Privacidad
Publicada: 24 de Septiembre, 2026
Vigente desde: 24 de Septiembre, 2026
VERSIÓN 2 — ARCHIVADA · Volver a la versión publicada
1. Vigencia y marco legal
Esta versión fue publicada y entra en vigencia el 24 de septiembre de 2026. La reforma integral de la Ley N° 19.628 introducida por la Ley N° 21.719 se aplicará desde el 1 de diciembre de 2026, junto con las demás normas chilenas pertinentes.
Cebric adopta desde la publicación las prácticas reforzadas descritas aquí. La referencia a la Agencia de Protección de Datos Personales y a las disposiciones nuevas debe entenderse operativa desde el 1 de diciembre de 2026.
2. Responsable, alcance y roles
Responsable: Cebric Ingeniería SpA ("Cebric"), RUT 78.490.233-1, domiciliada en Av. Los Jardines 932, Huechuraba, Región Metropolitana, Chile. Representante legal: Sebastián Richards Carmona. Sitios y servicios cubiertos: cebric.cl, www.cebric.cl, app.cebric.cl, api.cebric.cl y sus subdominios operativos.
Canal de privacidad: privacidad@cebric.cl. Domicilio para comunicaciones: Av. Los Jardines 932, Huechuraba, Región Metropolitana, Chile. El canal recibe comunicaciones dirigidas a Cebric y a su representante legal.
- Cebric como responsable: decide las finalidades y medios respecto de datos de visitantes, prospectos, administradores de clientes, usuarios de cuenta, facturación, seguridad, soporte y relaciones comerciales.
- Cebric como mandatario o encargado: trata por instrucciones del cliente los datos que éste carga o genera sobre trabajadores, firmantes, proveedores, contactos y terceros. En ese caso, el cliente determina la licitud, finalidad y contenido del tratamiento. El Anexo de Tratamiento de Datos de los Términos regula este encargo.
- Cliente como responsable: debe informar a sus titulares, contar con una base jurídica, impartir instrucciones lícitas, limitar accesos y no cargar datos innecesarios.
3. Titulares, datos y fuentes
3.1 Titulares
Podemos tratar datos de visitantes, prospectos, clientes, usuarios autorizados, trabajadores y colaboradores de clientes, firmantes, proveedores, contactos de emergencia y otras personas incluidas lícitamente por un cliente.
3.2 Categorías de datos
- Identidad y contacto: nombre, apellidos, correo, teléfono, domicilio, país, RUT u otro documento, nacionalidad, cargo, empresa y datos de representante.
- Cuenta y autenticación: identificador de usuario, correo verificado, organización, roles, permisos, sesiones, factores de autenticación y registros asociados. Las credenciales son administradas por el servicio de autenticación; Cebric no muestra contraseñas en texto claro.
- Comerciales y de facturación: plan, consumo, razón social, RUT, domicilio tributario, comprobantes, estado de cobro y referencias de transacción. Cebric no almacena el número completo ni el código de seguridad de tarjetas.
- Uso, soporte y seguridad: IP, fecha y hora, navegador, sistema operativo, ruta, acciones relevantes, errores, eventos de auditoría, mensajes de soporte y señales antifraude.
- Formulario de contacto: nombre, correo corporativo, empresa, categoría, mensaje y resultado de la verificación Turnstile.
- Datos del Cliente: archivos, contratos, anexos, plantillas, antecedentes laborales, datos de trabajadores, proyectos, rendiciones, boletas, facturas, proveedores, aprobaciones y campos personalizados.
- Firma electrónica simple: documento, identidad declarada y verificada según el flujo, consentimiento, estado, fecha y hora, IP, agente de usuario, evidencias de autenticación, hash y registro de auditoría.
- Procesamiento asistido por IA: imágenes y texto de documentos seleccionados por el usuario, instrucciones, datos extraídos, clasificaciones y correcciones humanas.
- Integraciones opcionales: datos estrictamente necesarios para la integración activada por el cliente, por ejemplo antecedentes de seguridad y salud laboral enviados o recibidos desde ACHS.
3.3 Fuentes
Obtenemos datos directamente del titular; de su empleador, mandante, administrador o cliente; de documentos y archivos cargados; de dispositivos y registros técnicos; de proveedores de autenticación, pago, seguridad y comunicaciones; de integraciones activadas; y de fuentes de acceso público cuando una función autorizada lo requiere. Si los datos no provienen del titular, Cebric o el cliente informará la fuente conforme al rol que corresponda.
4. Finalidades y bases legales
El consentimiento se rige por el artículo 12 de la Ley N° 19.628 modificada. Las demás bases de licitud se rigen por su artículo 13. No usaremos los datos para una finalidad incompatible sin una base que lo permita y la información correspondiente.
| Finalidad | Datos principales | Base legal |
|---|---|---|
| Responder consultas y preparar una oferta | Contacto, empresa, categoría y mensaje | Medidas precontractuales solicitadas por el titular; consentimiento cuando corresponda |
| Crear, autenticar y administrar cuentas y organizaciones | Identidad, contacto, autenticación, roles y sesiones | Ejecución del contrato o medidas precontractuales |
| Prestar gestión documental, gastos, firma y demás módulos contratados | Datos de cuenta y Datos del Cliente | Ejecución contractual; respecto de datos encargados, instrucciones documentadas del cliente |
| Procesar suscripciones, pagos, facturas y cobros | Facturación, plan y referencias de pago | Ejecución contractual y obligaciones legales tributarias y contables |
| Prestar soporte y comunicaciones transaccionales | Contacto, cuenta, mensajes, diagnósticos | Ejecución contractual e interés legítimo en resolver fallas y mantener el Servicio |
| Prevenir abuso, fraude e incidentes; proteger cuentas y evidencia | Sesiones, IP, actividad, auditoría y señales de seguridad | Interés legítimo de Cebric, clientes y usuarios en la seguridad; obligaciones legales |
| Operar, medir y mejorar confiabilidad y rendimiento | Vistas de página cookieless, telemetría minimizada, errores y métricas agregadas; interacciones analíticas sólo tras aceptación | Interés legítimo en operar, proteger y medir el alcance general del sitio mediante estadísticas cookieless minimizadas; consentimiento para analítica persistente y de interacción |
| Enviar marketing no solicitado por la ejecución contractual | Nombre, correo y preferencias | Consentimiento revocable y normas sobre comunicaciones comerciales |
| Atender derechos, reclamos, auditorías y controversias | Solicitud, identidad, evidencias y registros | Obligación legal e interés legítimo en ejercer o defender derechos |
| Cumplir una orden de autoridad competente | Los datos requeridos de forma válida y proporcional | Obligación legal |
Los intereses legítimos concretos son seguridad de la información, prevención de fraude, continuidad, diagnóstico, defensa de derechos y mejora técnica proporcionada. Antes de invocarlos evaluamos necesidad, proporcionalidad e impacto. El titular puede oponerse según la ley.
5. Datos sensibles y de menores
Algunas funciones pueden alojar datos sensibles —por ejemplo, antecedentes de salud o afiliación sindical contenidos en documentos laborales— sólo cuando el cliente los incorpora con una base jurídica válida. Cebric no exige esos datos para crear una cuenta y, como encargado, no decide cargarlos. Aplicamos acceso restringido, minimización y medidas acordes al riesgo.
El Servicio no está dirigido directamente a menores. Para datos de menores de 14 años se requiere actuación o consentimiento de sus padres o representantes cuando la ley lo exija. El tratamiento de datos sensibles de menores de 16 años exige la autorización de sus padres o representantes, salvo habilitación legal distinta. El cliente que incorpore datos de adolescentes trabajadores debe verificar la base legal y limitar el tratamiento a la relación laboral legítima, conforme al artículo 16 quáter.
6. Destinatarios, encargados y terceros
Compartimos únicamente lo necesario para la finalidad informada. Los proveedores actúan sujetos a contratos, confidencialidad, medidas de seguridad e instrucciones según el artículo 15 bis cuando son encargados.
| Proveedor o destinatario | Función y datos | Ubicación o alcance |
|---|---|---|
| Cloudflare, Inc. | DNS, CDN, WAF, Workers, Turnstile y almacenamiento R2; solicitudes web, IP, señales de seguridad y archivos almacenados | Red global; puede implicar tratamiento fuera de Chile |
| Neon, Inc. | Base de datos PostgreSQL y Neon Auth; datos de cuenta, autenticación y datos estructurados del Servicio | Estados Unidos, infraestructura AWS us-east-1 |
| Google LLC — Gemini API | Procesamiento de IA solicitado por el usuario; documento o imagen seleccionada, instrucciones y salida | Estados Unidos y red global del proveedor |
| PostHog, Inc. | Medición cookieless de vistas de página del sitio público y, tras aceptación, analítica persistente de interacciones; telemetría de producto habilitada, diagnósticos, soporte y eventos minimizados | Estados Unidos |
| Zoho / ZeptoMail | Correo transaccional y de soporte; nombre, dirección de correo, contenido y adjuntos necesarios | Infraestructura internacional del proveedor |
| Transbank S.A. | Pago y mandato de cobro; identificadores de comercio, monto, token y estado de transacción | Chile; actúa también bajo sus propias obligaciones |
| Asociación Chilena de Seguridad (ACHS) | Integración opcional de seguridad y salud laboral activada por el cliente; datos definidos por dicha integración | Chile; puede actuar como responsable independiente |
| Asesores y autoridades | Asesoría jurídica, contable, auditoría o cumplimiento; sólo datos necesarios para el encargo o requerimiento válido | Según el caso y bajo deber de confidencialidad |
El proveedor de alojamiento del servidor de aplicación y cualquier cambio material en esta lista se informará antes de que trate Datos del Cliente. Cebric mantendrá un registro actualizado y comunicará cambios de subencargados conforme al Anexo de Tratamiento. No vendemos datos personales.
7. Transferencias internacionales
Los proveedores indicados pueden tratar datos en Estados Unidos u otros países. Desde el 1 de diciembre de 2026, las transferencias se efectuarán conforme a los artículos 27 y 28 de la Ley N° 19.628 modificada: decisión de adecuación de la Agencia, garantías contractuales suficientes —incluidas cláusulas modelo cuando existan—, normas corporativas vinculantes u otra excepción legal aplicable.
La mera aceptación de esta Política no se usa como autorización genérica para toda transferencia. Cuando una transferencia requiera consentimiento, éste se solicitará de manera específica e informada. Puede pedir información sobre destino, proveedor y garantía aplicable a privacidad@cebric.cl.
8. Retención, devolución y eliminación
| Información | Criterio o plazo máximo ordinario |
|---|---|
| Consultas de prospectos sin contrato | 12 meses desde la última interacción, salvo consentimiento vigente o necesidad de defensa |
| Cuenta y relación contractual | Durante la relación y después por los plazos legales de prescripción, cobro, auditoría y defensa aplicables |
| Antecedentes tributarios y contables | Durante el plazo de conservación exigido por la normativa tributaria y mientras pueda ser necesaria su revisión por la autoridad |
| Datos del Cliente | Durante el contrato; al terminar, ventana ordinaria de exportación de 30 días y eliminación de sistemas activos dentro de 90 días, salvo instrucción, obligación o controversia válida |
| Copias de respaldo | Se sobrescriben o aíslan de uso ordinario conforme al ciclo de respaldo, normalmente dentro de 90 días adicionales |
| Evidencia de firma y aceptación legal | Durante la vigencia del acto y los plazos necesarios para acreditar integridad, consentimiento y ejercer o defender derechos |
| Registros de seguridad y auditoría | Normalmente 24 meses; más tiempo sólo si existe incidente, investigación u obligación aplicable |
| Marketing | Hasta retirar el consentimiento o tras 24 meses sin interacción, lo que ocurra primero |
| Preferencia de cookies | Aceptación: 12 meses; rechazo: durante la sesión de navegación. Después se solicita una nueva elección. |
| Vistas de página cookieless | Hasta 24 meses con un hash diario no persistente; no permite deduplicar a una persona entre días |
| Eventos analíticos consentidos | Hasta 24 meses, con identificadores minimizados, o antes si se revoca y procede su supresión |
Al vencer el plazo, eliminamos o anonimizamos de forma razonable y verificable. Una obligación legal, orden válida, bloqueo solicitado o litigio puede suspender la eliminación sólo respecto de los datos necesarios.
9. Seguridad y protección desde el diseño
Conforme a los artículos 14 quinquies y siguientes, aplicamos medidas proporcionales al volumen, naturaleza, contexto y riesgo del tratamiento. Entre ellas:
- cifrado de comunicaciones, gestión protegida de secretos y controles de almacenamiento;
- autenticación, roles, permisos, mínimo privilegio y separación lógica entre organizaciones;
- registro de eventos relevantes, monitoreo, respaldo y procedimientos de recuperación;
- gestión de vulnerabilidades, dependencias, cambios y acceso administrativo;
- confidencialidad del personal y proveedores, respuesta a incidentes y revisión periódica de riesgos;
- evaluación de impacto cuando un tratamiento pueda producir alto riesgo.
Ningún sistema es infalible. Estas medidas no constituyen una garantía de seguridad absoluta ni una certificación que Cebric no haya obtenido expresamente.
10. Derechos del titular y procedimiento
Desde el 1 de diciembre de 2026 puede ejercer gratuitamente los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, además de revocar el consentimiento. El acceso comprende origen, finalidades, categorías, destinatarios, transferencias, conservación y, cuando corresponda, información significativa sobre decisiones automatizadas.
- Envíe la solicitud a privacidad@cebric.cl, identificando el derecho y la información involucrada.
- Podremos pedir antecedentes proporcionales para verificar identidad o representación. No solicitaremos más datos de los necesarios.
- Responderemos dentro de 30 días corridos. Si la solicitud es compleja o numerosa, podremos prorrogar una sola vez por hasta 30 días e informaremos la razón antes del vencimiento.
- Una solicitud fundada de bloqueo será atendida dentro de dos días hábiles mientras se decide la rectificación, supresión u oposición previa, cuando corresponda legalmente.
- Si Cebric actúa como encargado, remitirá la solicitud al cliente responsable y colaborará con su respuesta.
Si la respuesta es denegada, incompleta o tardía, puede reclamar ante la Agencia de Protección de Datos Personales conforme al procedimiento legal, sin perjuicio de otras acciones.
11. Inteligencia artificial y decisiones automatizadas
Cebric usa IA para extraer texto y campos desde documentos, sugerir clasificaciones y asistir la generación de contenido. Estas salidas pueden contener errores y deben ser revisadas por una persona autorizada antes de usarse para pagos, decisiones laborales, firma o cualquier efecto relevante.
Cebric no adopta, por defecto, decisiones basadas exclusivamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a una persona. Si una función futura lo hiciera, el titular tendrá los derechos del artículo 8 bis: oponerse cuando proceda, solicitar explicación, expresar su punto de vista, obtener intervención humana y pedir revisión.
Cebric no usa Datos del Cliente para entrenar modelos generales propios ni autoriza esa finalidad secundaria a sus proveedores. El contenido enviado a una API de IA se limita a la operación solicitada y queda sujeto al contrato de encargo y a las condiciones empresariales aplicables.
13. Incidentes de seguridad
Cebric registra y evalúa incidentes. Cuando una vulneración genere un riesgo razonable para los derechos de las personas, notificará a la Agencia sin dilaciones indebidas conforme al artículo 14 sexies. Informará directamente a los titulares cuando afecte datos sensibles, datos de menores de 14 años o información económica, financiera, bancaria o comercial, y en los demás casos exigidos.
La comunicación describirá, en lo posible, naturaleza, categorías y número aproximado de afectados, consecuencias, medidas adoptadas y canal de contacto. Como encargado, Cebric avisará al cliente responsable sin dilaciones indebidas y entregará la información disponible para que cumpla sus deberes.
14. Cambios, contacto y reclamos
Las versiones quedan identificadas por número, fecha de publicación, fecha de vigencia y hash en el manifiesto legal. Un cambio sustancial se publicará y comunicará por un medio razonable antes de entrar en vigor. Si introduce una finalidad que exige consentimiento, se solicitará nuevamente.
Cebric Ingeniería SpA
RUT: 78.490.233-1
Av. Los Jardines 932, Huechuraba, Región Metropolitana, Chile
Representante legal: Sebastián Richards Carmona
Privacidad y derechos: privacidad@cebric.cl
Soporte general: contacto@cebric.cl
Desde el 1 de diciembre de 2026, también puede presentar un reclamo ante la Agencia de Protección de Datos Personales en el canal oficial que ésta habilite.
