Política de Privacidad

1. Introducción

Equatly SpA ("nosotros", "la Empresa" o "Equatly") se compromete a proteger tu privacidad y garantizar una experiencia segura en nuestro sitio web y aplicación. Esta Política de Privacidad explica cómo recopilamos, utilizamos, divulgamos y de otra manera, tratamos tus datos personales de conformidad con la Ley 19.628 sobre Protección de Datos Personales y la Ley 21.719 que regula la Protección de Datos Personales en Chile.

2. Identificación del Responsable

3. Definiciones y Ámbito

• Datos Personales: Cualquier información relativa a personas naturales identificadas o identificables.
• Tratamiento de Datos: Cualquier operación realizada sobre datos personales, como recopilación, registro, organización, conservación, elaboración, modificación, acceso, consulta, uso, transmisión, cancelación o destrucción.
• Titular: La persona natural a quien se refieren los datos personales.
• Terceros: Personas físicas o jurídicas, de derecho público o privado, distintas del titular.

4. Categorías de Datos que Tratamos

Recopilamos y tratamos las siguientes categorías de datos personales:

5. Inicio de sesión con Google (OAuth)

Equatly permite iniciar sesión, registrarse y vincular una cuenta existente mediante Google Sign-In. Esta funcionalidad utiliza los permisos OAuth 2.0 / OpenID Connect openid, email y profile. No solicitamos ni accedemos a Gmail, Google Drive, Google Calendar ni a ninguna API de Google Workspace.

5.1 Datos de Google que accedemos

Cuando autorizás el inicio de sesión con Google, recibimos desde el endpoint OIDC userinfo de Google (openidconnect.googleapis.com/v1/userinfo) únicamente:

• Identificador único de Google (sub): clave técnica para vincular tu cuenta Google con Equatly.
• Correo electrónico (email): para identificarte y, si corresponde, vincular una cuenta existente con el mismo email verificado.
• Estado de verificación del correo (email_verified): para confirmar que el email fue validado por Google antes de vincular cuentas.
• Nombre para mostrar (name): para completar o actualizar tu perfil durante el registro o la vinculación.

Almacenamos en nuestros sistemas, asociados a tu cuenta de Equatly, el proveedor (google), el identificador de cuenta del proveedor (equivalente a sub) y el correo electrónico vinculado al inicio de sesión OAuth.

5.2 Finalidades de uso

Utilizamos estos datos exclusivamente para autenticarte e iniciar sesión de forma segura, crear una cuenta nueva si aún no tenés una en Equatly, y vincular tu cuenta de Google a una cuenta existente cuando el correo está verificado por Google. No los usamos para publicidad, perfiles comerciales ni entrenamiento de modelos de inteligencia artificial.

5.3 Compartición y transferencia

No vendemos ni alquilamos tus datos obtenidos de Google. No los compartimos con terceros para publicidad, remarketing, segmentación publicitaria, information brokers ni entrenamiento de modelos de IA/ML generalizados. Los datos pueden alojarse en la infraestructura de Equatly (ver sección 8). Durante el flujo OAuth, Google LLC (Estados Unidos) actúa como proveedor de identidad; el intercambio ocurre entre tu navegador, Google y nuestros servidores conforme a la Política de datos de usuario de los servicios de API de Google.

5.4 Protección

Aplicamos las mismas medidas de seguridad descritas en esta Política (cifrado HTTPS, controles de acceso, almacenamiento seguro). Las credenciales OAuth del cliente se gestionan mediante variables de entorno del servidor y no se exponen en el navegador más allá del flujo de autorización estándar de Google.

5.5 Conservación y eliminación

Conservamos los datos de vinculación OAuth mientras tu cuenta permanezca activa. Si eliminás tu cuenta desde Perfil → Seguridad → Zona de peligro, borramos también los registros de vinculación OAuth asociados. Podés revocar el acceso de Equatly desde la configuración de seguridad de tu cuenta Google en myaccount.google.com/permissions. La revocación impide futuros inicios de sesión con Google, pero no sustituye la eliminación de datos en Equatly; para borrarlos debés usar la opción de eliminación de cuenta en la plataforma o contactarnos.

5.6 Uso limitado de datos de Google

El uso de la información recibida desde las APIs de Google cumple con la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado. En particular, los datos de usuario de Google no se utilizarán para publicidad, venta a terceros ni entrenamiento, afinamiento o desarrollo de modelos de IA/ML generalizados. No utilizamos APIs de Google Workspace ni datos derivados de ellas para ningún fin, incluido el entrenamiento de modelos.

5 bis. Inicio de sesión con Microsoft (Entra ID)

Equatly permite iniciar sesión, registrarse y vincular una cuenta existente mediante Microsoft Sign-In (Entra ID). Esta funcionalidad utiliza el permiso OAuth 2.0 / OpenID Connect openid email profile User.Read.

5 bis.1 Datos de Microsoft que accedemos

Cuando autorizás el inicio de sesión con Microsoft, consultamos Microsoft Graph (graph.microsoft.com/v1.0/me). Esa respuesta puede incluir más campos de los que usamos (por ejemplo jobTitle, mobilePhone u officeLocation); Equatly únicamente lee y conserva:

• Identificador de cuenta (id): clave técnica para vincular tu cuenta Microsoft con Equatly.
• Correo electrónico (mail, o userPrincipalName si el primero no está disponible): para identificarte y, si corresponde, vincular una cuenta existente.
• Nombre para mostrar (displayName): para completar tu perfil durante el registro.

Los demás campos que devuelve Microsoft Graph (incluidos los mencionados arriba que no usamos) se descartan de inmediato: no se procesan, no se envían a terceros ni se almacenan. Almacenamos en nuestros sistemas, asociados a tu cuenta de Equatly, el proveedor (microsoft), el identificador de cuenta del proveedor y el correo electrónico vinculado al inicio de sesión OAuth.

5 bis.2 Finalidades de uso

Utilizamos estos datos exclusivamente para autenticarte e iniciar sesión de forma segura, crear una cuenta nueva si aún no tenés una en Equatly, y vincular tu cuenta de Microsoft a una cuenta existente. No los usamos para publicidad, perfiles comerciales ni entrenamiento de modelos de inteligencia artificial.

5 bis.3 Compartición y transferencia

No vendemos ni alquilamos tus datos obtenidos de Microsoft. No los compartimos con terceros para publicidad, remarketing ni entrenamiento de modelos de IA/ML. Durante el flujo OAuth, Microsoft Corporation (Estados Unidos) actúa como proveedor de identidad; el intercambio ocurre entre tu navegador, Microsoft y nuestros servidores.

5 bis.4 Protección

Aplicamos las mismas medidas de seguridad descritas en esta Política (cifrado HTTPS, controles de acceso, almacenamiento seguro). Las credenciales OAuth del cliente se gestionan mediante variables de entorno del servidor y no se exponen en el navegador más allá del flujo de autorización estándar de Microsoft.

5 bis.5 Conservación y eliminación

Conservamos los datos de vinculación OAuth mientras tu cuenta permanezca activa. Si eliminás tu cuenta desde Perfil → Seguridad → Zona de peligro, borramos también los registros de vinculación OAuth asociados. Podés revisar y revocar el acceso de Equatly desde la configuración de privacidad de tu cuenta Microsoft (account.microsoft.com). La revocación impide futuros inicios de sesión con Microsoft, pero no sustituye la eliminación de datos en Equatly; para borrarlos debés usar la opción de eliminación de cuenta en la plataforma o contactarnos.

6. Finalidades del Tratamiento de Datos

• Proporcionar el Servicio: Crear y mantener tu cuenta, procesar transacciones, enviar reportes, notificaciones.
• Seguridad: Detectar y prevenir fraude, mantener logs de auditoría, proteger sistemas.
• Comunicaciones: Responder consultas, enviar avisos legales, boletines con tu consentimiento.
• Mejora del Servicio: Analizar uso, identificar tendencias, personalizar experiencia (con consentimiento para analítica).
• Análisis con IA: Digitalizar facturas, extraer datos, solo si aceptas esta funcionalidad.
• Autenticación OAuth: Iniciar sesión, registrarte o vincular tu cuenta mediante Google Sign-In (ver sección 5) o Microsoft Sign-In (ver sección 5 bis).
• Obligaciones Legales: Cumplir tributación SII, auditoría fiscal, normativa chilena.

7. Datos de Terceros que el Usuario Carga

Cuando creas encargados de locales o ingresas destinatarios de reportes, te conviertes en responsable del tratamiento de esos datos. Nosotros actuamos como encargado. Es tu responsabilidad:

• Obtener consentimiento de los terceros antes de proporcionar sus datos.
• Informarles sobre esta Política de Privacidad.
• Garantizar que proporcionas datos correctos y actualizados.
• Indemnizarnos ante reclamos de terceros afectados por datos incorrectos.

8. Encargados del Tratamiento (Terceros)

Compartimos tus datos con los siguientes proveedores externos:

Nota: Estamos verificando y archivando el contrato de tratamiento de datos (DPA) con cada uno de estos encargados; el detalle proveedor por proveedor (qué se confirmó, dónde consultarlo y quién es responsable de su renovación) se lleva en un checklist interno de seguimiento, no en esta página pública.

9. Transferencias Internacionales

Algunos de tus datos se transfieren a servidores fuera de Chile: a Estados Unidos (Vercel, Supabase, Resend, Anthropic, opencode Zen, Google LLC, Microsoft Corporation, Google Analytics) y a Argentina / Estados Unidos (MercadoPago). Esto incluye los datos obtenidos mediante Google Sign-In y Microsoft Sign-In (procesados por Google LLC y Microsoft Corporation, respectivamente) y los datos de pago procesados por MercadoPago. Aunque estos países pueden no tener el mismo nivel de protección que Chile, amparamos estas transferencias mediante cláusulas contractuales tipo para la transferencia internacional de datos personales; estamos verificando y archivando esas cláusulas dentro del contrato de tratamiento de datos (DPA) de cada encargado (ver nota en la sección 8).

10. Plazos de Conservación de Datos

• Datos de Cuenta: Mientras la cuenta esté activa. Si eliminás tu cuenta desde Perfil → Seguridad, borramos de inmediato tus datos personales y operativos en la plataforma.
• Datos de vinculación OAuth (Google y Microsoft): Mientras la cuenta esté activa; eliminados al borrar la cuenta o a solicitud conforme a las secciones 5.5 y 5 bis.5.
• Email Logs: 90 días después del envío.
• Datos de Pagos: 7 años (requisito tributario SII).
• Logs Técnicos: 30 días, salvo por razones de seguridad.
• Registro de actividad administrativa: Por razones de seguridad, guardamos durante 365 días un historial de las acciones que realiza nuestro equipo sobre las cuentas (por ejemplo, cambios hechos por soporte), para poder investigar cualquier incidente.
• Notificaciones dentro de la plataforma: Los avisos y alertas que ves dentro de tu cuenta se conservan 180 días.
• Registros de intentos bloqueados por seguridad: Cuando detectamos y bloqueamos intentos repetidos de acceso sospechosos (por ejemplo, adivinar una contraseña), guardamos un registro de esos intentos durante 7 días.
• Tickets de Soporte: Mientras haya disputa activa o relevancia; máximo 7 años.
• Registro de uso de IA: Si usas el análisis de facturas con IA, guardamos durante 365 días qué proveedor y modelo procesó cada ejecución (nunca el contenido del documento), para poder acreditar el tratamiento. Estas filas se borran de inmediato si eliminás tu cuenta.
• Registros de consentimiento: Los registros que acreditan tu aceptación de cookies y de nuestros documentos legales (política de privacidad, términos y condiciones) se conservan mientras exista la obligación de poder demostrarlos: son la prueba de que aceptaste, no un dato operativo que se pueda purgar por antigüedad.

11. Medidas de Seguridad

Implementamos controles técnicos y organizacionales para proteger tus datos:

• Cifrado HTTPS: Todos los datos en tránsito se cifran.
• Contraseñas: Almacenadas con hash bcrypt, nunca en claro.
• Cookies Seguras: refreshToken con atributos httpOnly, Secure, SameSite.
• Cookies de sesión: el token de acceso viaja en una cookie httpOnly, Secure y SameSite, inaccesible para JavaScript.
• Rate Limiting: Protección contra ataques de fuerza bruta.
• Acceso Restringido: Solo personal autorizado accede a datos.

12. Tus Derechos

Según la Ley 19.628 y Ley 21.719, tienes derecho a:

• Acceso: Solicitar copia de tus datos personales.
• Rectificación: Corregir datos inexactos o incompletos.
• Supresión: Solicitar eliminación cuando ya no sea necesaria.
• Bloqueo: Solicitar que bloqueemos datos temporalmente.
• Portabilidad: Recibir tus datos en formato estructurado y compartible (Ley 21.719).
• Oposición: Oponer tratamiento basado en interés legítimo.

Cómo ejercer derechos: Podés solicitar la eliminación completa de tu cuenta y datos desde Perfil → Seguridad → Zona de peligro. La portabilidad de tus datos de negocio (casas comerciales, locales, servicios, flujos, gastos y notificaciones) se autoatiende, en formato estructurado, desde Perfil → Seguridad → Descargar mis datos. Para acceso, rectificación, bloqueo u otros derechos ARCO, envía solicitud a contacto@equatly.cl con asunto "DERECHO ARCO" + especifica el derecho. Responderemos dentro de 30 días corridos, prorrogables una vez por 30 días corridos más (art. 11 de la Ley 21.719). Si además solicitas el bloqueo temporal de tus datos, nos pronunciaremos dentro de 2 días hábiles.

13. Decisiones Automatizadas e IA

El análisis de facturas con IA usa Claude (Anthropic) o, si el administrador activa el proveedor alternativo, opencode Zen (ver sección 8). Este análisis:

• Es automatizado pero siempre requiere revisión humana antes de impactar.
• No produce decisiones jurídicamente vinculantes.
• Puedes solicitar explicación de la lógica aplicada.
• Requiere activación previa: es opcional y está desactivado por defecto; podés activarlo o revocarlo en cualquier momento desde Perfil → Seguridad. Sin esa activación, el sistema rechaza el envío de facturas a cualquier proveedor de IA.
• Trazabilidad: registramos qué proveedor y modelo procesó cada ejecución, y la fecha, para poder responder solicitudes de acceso y sostener la evaluación de impacto.
• No incluye datos de inicio de sesión (Google o Microsoft): los datos obtenidos mediante OAuth (secciones 5 y 5 bis) no se envían a servicios de IA ni se usan para entrenar modelos.

14. Protección de Menores

Equatly no está dirigido a menores de 14 años. Si descubrimos que recopilamos datos de un menor sin consentimiento de sus representantes legales, eliminaremos dichos datos de inmediato.

15. Cambios a esta Política

Podemos actualizar esta Política de Privacidad. Los cambios significativos se comunicarán por email o aviso en el sitio. Si cambios afectan el consentimiento (ej. nuevos terceros), solicitaremos nuevo consentimiento.

16. Agencia de Protección de Datos Personales

Si consideras que vulneramos tus derechos, puedes presentar reclamo ante la Agencia de Protección de Datos Personales (vigencia plena: 1 de diciembre de 2026). Más información en www.agenciadatos.gob.cl.

17. Contacto

Para consultas sobre esta Política de Privacidad, contáctanos a contacto@equatly.cl.