# Plan de Respuesta a Brechas de Datos Personales

**Empresa:** [RAZÓN SOCIAL] · **Responsable del plan:** [NOMBRE / CARGO] · **Contacto:** [CORREO]
**Plazo legal:** notificar a la Agencia **sin dilaciones indebidas** (Art. 14 sexies; la ley NO fija un plazo de 72 horas — eso es estándar GDPR, no chileno). Mantener además un **registro de las vulneraciones** (ver `registro-vulneraciones.md`), aunque no se notifiquen.

## Roles
- **Coordinador de incidente:** [NOMBRE]. **Equipo técnico:** [NOMBRES]. **Apoyo legal:** [CONTACTO].

## Fase 1 — Detección y contención (0–4h)
1. Registrar fecha/hora de detección y quién detecta.
2. Contener: aislar sistemas, revocar accesos, rotar credenciales.
3. Abrir bitácora del incidente.

## Fase 2 — Evaluación (4–24h)
1. Qué datos y de cuántos titulares.
2. Riesgo para los titulares (alto / no alto).
3. Si hay proveedor involucrado, exigirle la información.

## Fase 3 — Notificación (sin dilaciones indebidas)
1. **A la Agencia:** naturaleza, categorías y volumen, consecuencias probables, medidas, contacto.
2. **A los titulares:** cuando haya riesgo alto, y también si afecta **datos sensibles, económicos/
   financieros/bancarios o de niños, niñas y adolescentes**: qué pasó, qué datos, qué pueden hacer, contacto.

## Fase 4 — Cierre y mejora
Causa raíz · medidas correctivas · actualizar RAT y este plan.

## Plantilla de aviso (borrador)
> El [FECHA] detectamos [DESCRIPCIÓN]. Datos afectados: [CATEGORÍAS], ~[N] titulares.
> Medidas adoptadas: [...]. Contacto: [CORREO].

---
*Borrador generado con compliance-cl (pack ley-21719). No constituye asesoría legal; revisar con un abogado.*