Protección de datos en remuneraciones y asistencia
Prepara a tu empresa para la Ley 21.719 y protege la información de tu equipo
La ley N° 21.719 de protección de datos personales entra en plena vigencia el 1 de diciembre de 2026. Acá respondemos, una por una, las preguntas que va a hacer tu equipo.
+8.000 empresas confían en Rex+
Consentimiento electrónico y trazabilidad
¿Cómo permite Rex+ registrar y almacenar el consentimiento electrónico de los trabajadores, y cómo queda esa evidencia disponible para una auditoría o fiscalización?
A través de un modal de aprobación explícito y obligatorio en el portal del colaborador se registrará la aprobación de este y será almacenada su respuesta en nuestra base de datos.
Importante: el consentimiento es una de las bases que permiten tratar datos personales, pero en el ámbito laboral no siempre es la que corresponde. Tu empresa, como responsable del tratamiento, define la base legal de cada tratamiento. Rex+ entrega la herramienta para registrar el consentimiento cuando se requiera.
¿Rex+ ofrece (o va a ofrecer) un anexo/formato de consentimiento estándar dentro de la plataforma? ¿Bnovus podrá entregar un anexo listo para autorizar el marcaje por correo y el uso de huella?
El modal de consentimiento contará con ese anexo. No será posible hacer marcaje por correo.
¿Las autorizaciones tienen vigencia/caducidad en el sistema? ¿Cómo se gestiona la revocación del consentimiento?
Tendremos la capacidad de especificar una fecha de caducidad de la autorización siempre privilegiando la fecha de vencimiento mínimo que exige la ley para datos de esta índole.
Seguridad y almacenamiento de datos en Rex+
¿Cómo almacena y protege Rex+ los datos personales?
Los datos se cifran en tránsito con TLS 1.2 o superior y en reposo con AES-256. La plataforma opera con aislamiento lógico entre clientes en arquitectura multi-tenant, firewall de aplicaciones (WAF) y segmentación de red, gestión de vulnerabilidades con escaneos y pruebas de penetración periódicas, respaldos diarios cifrados, y monitoreo y registro de auditoría continuos. El personal recibe capacitación regular en seguridad y confidencialidad.
Todo esto opera bajo el programa corporativo de seguridad de Grupo Visma.
¿Qué datos de mis trabajadores se almacenan y procesan en Rex+? (identificación, bancarios, documentos laborales, selección, asistencia)
Los que tu empresa carga en la plataforma para la gestión de personas y remuneraciones. Las categorías típicas son: datos de identificación (nombre, RUT, fecha de nacimiento, nacionalidad, domicilio, correo y teléfono), datos laborales (contrato, cargo, centro de costo, jornada, asistencia, vacaciones, licencias, haberes y descuentos), datos previsionales (AFP, institución de salud, APV, cargas familiares) y datos bancarios necesarios para el pago de remuneraciones. Según los módulos contratados se suman marcaje con ubicación o biometría, currículums y procesos de selección, encuestas y evaluaciones de desempeño. El alcance exacto depende de los módulos contratados y de la información que tu empresa decide ingresar.
¿Con qué finalidad se usan esos datos?
Exclusivamente para prestar los servicios contratados: procesamiento de remuneraciones, gestión de personas y cumplimiento de las obligaciones laborales y previsionales de tu empresa ante Previred, la Dirección del Trabajo y el SII, entre otros. Rex+ actúa como encargado del tratamiento y opera únicamente bajo tu instrucción. Los datos no se utilizan para fines propios, no se comercializan, no se ceden a terceros para fines distintos del servicio y no se usan para el entrenamiento de modelos.
¿Qué certificaciones de seguridad tiene Rex+?
Rex+ mantiene un Sistema de Gestión de Seguridad de la Información alineado a ISO/IEC 27001:2022. Por su parte, Amazon Web Services (AWS), el proveedor de infraestructura sobre el que opera el servicio, cuenta con sus propias certificaciones ISO 27001, ISO 27017 e ISO 27018 y reportes SOC 1, SOC 2 y SOC 3. Estas certificaciones son de AWS, no de Rex+. Como parte de Grupo Visma, la plataforma está sujeta al programa corporativo de seguridad y a las auditorías del grupo.
Alojamiento y transferencia internacional
¿Dónde se alojan los datos de mi empresa?
Los datos se alojan en infraestructura de Amazon Web Services (AWS), en la región us-east-2, en Estados Unidos, con réplica en una segunda región para asegurar la continuidad del servicio. El detalle de regiones y garantías lo entrega nuestro Delegado de Protección de Datos (DPO) a solicitud de tu empresa.
¿Existe transferencia de información fuera de Chile?
Sí. Al estar los servidores y su réplica fuera de Chile existe transferencia internacional de datos, amparada por el acuerdo de tratamiento de datos suscrito con tu empresa, por el acuerdo de tratamiento de datos que Rex+ mantiene con AWS, por las certificaciones de seguridad de AWS y por las garantías contractuales exigidas por la normativa chilena, incluido lo previsto en la Ley 21.719.
¿Qué proveedores o terceros pueden tener acceso a la información?
El subencargado principal es Amazon Web Services, como proveedor de infraestructura. Según los servicios que tu empresa tenga habilitados pueden intervenir subencargados para funciones específicas: observabilidad y monitoreo, envío de notificaciones transaccionales y firma electrónica.
Conservación, bloqueo y eliminación
¿Rex+ elimina automáticamente la información de ex colaboradores?
Durante la vigencia del contrato los datos se conservan según las instrucciones de tu empresa, que es quien define los plazos aplicables a su organización, considerando los plazos legales de conservación que aplican a las remuneraciones (tributarios, laborales y previsionales). Puedes solicitar en cualquier momento el borrado o la anonimización de datos específicos, respetando las obligaciones legales de conservación que correspondan.
¿Qué pasa con mis datos cuando termina el contrato?
Al término del contrato, la información se devuelve o elimina conforme a lo pactado en el acuerdo de tratamiento de datos, salvo que exista una obligación legal de conservación. Los plazos concretos y el procedimiento de devolución los entrega nuestro Delegado de Protección de Datos (DPO) a solicitud de tu empresa.
Datos sensibles, biometría y control de asistencia (Bnovus / GeoVictoria)
¿Qué medidas adicionales aplican a los datos sensibles?
Los datos de mayor criticidad — licencias médicas, información bancaria para el pago de remuneraciones y, si tu empresa usa módulos de control de asistencia con biometría, los datos asociados — reciben medidas reforzadas: cifrado en tránsito y en reposo, minimización del dato, acceso restringido por rol a lo estrictamente necesario y tratamiento exclusivamente bajo instrucción de tu empresa.
Si un trabajador no acepta la biometría (huella/facial), ¿qué alternativas ofrece Rex+/Bnovus? ¿Se puede tener más de un método de marcaje?
El trabajador puede marcar mediante la app móvil de Rex+, o la de Bnovus si el cliente sólo tiene Bnovus. La plataforma sí soporta múltiples métodos de marcaje.
¿Dónde se almacenan los datos biométricos y cómo se garantiza su seguridad cuando los registra un proveedor externo?
En las bases de datos de Rex+, alojadas en la misma infraestructura AWS descrita en «Alojamiento y transferencia internacional», y bajo las mismas medidas de cifrado y control de acceso. Cualquier integración que hacemos con terceros pasa por un proceso estricto de evaluación y auditoría.
¿Cómo se reparte la responsabilidad entre la empresa, Rex+ y GeoVictoria/Bnovus sobre los datos en las plataformas?
Tu empresa es la responsable del tratamiento de los datos de sus trabajadores: decide para qué y cómo se usan. Rex+ es encargado del tratamiento y responde por la seguridad y confidencialidad de los datos que administra bajo tu instrucción. GeoVictoria y Bnovus, cuando están integrados al servicio, actúan como subencargados. Los subencargados (AWS y los proveedores de funciones específicas) quedan cubiertos por el régimen de subencargados del acuerdo de tratamiento de datos.
Derechos ARSOPB
¿Rex+ habilita un canal o funcionalidad para gestionar las solicitudes ARSOPB de los trabajadores? ¿Cómo recomiendas operativizarlo?
Tus trabajadores ejercen sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo ante tu empresa, que es la responsable del tratamiento, y no ante Rex+. Rex+ entrega las funcionalidades para que puedas atenderlos: consulta y exportación de la información del trabajador, corrección de datos y gestión de bajas. Tu equipo puede apoyarse en el canal de soporte de Rex+ para gestionarlos. Rex+ contará con mecanismos automatizados para gestionarlos. Si un trabajador se contacta directamente con Rex+, le indicaremos que se dirija a su empleador y te avisaremos.
Roles, accesos y responsabilidad interna
¿Quién puede acceder a los datos y cómo se controla ese acceso?
El acceso se rige por control basado en roles (RBAC) y principio de mínimo privilegio. Dentro de la plataforma, tu empresa administra sus propios usuarios y perfiles, y define quién de su organización accede a qué información. El personal de Rex+ accede únicamente para labores de soporte y operación del servicio, mediante cuentas nominales con autenticación multifactor, sujeto a acuerdos de confidencialidad, con registro auditable de accesos y revisiones periódicas de permisos.
Incidentes de seguridad
¿Qué hace Rex+ frente a una filtración o un incidente de seguridad?
Existe un procedimiento formal de gestión de incidentes que contempla detección, contención, análisis, remediación y lecciones aprendidas. Ante un incidente que afecte datos personales de tu empresa, Rex+ notifica sin dilación indebida y, en todo caso, dentro del plazo establecido en el acuerdo de tratamiento de datos. Informa la naturaleza del incidente, las categorías de datos y de titulares potencialmente afectados y las medidas de contención y mitigación adoptadas, y colabora contigo en tus deberes de notificación ante la autoridad y ante los titulares, conforme a la Ley 21.719.
Marco contractual y roles
¿Qué rol tiene cada parte frente a la Ley 21.719?
Tu empresa es el responsable del tratamiento: define qué datos se cargan, con qué finalidad y quién accede a ellos. Rex+ actúa como encargado del tratamiento y opera únicamente bajo tu instrucción.
¿Existe un contrato que regule el tratamiento de los datos?
Sí. Rex+ dispone de un modelo de Acuerdo de Tratamiento de Datos (DPA) que complementa el contrato de servicio y regula los roles de responsable y encargado, las instrucciones de tratamiento, la confidencialidad, el régimen de subencargados, las medidas técnicas y organizativas, la notificación de incidentes, las transferencias internacionales y la devolución o eliminación de datos al término del servicio. Si tu empresa tiene su propio modelo de DPA, o necesita el certificado de seguridad o responder un cuestionario de privacidad, nuestro Delegado de Protección de Datos (DPO) lo revisa y te responde. Escríbenos a la casilla de privacidad o coordínalo con tu ejecutivo de cuenta.
Revive nuestro Webinar sobre la Ley de Protección de Datos
junto a GeoVictoria y az Abogados.
Contáctanos y conoce el mejor software de remuneraciones de Chile para tu empresa
Nuestros especialistas en recursos humanos te guian en cada paso
