Tus clientes te dejan sus datos. La ley te hace responsable de ellos.

Para tomar una reserva, despachar un delivery o inscribir a alguien en el club de clientes, Bartemon 157 recibe nombre, teléfono, correo y hasta la dirección de la casa. Súmale las cámaras del salón, el WiFi para clientes y las fichas de los 16 colaboradores. Eso son datos personales, y la ley pone la responsabilidad sobre la empresa que los pide — no sobre el proveedor que le hace la web ni sobre el punto de venta.

Hoy en Chile rige la Ley 19.628. La Ley 21.719, que la moderniza y crea la Agencia de Protección de Datos Personales, fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Desde esa fecha la Agencia puede fiscalizar y sancionar con una escala graduada: hasta 5.000 UTM las infracciones leves, 10.000 las graves y 20.000 las gravísimas. Esa cifra mayor es el techo de lo más grave, no la multa de cualquier error.

Además, si Bartemon 157 califica como PYME según la Ley 20.416 —hay que confirmarlo— existe una ventana hasta el 1 de diciembre de 2027 en que la primera infracción se sanciona con amonestación escrita y no con multa. Eso da aire, pero no exime de cumplir.

📋 Estado del cumplimiento hoy

• ✓
  Registro de Actividades de Tratamiento (RAT) — levantado con 12 actividades de los dos locales: reservas, delivery, boletas, club, cámaras, WiFi, personal y marketing.4 actividades quedaron marcadas por revisar y cada una tiene una acción con fecha en el plan de trabajo.
• ✓
  Registro de incidentes y brechas — operativo, con 4 folios desde mayo de 2026 y la medida adoptada en cada uno.Falta cerrar el acta del folio INC-2026-003, el teléfono de reparto extraviado.
• ✓
  Canal de derechos del titular — datos@bartemon157.cl, más WhatsApp, formulario web y el mesón de cada local. Ya se gestionaron 9 solicitudes.Quedan 3 en curso, una de ellas un bloqueo con plazo de 2 días hábiles.
• !
  Cookies con opt-in real — este módulo incluye el banner (cookie-consent.js): mantiene analítica y marketing bloqueados hasta que la persona acepta, con opción real de "Solo necesarias".Montado en el sitio de la carta; falta verificarlo en cada campaña de Instagram.
• !
  Política de privacidad — borrador redactado para bartemon157.cl conforme a las Leyes 19.628 y 21.719.Requiere el RUT y el domicilio de la sociedad, y revisión de abogado.
• !
  Términos del sitio y del delivery — borrador listo.Falta definir zonas y horarios de reparto de cada local, y la revisión del abogado.
• !
  Contratos de encargo (DPA) — hay tres encargados con borrador: el POS Influye, la contadora externa y TimeToMarket.Ninguno firmado: faltan RUT, domicilio y representante legal de cada parte. Otros 3 encargados —correo, portal WiFi y mantención de cámaras— todavía sin contrato.
• ✗
  Avisos en el local — el cartel de videovigilancia de los dos locales y el aviso de privacidad del portal WiFi.Son lo más barato de resolver y lo más visible para un cliente que reclama.
• ✗
  Huella del reloj control — los 16 colaboradores marcan turno con huella y no existe autorización escrita.Hay que decidir si se cambia por tarjeta o clave, o si se mantiene con autorización firmada.
• ✗
  Modelo de Prevención de Infracciones (MPI) y DPD — no adoptados.El MPI (Decreto N°662/2025) es voluntario; su certificación ante la Agencia opera como atenuante. Adoptarlo obliga a designar un Delegado de Protección de Datos.

📄 Contrato de Encargo de Tratamiento (DPA)

Ordena la relación con cada tercero que toca datos de Bartemon 157: Bartemon 157 es el Responsable (decide para qué se usan los datos) y el proveedor es el Encargado, porque los trata por cuenta de Bartemon 157 y sin usarlos para fines propios. Es el caso del POS Influye, de la contadora externa y de TimeToMarket con el sitio y la carta digital. La ley exige este contrato por escrito, con cada uno.

El borrador está listo. Para firmarlo faltan tres datos que no tenemos y que no corresponde inventar: <RUT_Bartemon 157> <DOMICILIO_Bartemon 157> <REPRESENTANTE_LEGAL_Bartemon 157>

🍪 Consentimiento de cookies

Este módulo incluye un banner de cookies opt-in real (cookie-consent.js): la analítica y el marketing quedan cargados como type="text/plain" y solo se activan tras el opt-in, con reapertura desde "Preferencias de cookies" en el pie.

Qué falta para dejarlo operativo

• RUT, domicilio comercial y representante legal de la sociedad. Bloquean la firma de los tres DPA y la identificación completa en la política de privacidad.
• Conseguir la firma de Influye y de la contadora externa en su contrato de encargo, y redactar el de la plataforma de correos, el portal WiFi y la mantención de cámaras.
• Instalar el cartel de videovigilancia en los dos locales y el aviso de privacidad en la pantalla del portal WiFi.
• Resolver la huella del reloj control: cambiarla por tarjeta o clave, o dejar la autorización escrita de cada uno de los 16 colaboradores.
• Separar la casilla que pide el WiFi de la lista de promociones: hoy se suman al mismo envío sin una casilla aparte.
• Confirmar si la empresa califica como PYME (Ley 20.416) para la ventana de gracia.
• Revisión por un abogado antes de firmar los DPA o publicar la política y los términos.

🖥️ Panel de cumplimiento

Así se ve el panel con el caso de Bartemon 157 adentro: el RAT de los dos locales, las solicitudes de derechos ARCO+, los consentimientos con el texto que cada cliente aceptó, el inventario de datos, los incidentes y el expediente de documentos, todo en un lugar. Vista de demostración con datos de ejemplo — no son registros reales.