Cumpla la ley de datos personales sin detener su operación.
Arco es la plataforma chilena que opera el cumplimiento completo de la Ley 21.719: portal de derechos para los titulares, registro de tratamientos, incidentes, evaluaciones de impacto y la evidencia lista para la Agencia. Implementación guiada paso a paso.
La Agencia puede fiscalizar en
Vigencia plena de la Ley 21.719: 1 de diciembre de 2026.
Si su organización trata datos de personas, la ley la alcanza.
No importa el rubro ni el tamaño. Basta con tener una base de clientes, una nómina de trabajadores o un formulario web.
Empresas privadas
De la pyme al holding. Clientes, trabajadores, postulantes y proveedores son todos titulares de datos.
Organismos públicos
Servicios, municipios y organismos autónomos, con obligaciones propias de transparencia.
Proveedores y encargados
Quien trata datos por cuenta de otro también responde, y necesita contrato de encargo.
| Si usted tiene… | Entonces debe… |
|---|---|
| Una base de clientes o un CRM | Registrar el tratamiento, su finalidad y su base de licitud |
| Trabajadores en nómina | Tratar datos sensibles de salud con resguardos reforzados |
| Un formulario o newsletter | Obtener y poder acreditar el consentimiento |
| Proveedores con acceso a datos | Firmar contrato de encargo con medidas de seguridad |
| Servidores o SaaS en el extranjero | Documentar la garantía de la transferencia internacional |
| Cámaras de videovigilancia | Evaluar el impacto y justificar el interés legítimo |
Primero el aviso. Después, la multa.
La Agencia de Protección de Datos Personales gradúa las sanciones según la gravedad. Las infracciones leves pueden resolverse con una amonestación escrita; de ahí en adelante, el monto escala.
o 5.000 UTM
- No publicar la información de transparencia
- Responder fuera de plazo a un titular
10.000 UTM
- Tratar datos sin base de licitud
- Obstaculizar el ejercicio de derechos
- Infringir el deber de seguridad
20.000 UTM
- Tratamiento fraudulento de datos
- Omitir el reporte de una vulneración
- Usar datos sensibles sin autorización
La diferencia por tamaño de empresa
Empresa de menor tamaño
Según la Ley 20.416.
- Cumple igual que todos. No hay exención por ser pyme.
- Durante los primeros doce meses de vigencia, la Agencia podrá aplicar una amonestación escrita en lugar de la multa. No es automático y queda registrada.
- No se le aplica el cálculo por porcentaje de ingresos.
- Los estándares de información y seguridad se fijan considerando el tamaño del responsable.
Mediana y gran empresa
Las que no califican como de menor tamaño.
- Sin el período de amonestación del primer año.
- La reincidencia puede triplicar la multa, hasta 60.000 UTM.
- Alternativamente, reincidencia grave: 2% de los ingresos anuales por ventas y servicios.
- Reincidencia gravísima: 4% de los ingresos anuales. Se aplica la cifra más gravosa.
Cómo escala una fiscalización
- 1. Reclamo o investigación de oficioUn titular reclama, o la Agencia inicia la revisión por su cuenta.
- 2. Requerimiento de antecedentesSe le pide acreditar la licitud, el registro de tratamientos y las medidas de seguridad. Aquí se gana o se pierde.
- 3. Medidas correctivasSi no se adoptan en el plazo fijado, se aplica un recargo sobre la multa.
- 4. Sanción y registro públicoLa sanción se incorpora al Registro Nacional de Sanciones y Cumplimiento.
- 5. AtenuanteUn modelo de prevención de infracciones certificado es una circunstancia atenuante.
Los montos son topes máximos, no multas automáticas, y la Agencia pondera criterios de graduación. Los valores en pesos son referenciales según el valor de la UTM. Esta página es informativa y no constituye asesoría legal.
Catorce módulos. Una sola fuente de verdad.
Todo lo que la ley exige documentar, operando en un mismo lugar y conectado entre sí: los activos alimentan los flujos, los flujos alimentan el registro de tratamientos, y el registro genera el aviso de privacidad.
Portal de derechos ARCOP-B
Acceso, rectificación, cancelación, oposición, portabilidad y bloqueo, con colas por estado y semáforo de plazo legal.
Registro de tratamientos
Finalidad, base de licitud, categorías, destinatarios, transferencias y conservación. Con catálogo precargado.
Inventario de activos
Sistemas, bases y conectores con responsable, clasificación, retención y nivel de riesgo.
Mapa de flujos de datos
El recorrido del dato entre sistemas, con alerta cuando sale de Chile.
Encargados y contratos
Quién trata datos por usted, con contrato, garantía de transferencia y su vigencia.
Evaluaciones de impacto
Riesgo inherente, medidas y riesgo residual para los tratamientos de alto riesgo.
Incidentes y brechas
Registro con tipo, evaluación de riesgo y control del aviso a la Agencia y a los titulares.
Consentimientos
Textos por finalidad, canal, versión y evidencia, incluido el consentimiento expreso.
Obligaciones de conservación
Catálogo legal chileno precargado y eliminación automática al vencer el plazo.
Políticas con cuestionario
27 preguntas de control generan una política realista y un plan de acción con responsables.
Comité y capacitación
Actas, acuerdos y registro de formación del personal, con su evidencia de asistencia.
Expediente de fiscalización
Un documento que reúne toda la evidencia, listo para imprimir cuando llegue el requerimiento.
Implementación guiada, no una carpeta vacía
El mayor riesgo de comprar software de cumplimiento es que nadie lo llene. Arco incluye un asistente de puesta en marcha que ordena el levantamiento y muestra el avance real.
Identifique
Responsable legal, delegado y comité, con su periodicidad.
Levante
Activos, flujos y tratamientos, en ese orden y reutilizando lo cargado.
Evalúe
Riesgos, encargados, conservación y el cuestionario de controles.
Opere
Solicitudes, incidentes y plan de acción, con evidencia de cada gestión.
Una plataforma de protección de datos tiene que ser el sistema mejor protegido de su empresa.
No pedimos confianza: estas son las medidas concretas que vienen activadas de fábrica, en cada capa del sistema.
Llave de cifrado propia por empresa
Cada cliente tiene su llave maestra en AWS KMS, con rotación automática anual. Los datos de una empresa no pueden descifrarse con la llave de otra, ni siquiera por error.
Cifrado de extremo a extremo en la base
Nombre, RUT, correo, teléfono, detalle y respuesta se guardan cifrados con AES-256-GCM. Quien mirara la base directamente solo vería texto ilegible.
Aislamiento verificable entre empresas
La separación se aplica con reglas de la propia base de datos, no en la pantalla. Un administrador de una empresa no alcanza los datos de otra ni manipulando la aplicación.
Segundo factor obligatorio
El panel exige verificación en dos pasos con aplicación autenticadora. La exigencia se valida en la pantalla, en el servidor y en la base de datos: sin segundo factor no se entrega ni un dato.
Seis roles con privilegio mínimo
Administrador, delegado, implementador, gestor de solicitudes, encargado de seguridad y auditor. El implementador levanta toda la documentación sin ver jamás los datos de un titular; el auditor revisa sin poder modificar.
Documentos de identidad efímeros
La imagen se cifra, solo la ve quien valida, y se elimina automáticamente al terminar la verificación. En todo caso desaparece a los 30 días, aunque nadie la revise.
Huella digital como evidencia
Antes de eliminar cada imagen se registra su huella SHA-256, su tipo y su tamaño. Permite acreditar ante la Agencia qué documento se revisó, sin conservarlo.
Bitácora inalterable
Cada cambio y cada consulta a datos personales queda registrada por la propia base de datos, con la persona y la hora. Nadie puede editarla ni borrarla desde la aplicación.
Búsqueda sin exponer el dato
El RUT se busca mediante una huella criptográfica derivada de la llave de cada empresa, nunca comparando el dato en claro.
Defensa contra fuerza bruta
Bloqueo automático tras varios intentos fallidos de ingreso o de consulta de estado, contado por dirección de origen, con mensajes que no revelan si una cuenta existe.
Protección contra bots y denegación de servicio
Verificación tipo CAPTCHA en el formulario público y la red de Cloudflare absorbiendo los ataques de volumen antes de que lleguen al sistema.
Controles frente al OWASP Top 10
Política de contenido con código único por visita, cabeceras de seguridad, validación en servidor, rechazo de peticiones de otros orígenes y ausencia de detalles técnicos en los errores.
Conservación limitada automática
Al vencer el plazo que define cada empresa, las solicitudes cerradas se anonimizan solas y la bitácora antigua se purga. La ley exige no conservar más de lo necesario.
Todo cifrado en tránsito
HTTPS obligatorio con política de transporte estricta. Las imágenes se reducen y se cifran en el propio teléfono antes de salir.
Respaldos que respetan la ley
Servicio adicional con respaldo diario, exportación mensual y prueba anual de restauración. Nunca incluye los documentos de identidad, para que el respaldo no revierta un borrado obligatorio.
Datos enmascarados fuera de producción
Las copias para pruebas o demostraciones reemplazan los datos personales. Nunca se usan datos reales en ambientes que no sean el productivo.
Estas medidas vienen activadas de fábrica, no son opciones que el cliente deba configurar. Para una validación independiente recomendamos, y acompañamos, una prueba de penetración realizada por un tercero.
Veintiocho años escribiendo software que tiene que funcionar.
Desarrollamos desde 1998. Empezamos con Basic, Turbo Basic, Clipper, Pascal, Turbo Pascal y Cobol, seguimos con Delphi y Visual Basic, y después con Java y las plataformas web y en la nube de hoy.
Esa trayectoria explica cómo construimos Arco. Hemos migrado sistemas que llevaban décadas operando, y sabemos que un software de cumplimiento no se juega en la demostración: se juega el día en que llega un requerimiento y hay que mostrar evidencia de hace dos años.
Por eso Arco privilegia la trazabilidad por sobre los efectos visuales, y la evidencia por sobre los indicadores bonitos.
Misión
Que cualquier organización chilena, del tamaño que sea, pueda cumplir la Ley 21.719 con una herramienta clara y un camino ordenado, sin depender de un proyecto largo ni de un equipo legal propio.
Visión
Ser la plataforma de referencia en protección de datos en Chile, reconocida porque sus clientes llegan preparados a una fiscalización y porque las personas confían en cómo se tratan sus datos.
Cómo trabajamos
Decimos lo que el software hace y lo que no. El cumplimiento legal depende de decisiones de la empresa, y la tecnología es el soporte, nunca el reemplazo de la asesoría.
- 1998 · Los primeros sistemasDesarrollo a medida en Basic, Clipper, Cobol y Pascal para la operación diaria de empresas chilenas.
- 2000s · Cliente-servidorDelphi y Visual Basic sobre bases de datos relacionales, con foco en la continuidad del negocio.
- 2010s · Java y la webMigración de sistemas heredados a plataformas web, integraciones y servicios.
- 2020s · Nube y cumplimientoArquitecturas en la nube, cifrado por cliente y especialización en cumplimiento normativo.
- 2026 · ArcoPlataforma de cumplimiento de la Ley 21.719, lista para la entrada en vigencia.
No inventé nombres de clientes ni testimonios, porque publicar casos o logos que no existen es publicidad engañosa y destruye la confianza justo en el rubro donde la está vendiendo. Reemplace este recuadro cuando tenga el primer cliente, pidiéndole autorización escrita para usar su nombre. Mientras tanto, funciona mejor ofrecer un piloto gratuito a dos o tres empresas a cambio de su testimonio.
Lo que nos preguntan antes de decidir.
¿Desde cuándo pueden fiscalizarnos?
La ley rige desde el 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales puede investigar de oficio o por reclamo de un titular.
Somos una pyme, ¿igual tenemos que cumplir?
Sí. No hay exención por tamaño. La diferencia está en que durante los primeros doce meses la Agencia puede aplicar una amonestación escrita a las empresas de menor tamaño, y en que el cálculo por porcentaje de ingresos no se les aplica.
¿La plataforma nos deja cumpliendo la ley?
No por sí sola, y desconfíe de quien le prometa lo contrario. La ley impone deberes a la empresa. Arco ordena, documenta y conserva la evidencia de que esos deberes se cumplen, y le muestra qué falta.
¿Dónde quedan alojados los datos?
En infraestructura en la nube, con cifrado y una llave propia por cliente. Le entregamos la documentación de los proveedores y sus garantías de transferencia internacional para su propio registro.
¿Cuánto demora la implementación?
El portal de solicitudes queda operativo en días. El levantamiento completo depende del tamaño de la organización, y el asistente de puesta en marcha lo ordena paso a paso.
¿Sirve si ya tenemos un oficial de cumplimiento?
Especialmente. Arco le da el registro de tratamientos, el plan de acción con responsables y fechas, y el expediente de fiscalización que hoy probablemente arma a mano.
Quedan pocas semanas antes de la fiscalización.
Agende una demostración de 30 minutos. Le mostramos la plataforma con datos reales de ejemplo y le entregamos un diagnóstico de brechas sin costo.