Política de Privacidad del Servicio CIPARISO

Sección 1 — Quién trata los datos y bajo qué ley

1.1. A.I. ERGANE SpA (el “Prestador”) es responsable del tratamiento de los datos de las cuentas del Cliente y de sus Usuarios Autorizados (registro, acceso, facturación y soporte).

1.2. Los datos personales de terceros que vienen dentro de los Documentos de la Obra (por ejemplo, nombres o RUT de proveedores y transportistas, o patentes de vehículos) son responsabilidad del Cliente. El Prestador los trata solo por encargo del Cliente y según sus instrucciones, en los términos del Anexo de Tratamiento de Datos.

1.3. El tratamiento se rige por la Ley 19.628 sobre Protección de la Vida Privada y, desde su entrada en vigencia, por la Ley 21.719 sobre Protección de Datos Personales. Las expresiones con mayúscula inicial que no se definan aquí tienen el significado que les asigna la Cláusula 1 de los Términos y Condiciones.

Sección 2 — Qué datos se tratan y de dónde salen

(a) Datos de cuenta. Nombre, correo electrónico, empresa y rol de cada Usuario Autorizado. Si el usuario elige iniciar sesión con Google, Google entrega al Servicio su nombre, correo y foto de perfil.

(b) Documentos de la Obra. El presupuesto y sus análisis de precios unitarios, los informes de la ITO, los documentos tributarios electrónicos, los certificados de disposición de escombros y los correos (con sus adjuntos) que el Cliente o sus proveedores envían a la dirección de recepción de documentos de una Obra. Pueden contener datos personales de terceros: nombres, RUT, patentes, direcciones y firmas.

(c) Datos para sincronizar documentos con el SII. Cuando un administrador del Cliente sincroniza sus compras desde el Servicio de Impuestos Internos, entrega el RUT de la empresa, el RUT del titular del certificado digital, el certificado y su contraseña. Esos datos se usan solo durante esa sincronización, en memoria, para consultarlos a través de SimpleAPI (Sección 4), y el Servicio no los almacena.

(d) Datos de uso, auditoría y seguridad. Eventos del Servicio (cálculos, exportaciones, inicios de sesión con su dirección IP, aceptación de los Términos) y datos técnicos de los errores de funcionamiento.

(e) Datos de facturación. Plan contratado, período de vigencia y contadores de uso. El Prestador no almacena números de tarjeta ni credenciales bancarias.

Sección 3 — Para qué se usan

• ejecutar el contrato de Servicio: calcular la Huella, generar el Triple Cruce, las anomalías y los reportes de cada Obra, y prestar soporte;
• gestionar la suscripción, el cobro y la facturación del Cliente;
• proteger el Servicio y las cuentas: auditoría, registro de la aceptación de los Términos, límites de uso para prevenir abusos y detección de errores;
• mejorar la Biblioteca de Factores y el Servicio, únicamente con información agregada y anonimizada, sin identificar a personas, obras ni Clientes.

La base de licitud es la ejecución del contrato con el Cliente, el cumplimiento de obligaciones legales (por ejemplo, tributarias) y el interés legítimo del Prestador en la seguridad del Servicio. Respecto de los Documentos de la Obra, la base de licitud la determina el Cliente, como responsable.

Sección 4 — Proveedores que reciben datos

El Servicio se presta con los proveedores que se indican a continuación. Cada uno recibe solo los datos necesarios para la función que cumple.

Infraestructura (siempre activa)

• Supabase — base de datos, almacenamiento de archivos y autenticación. Recibe todos los datos del Servicio, incluidos los Documentos de la Obra. Brasil (São Paulo).
• Fly.io — servidores de la aplicación. Procesa todo el tráfico de la API y sus registros técnicos. Brasil (São Paulo).
• Upstash, a través de Fly.io — contadores para los límites de uso. Recibe solo identificadores internos de empresa y contadores, sin datos personales. Brasil (São Paulo).
• Vercel — hospedaje de la interfaz web. Recibe las solicitudes de las páginas, con la dirección IP del visitante. Estados Unidos.
• Sentry — detección de errores. Recibe datos técnicos de los errores (tipo, traza y ruta), sin el contenido de los documentos ni de las solicitudes, y sin las direcciones completas de las consultas a otros proveedores. Estados Unidos.

Funciones que el Cliente decide usar

• Mailgun — recepción de los correos enviados a la dirección de documentos de una Obra, cuando el Cliente la activa. Recibe el correo completo: remitente, destinatarios, cuerpo y adjuntos. Estados Unidos.
• Anthropic — inteligencia artificial (Cláusula 5 de los Términos), en las funciones que la usan. Para leer certificados de escombros, EPD o informes de la ITO en PDF, recibe el documento completo. Para sugerir factores de emisión, recibe la descripción y la unidad de las partidas, sin precios. Para explicar anomalías o proponer medidas de reducción, recibe cifras de la Obra y su nombre y comuna. No recibe datos de las cuentas. Conforme a sus condiciones comerciales, Anthropic no usa estos datos para entrenar sus modelos y los conserva solo por un período limitado. Estados Unidos.
• SimpleAPI — consulta de las compras del Cliente en el SII, cuando un administrador la solicita. Recibe los datos de la Sección 2(c) y devuelve los RUT y nombres de los proveedores. Chile.
• Boostr — identificación del tipo de vehículo a partir de la patente que figura en una guía de despacho, cuando la función está activa. Recibe la patente; su respuesta incluye datos del propietario, que el Servicio descarta sin guardarlos. Chile.
• CNaught — compra de bonos de compensación de carbono, cuando el Cliente usa la función “Compensar”. Recibe la cantidad a compensar, el nombre y un identificador de la Obra. El pago se hace en la página de CNaught. Estados Unidos.
• Google — inicio de sesión con una cuenta de Google, si el usuario lo elige. Google actúa conforme a su propia política de privacidad. Estados Unidos.

Consultas a servicios públicos (dato mínimo)

• OpenStreetMap (Nominatim) — ubicación en el mapa de obras, proveedores y lugares de disposición de escombros. Recibe la dirección que figura en el documento o, si la Obra no tiene dirección, su nombre. Europa.
• OSRM — cálculo de rutas de transporte, solo si la función está activa. Recibe coordenadas de origen y destino. Europa.
• Ökobaudat, Environdec y EC3 (Building Transparency) — bases de datos de factores de emisión y EPD. Reciben solo el término de búsqueda de un material, sin datos personales. Alemania, Suecia y Estados Unidos.

Todo proveedor nuevo que vaya a recibir datos personales se publica en esta Sección y se informa a los Clientes con al menos quince (15) días corridos de anticipación, conforme al Anexo de Tratamiento de Datos.

Sección 5 — Transferencias internacionales

Por el uso de los proveedores de la Sección 4, los datos se almacenan en Brasil y pueden ser tratados en Estados Unidos y en Europa, según la función. El Prestador respalda esas transferencias con los compromisos contractuales de protección de datos de cada proveedor. A los servicios públicos de consulta solo se envía el dato mínimo que la consulta requiere.

Sección 6 — Plazos de conservación

• Documentos de la Obra, cálculos, Carbon Ledger y bitácora de auditoría de la cuenta: mientras la cuenta esté activa. Terminado el Servicio, el Cliente tiene treinta (30) días para exportarlos y luego se eliminan dentro de los noventa (90) días siguientes, conforme al Anexo de Tratamiento de Datos.
• Datos de cuenta, de suscripción y registro de aceptación de los Términos: veinticuatro (24) meses desde el término de la relación, para atender reclamos o disputas; vencido ese plazo, se eliminan.
• Facturas y demás documentos tributarios del Prestador: seis (6) años, conforme al Código Tributario.
• Registros técnicos del servidor y reportes de errores: hasta noventa (90) días.
• Copias de respaldo: se eliminan según su ciclo de rotación, que no excede de noventa (90) días.
• Certificado digital y contraseña para el SII: no se conservan (Sección 2(c)).

Sección 7 — Derechos de los titulares

7.1. El titular de los datos personales puede ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo escribiendo a contacto@cipariso.cl. El Prestador responderá dentro de los plazos que fije la ley aplicable.

7.2. Si la solicitud se refiere a datos contenidos en los Documentos de la Obra de un Cliente, el Prestador la remitirá a ese Cliente, que es el responsable, y lo asistirá para responderla (Anexo de Tratamiento de Datos, Sección 8).

7.3. Desde la entrada en vigencia de la Ley 21.719, el titular podrá además reclamar ante la Agencia de Protección de Datos Personales.

Sección 8 — Medidas de seguridad

El Prestador aplica, entre otras, las siguientes medidas: aislamiento de los datos de cada Cliente en la propia base de datos, mediante reglas de seguridad a nivel de fila que la aplicación no puede saltarse; cifrado en tránsito (TLS); control de acceso por usuario y por rol; bitácora de auditoría de solo inserción; respaldos diarios y copias externas cifradas; límites de uso; y reportes de errores minimizados. El detalle está en la Sección 5 del Anexo de Tratamiento de Datos.

Sección 9 — Menores de edad

El Servicio es una herramienta profesional dirigida a constructoras, oficinas técnicas y mandantes (uso B2B). No está dirigido a menores de edad y el Prestador no recolecta a sabiendas datos personales de menores de edad.

Sección 10 — Cambios a esta Política

Los cambios a esta Política se notificarán conforme a la Cláusula 17 de los Términos y Condiciones, y el Servicio pedirá aceptar la nueva versión. La versión vigente, con su número y fecha, se publica en esta misma página.

Sección 11 — Contacto

contacto@cipariso.cl · A.I. ERGANE SpA, Av. Irarrázaval 2401, oficina 607, Ñuñoa, Santiago, Chile.

A.I. ERGANE SpA — Santiago de Chile — Versión 1.1