatizado o no, que permitan recolectar, almacenar, grabar, organizar, elaborar, seleccionar, extraer, confrontar, interconectar, disociar, comunicar, ceder, transferir, transmitir o cancelar datos de carácter personal, o utilizarlos en cualquier otra forma.

5. Lineamientos generales

5.1. Principios del Tratamiento de Datos Personales

Los principios normativos orientan la interpretación y aplicación de esta Política Corporativa y la Regulación de Protección de Datos. En este sentido, todo tratamiento realizado por la Empresa deberá observar los siguientes principios normativos:

• Principio de licitud y lealtad. Todo tratamiento deberá realizarse conforme a la Regulación de Protección de Datos y a esta Política Corporativa, actuando siempre de manera leal con los titulares.
• Principio de finalidad. Los datos deben recolectarse con fines determinados, explícitos y lícitos, los que deben ser informados al titular en la instancia correspondiente. No podrán utilizarse para finalidades distintas, salvo que sean compatibles, cuenten con una nueva base de licitud o exista una habilitación legal.
• Principio de proporcionalidad. Solo se tratarán los datos personales necesarios, pertinentes y adecuados al propósito perseguido. Antes de iniciar un tratamiento, deberá evaluarse el uso de alternativas menos intrusivas y, en este sentido, la necesidad eventual o conveniencia no podrán justificar el tratamiento. Los datos deberán eliminarse o anonimizarse una vez cumplida la finalidad, salvo disposición legal o el otorgamiento de consentimiento del titular que faculte una conservación mayor.
• Principio de calidad. Los datos deben mantenerse exactos, completos, actualizados y pertinentes. Asimismo, se deberán desarrollar e implementar medidas para corregir o eliminar datos personales inexactos, obsoletos o innecesarios.
• Principio de responsabilidad. Las entidades que participen en el tratamiento de datos personales serán legalmente responsables del cumplimiento de la Regulación de Protección de Datos y de esta Política Corporativa.
• Principio de seguridad. Deberán aplicarse medidas técnicas y organizativas adecuadas para proteger los datos personales frente a accesos no autorizados, pérdidas, filtraciones, daños o destrucción, cumpliendo con los criterios y estándares de seguridad establecidos por la Regulación de Protección de Datos.
• Principio de transparencia e información. La Empresa deberá garantizar a los titulares el acceso permanente y gratuito a sus políticas de tratamiento, y entregar toda información exigida por la normativa en forma clara, precisa y comprensible.
• Principio de confidencialidad. La Empresa y todos los destinatarios de esta Política Corporativa deberán mantener confidencialidad acerca de los datos personales a los que accedan. El responsable implementará controles y medidas adecuadas para preservar el secreto o confidencialidad. Este deber subsiste aún después de concluida la relación con el titular.

5.2. Bases de Licitud para el Tratamiento de Datos Personales

Todo tratamiento de datos personales realizado por la Empresa deberá fundarse en una base de licitud reconocida por la Regulación de Protección de Datos aplicable. Será responsabilidad de la Empresa identificar, documentar y justificar la base de licitud que respalde cada actividad de tratamiento, ya sea ejecutada directamente o por medio de terceros, velando por su adecuación y vigencia durante todo el ciclo de vida del tratamiento.

Los tratamientos de datos personales podrán fundamentarse en las siguientes bases de licitud: el consentimiento del titular; la ejecución o cumplimiento de obligaciones legales o reglamentarias; la celebración o ejecución de un contrato entre el titular y la Empresa, o la ejecución de medidas precontractuales solicitadas por el titular; la satisfacción de intereses legítimos de la Empresa o de terceros; o la formulación, ejercicio o defensa de un derecho ante organismos competentes.

5.3. Privacidad desde el Diseño y por Defecto

La Empresa se obliga a implementar medidas técnicas y organizativas adecuadas para garantizar la protección de los datos desde el diseño, tanto antes como durante su tratamiento. Asimismo, se compromete a adoptar medidas que, por defecto, permitan tratar únicamente los datos personales específicos y necesarios para cumplir los propósitos correspondientes.

Estas medidas cumplirán con los estándares exigidos por la Regulación de Protección de Datos y serán aplicables a todas las operaciones, sistemas, aplicaciones, procesos y proyectos de la Empresa que impliquen el tratamiento de datos personales.

5.4. Información y Transparencia

La Empresa garantiza a los titulares un acceso adecuado, claro y oportuno a la información esencial sobre el tratamiento de sus datos personales, a través de la elaboración, publicación y actualización regular de sus políticas de privacidad.

Se adoptarán siempre las medidas necesarias para asegurar que los titulares reciban, de forma comprensible y accesible, la información mínima esencial sobre los tratamientos que les conciernen. Esta información incluirá, al menos:

• Fecha y versión de la política respectiva.
• Identificación de la Empresa, su representante legal y el Delegado de Protección de Datos, cuando corresponda.
• Identificación del punto de contacto.
• Bases de licitud que justifican los tratamientos.
• Alcance del tratamiento de datos, incluyendo: tipos de datos personales que son objeto de tratamiento, fuentes de las cuáles provienen los datos personales, descripción genérica del universo de titulares; destinatarios a los que se prevé transferir datos personales, y las finalidades del tratamiento.
• Medidas de seguridad adoptadas para proteger los datos personales.
• Reconocimiento de los derechos de los titulares.
• Identificación de escenarios de transferencia internacional de datos personales.
• Plazo de conservación de los datos personales.
• Existencia de decisiones automatizadas y elaboración de perfiles, y la lógica aplicada en ellos.

6. Transferencia de datos personales

6.1. Comunicación de datos personales a un mandatario

La contratación de proveedores que traten datos personales sobre los cuales la Empresa actúa como responsable o mandataria de otro responsable, deberá estar regulada mediante un mandato escrito.

Este mandato podrá formalizarse en un anexo de mandato si el proveedor es calificado como “Crítico” en materia de protección de datos, o mediante una cláusula de mandato si el proveedor es calificado como “No Crítico”, conforme a los criterios establecidos por la Empresa. Independientemente de la modalidad utilizada (anexo o cláusula), este mandato deberá considerar, al menos, los siguientes elementos:

• Objeto del encargo;
• Duración del encargo;
• Finalidad del tratamiento;
• Tipo de datos personales tratados;
• Categorías de titulares a quienes conciernen los datos;
• Facultades para subdelegar el encargo;
• Deberes de confidencialidad;
• Medidas de seguridad a ser implementadas;
• Regulación de ámbitos de responsabilidad; y
• Derechos y obligaciones de las partes.

6.2. Comunicación de datos desde un tercero responsable a la Empresa actuando como mandatario

Cuando un tercero comunique datos personales a la Empresa y esta los recibe en calidad de mandataria, se deberá celebrar un mandato para el tratamiento de datos personales, en los mismos términos descritos en el punto anterior.

La Empresa deberá verificar que el responsable que transfiere los datos personales cuenta con una base de licitud adecuada y que cumple íntegramente con la Regulación de Protección de Datos, dejando constancia de estas circunstancias en el mandato correspondiente.

La Empresa deberá ceñirse a las instrucciones establecidas en el mandato, asumiendo responsabilidad por cualquier actuación que contravenga estas disposiciones.

6.3. Cesión de datos personales a otro responsable

Las cesiones de datos personales que realice la Empresa deberán constar por escrito e indicar, al menos, los siguientes elementos: (1) individualización de las partes; (2) datos personales objeto de la cesión; (3) finalidades previstas para el tratamiento; y (4) los demás antecedentes o estipulaciones que acuerden el cedente y el cesionario.

6.4. Cesión de datos personales de un tercero responsable a la Empresa actuando como responsable

Si un tercero cede datos personales a la Empresa y esta los recibe en calidad de responsable, se deberán tomar las medidas necesarias para asegurar que la Empresa pueda usar los datos lícitamente para el propósito deseado. En este contexto, la cesión deberá constar por escrito y e indicar, al menos, los mismos puntos descritos en la sección anterior.

6.5. Transferencia internacional de datos personales

La transferencia de datos personales efectuada por la Empresa a un tercero ubicado fuera de del territorio de la República de Chile deberá cumplir estrictamente con la Regulación de Protección de Datos.

Cuando sea requerido por la Regulación de Protección de Datos, la Empresa informará a los titulares, a través de sus políticas de privacidad, si sus datos personales serán transferidos fuera del territorio nacional.

Asimismo, la Empresa priorizará las transferencias internacionales hacia terceros que cuenten con políticas adecuadas de tratamiento de datos personales, y hacia países cuya normativa de protección de datos personales garantice un nivel de protección igual o superior al establecido en Chile.

7. Derechos ARSOP

7.1. Derechos reconocidos por la Regulación de Protección de Datos

La Empresa informará a los titulares respecto de los derechos que les asisten conforme a la Regulación de Protección de Datos.

Será responsabilidad de la Empresa identificar los derechos reconocidos en cada caso, implementar mecanismos accesibles, claros y eficaces para facilitar su ejercicio, y verificar el cumplimiento de los requisitos legales y operativos necesarios para resolver de manera adecuada las solicitudes presentadas por los titulares.

Los derechos reconocidos en Chile son los derechos de acceso, rectificación, supresión, oposición y portabilidad.

El ejercicio de los derechos no es absoluto y se deberá analizar en cada caso si la Empresa puede negar su ejercicio, de acuerdo con los criterios establecidos por la Regulación de Protección de Datos.

7.2. Procedimiento de Tramitación de Solicitudes de Derechos ARCO

La Empresa implementará mecanismos y herramientas tecnológicas adecuadas para permitir a los titulares el ejercicio de sus Derechos ARSOP.

Con independencia de los mecanismos y herramientas utilizadas, los procedimientos de gestión de Derechos ARSOP deberán ser:

• Por regla general, gratuitos. No obstante, en aquellos escenarios en que la Regulación de Protección de Datos lo permita expresamente, la Empresa podrá cobrar al titular por la entrega de determinados comprobantes o certificados.
• Expeditos, permitiendo acusar recibo del requerimiento de Derechos ARCO, y otorgar respuesta dentro del plazo más pronto posible y siempre dentro de los términos establecidos por la Regulación de Protección de Datos.

La Empresa elaborará y mantendrá procedimientos específicos que permitan la recepción y tramitación de las solicitudes de Derechos ARCO que presenten los titulares.

8. Seguridad y confidencialidad de los datos personales

8.1. Medidas de seguridad

La Empresa se compromete a diseñar, implementar y mantener medidas de seguridad técnicas y organizativas adecuadas para garantizar que el tratamiento de datos personales se realice conforme a los estándares exigidos por la Regulación de Protección de Datos aplicable. Estas medidas estarán orientadas a (1) proteger la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales y los sistemas de información de la Empresa; y (2) evitar la alteración, destrucción o pérdida de los datos personales, o el tratamiento o acceso no autorizado de ellos.

Todas las medidas adoptadas deberán cumplir, como mínimo, con los principios y lineamientos transversales establecidos en esta Política Corporativa.

Para determinar las medidas de seguridad específicas, la Empresa considerará constantemente los siguientes factores:

• Estado actual de la técnica;
• Costos de implementación;
• Naturaleza, alcance, contexto y fines del tratamiento; y
• Probabilidad de los riesgos y gravedad de sus efectos.

8.2. Gestión de incidentes de seguridad

Ante la detección de una vulneración a las medidas de seguridad que afecte datos personales tratados por la Empresa, se deberá informar de inmediato a los equipos de Seguridad de la Información y Ciberseguridad para su adecuada gestión conforme a los procedimientos corporativos establecidos.

La gestión de estos incidentes deberá incluir, cuando corresponda, la notificación a las autoridades competentes y a los titulares de datos, conforme a lo establecido en la Regulación de Protección de Datos aplicable.

8.3. Evaluaciones de impacto en protección de datos personales

Antes de iniciar cualquier actividad de tratamiento en el marco de las operaciones de la Empresa, se realizará una evaluación de las medidas de seguridad a implementar, con el propósito de verificar su idoneidad.

Cuando el tratamiento proyectado implique riesgos para los derechos o libertades de los titulares, la evaluación deberá ser especialmente detallada y exhaustiva, asegurando un análisis riguroso de los posibles impactos y las medidas de mitigación correspondientes.

8.4. Correlación entre instrumentos corporativos

La Empresa velará por el cumplimiento del estándar de seguridad establecido por la Regulación de Protección de Datos, a través de la elaboración e implementación o adecuación de diversos instrumentos corporativos, tales como la Política de Seguridad de la Información y Ciberseguridad, Políticas de Privacidad específicas para determinados ámbitos de tratamiento, procedimientos, protocolos o cualquier otra norma interna. Estos instrumentos deberán garantizar la protección coordinada e integral de la seguridad, confidencialidad, integridad y disponibilidad de los datos personales en todas las operaciones de la Empresa.

8.5. Confidencialidad de los datos personales

La Empresa debe garantizar la confidencialidad de los datos personales que trate en el desarrollo de sus operaciones. Para ello, implementará las medidas necesarias para asegurar que tanto sus dependientes como las personas naturales o jurídicas que ejecuten operaciones de tratamiento bajo su responsabilidad cumplan el deber de secreto o confidencialidad.

La Empresa cumplirá con el deber de secreto o confidencialidad incluso después de que finalice la relación con el titular.

9. Formación y conciencia

La Empresa implementará un plan anual de formación con el propósito de fomentar y consolidar una cultura de protección de datos personales.

El calendario y las respectivas campañas de sensibilización serán definidos durante el último trimestre del año previo a su ejecución.

Estas actividades podrán ser de carácter general, esto es, dirigidas a todos los colaboradores de la Empresa (y si se estima conveniente, a directores, proveedores, y/u otros que traten datos personales por cuenta de la Empresa), o específicas, es decir, orientadas a aquellas áreas y personas que en virtud de su actividad requieren una mayor profundidad en el tema.

10. Roles y responsabilidades

Los siguientes roles tendrán las responsabilidades que se establecen a continuación en materia de protección de datos y cumplimiento de esta Política Corporativa.

Directorio amiPASS

• Aprobar esta Política Corporativa.
• Proporcionar los recursos necesarios dentro del presupuesto disponible de la Empresa para que se puedan desarrollar las funciones asociadas a la protección de Datos Personales.

Delegado de Protección de Datos

• Supervisar el cumplimiento de la Regulación de Protección de Datos.
• Ejecutar y supervisar la implementación de la Política Corporativa.
• Elaborar o coordinar la elaboración de instrumentos corporativos internos destinados a operativizar la aplicación de la Política Corporativa.
• Asesorar al Directorio en materia de protección de datos personales.
• Emitir opiniones sobre actividades y proyectos que involucren actividades de tratamiento de datos personales.
• Diseñar, coordinar o supervisar programas de formación para el personal respecto del tratamiento adecuado de datos personales.
• Fomentar una cultura organizacional orientada a la privacidad y la protección de los derechos de los titulares.
• Coordinar, supervisar y resolver los procesos para atender y resolver solicitudes de ejercicio de derechos por parte de los titulares de datos.
• Actuar como punto de contacto con la Agencia de Protección de Datos.
• Colaborar en auditorías, inspecciones y procedimientos internos o promovidos por autoridades competentes.
• Notificar a la Agencia sobre incidentes de seguridad.
• Evaluar la necesidad de notificar a titulares de datos personales.
• Asesorar en las medidas de mitigación y prevención requeridas para resolver incidentes de seguridad.
• Mantener un registro actualizado de actividades de tratamiento y de riesgos asociados.
• Reportar directamente al nivel más alto de la estructura organizacional.

Responsables de Áreas Operativas

• Asegurar que las operaciones de tratamiento de datos personales realizadas en el marco de sus funciones se ajusten a la Política Corporativa y a la Regulación de Protección de Datos.
• Identificar y documentar los procesos que involucren tratamiento de datos personales en sus áreas respectivas.
• Adoptar las medidas técnicas y organizativas necesarias para evitar tratamientos excesivos o innecesarios.
• Coordinar con el Delegado de Protección de Datos la adecuada atención de las solicitudes de los titulares de datos personales.
• Comunicar al Delegado de Protección de Datos la identificación de incidentes de seguridad.
• Colaborar en la gestión y resolución de incidentes relacionados con la protección de datos personales.
• Promover buenas prácticas en materia de protección de datos personales entre los miembros de su equipo.
• Participar activamente en las capacitaciones y procesos de sensibilización sobre protección de datos personales.

Todos los destinatarios de esta Política

• Cumplir las políticas, normas y procedimientos en materia de protección de datos.
• Reportar al Delegado de Protección de Datos Personales, al correo electrónico que se informe oportunamente, cualquier anomalía o evento que pueda significar una afectación, real o potencial, de la información de la Empresa.

El monitoreo del conocimiento de esta Política se realizará periódicamente, para comprobar la efectividad de los procedimientos adoptados y verificar la conformidad del Tratamiento y protección de Datos Personales en conformidad con la Regulación Aplicable y esta Política Corporativa.

Cada área de la Empresa será responsable de velar por el conocimiento y cumplimiento de esta Política, tanto al interior de su área como a nivel de toda la empresa respecto de las materias que a ella le competen.

11. Denuncias y consultas

La Política Corporativa estará disponible en la intranet y será distribuida a todos los colaboradores de la Empresa.

Ante cualquier duda, sospecha o verificación de incumplimiento de esta Política Corporativa, se deberá informar a la brevedad posible al Delegado de Protección de Datos a través del canal de contacto que oportunamente se informe, quien proporcionará la asistencia necesaria para gestionar adecuadamente el respectivo asunto.

12. Consecuencias del incumplimiento

Los destinatarios de la Política Corporativa deben tener presente que su incumplimiento, así como el de la Regulación de Protección de Datos, puede acarrear consecuencias significativas para los distintos actores involucrados en las operaciones de tratamiento. Estas consecuencias alcanzan a:

• La Empresa: infracciones legales, responsabilidad civil, pérdidas comerciales y daño reputacional, entre otras.
• Los trabajadores: sanciones disciplinarias.
• Titulares de datos personales: perjuicio moral y patrimonial.

En consecuencia, todos los destinatarios de esta Política Corporativa deberán cumplir estrictamente sus disposiciones, así como con las normas, procedimientos y cualquier documento complementario que se emita para adecuar su aplicación.

Ante la detección de cualquier incumplimiento de esta Política Corporativa o la Regulación de Protección de Datos, quien lo identifique deberá reportar inmediatamente esta circunstancia al Delegado de Protección de Datos. La persona que detente este cargo evaluará la situación y coordinará las medidas necesarias para mitigar los potenciales daños, restablecer el cumplimiento de la Política Corporativa y prevenir la reiteración de incidentes similares.

13. Revisión y control

El cumplimiento de esta Política Corporativa será evaluado y supervisado periódicamente. La responsabilidad de esta supervisión corresponde al Delegado de Protección de Datos o a quien este le encomiende el ejercicio de esta función.

La Política Corporativa será revisada anualmente y, eventualmente, actualizada por el Delegado de Protección de Datos con el propósito de asegurar su adecuación ante cambios relevantes en materia legislativa, organizacional, tecnológica o derivados de obligaciones contractuales contraídas por la Empresa, permitiendo de esta manera una mejora continua y periódica de los estándares de protección de datos personales.

14. Vigencia

Teniendo en cuenta los tiempos, recursos, y esfuerzos requeridos para implementar adecuadamente lo dispuesto en esta Política, sus disposiciones adquirirán vigencia en el plazo de tres (3) meses siguientes a su publicación.

15. Publicación

Esta Política será publicada y distribuida al Directorio, Gerentes, Subgerentes, a todas las áreas de amiPASS y a terceras partes que deban estar en conocimiento, en conformidad con los procedimientos que se establezcan con tal propósito.

Documento oficial: en caso de discrepancia entre esta transcripción y el documento original firmado (versión febrero 2026), prevalece el documento original. El Delegado de Protección de Datos informará oportunamente su canal de contacto.