Mi proveedor de software está fuera de Chile: qué pide la Ley 21.719 y las 5 preguntas que tienes que hacerle

De día, tu negocio está en Chile: tu oficina, tu consulta, tu bodega, tu WhatsApp. De noche, los datos de tus clientes duermen en otra parte. En un servidor de otro país, que pertenece a una empresa con la que quizás nunca hablaste, contratada por alguien que ya no trabaja contigo.

No es una historia de fantasmas. Es lo normal: el hosting, el correo, el formulario, la agenda y la herramienta de inteligencia artificial que usas casi siempre son de proveedores extranjeros. La Ley 21.719 no lo prohíbe. Lo que pide es que sepas adónde van esos datos y puedas mostrar con qué garantía salieron.

¿Es ilegal que mi proveedor de software esté fuera de Chile?

No. Cuando los datos de tus clientes se guardan o se procesan en otro país, la ley lo llama transferencia internacional, y la regula en los artículos 27 y 28. Es lícita si se da una de estas tres condiciones:

• El país de destino tiene un nivel de protección adecuado, según lo determine la Agencia de Protección de Datos Personales, que publicará ese listado.
• Hay garantías por contrato: cláusulas contractuales, normas corporativas vinculantes u otros instrumentos que aseguren un trato adecuado de los datos. La Agencia también publicará cláusulas modelo, y las que se usen tal cual no requieren autorización adicional.
• Hay un modelo de cumplimiento o un mecanismo de certificación con garantías adecuadas.

La frase que importa viene después: la carga de acreditar que la transferencia es lícita es del responsable. Es decir, tuya. No del proveedor, no de quien te hizo la web.

¿Quién responde si el proveedor está en otro país?

Tú, como responsable: eres quien decide para qué se usan los datos y con qué herramientas. El proveedor extranjero es tu encargado, alguien que trata datos por tu cuenta y según tus instrucciones (art. 15 bis). Que esté en otro país no cambia ese reparto.

Aquí está el cambio de mirada del mes: la responsabilidad no se externaliza, se documenta. Contratar una plataforma extranjera no te saca del problema; dejar por escrito qué hace, dónde y con qué garantías, sí te deja en posición de demostrarlo. Y si tu desarrollador sumó por su cuenta otro proveedor, la ley exige que lo haya hecho con tu autorización específica y por escrito.

Para dimensionarlo sin dramatizar: la transferencia internacional ilícita está entre las infracciones graves, con multas de hasta 10.000 UTM. No es la regla para quien se ordena a tiempo; es la razón para ordenarse.

¿Cuál es el estado de la ley hoy?

La Ley 21.719 está publicada y su vigencia fijada es el 1 de diciembre de 2026. Existe un proyecto, ingresado el 1 de septiembre de 2026 y en la Comisión de Constitución del Senado sin votación, que la postergaría a diciembre de 2027. Mientras no se publique, la fecha vigente sigue siendo diciembre de este año.

La ley está publicada. La Agencia se está instalando. La fecha se discute. Que entra en vigencia, no se discute.

¿Dónde están mis proveedores de afuera sin que lo sepa?

En más lugares de los que crees. Antes de preguntarle nada a nadie, haz la lista. Estos son los sitios donde suelen esconderse:

• El hosting: el servicio que mantiene tu web encendida en internet, y sus respaldos.
• El correo de tu dominio y el servicio que envía los correos automáticos.
• Los formularios: el de contacto, el de reserva, el de Google que armaste para un evento.
• La agenda y los pagos en línea.
• La lista de correo masivo o el CRM, el sistema donde guardas tus contactos comerciales.
• La inteligencia artificial que responde consultas o redacta documentos con datos de clientes.
• El píxel y la analítica, que mandan datos de navegación a plataformas de publicidad.

No necesitas saber de servidores para hacer esta lista. Basta con preguntar "¿qué herramienta usa esto?" frente a cada pieza de tu negocio digital. El mapa completo, paso a paso, está en dónde viven los datos de tus clientes.

Si ese ejercicio te suena lejano, no eres el único. Según el estudio de LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), publicado el 23 de septiembre de 2026 con 127 organizaciones, solo el 34% tiene un Registro de Actividades de Tratamiento (RAT), que es justamente el documento donde queda anotado qué datos tratas, con qué herramienta y dónde.

¿Cuáles son las 5 preguntas que tienes que hacerle a tu proveedor extranjero?

Con la lista en la mano, cada proveedor tiene que poder responder estas cinco. Muchas respuestas ya están en sus términos o en su centro de ayuda; si no las encuentras, pídelas por escrito.

1. ¿En qué país quedan guardados mis datos, y también los respaldos?

A veces la web está en un país y las copias de seguridad en otro. Pide ambos. Algunos servicios permiten elegir la región donde se guardan los datos; si existe esa opción, anota cuál quedó configurada.

2. ¿Con qué garantía salen de Chile?

Busca el DPA, por data processing agreement: el acuerdo de tratamiento de datos, que es tu contrato de encargo con ese proveedor. Muchas plataformas grandes lo incluyen en sus condiciones, igual para todos los clientes, con cláusulas sobre transferencias. Descárgalo, guárdalo con fecha y anótalo en tu carpeta. Si no existe ningún documento así, ese proveedor es el primero que tienes que revisar.

3. ¿Qué otros proveedores tocan mis datos, y cómo me avisas si sumas uno?

Tu proveedor también usa proveedores: su propio hosting, su servicio de correo, su soporte. Se llaman subencargados. Pide la lista y el mecanismo de aviso. Es la diferencia entre saber dónde están tus datos y suponerlo.

4. Si hay un incidente, ¿cómo y cuándo me avisas?

El encargado tiene que reportarte una brecha de seguridad a ti, y eres tú quien debe comunicarla a la Agencia. Si tu proveedor está a varios husos horarios y no tienes un canal claro para recibir ese aviso, te vas a enterar tarde. Pide el procedimiento y deja anotado a qué correo llega.

5. Cuando termine el servicio, ¿cómo me devuelves o borras los datos?

Al terminar el encargo, el proveedor debe suprimir o devolver los datos. Pregunta en qué formato los entrega y cómo confirma el borrado. Así evitas el fantasma más común de todos: la cuenta de prueba que abriste hace tres años y que sigue guardando clientes en un servidor que ya olvidaste.

¿Qué hago con las respuestas?

Tres cosas, en este orden:

1. Decláralo en tu política de tratamiento. El art. 14 ter exige informar las transferencias internacionales y si el país tiene nivel adecuado. Una política copiada de internet no sabe cuáles son tus proveedores; por eso la plantilla no te sirve.
2. Guarda la evidencia junta. Un documento con cada proveedor, su país, su DPA descargado y la fecha en que lo revisaste. Eso es lo que muestras si te lo piden.
3. Cambia lo que no responda. Si un proveedor no tiene ningún documento que respalde la transferencia, la salida práctica es configurar otra región, reemplazarlo o dejar de pasarle datos personales. La ley contempla excepciones para transferencias específicas y no habituales, como el consentimiento expreso para una transferencia determinada, pero no sirven para un servicio que usas todos los días.

Nada de esto exige cambiar de proveedor por defecto. La mayoría de las veces, el trabajo es encontrar lo que ya existe, guardarlo y escribirlo bien.

¿Cómo lo hacemos en LPage?

Cuando construimos un sitio, una tienda, una agenda o un sistema, la lista de proveedores viene incluida en la entrega: qué servicio usa cada parte, en qué país guarda los datos, con qué acuerdo y quién lo autorizó. Esa misma lista alimenta tu política de tratamiento, así lo que declaras coincide con lo que realmente está instalado. Es como trabajamos en nuestros propios productos, como los sistemas clínicos Fonokit, Medispot y Dentalspot, que tratan datos de salud.

Lo legal lo visa Gian Piero Serafini San Celedonio, abogado de la Universidad Católica de Chile. Este artículo es contenido educativo y no reemplaza esa revisión.

Si quieres saber cuántos proveedores de afuera tiene hoy tu negocio y cuáles de las cinco preguntas ya tienen respuesta, el diagnóstico gratis parte por ahí.

Equipo LPage