POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES — BROLLY

Responsable del tratamiento: Brolly SpA
Responsables: CEO (Diego Laso), COO (Nicolás Lorenzini) y CTO (Juan Echavarri)
Correo de privacidad: privacidad@brolly.cl
Correo general: solicitudes@brolly.cl
Teléfono: +56990507761

Versión: 2.0
Fecha de última actualización: 5 de abril de 2026

ÍNDICE

Introducción y alcance
Definiciones
Principios que rigen el tratamiento
Responsable del tratamiento y Delegado de Protección de Datos (DPO)
Datos personales que tratamos
Finalidades del tratamiento
Bases de licitud del tratamiento
Datos sensibles
Decisiones automatizadas y elaboración de perfiles
Principio de minimización y proporcionalidad
Plazos de conservación y supresión
Comunicación y transferencia de datos a terceros
Transferencias internacionales
Encargados de tratamiento (proveedores)
Derechos de los titulares (ARCOP+)
Derecho de eliminación / supresión de datos
Cómo ejercer sus derechos
Medidas de seguridad (alineación SOC 2)
Gestión de incidentes y notificación de brechas
Privacidad desde el diseño y por defecto
Evaluación de impacto y registro de actividades
Datos de menores de edad
Cambios a esta Política
Reclamos ante la autoridad
Contacto

1. INTRODUCCIÓN Y ALCANCE

Brolly SpA (en adelante, "Brolly") es una fintech chilena que entrega crédito y bienestar financiero a trabajadores a través de convenios con empresas. El tratamiento responsable de los datos personales es central para nuestra operación y para la confianza de nuestros usuarios.

Esta Política de Privacidad (la "Política") describe cómo Brolly recolecta, usa, almacena, comunica, protege y elimina los datos personales de los Usuarios de su aplicación, sitio y plataforma (la "Aplicación"), así como los derechos que asisten a los titulares.

Esta Política aplica a todos los Usuarios, visitantes, trabajadores de empresas con convenio y a toda persona cuyos datos personales sean tratados por Brolly.

2. DEFINICIONES

Datos personales: toda información vinculada o referida a una persona natural identificada o identificable.
Datos sensibles: datos personales que se refieran a características físicas o morales o a hechos o circunstancias de la vida privada o íntima, tales como origen racial o étnico, afiliación política, sindical o gremial, creencias, salud, datos biométricos, perfil biológico humano, orientación sexual o situación socioeconómica, conforme a la Ley N° 21.719.
Titular: la persona natural a quien se refieren los datos personales.
Tratamiento: cualquier operación sobre datos personales (recolección, almacenamiento, uso, comunicación, supresión, etc.).
Responsable del tratamiento: Brolly SpA, quien decide las finalidades y medios del tratamiento.
Encargado del tratamiento: el tercero que trata datos por cuenta del Responsable.
Consentimiento: manifestación de voluntad libre, específica, inequívoca e informada del titular.
Brecha de seguridad: todo incidente que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.

3. PRINCIPIOS QUE RIGEN EL TRATAMIENTO

Brolly trata los datos personales conforme a los siguientes principios, recogidos en la Ley N° 21.719 y alineados con el GDPR:

Licitud y lealtad: el tratamiento se realiza con sujeción a la ley y de buena fe.
Finalidad: los datos se recolectan para fines específicos, explícitos y lícitos, y no se tratan de forma incompatible con dichos fines.
Proporcionalidad: los datos tratados se limitan a los necesarios, adecuados y pertinentes en relación con los fines. No se solicitan datos excesivos.
Calidad: los datos se mantienen exactos, completos y actualizados.
Transparencia e información: el titular es informado de forma clara sobre el tratamiento.
Seguridad: se adoptan medidas técnicas y organizativas adecuadas.
Responsabilidad (accountability): Brolly es responsable del cumplimiento y puede demostrarlo.
Confidencialidad: los datos se tratan con reserva, incluso después de finalizada la relación.
Minimización: se trata la menor cantidad de datos posible para alcanzar la finalidad.
Limitación del plazo de conservación: los datos se conservan solo por el tiempo necesario.

4. RESPONSABLE DEL TRATAMIENTO Y DELEGADO DE PROTECCIÓN DE DATOS (DPO)

El Responsable del tratamiento es Brolly SpA, con los datos de contacto indicados al inicio de esta Política.

Brolly designa como Delegado de Protección de Datos (DPO) a su COO, Nicolás Lorenzini, encargado de supervisar el cumplimiento de la normativa de protección de datos, atender las solicitudes de los titulares y servir de punto de contacto con la autoridad.

Delegado de Protección de Datos (DPO): Nicolás Lorenzini (COO)
Contacto del DPO: privacidad@brolly.cl

5. DATOS PERSONALES QUE TRATAMOS

Según la relación que el Usuario mantenga con Brolly, podemos tratar las siguientes categorías de datos:

a) Datos de identificación y contacto: nombre, cédula de identidad (RUT), fecha de nacimiento, nacionalidad, domicilio, correo electrónico, teléfono.

b) Datos laborales: empleador, cargo, antigüedad, situación contractual, remuneración y otros estipendios, descuentos a la remuneración e información de plataformas de remuneraciones.

c) Datos financieros y crediticios: datos bancarios, historial de deuda, informes comerciales y crediticios, evaluaciones de deuda, comportamiento de pago.

d) Datos del producto: créditos solicitados y vigentes, cuotas, pagos, mora, mandatos de descuento por planilla.

e) Datos de uso y técnicos: dirección IP, identificadores de dispositivo, datos de navegación, logs, cookies, registros de acceso.

f) Datos de autenticación: credenciales de acceso (almacenadas de forma cifrada), claves dinámicas, códigos de verificación.

g) Datos de interacción y soporte: comunicaciones, consultas, encuestas, participación en contenidos educativos.

Brolly no solicita datos sensibles salvo cuando sea estrictamente necesario y con base de licitud expresa (ver Sección 8).

6. FINALIDADES DEL TRATAMIENTO

Brolly trata los datos personales para las siguientes finalidades:

Registrar y administrar la Cuenta Brolly del Usuario;
Evaluar la elegibilidad y el riesgo crediticio del Usuario;
Otorgar, administrar y cobrar los créditos;
Ejecutar el descuento por planilla y los medios de pago alternativos;
Cumplir obligaciones legales, regulatorias, tributarias y contables;
Prevenir fraude, lavado de activos y suplantación de identidad;
Comunicar avisos operativos (vencimientos, pagos, alertas) relativos al crédito;
Entregar educación y herramientas de bienestar financiero;
Mejorar y desarrollar productos y servicios mediante análisis estadístico;
Realizar comunicaciones comerciales y promocionales, sujetas a consentimiento y al derecho de oposición;
Atender solicitudes, consultas y reclamos.

Cada finalidad cuenta con una base de licitud específica (ver Sección 7). Brolly no utiliza los datos para fines incompatibles con los aquí declarados sin informar previamente al titular y, cuando corresponda, obtener su consentimiento.

7. BASES DE LICITUD DEL TRATAMIENTO

Conforme a la Ley N° 21.719 y GDPR, cada tratamiento se funda en al menos una de las siguientes bases:

Base de licitud	Ejemplos de uso en Brolly
Consentimiento del titular	Comunicaciones comerciales; tratamiento de datos para evaluación crediticia; cookies no esenciales
Ejecución de un contrato	Otorgamiento y administración del crédito; descuento por planilla
Cumplimiento de una obligación legal	Reportes regulatorios, tributarios, prevención de lavado de activos
Interés legítimo del responsable o de un tercero	Prevención de fraude; seguridad de la información; mejora de servicios mediante datos agregados
Interés vital del titular	Situaciones excepcionales que protejan la vida o integridad

El consentimiento, cuando sea la base aplicable, será libre, específico, inequívoco e informado, y podrá ser revocado en cualquier momento sin efecto retroactivo, por los canales indicados en esta Política.

8. DATOS SENSIBLES

Brolly minimiza el tratamiento de datos sensibles. Cuando sea necesario tratar datos sensibles (por ejemplo, datos socioeconómicos para evaluación de crédito, o datos personales para verificación de identidad), Brolly:

Limitará el tratamiento a lo estrictamente necesario;
Aplicará medidas de seguridad reforzadas;

9. DECISIONES AUTOMATIZADAS Y ELABORACIÓN DE PERFILES

Brolly utiliza modelos de evaluación de riesgo, incluyendo modelos de aprendizaje automático (machine learning), para:

Estimar la probabilidad de pago y la elegibilidad crediticia;
Estimar el riesgo de desvinculación laboral;
Segmentar usuarios y empresas para fines de gestión del crédito.

Respecto de las decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente, el titular tiene derecho a:

Ser informado de la existencia de la decisión automatizada y de la lógica general aplicada;
Solicitar la intervención humana en la revisión de la decisión;
Expresar su punto de vista y oponer sus argumentos;
Solicitar la reconsideración de la decisión.

Estas solicitudes pueden dirigirse a privacidad@brolly.cl.

10. PRINCIPIO DE MINIMIZACIÓN Y PROPORCIONALIDAD

Brolly aplica de manera transversal los principios de minimización y proporcionalidad:

Solo se recolectan los datos necesarios, adecuados y pertinentes para la finalidad declarada;
No se recolectan datos excesivos ni "por si acaso";
Se prefieren, cuando es posible, datos anonimizados o seudonimizados para análisis y desarrollo;
El acceso interno a los datos se limita conforme al principio de mínimo privilegio;
Periódicamente se revisa la pertinencia de los datos tratados y se eliminan los que ya no son necesarios.

11. PLAZOS DE CONSERVACIÓN Y SUPRESIÓN

Brolly conserva los datos personales únicamente por el tiempo necesario para cumplir las finalidades para las que fueron recolectados y para satisfacer obligaciones legales.

Criterios generales de conservación:

Categoría	Plazo de conservación (referencial)
Datos de crédito y obligaciones de pago	Durante la vigencia del crédito y el plazo de prescripción legal posterior
Información contable y tributaria	El plazo exigido por la legislación tributaria chilena
Datos de prevención de fraude / lavado de activos y financiamiento del terrorismo (KYC, alertas, trazabilidad)	Mínimo 5 años desde la respectiva operación o el término de la relación, conforme a la normativa aplicable
Datos de marketing (consentimiento)	Hasta que el titular revoque su consentimiento u oponga su derecho
Logs y datos técnicos de seguridad	El tiempo necesario para fines de seguridad y auditoría

Cumplido el plazo o la finalidad, los datos se suprimen de forma segura o se anonimizan de manera irreversible, salvo obligación legal de conservación.

12. COMUNICACIÓN Y TRANSFERENCIA DE DATOS A TERCEROS

Brolly podrá comunicar datos personales a terceros únicamente cuando exista base de licitud y para las finalidades declaradas, incluyendo:

Empresas con convenio (empleadores): para la ejecución del descuento por planilla, en la medida necesaria;
Empresas de cobranza: para la gestión de pagos y cobranzas, cuando dichas gestiones se externalicen total o parcialmente (Brolly también realiza cobranza de forma interna);
Proveedores tecnológicos y de infraestructura (encargados de tratamiento);
Burós y registros de información comercial y crediticia, conforme a la ley;
Autoridades y organismos públicos, cuando exista obligación legal (por ejemplo, el Servicio de Impuestos Internos en cumplimiento de la Convención sobre Asistencia Administrativa Mutua en Materia Tributaria).

Brolly no vende, arrienda ni comercializa los datos personales de sus Usuarios. Toda comunicación a terceros se rige por obligaciones de confidencialidad y por contratos de encargo de tratamiento cuando corresponda.

13. TRANSFERENCIAS INTERNACIONALES

Cuando Brolly utilice proveedores ubicados fuera de Chile (por ejemplo, servicios de nube), las transferencias internacionales se realizarán solo a países u operadores que ofrezcan un nivel adecuado de protección o mediante garantías apropiadas (cláusulas contractuales, normas corporativas vinculantes u otros mecanismos reconocidos), conforme a la Ley N° 21.719 y como estándar de referencia el GDPR.

14. ENCARGADOS DE TRATAMIENTO (PROVEEDORES)

Los proveedores que tratan datos por cuenta de Brolly (encargados) están sujetos a contratos que les exigen:

Tratar los datos solo conforme a las instrucciones de Brolly;
Aplicar medidas de seguridad equivalentes a las de esta Política;
Mantener confidencialidad;
Asistir a Brolly en la atención de derechos de los titulares y en la gestión de incidentes;
Notificar a Brolly cualquier incidente de seguridad que afecte datos personales sin dilación y, a más tardar, dentro de las 48 horas siguientes a su detección;
Suprimir o devolver los datos al término del servicio;
No subcontratar sin autorización.

Brolly evalúa y audita periódicamente a sus encargados (vendor management), en línea con SOC 2.

15. DERECHOS DE LOS TITULARES (ARCOP+)

Conforme a la Ley N° 19.628, la Ley N° 21.719 y como estándar de referencia el GDPR, el titular tiene los siguientes derechos:

Acceso: conocer qué datos suyos se tratan, su origen, finalidad, destinatarios y plazos.
Rectificación: corregir datos inexactos, incompletos o desactualizados.
Cancelación / Supresión (derecho al olvido): solicitar la eliminación de sus datos (ver Sección 16).
Oposición: oponerse a tratamientos específicos, incluyendo marketing, investigación de mercado y encuestas.
Portabilidad: obtener y transferir sus datos en un formato estructurado, genérico y de uso común, cuando sea técnicamente procedente.
Bloqueo / Limitación: solicitar la suspensión temporal del tratamiento mientras se resuelve una solicitud.
Revocación del consentimiento: retirar el consentimiento otorgado, en cualquier momento.
Derechos respecto de decisiones automatizadas: según la Sección 9.

El ejercicio de estos derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

16. DERECHO DE ELIMINACIÓN / SUPRESIÓN DE DATOS

El titular tiene derecho a solicitar la eliminación o supresión de sus datos personales, especialmente cuando:

Los datos ya no sean necesarios para los fines que motivaron su recolección;
El titular revoque el consentimiento en que se basaba el tratamiento y no exista otra base de licitud;
Los datos se hayan tratado ilícitamente;
El titular se oponga al tratamiento y no prevalezcan otros motivos legítimos;
Deban suprimirse en cumplimiento de una obligación legal;
Se trate de datos proporcionados voluntariamente o usados para comunicaciones comerciales y el titular no desee continuar figurando.

Excepciones: Brolly podrá conservar determinados datos pese a la solicitud de eliminación cuando exista obligación legal de conservación (por ejemplo, normativa tributaria, contable, de crédito o de prevención de lavado de activos), para la constitución, ejercicio o defensa de reclamaciones, o mientras existan obligaciones de pago vigentes. En tales casos, Brolly informará al titular el fundamento de la conservación y limitará el tratamiento a lo estrictamente necesario.

Una vez procedente la supresión, Brolly eliminará los datos de forma segura o los anonimizará de manera irreversible, e instruirá a sus encargados para que hagan lo propio. Brolly responderá la solicitud dentro de los plazos legales aplicables.

17. CÓMO EJERCER SUS DERECHOS

Para ejercer cualquiera de sus derechos, el titular debe enviar una solicitud clara y precisa a:

Correo: privacidad@brolly.cl
Teléfono: +56990507761

La solicitud debe indicar: (i) el derecho que se ejerce; (ii) la identificación del titular para verificar su identidad; y (iii) los datos o tratamientos a que se refiere.

Brolly podrá solicitar antecedentes adicionales para verificar la identidad del solicitante antes de dar curso a la solicitud, como medida de seguridad. Brolly responderá dentro de los plazos establecidos por la legislación vigente.

18. MEDIDAS DE SEGURIDAD

Brolly adopta medidas técnicas y organizativas para proteger los datos personales, alineadas con los Trust Services Criteria de SOC 2 (Seguridad, Disponibilidad, Integridad de Procesamiento, Confidencialidad y Privacidad) y considerando el marco de la Ley N° 21.459 (Ley Marco de Ciberdelitos):

Seguridad:

Cifrado de datos en tránsito (TLS 1.2 o superior) y en reposo (AES-256);
Control de acceso basado en roles y principio de mínimo privilegio;
Autenticación robusta y, cuando corresponda, multifactor;
Segregación de ambientes (producción, desarrollo, pruebas);
Gestión de vulnerabilidades y parches;
Registro y monitoreo de accesos y actividades (audit logging).

Disponibilidad:

Respaldos periódicos y planes de recuperación ante desastres (DRP) y continuidad del negocio (BCP);
Monitoreo de infraestructura y alertas.

Integridad de procesamiento:

Validaciones y controles de calidad de datos;
Procesos de conciliación de pagos.

Confidencialidad:

Acuerdos de confidencialidad con personal y proveedores;
Clasificación de la información.

Privacidad:

Aplicación de los principios de esta Política en todo el ciclo de vida del dato;
Capacitación periódica del personal en protección de datos.

Ningún sistema es completamente invulnerable; Brolly mejora continuamente sus controles y revisa periódicamente su programa de seguridad.

19. GESTIÓN DE INCIDENTES Y NOTIFICACIÓN DE BRECHAS

Brolly cuenta con un procedimiento de respuesta a incidentes que contempla la detección, contención, evaluación, mitigación y documentación de las brechas de seguridad.

Ante una brecha que afecte datos personales y que entrañe un riesgo para los derechos de los titulares, Brolly:

Notificará a la autoridad de control (la Agencia de Protección de Datos Personales, una vez en funcionamiento) sin dilación indebida y, como estándar de referencia conforme al GDPR, dentro de las 72 horas desde que tome conocimiento, en la medida en que la normativa lo exija;
Comunicará a los titulares afectados cuando la brecha entrañe un alto riesgo para sus derechos, describiendo la naturaleza del incidente, las posibles consecuencias y las medidas adoptadas;
Documentará todos los incidentes para fines de auditoría y mejora.

Brolly exige contractualmente a sus encargados de tratamiento que le notifiquen cualquier incidente de seguridad que afecte datos personales dentro de las 48 horas siguientes a su detección, de modo de poder cumplir oportunamente el plazo de notificación a la autoridad antes señalado.

20. PRIVACIDAD DESDE EL DISEÑO Y POR DEFECTO

Brolly incorpora la privacidad desde el diseño (privacy by design) y por defecto (privacy by default):

Los nuevos productos y funcionalidades se diseñan considerando la protección de datos desde su concepción;
Las configuraciones por defecto son las más protectoras de la privacidad;
Se recolecta y trata, por defecto, la mínima cantidad de datos necesaria.

21. EVALUACIÓN DE IMPACTO Y REGISTRO DE ACTIVIDADES

Brolly mantiene un registro de las actividades de tratamiento (RAT) que documenta las finalidades, categorías de datos, destinatarios, plazos y medidas de seguridad.

Cuando un tratamiento pueda entrañar un alto riesgo para los derechos de los titulares (por ejemplo, evaluación a gran escala mediante modelos automatizados), Brolly realizará una Evaluación de Impacto en la Protección de Datos (EIPD / DPIA) antes de iniciarlo, identificando y mitigando los riesgos.

22. DATOS DE MENORES DE EDAD

Los Servicios están dirigidos a mayores de edad. Brolly no recolecta intencionalmente datos de menores de edad. Si se detecta que se han recolectado datos de un menor sin la autorización correspondiente, Brolly procederá a su eliminación.

23. CAMBIOS A ESTA POLÍTICA

Brolly podrá modificar esta Política para reflejar cambios legales, regulatorios u operativos. Las modificaciones se informarán mediante aviso en la Aplicación o por correo electrónico. La fecha de última actualización se indica al inicio del documento. El uso continuado de la Aplicación tras la entrada en vigencia de los cambios importará su conocimiento.

24. RECLAMOS ANTE LA AUTORIDAD

Sin perjuicio de su derecho a contactar a Brolly, el titular podrá presentar reclamos ante la Agencia de Protección de Datos Personales (una vez en funcionamiento conforme a la Ley N° 21.719) y, en materias de consumo, ante el Servicio Nacional del Consumidor (SERNAC) o los tribunales competentes.

25. CONTACTO

Delegado de Protección de Datos (DPO): Nicolás Lorenzini (COO) — privacidad@brolly.cl
Contacto general: solicitudes@brolly.cl
Teléfono: +56990507761
Razón social: Brolly SpA