Transferencia internacional de datos personales desde Chile
Guía sobre transferencia internacional de datos Chile: marco legal de la Ley 21.719, proveedores frecuentes (Google, Microsoft, AWS, Shopify) y qué documentar.
La transferencia internacional de datos personales ocurre cuando datos de titulares en Chile son transmitidos o accedidos desde otro país. Si tu empresa usa Google Workspace, Microsoft 365, AWS, Shopify, HubSpot, Mailchimp, Vercel o Cloudflare — y la mayoría de las pymes chilenas usan al menos uno — ya estás realizando transferencias internacionales, probablemente sin haberlo documentado en tu inventario de tratamientos.
La Ley 21.719 regula estas transferencias y exige que el responsable del tratamiento garantice un nivel adecuado de protección. Esta guía explica el marco legal, cómo evaluar tus proveedores y qué documentar.
Qué es una transferencia internacional de datos
Una transferencia internacional se produce cuando los datos personales salen del territorio chileno o son accedidos desde el extranjero. Esto incluye:
- Almacenar datos en servidores ubicados fuera de Chile
- Compartir datos con un proveedor cuya sede o servidores están en otro país
- Permitir que un proveedor acceda a datos desde el extranjero (soporte remoto, mantenimiento)
- Usar herramientas SaaS cuyos servidores procesan datos fuera de Chile
Marco legal en la Ley 21.719
La ley establece que la transferencia internacional de datos personales solo puede realizarse cuando se cumplan las condiciones que la norma prevé, entre ellas:
- Decisión de adecuación — La Agencia de Protección de Datos Personales reconoce que el país de destino ofrece un nivel adecuado de protección
- Cláusulas contractuales tipo — Aprobadas por la autoridad, que garanticen salvaguardas adecuadas
- Normas corporativas vinculantes — Para grupos empresariales con políticas internas aprobadas
- Consentimiento explícito del titular — Cuando ninguna otra base aplique
- Otras salvaguardas previstas en la ley
En la práctica, la mayoría de las pymes chilenas se apoyarán en cláusulas contractuales con sus proveedores y en las políticas de privacidad y acuerdos de procesamiento de datos (DPA) que estos ofrecen.
Cómo evaluar una transferencia internacional
Para cada proveedor que trate datos personales fuera de Chile, documenta:
- ¿Qué datos se transfieren? — Categorías y volumen
- ¿A qué país? — Ubicación de servidores y sede del proveedor
- ¿Con qué finalidad? — El tratamiento registrado en tu inventario
- ¿Qué salvaguardas existen? — DPA, cláusulas contractuales, certificaciones
- ¿Cuál es el riesgo residual? — Evaluación proporcional al tipo de datos
Incluye cada transferencia en tu inventario de tratamientos e informa al titular en tu política de privacidad.
Proveedores frecuentes en empresas chilenas
Esta tabla resume los servicios más habituales en pymes chilenas. Si usas alguno de ellos, es muy probable que ya realices transferencias internacionales:
| Servicio | Transferencia internacional |
|---|---|
| Google Workspace | Sí |
| Microsoft 365 | Sí |
| Amazon Web Services (AWS) | Sí |
| Shopify | Sí |
| HubSpot | Sí |
| Mailchimp | Sí |
| Vercel | Sí |
| Cloudflare | Sí |
A continuación, el detalle de cada proveedor con datos típicos, salvaguardas y qué documentar.
Google Workspace y Google Analytics
| Aspecto | Detalle |
|---|---|
| Datos típicos | Correos, documentos, contactos, datos de navegación |
| Ubicación | Servidores globales de Google (EE.UU., UE, otros) |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA de Google, cláusulas contractuales estándar |
| Qué documentar | Aceptación del DPA, finalidades de uso, si Analytics anonimiza IP |
Microsoft 365
| Aspecto | Detalle |
|---|---|
| Datos típicos | Correos, archivos, contactos, Teams |
| Ubicación | Datacenter según configuración (puede incluir EE.UU.) |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA de Microsoft, SCCs |
| Qué documentar | DPA aceptado, región del tenant, finalidades |
Amazon Web Services (AWS)
| Aspecto | Detalle |
|---|---|
| Datos típicos | Datos de aplicaciones, bases de datos, backups |
| Ubicación | Región configurable (sa-east-1 en São Paulo es la más cercana) |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA de AWS, SCCs |
| Qué documentar | Región seleccionada, DPA, qué datos aloja cada servicio |
Shopify
| Aspecto | Detalle |
|---|---|
| Datos típicos | Datos de clientes, pedidos, pagos |
| Ubicación | Canadá (sede), servidores globales |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA incluido en términos de servicio, cláusulas para transferencias |
| Qué documentar | Datos de clientes alojados, finalidades de procesamiento |
HubSpot
| Aspecto | Detalle |
|---|---|
| Datos típicos | Contactos, leads, interacciones de marketing |
| Ubicación | EE.UU. (sede), servidores en EE.UU. y UE |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA de HubSpot, SCCs |
| Qué documentar | Datos de CRM transferidos, consentimiento de contactos |
Mailchimp (Intuit)
| Aspecto | Detalle |
|---|---|
| Datos típicos | Suscriptores, emails, métricas de campaña |
| Ubicación | EE.UU. |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA en términos de servicio, SCCs |
| Qué documentar | Base de licitud del envío (consentimiento), DPA aceptado |
Vercel
| Aspecto | Detalle |
|---|---|
| Datos típicos | Logs de acceso, datos de formularios si se procesan en edge |
| Ubicación | Red global de edge (EE.UU., UE, otros) |
| Rol | Encargado del tratamiento (hosting) |
| Salvaguardas | DPA de Vercel, SCCs |
| Qué documentar | Qué datos transitan por Vercel, región de despliegue |
Cloudflare
| Aspecto | Detalle |
|---|---|
| Datos típicos | IPs, headers HTTP, datos de tráfico (CDN/WAF) |
| Ubicación | Red global (200+ ciudades) |
| Rol | Encargado del tratamiento |
| Salvaguardas | DPA de Cloudflare, SCCs |
| Qué documentar | Datos que transitan por la CDN, configuración de logs |
Pasos prácticos para documentar tus transferencias
- Lista todos tus proveedores en la nube — Revisa correo, hosting, CRM, analítica, marketing, nómina, contabilidad
- Identifica cuáles procesan datos fuera de Chile — Revisa su DPA o política de privacidad
- Acepta o firma los DPA — La mayoría de proveedores SaaS los ofrecen en línea
- Registra cada transferencia en tu inventario — País, datos, salvaguardas
- Informa en tu política de privacidad — Menciona los proveedores y países de destino
- Revisa anualmente — Los proveedores cambian infraestructura y políticas
Cómo documentarlo en el inventario de tratamientos
Cada transferencia internacional debe quedar registrada en tu inventario de tratamientos, vinculada al tratamiento que la origina. Ejemplo de cómo documentar Mailchimp en el tratamiento "Comunicaciones comerciales":
| Campo del inventario | Valor de ejemplo |
|---|---|
| Tratamiento | Comunicaciones comerciales (newsletter) |
| Encargado | Mailchimp (Intuit) |
| Datos transferidos | Email, nombre |
| País de destino | EE.UU. |
| Salvaguarda | DPA aceptado, cláusulas contractuales estándar |
| Base de licitud | Consentimiento del titular (Art. 12) |
Este registro alimenta tu política de privacidad, tus contratos con encargados y la evidencia que un auditor solicitará. Sin inventario actualizado, las transferencias quedan invisible para el cumplimiento.
Transferencias y el plan de implementación
Las transferencias internacionales son un componente del plan para implementar la Ley 21.719. Deben abordarse junto con el inventario de tratamientos, los contratos con encargados y la política de privacidad.
Para empresas SaaS que procesan datos de usuarios chilenos desde infraestructura internacional, este tema es especialmente crítico: tus clientes enterprise preguntarán dónde están los datos y qué salvaguardas existen.
CumpleLeyDatos y transferencias internacionales
CumpleLeyDatos opera sobre infraestructura con proveedores que cumplen estándares internacionales de protección de datos. El SaaS CLD te ayudará a documentar tus propias transferencias en el módulo de inventario de tratamientos.
Solicita acceso anticipado y prepara tu organización para demostrar cumplimiento en transferencias internacionales.
También te puede interesar: Registro e inventario de bases de datos, Software para gestión de consentimiento, Auditoría de cumplimiento y Cómo elegir una solución de cumplimiento.
Fuentes y referencias
Este artículo tiene fines informativos y no constituye asesoría legal.
¿Quieres automatizar el cumplimiento?
CumpleLeyDatos ayuda a gestionar consentimientos, solicitudes de derechos y políticas conforme a la Ley 21.719.
Solicitar acceso anticipado →