Política de Tratamiento de Datos

2.1. De tus clientes finales (canal WhatsApp y otros conectados)

Dependiendo de cómo uses el sistema, podemos procesar:

No necesitamos ni pedimos, por defecto, datos sensibles (salud, religión, orientación, menores, etc.). Si tu negocio opera en un rubro sensible, esa particularidad deberá quedar expresamente regulada en el contrato y en tus propias políticas hacia tus clientes.

Actuamos como encargado, usando los datos solo para las finalidades que tú defines al contratar el servicio. En términos generales:

La arquitectura estándar de SurGira usa la siguiente infraestructura (puede variar si se acuerda algo distinto contigo):

Aplicamos el principio de mínimo privilegio:

• Personal técnico y de soporte de SurGira: solo en la medida necesaria para implementar o corregir el sistema, investigar incidencias y realizar tareas de mantención.
• Tu equipo interno: agentes que atienden en Chatwoot, personas con acceso al panel SurGira, a la base de datos o a sistemas integrados (CRM, e-commerce, etc.).
• Proveedores externos: Meta (WhatsApp), Supabase, proveedor de VPS, proveedores de IA, servicios de agenda y otros integrados. Todos ellos actúan como responsables o encargados de tratamiento según sus propios términos y contratos.

SurGira no vende datos personales, ni los usa para fines propios de marketing dirigidos a tus clientes finales.

Tus clientes finales tienen los derechos reconocidos por la Ley 19.628 y la normativa que la reemplace o complemente:

• Acceso a sus datos
• Rectificación de datos inexactos
• Cancelación o eliminación cuando corresponda
• Oposición a ciertos tratamientos
• Otros derechos que reconozca la legislación vigente

Como Responsable, tú decides cómo recibir y contestar esas solicitudes (por ejemplo, correo corporativo o formulario).

SurGira te apoyará como Encargado cuando sea necesario, por ejemplo: extrayendo datos desde la base operativa, eliminando registros, o ajustando configuraciones del sistema.

Si un titular contacta directamente a SurGira por datos procesados en tu sistema, derivaremos la solicitud hacia ti y colaboraremos en la respuesta.

A nivel de infraestructura y software, aplicamos, entre otras, las siguientes medidas:

• Cifrado TLS en tránsito para paneles y APIs expuestas
• Bases de datos gestionadas (como Supabase) con cifrado en reposo y backups automáticos
• VPS protegido con firewall, acceso SSH por clave y actualizaciones periódicas
• Segmentación de entornos (producción / pruebas) cuando corresponde
• Políticas de contraseña robustas y, cuando sea posible, autenticación en dos pasos
• Accesos por rol en Chatwoot, paneles y otros sistemas
• Monitoreo básico de disponibilidad y alertas ante fallas críticas

En caso de incidente de seguridad que afecte de forma relevante a tus datos o a los de tus clientes, te informaremos en un plazo razonable, indicando: qué ocurrió, qué datos podrían estar afectados, qué medidas ya tomamos y qué acciones sugerimos.

Los plazos exactos se pueden ajustar en el contrato con cada Cliente, pero en general:

• Conversaciones y registros operativos: se mantienen mientras el sistema esté activo y sean necesarios para trazabilidad de atención, con un horizonte típico de 12–24 meses en entornos productivos.
• Logs técnicos de sistema: plazos cortos (por ejemplo, hasta 30 días), salvo que se requiera conservarlos para investigar un incidente.
• Datos en backups: copias automáticas con retención limitada (por ejemplo, 7–30 días), tras lo cual los datos se sobrescriben.

Al terminar la relación contractual, podemos: desactivar accesos al sistema, eliminar datos de producción tras un plazo acordado, o mantener solo aquellos que deban conservarse por obligación legal o para defensa de eventuales acciones.

Si lo solicitas y estás al día en tus pagos, podremos entregarte un respaldo razonable de tus datos (por ejemplo, en formato CSV/SQL) antes de la eliminación.

SurGira puede trabajar con subencargados de tratamiento, como:

• Proveedores de VPS
• Servicios de base de datos gestionada (Supabase u otros)
• Herramientas de IA y analítica
• Soluciones de correo transaccional

En todos los casos:

• Procuramos que exista un contrato o términos que regulen el tratamiento de datos
• Elegimos proveedores con estándares de seguridad adecuados
• Limitamos los datos enviados a lo estrictamente necesario para cumplir la finalidad

Algunos de estos servicios pueden estar ubicados fuera de Chile. El uso de estos proveedores implica transferencias internacionales de datos bajo las salvaguardas contractuales y técnicas aplicables.

Podemos actualizar esta Política de Tratamiento de Datos cuando:

• Cambiemos de proveedores clave (por ejemplo, otra base de datos o bandeja de atención)
• Incorporemos nuevas funcionalidades relevantes
• Sea necesario por cambios legales

Cuando los cambios sean importantes, te lo informaremos por correo o a través de los canales de comunicación acordados, indicando la nueva fecha de actualización.

La versión vigente estará siempre disponible en nuestro sitio web en la sección legal correspondiente.