Si estás usando HubSpot Free, Monday Free o Salesforce Free para gestionar datos de tus clientes chilenos, tienes un problema. Investigamos los Términos y Condiciones de los principales proveedores SaaS utilizados en Chile. Ninguna versión gratuita incluye un Data Processing Agreement (DPA). La Ley 21.719 exige tenerlo firmado antes del 1 de diciembre de 2026. Si no lo haces, te expones a multas de hasta 20.000 UTM (~USD 1.550.000) o el 4% de tus ingresos anuales.
Este artículo no es FUD (miedo, incertidumbre y duda). Es una investigación real, con fuentes verificables, de lo que dicen —y lo que NO dicen— los contratos de HubSpot, Monday.com, Salesforce y Zoho. Y, más importante aún, te damos una alternativa concreta, legal y económica para cumplir sin depender de licencias empresariales que cuestan decenas de miles de dólares al año.
1. ¿Qué es un DPA y por qué la Ley 21.719 te obliga a tenerlo?
Un Data Processing Agreement (DPA) —o Contrato de Procesamiento de Datos— es el documento legal que establece las condiciones bajo las cuales un responsable del tratamiento (tu empresa) entrega datos personales a un encargado del tratamiento (tu proveedor SaaS, tu hosting, tu VPS).
La Ley 21.719, que reemplaza a la obsoleta Ley 19.628 (vigente desde 1999), exige que este acuerdo exista por escrito y cumpla con ciertos estándares mínimos. Ya no basta con hacer clic en "Acepto términos y condiciones".
⚖️ Lo que exige la Ley 21.719 (texto simplificado)
- DPA por escrito entre responsable y encargado del tratamiento
- Consentimiento explícito, informado e inequívoco del titular de los datos
- Finalidad específica: no puedes usar datos para fines distintos a los informados
- Notificación de brechas a la APDP (Agencia de Protección de Datos Personales)
- Delegar datos a un tercero sin DPA = infracción grave
La Agencia de Protección de Datos Personales (APDP) —creada por esta ley— tiene facultades para fiscalizar de oficio, iniciar investigaciones, ordenar suspensiones de tratamiento y, por supuesto, aplicar las temidas multas.
📊 Las multas en números
Las sanciones pueden alcanzar hasta 20.000 UTM (Unidades Tributarias Mensuales). Al valor de Julio 2026, eso equivale a aproximadamente USD 1.550.000 o $1.450 millones de pesos chilenos.
Pero hay más: si la infracción involucra datos sensibles, datos de niños/as o datos financieros, la multa puede escalar al 4% de los ingresos anuales de la empresa, sin tope máximo.
Fuente: Ley 21.719, Artículo 24 y siguientes. Biblioteca del Congreso Nacional de Chile.
2. La investigación: ¿Qué dicen los Términos y Condiciones?
Revisamos los Términos y Condiciones, Políticas de Privacidad y DPAs publicados por HubSpot, Monday.com, Salesforce y Zoho —los cuatro proveedores SaaS más utilizados por empresas chilenas para CRM, automatización de marketing y gestión comercial.
🔍 Hallazgo principal
Ninguno de los cuatro proveedores incluye un DPA en sus planes gratuitos. El DPA solo está disponible cuando firmas un contrato comercial (planes pagados desde Starter hacia arriba), y en algunos casos requiere una solicitud explícita o un cargo adicional.
HubSpot
HubSpot ofrece un DPA estandarizado en legal.hubspot.com/dpa, pero este DPA forma parte del "Acuerdo" que se suscribe al contratar un plan pagado. En los Términos de Servicio para cuentas gratuitas (Free CRM), no hay referencia a un DPA. La cláusula de protección de datos se limita a una declaración genérica de cumplimiento con leyes aplicables, sin el nivel de detalle que exige la Ley 21.719.
⚠️ Importante
Si tienes un plan Starter, Professional o Enterprise de HubSpot, el DPA sí está disponible como parte de tu acuerdo contractual. Pero verifica: ¿lo firmaste? ¿Está adaptado a la legislación chilena o es el DPA genérico de GDPR europeo?
Monday.com
Monday.com publica un Data Processing Addendum en su sitio legal, pero está diseñado para clientes con un acuerdo comercial vigente. La versión gratuita (Individual) y el plan Basic no incluyen este addendum como parte de los términos. Monday actúa como controlador (no procesador) de los datos en sus planes gratuitos, lo que significa que tú no tienes control legal sobre cómo trata tus datos.
Salesforce
Salesforce tiene uno de los DPAs más robustos de la industria, pero solo está disponible para clientes con un Main Services Agreement (MSA) firmado. Las ediciones gratuitas (Developer Edition, Essentials Trial) no incluyen DPA. Salesforce deja explícito que el DPA "forms part of the Main Services Agreement or other written or electronic agreement between SFDC and Customer for the purchase of online services". Sin compra, no hay DPA.
Zoho
Zoho ofrece cláusulas de cumplimiento GDPR en sus términos de uso, pero no tiene un DPA específico para Latinoamérica. Su enfoque está alineado con regulaciones europeas y estadounidenses (CCPA), sin una adaptación explícita a la Ley 21.719 chilena. En el plan gratuito (Free CRM, hasta 3 usuarios), los datos se procesan bajo los términos generales de Zoho, sin un acuerdo de procesamiento firmado.
3. Tabla comparativa: DPA por proveedor y plan
| Proveedor | Plan Free | Starter/Basic | Pro/Standard | Enterprise |
|---|---|---|---|---|
| HubSpot | ❌ Sin DPA | ⚠️ Consultar | ✅ Con DPA | ✅ Con DPA |
| Monday.com | ❌ Sin DPA | ⚠️ Consultar | ⚠️ Consultar | ✅ Con DPA |
| Salesforce | ❌ Sin DPA | ❌ Sin DPA | ⚠️ Consultar | ✅ Con DPA |
| Zoho | ❌ Sin DPA | ⚠️ Consultar | ⚠️ Consultar | ⚠️ Consultar |
| 🔥 Hetzner (VPS) | ✅ DPA gratis | ✅ DPA gratis | ✅ DPA gratis | ✅ DPA gratis |
📌 Atención: Esta tabla es referencial
Las condiciones pueden variar según tu país, el tipo de contrato y negociaciones comerciales. Si tienes un plan pagado (no Enterprise), te recomendamos contactar directamente al proveedor y preguntar:
- ✅ ¿Mi plan incluye un DPA firmado?
- ✅ ¿El DPA cubre específicamente la legislación chilena (Ley 21.719)?
- ✅ ¿Tiene algún costo adicional o está incluido en mi suscripción?
- ✅ ¿Dónde puedo revisar y firmar el DPA?
4. El costo de cumplir con DPA vía proveedores SaaS vs VPS propio
Aquí está el dato que pocos están dispuestos a decir abiertamente: cumplir con la ley usando los planes Enterprise de estos proveedores cuesta entre 10 y 50 veces más que hacerlo con una VPS + software open source. Y eso sin contar que el DPA a veces se cobra como add-on adicional.
| Solución | Costo mensual | ¿Incluye DPA? | Control de datos | Costo anual |
|---|---|---|---|---|
| HubSpot Professional | ~$1.600 USD | ✅ Sí | Medio | ~$19.200 USD |
| Salesforce Essentials | ~$90 USD | ❌ No incluye | Medio | ~$1.080 USD |
| Monday Enterprise | ~$500+ USD | ✅ Sí | Medio | ~$6.000+ USD |
| 🔥 Hetzner VPS + Stack Open Source | ~€4 – €30 | ✅ DPA gratis | ✅ Total | ~€50 – €360 |
💡 La matemática es clara
Por el costo de un mes de HubSpot Professional (~$1.600 USD), puedes pagar más de 4 años de un VPS en Hetzner (CX22 a €3.99/mes) + todos los CRMs open source que quieras instalar.
Y con el DPA gratuito e incluido para todos los clientes de Hetzner, cumples con la Ley 21.719 desde el día 1.
5. El stack open source que reemplaza a los SaaS gringos
Lo mejor de todo: todo este stack corre sobre una sola VPS de Hetzner. Con un CX32 (€7.99/mes) o un CX52 (€17.99/mes) puedes ejecutar la mayoría de estas herramientas en producción para equipos de 5 a 50 personas.
| Necesitas | Alternativa SaaS | Alternativa Open Source | ¿Se auto-aloja? |
|---|---|---|---|
| CRM | HubSpot / Salesforce | Twenty CRM ⭐ 25K+ GitHub | ✅ Docker |
| ERP + CRM | Salesforce / SAP | ERPNext o Odoo | ✅ Docker |
| Email Marketing | Mailchimp / HubSpot | Mautic o Listmonk | ✅ Docker |
| Atención al Cliente | Zendesk / Intercom | Chatwoot 🚀 | ✅ Docker |
| Gestión de Proyectos | Monday / Asana | Planeal / Taiga / Vikunja | ✅ Docker |
| Automatización | Zapier / Make | n8n 🔥 | ✅ Docker |
| Analytics / BI | Looker / Tableau | Metabase | ✅ Docker |
| Base de Datos | AWS RDS / MongoDB Atlas | PostgreSQL + DuckDB | ✅ Docker |
🏗️ ¿Por qué Hetzner?
- DPA gratuito para TODOS los clientes — desde el plan más básico (CX22 a €3.99/mes) hasta el más grande
- Datacenters en Alemania y Finlandia — cumplimiento GDPR que excede los estándares chilenos
- Rendimiento/precio imbatible — un CX52 (4 vCPU, 8GB RAM, 160GB NVMe) cuesta €17.99/mes
- API y automatización — deploy con Docker Compose en minutos
6. Guía práctica: Cómo prospectar cumpliendo la Ley 21.719
Uno de los mitos más extendidos es que "con la nueva ley ya no se va a poder hacer prospección comercial". Falso. Lo que cambia es cómo se hace. Pasamos del "envío masivo y rezo" a la prospección consentida, documentada y auditable.
6.1. El consentimiento en la prospección B2B
La Ley 21.719 exige consentimiento explícito, informado, específico e inequívoco. En el contexto B2B, esto significa:
- No puedes comprar bases de datos de terceros y enviar correos masivos sin consentimiento previo
- No puedes scrapear LinkedIn y agregar contactos a tu CRM sin informarles
- No puedes usar datos obtenidos para un propósito (ej: una cotización) y usarlos para otro (ej: newsletter semanal)
✅ Lo que SÍ puedes hacer
- Prospección outbound con legitimación por "interés legítimo" — la ley permite el contacto comercial cuando existe una relación previa o un interés genuino y acotado (ej: contacto a empresas que ofrecen servicios relacionados con tu solución)
- Siempre con derecho a oponerse — cada comunicación debe incluir un mecanismo simple y gratuito para que el destinatario se dé de baja o se oponga al tratamiento
- Documenta todo — lleva un registro de cuándo, cómo y por qué contactaste a cada persona. La APDP puede pedirte evidencias
- Usa un CRM con DPA firmado — si tu CRM (incluso pagado) no tiene DPA, estás delegando datos sin respaldo legal
6.2. Checklist para tu equipo de ventas
| # | Acción | Estado |
|---|---|---|
| 1 | Verificar DPA de tu CRM/proveedores — ¿está firmado? ¿cubre Chile? | ⬜ Pendiente |
| 2 | Auditar tus bases de datos — ¿de dónde sacaste esos contactos? ¿tienen consentimiento? | ⬜ Pendiente |
| 3 | Actualizar formularios web — checkbox de consentimiento explícito + finalidad específica | ⬜ Pendiente |
| 4 | Agregar enlace de baja en todos los correos comerciales (fácil, gratuito, 1 clic) | ⬜ Pendiente |
| 5 | Redactar política de privacidad actualizada con derechos ARCO-P | ⬜ Pendiente |
| 6 | Designar un encargado (DPO) — interno o externo, según tu volumen de datos | ⬜ Pendiente |
| 7 | Implementar Registro de Actividades de Tratamiento (RAT) — documenta qué datos tratas, para qué, con quién los compartes | ⬜ Pendiente |
| 8 | Migrar a un stack con DPA garantizado — Hetzner + open source = cumplimiento desde el día 1 | ⬜ Pendiente |
6.3. El flujo correcto de prospección
- Identificas a un prospecto (público objetivo, LinkedIn, referido)
- Documentas la fuente legítima del contacto (relación comercial previa, interés público, consentimiento)
- Contactas con un mensaje específico, transparente y con opción de baja visible
- Registras en tu CRM (con DPA firmado) cada interacción
- Respetas la voluntad del prospecto si se opone o solicita la eliminación de sus datos
🛡️ El principio rector
La Ley 21.719 no prohíbe la prospección comercial. Prohíbe la prospección no consentida, no documentada y no auditable. Si tu operación comercial ya es ordenada, probablemente estás más cerca de cumplir de lo que crees.