Política de Privacidad

En SurGira tomamos en serio la privacidad de las personas que visitan nuestro sitio y de quienes se ponen en contacto con nosotros para conocer el servicio de atención al cliente por WhatsApp.

Esta política explica qué datos recopilamos desde la web, para qué los usamos, con quién los compartimos y qué derechos tienes según la Ley N° 19.628 sobre protección de la vida privada y la Ley 21.719 sobre Protección de Datos Personales (promulgada en diciembre de 2024, con entrada en vigencia gradual).

SurGira actúa como Responsable del Tratamiento de los datos personales que ingreses a través de nuestro sitio web y formularios de contacto.

SurGira utiliza modelos de inteligencia artificial como herramienta de apoyo para la preparación de propuestas, comunicaciones y la mejora continua de sus servicios.

3.1. Herramientas utilizadas

SurGira utiliza modelos de inteligencia artificial de proveedores reconocidos de la industria, siempre bajo contratos de tratamiento de datos y canales API orientados a empresas. Las herramientas y proveedores específicos pueden evolucionar en el tiempo para mejorar la calidad del servicio.

3.2. Para qué usamos la IA (incluida en el plan, sin costos adicionales de tokens)

• En la plataforma: El bot inteligente utiliza IA para clasificar intenciones, responder preguntas frecuentes y asistir en la atención al cliente de tu negocio. Los mensajes procesados por IA se tratan con los mismos estándares de privacidad que el resto de los datos.
• Internamente: Analizar información de formularios de contacto, generar propuestas comerciales y sugerir mejoras en flujos de atención.

3.3. Cómo protegemos tus datos en estos procesos

• Usamos los modelos vía API, no a través de chats públicos.
• Configuramos los servicios para no utilizar los datos con fines de entrenamiento público, según las opciones disponibles de cada proveedor.
• Anonimizamos o reducimos los datos enviados cuando es posible (por ejemplo, evitando incluir RUT completo o datos sensibles en las prompts).
• Los textos generados por IA son revisados internamente antes de enviarse como propuesta formal.
• No usamos IA para tomar decisiones automatizadas con efectos jurídicos sobre ti; su rol es de asistencia y redacción, no de decisión final.
• SurGira no es responsable del tratamiento que los proveedores de IA realicen fuera de los términos contratados entre SurGira y dichos proveedores. Si un proveedor incumple sus propios términos de servicio respecto al uso de datos, la responsabilidad recae en dicho proveedor.

3.4. Uso de datos en auditorías de calidad

Cuando un cliente contrata el servicio de Auditoría de Calidad, SurGira accede a los datos operativos del sistema del cliente (conversaciones, métricas, tiempos de respuesta) exclusivamente para evaluar la calidad de la atención. Este acceso se realiza solo cuando el cliente lo solicita como servicio pagado, nunca de forma unilateral. Requisito: mínimo 30 días activo en la plataforma para contar con datos representativos. Los resultados se entregan al administrador o dueño de la empresa contratante.

Nuestro sitio puede utilizar:

• Cookies esenciales: necesarias para el funcionamiento básico (sesiones, protección contra abusos, preferencias de idioma).
• Cookies de preferencia: recuerdan tu decisión sobre cookies y algunos ajustes del sitio.
• Cookies analíticas: herramientas como Google Analytics 4 u otra analítica equivalente, que miden el uso del sitio con IP anonimizada.

Cuando ingresas al sitio, verás un banner de cookies donde puedes aceptar, rechazar o configurar qué tipos de cookies quieres permitir. También puedes borrar o bloquear cookies desde la configuración de tu navegador.

Tus datos pueden almacenarse o procesarse en las siguientes infraestructuras:

• Supabase (PostgreSQL gestionado): almacenamiento de formularios, datos operativos y métricas.
• Vercel: hosting de la plataforma web.
• Resend: correo transaccional para confirmaciones, invitaciones y notificaciones de seguridad.
• Plataformas de analítica web (como Google Analytics 4), con IP anonimizada.
• Meta Platforms Inc. (WhatsApp Business Cloud API): mensajería vía WhatsApp.
• Google LLC (Google Calendar API): sincronización opcional de calendario por usuario que la habilite.
• Microsoft Corporation (Microsoft Graph API): sincronización opcional de calendario por usuario que la habilite.
• Proveedores de modelos de IA (ej. OpenAI): procesamiento de mensajes vía API empresarial bajo contrato.

No vendemos tus datos personales a terceros. Solo compartimos información con proveedores que actúan como encargados de tratamiento, bajo contrato de confidencialidad y siguiendo nuestras instrucciones, o cuando exista una obligación legal de hacerlo.

• Leads comerciales y formularios de contacto: hasta 18 meses desde el último contacto efectivo, para seguimiento y análisis de interés.
• Correos y comunicaciones asociadas a propuestas: hasta 5 años si se concreta una relación comercial, por razones contables y de respaldo contractual.
• Registros de navegación y analítica agregada: entre 12 y 24 meses, según configuración de la herramienta de analítica.
• Logs técnicos de seguridad (accesos, errores): hasta 30 días, salvo que se requiera conservarlos por investigación de incidentes.
• Mensajes y datos operativos de WhatsApp Business: durante la vigencia de la suscripción + plazos detallados en sección 5.3.
• Tokens OAuth de Google/Outlook: mientras la integración esté activa. Al desconectar, los tokens se invalidan inmediatamente y se marcan como inactivos en nuestra base de datos.

Después de esos plazos, los datos se eliminan o se anonimizan para que no sea posible identificarte.

Como titular de los datos personales, puedes ejercer los siguientes derechos (ARCOP):

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación/Eliminación: solicitar que borremos tus datos, salvo que exista una obligación legal de conservación, una relación contractual vigente o una necesidad legítima de defensa jurídica.
• Oposición: oponerte a ciertos tratamientos (por ejemplo, recibir comunicaciones comerciales).
• Portabilidad: solicitar una copia de tus datos en un formato estructurado y de uso común (CSV, JSON) para transferirlos a otro prestador, conforme al art. 9 de la Ley 21.719.

Adicionalmente, tienes derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de tus datos que produzcan efectos jurídicos o significativos sobre ti. En SurGira, la IA asiste y sugiere, pero las decisiones finales son tomadas por personas.

Para ejercer estos derechos:

• Envía un correo a privacidad@surgira.com con el asunto "Ejercicio de derechos ARCOP".
• Indica claramente qué derecho quieres ejercer y proporciona la información necesaria para encontrarte en nuestros registros.
• Podemos solicitar un medio razonable de verificación de identidad (por ejemplo, copia de tu cédula borrosa parcialmente).
• Responderemos en un plazo máximo de 15 días hábiles, conforme a la Ley 21.719.

Si cancelas tu cuenta de SurGira como cliente (tenant), se aplica el siguiente proceso:

• Día 0: Tu cuenta se suspende. El bot deja de responder. Recibes un email de confirmación.
• 45 días: Tienes 45 días para exportar todos tus datos (conversaciones, contactos, métricas, documentos).
• Día 45: Se ejecuta la eliminación definitiva e irreversible de todos tus datos operativos.

Datos que se conservan por ley: Los registros de facturación se retienen por 5 años según requisitos del SII (Servicio de Impuestos Internos de Chile).

Como titular de una cuenta, puedes exportar tus datos en cualquier momento:

• Conversaciones y mensajes (CSV, JSON)
• Contactos (CSV, JSON)
• FAQs y base de conocimiento (CSV, JSON)
• Métricas y reportes (CSV, JSON)
• Documentos subidos (formato original)
• Configuración del sistema (JSON)

Tus datos son tuyos. SurGira no vende, comparte ni usa tus datos para entrenar modelos de IA.

Aplicamos medidas técnicas y organizativas proporcionales al riesgo de los datos tratados, tales como:

• Cifrado TLS 1.2 o superior en tránsito para las comunicaciones con el sitio.
• Base de datos Supabase y backups cifrados (AES-256).
• Cifrado simétrico vía pgp_sym (AES-256) para tokens OAuth y credenciales de servicios externos.
• Acceso a la infraestructura de administración restringido mediante autenticación robusta y lista blanca de IPs.
• Política de mínimo privilegio, separando roles de acceso.
• Actualizaciones periódicas de seguridad en el sistema operativo y servicios críticos.
• Monitoreo y alertas de intentos de acceso no autorizado.
• Backups diarios con retención limitada para recuperación ante desastres.

Si llegara a producirse un incidente de seguridad que afecte de forma relevante tus datos, te notificaremos dentro de las 72 horas siguientes a que SurGira tome conocimiento del incidente, indicando qué ocurrió, qué datos podrían estar afectados, qué medidas adoptamos y qué pasos te recomendamos.

Podemos actualizar esta Política de Privacidad para reflejar cambios en:

• La normativa aplicable en Chile
• Las tecnologías que utilizamos (por ejemplo, incorporación de nuevos proveedores de IA o infraestructura)
• Nuestros procesos internos de captación y atención de leads
• Nuevas integraciones de terceros (Google, Microsoft, Meta, etc.)

Cuando los cambios sean sustantivos, avisaremos por correo a los contactos registrados o mediante un aviso visible en el sitio, indicando la nueva fecha de actualización. La versión vigente estará siempre disponible en esta misma URL.