Anexo de Tratamiento de Datos de MUUD

Este Anexo de Tratamiento de Datos ("DPA") forma parte del acuerdo entre MUUD SpA, RUT 77.634.166-5, Av. Presidente Kennedy 5600, Of. 507, Vitacura, Santiago, Chile, o, para los clientes en Estados Unidos, MUUD Inc. conforme a la Sección 1.4 ("MUUD"), y el Cliente Institucional (el "Cliente") para la prestación de los Servicios de MUUD. El Cliente acepta este DPA al firmar una Orden que lo mencione o al aceptar los Términos de Servicio de MUUD. A solicitud del Cliente, MUUD entregará una copia firmada.

1. Alcance y prelación

1.1 Este DPA se aplica a todos los Datos Personales del Cliente que MUUD trate por cuenta del Cliente al prestar los Servicios, mientras MUUD los trate.

1.2 En caso de conflicto, se aplica el siguiente orden: (a) las Cláusulas Contractuales Tipo y los demás instrumentos de transferencia de la Sección 8, en las materias que regulan; (b) un acuerdo de tratamiento de datos o anexo de datos firmado por MUUD y el Cliente, incluido el anexo de datos del contrato estándar de MUUD para colegios en Chile; (c) este DPA; (d) la Orden; y (e) los Términos de Servicio.

1.3 Este DPA no se aplica a la información de salud protegida tratada para prestadores de salud en Estados Unidos, que se rige por un Business Associate Agreement separado.

1.4 Clientes en Estados Unidos. Para las Órdenes con Clientes Institucionales en Estados Unidos, el encargado y parte de este DPA es MUUD Inc., sociedad de Delaware de propiedad total de MUUD SpA, y las referencias a "MUUD" se refieren a MUUD Inc. MUUD SpA opera y da soporte a los Servicios por cuenta de MUUD Inc. como Subencargado indicado en el Anexo III, en virtud de un acuerdo escrito de tratamiento de datos entre ambas sociedades no menos protector que este DPA, y MUUD Inc. sigue siendo plenamente responsable ante el Cliente por el cumplimiento de MUUD SpA.

2. Definiciones

Los términos no definidos aquí tienen el significado que les dan los Términos de Servicio de MUUD (https://muud.app/terminos-y-condiciones) o las Leyes de Protección de Datos Aplicables.

"Datos Personales del Cliente" son los datos personales incluidos en los Datos del Cliente, incluidos los Datos de Estudiantes, que MUUD trata por cuenta del Cliente.

"Responsable", "encargado", "titular", "violación de seguridad de los datos personales" y "tratamiento" tienen el significado que les da el RGPD, e incluyen los conceptos equivalentes de las demás Leyes de Protección de Datos Aplicables ("responsable" y "encargado" en Chile, España y México; "controlador" y "operador" en Brasil; el establecimiento o agencia educacional y el "school official" según FERPA).

"Subencargado" es el tercero contratado por MUUD que trata Datos Personales del Cliente.

"Política de Privacidad" es la Política de Privacidad de MUUD publicada en https://muud.app/politica-de-privacidad.

"Cláusulas Contractuales Tipo" o "CCT" son las cláusulas aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.

3. Roles e instrucciones

3.1 El Cliente es el responsable y MUUD es el encargado del tratamiento de los Datos Personales del Cliente. MUUD es responsable independiente sólo de los datos descritos como tales en la Política de Privacidad (contactos de clientes, facturación, seguridad y datos del sitio web).

3.2 MUUD trata los Datos Personales del Cliente sólo según las instrucciones documentadas del Cliente, incluso respecto de las transferencias internacionales, salvo que la ley aplicable le exija otra cosa; en ese caso, MUUD informará al Cliente antes del tratamiento, salvo que la ley lo prohíba. Las instrucciones del Cliente son este DPA, la Orden, la configuración que el Cliente elija en los Servicios y cualquier otra instrucción escrita coherente con ellos.

3.3 MUUD informará de inmediato al Cliente si, a su juicio, una instrucción infringe las Leyes de Protección de Datos Aplicables, y podrá suspender el tratamiento afectado hasta que la instrucción se confirme o modifique.

3.4 El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de titulares se describen en el Anexo I.

4. Obligaciones del Cliente

4.1 El Cliente es responsable de la licitud del tratamiento que instruye, incluido el establecimiento de una base legal para cada finalidad y, respecto de los datos sensibles, de una excepción o condición válida conforme a las Leyes de Protección de Datos Aplicables.

4.2 El Cliente entrega a los titulares, y a los padres o apoderados de los niños, los avisos que exige la ley, usando cuando sea útil los modelos de aviso que entrega MUUD, y obtiene, registra y conserva los consentimientos o autorizaciones requeridos.

4.3 Alta de estudiantes. Cuando los estudiantes se registran con un código de curso, la App les pide su consentimiento expreso para el tratamiento de datos sensibles antes del primer check-in; este consentimiento complementa, pero no reemplaza, el consentimiento de los padres o apoderados que la ley exige para los niños menores de la edad aplicable, el cual obtiene el Cliente. Cuando el Cliente crea las cuentas mediante carga masiva, verifica que se hayan obtenido los consentimientos requeridos antes de enviar la nómina a MUUD, y pone los Términos de Servicio y la Política de Privacidad de MUUD a disposición de los usuarios cuyas cuentas crea, y de los padres o apoderados de los estudiantes, antes de su primer uso de los Servicios.

4.4 El Cliente designa al personal que puede ver los indicadores y alertas en los Servicios, mantiene actualizada su lista de usuarios y hace seguimiento de las alertas a través de su propio personal calificado y sus protocolos.

4.5 El Cliente no sube a los Servicios datos que no sean necesarios para los Servicios, como fichas de salud, expedientes disciplinarios o números de identificación oficiales.

5. Compromisos de MUUD sobre el uso de los datos

5.1 MUUD trata los Datos Personales del Cliente sólo para prestar, mantener, proteger y dar soporte a los Servicios para el Cliente. MUUD no: (a) los vende, arrienda ni comercializa; (b) los usa para publicidad, marketing ni segmentación conductual; (c) elabora perfiles de los titulares salvo en lo necesario para los Servicios; (d) los usa para entrenar modelos de inteligencia artificial, y prohíbe contractualmente a sus Subencargados de IA hacerlo; ni (e) los combina con datos de otras fuentes.

5.2 Texto libre. El contenido de las entradas de texto libre y de las conversaciones con el asistente de check-in nunca se muestra a ningún usuario del Cliente. El personal designado del Cliente sólo ve los indicadores y alertas derivados de los check-ins y los reportes agregados por grupo. Las entradas de texto libre y los registros de alertas tempranas se tratan como datos sensibles conforme al Anexo II.

5.3 Datos anonimizados. MUUD puede generar datos anonimizados y agregados a partir de los Datos Personales del Cliente para evaluar y mejorar los Servicios e informar tendencias de bienestar, siempre que esos datos no permitan razonablemente identificar a ninguna persona ni al Cliente, que MUUD no intente reidentificarlos y que nunca se usen para entrenar modelos de IA de terceros.

5.4 Estos compromisos subsisten al término del acuerdo y siguen obligando a cualquier sucesor de MUUD en una fusión, adquisición o venta de activos.

6. Confidencialidad y seguridad

6.1 MUUD da acceso a los Datos Personales del Cliente sólo al personal que lo necesita para prestar los Servicios, sujeto a obligaciones escritas de confidencialidad que subsisten al término de su relación y con capacitación en privacidad y seguridad. El acceso a los datos de estudiantes está limitado a un número reducido de roles identificados, registrados en el Registro de Actividades de Tratamiento de MUUD.

6.2 MUUD implementa y mantiene las medidas técnicas y organizativas del Anexo II, teniendo en cuenta el estado de la técnica, los costos de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, incluida la sensibilidad de los datos de niños. MUUD puede actualizar estas medidas siempre que no se reduzca el nivel general de protección.

7. Subencargados

7.1 Autorización general. El Cliente otorga a MUUD una autorización general para contratar Subencargados. Los Subencargados autorizados a la fecha de vigencia se indican en el Anexo III, y la lista vigente se publica en la Sección 8 de la Política de Privacidad.

7.2 Cambios. MUUD avisará al Cliente por correo de cualquier incorporación o reemplazo de un Subencargado con al menos 30 días de anticipación. El Cliente puede oponerse por motivos razonables de protección de datos dentro de esos 30 días. Si MUUD no puede atender la oposición, el Cliente puede poner término a los Servicios afectados sin penalidad y recibir el reembolso proporcional de las tarifas prepagadas no utilizadas. En una emergencia que afecte la seguridad o la continuidad de los Servicios, MUUD puede reemplazar a un Subencargado con un aviso más breve, indicando los motivos.

7.3 Traspaso de obligaciones. MUUD contrata a cada Subencargado mediante un contrato escrito que le impone obligaciones de protección de datos no menos protectoras que las de este DPA, y sigue siendo plenamente responsable ante el Cliente por el cumplimiento de las obligaciones de cada Subencargado.

7.4 Distribuidores Autorizados. Un Distribuidor Autorizado que revende los Servicios al Cliente no accede a los Datos Personales del Cliente a través de los Servicios salvo que el Cliente lo autorice por escrito. En ese caso, el distribuidor pasa a ser un Subencargado conforme a esta Sección 7 antes de recibir el acceso.

8. Transferencias internacionales

8.1 Ubicación. Los Datos Personales del Cliente se alojan en Estados Unidos. MUUD SpA está establecida en Chile, y su personal autorizado accede a los Datos Personales del Cliente de forma remota desde Chile. MUUD no transferirá Datos Personales del Cliente a ningún otro país sin cumplir esta Sección y la Sección 7.

8.2 UE/EEE. Cuando el Cliente esté sujeto al RGPD, se incorporan a este DPA las Cláusulas Contractuales Tipo, Módulo Dos (de responsable a encargado), con el Cliente como exportador de datos y MUUD como importador, y se aplican así: se aplica la Cláusula 7 (cláusula de incorporación); en la Cláusula 9 se aplica la Opción 2 (autorización general por escrito), con el plazo de aviso de la Sección 7.2; no se aplica el texto opcional de la Cláusula 11; en la Cláusula 13, la autoridad de control competente es la del Estado miembro donde esté establecido el Cliente; en las Cláusulas 17 y 18, la ley aplicable y los tribunales son los del Estado miembro donde esté establecido el Cliente. Los Anexos I, II y III de este DPA completan los Anexos de las CCT. MUUD ha realizado una evaluación de impacto de las transferencias, que entregará a solicitud, y usa el Módulo Tres de las CCT, o el Marco de Privacidad de Datos UE-EE.UU. cuando el Subencargado esté certificado, para las transferencias ulteriores.

8.3 Reino Unido. Para las transferencias sujetas al UK GDPR, se incorpora el International Data Transfer Addendum a las Cláusulas Contractuales Tipo de la Comisión Europea, emitido por el Information Commissioner conforme a la sección 119A de la Data Protection Act 2018, con la Tabla 1 completada con los datos de las partes de este DPA, la Tabla 2 con la Sección 8.2, la Tabla 3 con los Anexos I a III y, en la Tabla 4, ambas partes pueden terminar el Addendum según su Sección 19.

8.4 Suiza. Para las transferencias sujetas a la nLPD suiza, las CCT se aplican según la Sección 8.2 con estas adaptaciones: el Comisionado Federal de Protección de Datos e Información es la autoridad de control competente para las transferencias regidas por la nLPD; las referencias a "Estado miembro" incluyen a Suiza, de modo que los titulares en Suiza puedan demandar en su lugar de residencia habitual; y las referencias al RGPD incluyen la nLPD.

8.5 Brasil. Para las transferencias sujetas a la LGPD, se incorporan las cláusulas contractuales estándar aprobadas por la Resolución CD/ANPD N° 19/2024, con el Cliente como exportador (controlador) y MUUD como importador (operador), y prevalecen sobre este DPA en las materias que regulan.

8.6 Chile. Para las transferencias sujetas a la ley chilena, este DPA constituye el contrato que asegura un nivel adecuado de protección, incluidas las obligaciones de las Secciones 5 a 13, y a partir del 1 de diciembre de 2026 se aplicará conforme a la Ley N° 21.719 y a las cláusulas modelo que apruebe la Agencia de Protección de Datos Personales.

8.7 México. Las comunicaciones de Datos Personales del Cliente a MUUD y a sus Subencargados son remisiones a encargados conforme a la LFPDPPP. MUUD trata los datos sólo según las instrucciones del Cliente y su aviso de privacidad, y no los transfiere a terceros.

9. Solicitudes de los titulares

9.1 Si MUUD recibe una solicitud de un titular, de un padre, madre o apoderado, o del representante de MUUD, DataRep, relativa a Datos Personales del Cliente, MUUD la enviará al Cliente dentro de 5 días hábiles y no responderá directamente, salvo para acusar recibo y redirigir al solicitante, a menos que el Cliente instruya otra cosa.

9.2 Teniendo en cuenta la naturaleza del tratamiento, MUUD asiste al Cliente, a través de los Servicios y mediante medidas técnicas y organizativas adecuadas, para responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, y de los derechos ARCO, dentro de los plazos de las Leyes de Protección de Datos Aplicables. MUUD ejecuta las instrucciones de eliminación o corrección dentro de 5 días hábiles, o dentro del plazo menor que el Cliente requiera para cumplir un plazo legal.

10. Violaciones de seguridad de los datos personales

10.1 MUUD avisa al Cliente sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tomar conocimiento de una violación de seguridad de los datos personales que afecte a Datos Personales del Cliente, por correo al contacto designado del Cliente.

10.2 El aviso describe, en la medida que se conozca: la naturaleza de la violación, las categorías y el número aproximado de titulares y registros afectados; sus consecuencias probables; las medidas adoptadas o propuestas para abordar la violación y mitigar sus efectos; y un punto de contacto en MUUD. La información que no esté disponible al inicio se entrega por etapas sin dilación indebida.

10.3 MUUD coopera con el Cliente para que pueda cumplir sus obligaciones de notificación a las autoridades de control y a los titulares, y no los notifica en nombre del Cliente ni hace declaraciones públicas que lo mencionen sin su consentimiento, salvo que la ley lo exija.

11. Evaluaciones de impacto y consulta previa

MUUD entrega al Cliente la información razonablemente necesaria para realizar evaluaciones de impacto relativas a la protección de datos y, cuando corresponda, consultas previas a las autoridades de control, incluida una descripción de los Servicios, los flujos de datos, los Subencargados y las medidas de seguridad, y los resultados de la propia evaluación de impacto de los Servicios realizada por MUUD.

12. Auditorías

12.1 MUUD pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA, incluidos cuestionarios de seguridad completados, sus políticas y, cuando estén disponibles, informes de auditoría de terceros como los informes SOC 2, bajo confidencialidad.

12.2 Si esa información no basta para demostrar el cumplimiento, o si una autoridad de control lo exige, el Cliente puede realizar una auditoría, por sí o a través de un auditor independiente sujeto a confidencialidad, no más de una vez al año salvo después de una violación de seguridad de los datos personales, con al menos 30 días de aviso, en horario hábil y sin acceso a datos de otros clientes. Como MUUD opera íntegramente en la nube, las auditorías se realizan de forma remota mediante revisión de documentos y entrevistas. Los costos de la auditoría son de cargo del Cliente.

13. Devolución y eliminación

13.1 Durante la suscripción, el Cliente puede solicitar la eliminación de cualquier Dato Personal del Cliente, que MUUD ejecuta conforme a la Sección 9.2.

13.2 Al término o vencimiento de la Orden, MUUD pone los Datos Personales del Cliente a disposición para su exportación en un formato de uso común y lectura mecánica durante 60 días, y los elimina de los sistemas de producción dentro de los 90 días siguientes al término, incluidas las nóminas conservadas en almacenamiento restringido. Los respaldos se sobrescriben en su ciclo ordinario de rotación y permanecen aislados de todo tratamiento activo hasta entonces. MUUD certifica la eliminación por escrito a solicitud.

13.3 MUUD sólo puede conservar Datos Personales del Cliente después de esos plazos cuando la ley lo exija, en cuyo caso este DPA sigue aplicándose a ellos y se tratan sólo para ese fin.

14. Disposiciones por jurisdicción

14.1 UE/EEE, Reino Unido y Suiza. Las Secciones 3 a 13 contienen las estipulaciones que exigen el art. 28.3 del RGPD, el art. 28.3 del UK GDPR y el art. 9 de la nLPD. El representante de MUUD conforme al art. 27 del RGPD, el art. 27 del UK GDPR y el art. 14 de la nLPD es Data Protection Representative Limited (que opera como DataRep), 77 Camden Street Lower, Dublín, D02 XE80, Irlanda, datarequest@datarep.com. MUUD no ha designado un delegado de protección de datos, según consta en su determinación MUUD-PRIV-DET-002, disponible a solicitud.

14.2 España. MUUD actúa como encargado del tratamiento conforme al art. 28 del RGPD y al art. 33 de la LOPDGDD. Los datos de estudiantes menores de 14 años se tratan sólo con el consentimiento de quienes ejercen la patria potestad o con otra base legal establecida por el Cliente conforme a la legislación educativa española.

14.3 Brasil. MUUD actúa como operador conforme a la LGPD, trata los Datos Personales del Cliente según las instrucciones lícitas del Cliente (art. 39 de la LGPD), y apoya al Cliente en el cumplimiento del art. 14 de la LGPD y del ECA Digital (Ley N° 15.211/2025) respecto de niños, niñas y adolescentes. MUUD no ha designado un encarregado, según consta en su determinación MUUD-PRIV-DET-003, disponible a solicitud.

14.4 Chile. MUUD actúa como encargado del tratamiento conforme a la Ley N° 19.628 y, a partir del 1 de diciembre de 2026, a la Ley N° 21.719, y trata los Datos Personales del Cliente sólo en virtud de este contrato de encargo, con los deberes de confidencialidad, seguridad y eliminación que establece.

14.5 México. MUUD actúa como encargado conforme a la LFPDPPP, trata los Datos Personales del Cliente sólo según las instrucciones del Cliente, los mantiene confidenciales, aplica las medidas de seguridad del Anexo II y los elimina al término de la relación conforme a la Sección 13.

14.6 Estados Unidos. Cuando el Cliente sea un establecimiento o agencia educacional sujeto a FERPA, MUUD es un school official con un legitimate educational interest conforme a 34 CFR 99.31(a)(1), bajo el control directo del Cliente en cuanto al uso y mantenimiento de los registros educacionales, y no vuelve a divulgarlos salvo según las instrucciones del Cliente o lo permitido por FERPA. Respecto de los estudiantes menores de 13 años, el Cliente autoriza la recopilación de información personal conforme a COPPA sólo para el uso y beneficio del colegio y sin ningún otro fin comercial. MUUD cumple las leyes estatales de privacidad estudiantil aplicables, incluidas la SOPIPA y la sección 49073.1 del Education Code de California, la SOPPA de Illinois y la RCW 28A.604 de Washington. Cuando una ley estatal o el Cliente exijan un acuerdo de privacidad de datos específico, como el National Data Privacy Agreement del Student Data Privacy Consortium, ese acuerdo prevalece sobre este DPA en caso de conflicto.

15. Responsabilidad, vigencia y disposiciones generales

15.1 La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones de la Orden y de los Términos de Servicio, salvo que ninguna limitación se aplica a los derechos de los titulares conforme a las CCT u otros instrumentos de transferencia, o cuando la ley imperativa lo prohíba.

15.2 Este DPA permanece vigente mientras MUUD trate Datos Personales del Cliente, incluso después del término de la Orden y hasta su eliminación conforme a la Sección 13.

15.3 MUUD puede actualizar este DPA para reflejar cambios en la ley o en los Servicios, con al menos 30 días de aviso para los cambios sustanciales, que no podrán reducir la protección de los Datos Personales del Cliente. El Cliente puede oponerse y poner término según lo previsto en los Términos de Servicio.

15.4 Salvo en las materias regidas por las CCT u otros instrumentos de transferencia, este DPA se rige por la ley que rige la Orden y, en su defecto, por las leyes de Chile.

15.5 Este DPA se redactó en inglés. En caso de discrepancia entre esta traducción y la versión en inglés, prevalece la versión en inglés, salvo que la ley imperativa aplicable exija otra cosa.

Anexo I. Descripción del tratamiento

A. Partes

B. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas de seguridad

Anexo III. Subencargados autorizados

Subencargados autorizados a la fecha de vigencia de este DPA. Los cambios posteriores se avisan conforme a la Sección 7.2 y se reflejan en la Sección 8 de la Política de Privacidad, que contiene la lista vigente.