1 Responsable del tratamiento
El responsable del tratamiento de los datos personales descritos en esta politica es:
2 Alcance de esta politica
ContactIA es una plataforma multi-tenant business-to-business operada por Espex Ingenieria Ltda. Nuestros clientes son organizaciones (principalmente prestadores de salud, contact centers y empresas) que utilizan ContactIA para gestionar la comunicacion con sus propios usuarios finales.
Esta politica describe el tratamiento de datos personales que realizamos en dos roles distintos:
- Como responsable del tratamiento: respecto de los datos de los representantes y usuarios autorizados de nuestros clientes corporativos, visitantes del sitio web y postulantes a empleo.
- Como encargado del tratamiento: respecto de los datos de los usuarios finales (pacientes, contactos, leads) que nuestros clientes corporativos tratan a traves de la plataforma. En este rol actuamos por cuenta y bajo las instrucciones del cliente, quien es el responsable principal.
3 Datos que recopilamos
3.1 Datos de clientes corporativos y usuarios autorizados
| Categoria | Ejemplos |
|---|---|
| Identificacion | Nombre completo, cargo, organizacion |
| Contacto profesional | Correo electronico corporativo, telefono |
| Acceso y autenticacion | Usuario, password (hash bcrypt), tokens JWT, IP de acceso, registro de sesiones |
| Actividad en la plataforma | Logs de acciones, modulos consultados, registros de auditoria |
| Datos comerciales | Empresa que representa, tenant asignado, rol asignado |
3.2 Datos de usuarios finales (procesados por cuenta del cliente)
| Categoria | Ejemplos |
|---|---|
| Identificacion | Nombre, RUT/identificador unico, fecha de nacimiento, genero |
| Contacto | Numero(s) de telefono, direccion de correo electronico, domicilio |
| Datos de cita o gestion | Numero de cita, fecha y hora, profesional asignado, especialidad, centro de atencion |
| Conversaciones | Mensajes intercambiados por WhatsApp, SMS, correo electronico; transcripciones y grabaciones de llamadas telefonicas |
| Datos de salud (cuando aplica) | Tipo de prestacion medica, estado de la atencion. No tratamos diagnosticos, recetas ni informacion clinica detallada; esos datos permanecen en los sistemas clinicos del prestador. |
| Representantes y tutores | Datos del tutor legal o representante cuando el usuario final es menor de edad o requiere acompanamiento (conforme a OT MINSAL) |
| Tipificacion y resultados | Estado de contactabilidad, disposiciones, intentos de contacto, canales utilizados |
| Metadatos tecnicos | Identificadores Meta WhatsApp (WABA ID, message ID), identificadores Asterisk (call ID, channel) |
3.3 Datos de visitantes del sitio web
- Direccion IP, agente de usuario, idioma del navegador.
- Paginas visitadas, tiempo de permanencia, fuente de trafico.
- Datos que envies voluntariamente a traves de formularios de contacto.
4 Como recopilamos los datos
- Directamente del titular: cuando un usuario autorizado se registra en la plataforma o cuando un usuario final responde a una comunicacion.
- De nuestros clientes corporativos: los prestadores y empresas cargan archivos (CSV, Excel) o conectan sistemas (Microsoft SQL Server, APIs propias) que contienen los datos de sus usuarios finales para que ContactIA gestione las comunicaciones.
- De integraciones con terceros: webhooks de Meta WhatsApp Business Cloud API, registros de detalle de llamadas (CDR) de Asterisk, sistemas de email (Zeptomail/Zoho).
- De fuentes publicas autorizadas: cuando corresponde, validacion de identificadores chilenos (digito verificador del RUT).
- Cookies y tecnologias similares en el sitio web (ver seccion 15).
5 Finalidades del tratamiento
Tratamos los datos personales para los siguientes fines:
5.1 Provision del servicio
- Autenticar a los usuarios autorizados y darles acceso a la plataforma.
- Ejecutar las campanas de contactabilidad (WhatsApp, SMS, correo electronico, llamadas) por cuenta de nuestros clientes corporativos.
- Mantener el historial conversacional y los resultados de cada interaccion.
- Sincronizar datos con los sistemas del cliente.
5.2 Mejora y operacion de la plataforma
- Monitoreo de desempeno tecnico, deteccion de errores y soporte.
- Analitica agregada y anonimizada de uso de la plataforma.
- Entrenamiento y ajuste de modelos propios (sin compartir datos con terceros para entrenamiento general). Nunca usamos datos personales de usuarios finales para entrenar modelos de IA de terceros.
5.3 Cumplimiento legal y regulatorio
- Cumplimiento de la Ley 19.628 sobre Proteccion de la Vida Privada (Chile).
- Cumplimiento de la Orientacion Tecnica para la Gestion de la Contactabilidad de Usuarios del Ministerio de Salud (Resolucion Exenta N°437) cuando el cliente es del sector salud publica.
- Cumplimiento de los terminos de servicio de Meta WhatsApp Business y Cloud API.
- Atencion de requerimientos de autoridades competentes.
5.4 Comunicacion comercial y relacion con clientes
- Atencion de consultas comerciales y soporte.
- Gestion contractual y facturacion.
6 Base legal del tratamiento
El tratamiento de datos personales se sustenta en alguna de las siguientes bases legales segun el caso:
- Consentimiento del titular: para comunicaciones por canales digitales y para el tratamiento de datos sensibles. En el sector salud publica, el consentimiento se obtiene conforme al instrumento COVICOM (Consentimiento del Usuario para Comunicaciones) definido en la OT MINSAL.
- Ejecucion de un contrato: para el tratamiento de datos de usuarios autorizados de nuestros clientes corporativos.
- Ejecucion del servicio contratado por el cliente con el usuario final: cuando ContactIA actua como encargado de tratamiento para gestionar comunicaciones derivadas del vinculo entre nuestro cliente y su usuario final (citas medicas, recordatorios, gestion de listas de espera).
- Obligacion legal: cuando una ley o autoridad nos obliga a tratar o conservar determinados datos.
- Interes legitimo: para la mejora del servicio, prevencion de fraude y seguridad de la plataforma, siempre que no prevalezcan los derechos del titular.
7 Datos de salud y cumplimiento OT MINSAL
Cuando ContactIA es utilizada por prestadores del sistema publico de salud chileno, el tratamiento de datos se realiza en estricto cumplimiento de la Orientacion Tecnica para la Gestion de la Contactabilidad de Usuarios del Ministerio de Salud (Resolucion Exenta N°437):
- Consentimiento (COVICOM): el usuario o su representante legal entrega consentimiento informado para ser contactado por canales digitales, especificando los canales autorizados y las prestaciones cubiertas.
- Confidencialidad de datos sensibles: ContactIA no envia diagnosticos, resultados de examenes ni informacion clinica detallada por mensajeria o correo electronico. Cuando un usuario solicita esa informacion, la plataforma lo redirige a los canales presenciales o al portal del paciente del prestador.
- Representantes y tutores: la plataforma soporta los tres escenarios definidos por la OT MINSAL: contacto directo con el usuario, contacto con representante legal y contacto con tercero autorizado.
- Trazabilidad completa: cada interaccion queda registrada con identidad del destinatario, canal utilizado, fecha, hora y resultado, permitiendo auditoria por parte del prestador y del MINSAL.
- Escalamiento multicanal: ante no contactabilidad, el sistema aplica la secuencia multicanal definida en la OT (correo electronico, mensaje, SMS, llamada, visita, carta) antes del cierre.
8 Proveedores y procesadores
Para operar la plataforma utilizamos proveedores tecnologicos especializados que actuan como subprocesadores de datos. Cada uno de ellos opera bajo acuerdos contractuales que les obligan a aplicar medidas de seguridad equivalentes a las nuestras y a tratar los datos exclusivamente segun nuestras instrucciones.
| Proveedor | Servicio | Datos tratados | Ubicacion |
|---|---|---|---|
| Meta Platforms, Inc. | WhatsApp Business Cloud API | Numero de telefono, contenido de mensajes, metadata de conversacion | Estados Unidos / Irlanda |
| Anthropic, PBC | Modelos de lenguaje (Claude) para conversaciones automatizadas | Texto de mensajes de la conversacion (sin identificadores personales innecesarios) | Estados Unidos |
| Deepgram, Inc. | Transcripcion de audio (speech-to-text) | Audio de llamadas telefonicas y texto transcrito | Estados Unidos |
| ElevenLabs / Microsoft Azure | Sintesis de voz (text-to-speech) | Texto a sintetizar (sin datos personales identificables del usuario final) | Estados Unidos / Europa |
| Voyage AI | Vectorizacion de texto para busqueda semantica | Texto de documentos del cliente para indexacion en la base de conocimiento | Estados Unidos |
| Zoho Corporation (Zeptomail) | Envio de correo electronico transaccional | Direccion de correo y contenido del mensaje | Estados Unidos / India |
Los datos persistentes (base de datos, archivos de audio y log) se almacenan en servidores propios de Espex Ingenieria ubicados en territorio nacional chileno.
No vendemos, alquilamos ni cedemos datos personales a terceros con fines comerciales propios. Solo los compartimos con los proveedores indicados para la prestacion del servicio y con autoridades cuando media requerimiento legal valido.
9 Transferencias internacionales de datos
Algunos de nuestros proveedores tecnologicos procesan datos fuera de Chile, principalmente en Estados Unidos y la Union Europea. Estas transferencias se realizan bajo las siguientes garantias:
- Acuerdos de procesamiento de datos (Data Processing Agreements) firmados con cada proveedor.
- Adopcion por parte de los proveedores de marcos de proteccion reconocidos internacionalmente (Standard Contractual Clauses, programas de privacidad certificados).
- Compromisos contractuales de los proveedores respecto del tratamiento exclusivo segun nuestras instrucciones.
10 Medidas de seguridad
Aplicamos medidas tecnicas y organizativas razonables y proporcionales al riesgo, entre ellas:
- Cifrado en transito: todas las conexiones se realizan sobre TLS 1.2 o superior.
- Cifrado en reposo: contrasenas almacenadas con bcrypt; claves de API y secretos gestionados en almacen cifrado dedicado.
- Aislamiento multi-tenant: politicas de seguridad a nivel de fila (Row Level Security) en la base de datos garantizan que cada cliente solo accede a sus propios datos.
- Control de acceso por roles: sistema granular de permisos por modulo y tab; los administradores definen quien accede a que datos.
- Autenticacion de doble factor: disponible para todos los usuarios.
- Registros de auditoria: trazabilidad de operaciones sensibles (logins, exportaciones de datos, cambios de configuracion).
- Servidores en Chile: infraestructura productiva ubicada en territorio nacional, bajo administracion directa de Espex Ingenieria.
- Respaldos periodicos: copias de seguridad cifradas con retencion definida.
- Pruebas de seguridad: revisiones periodicas de codigo y dependencias.
11 Plazos de retencion
Los plazos de conservacion de los datos personales dependen de la categoria y de las obligaciones legales y contractuales aplicables:
| Tipo de dato | Plazo de retencion |
|---|---|
| Datos de cuenta de usuarios autorizados | Mientras la cuenta este activa + hasta 24 meses tras la baja |
| Conversaciones (WhatsApp, SMS, email) | Segun acuerdo con el cliente corporativo; por defecto 12 a 24 meses |
| Grabaciones y transcripciones de llamadas | Segun acuerdo con el cliente corporativo; por defecto 12 meses |
| Registros de auditoria | Hasta 36 meses |
| Datos contractuales y de facturacion | Conforme a obligaciones tributarias chilenas (minimo 6 anos) |
| Datos de visitantes del sitio web | Hasta 12 meses |
Al termino del plazo, los datos se eliminan de forma segura o se anonimizan irreversiblemente. Cuando ContactIA actua como encargado de tratamiento, los datos se devuelven o eliminan segun lo instruido por el cliente corporativo al termino del contrato.
12 Derechos del titular
Conforme a la Ley 19.628, todo titular de datos personales tiene los siguientes derechos:
- Acceso: conocer que datos suyos tratamos y con que finalidad.
- Rectificacion: corregir datos inexactos o incompletos.
- Cancelacion: solicitar la eliminacion de datos cuando ya no sean necesarios o el tratamiento sea ilegitimo.
- Oposicion: oponerse al tratamiento por motivos fundados o solicitar el cese de comunicaciones comerciales.
- Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud.
- Revocacion del consentimiento: retirar en cualquier momento el consentimiento otorgado, sin efecto retroactivo.
Como ejercer estos derechos
Si eres usuario autorizado de un cliente corporativo (operador, supervisor, administrador en la plataforma), puedes dirigirte a privacy@contactia.cl identificandote con tu nombre completo, RUT y organizacion.
Si eres usuario final (paciente, contacto de una campana), debes dirigirte primero a la organizacion que te contacto, que es la responsable principal de tus datos. Si necesitas asistencia, podemos orientarte para identificar al responsable.
Responderemos toda solicitud dentro de los plazos establecidos por la ley. Para validar la identidad del solicitante podemos requerir antecedentes adicionales.
13 WhatsApp Business y Meta
ContactIA opera como integrador de la WhatsApp Business Cloud API de Meta. Cuando un usuario final intercambia mensajes con una organizacion que utiliza ContactIA:
- El contenido y los metadatos del mensaje son procesados por la infraestructura de Meta para entregar el mensaje, conforme a la Politica de Privacidad de WhatsApp.
- ContactIA almacena el contenido del mensaje en sus propios servidores en Chile, asociado al cliente corporativo titular de la cuenta WhatsApp Business y a la conversacion con el usuario final.
- Las conversaciones automatizadas son procesadas por modelos de lenguaje de Anthropic conforme a los terminos descritos en la seccion 8.
- Los usuarios finales pueden bloquear el numero de la organizacion en WhatsApp en cualquier momento, lo que detiene toda comunicacion futura por ese canal.
La organizacion que envia los mensajes (nuestro cliente corporativo) es la responsable de obtener el consentimiento informado de los usuarios finales antes de iniciar comunicaciones por WhatsApp, conforme a las politicas de Meta y la normativa aplicable.
14 Menores de edad
ContactIA puede tratar datos de menores de edad cuando estos son usuarios finales del sistema de salud y son contactados a traves de un prestador. En estos casos:
- El tratamiento se realiza siempre a traves del representante legal o tutor del menor, conforme a la OT MINSAL.
- La comunicacion se dirige al representante, no al menor directamente.
- Se aplican las mismas medidas de proteccion descritas en esta politica, con especial cuidado en la confidencialidad de los datos sensibles.
ContactIA no esta dirigida a menores de edad como usuarios autorizados de la plataforma. No recopilamos conscientemente datos de menores con fines comerciales o de marketing.
16 Cambios a esta politica
Esta politica puede ser modificada para reflejar cambios en la plataforma, en nuestros proveedores tecnologicos o en la normativa aplicable. Cuando realicemos cambios sustanciales:
- Publicaremos la nueva version en esta URL con la fecha de vigencia actualizada.
- Notificaremos a los clientes corporativos por los canales de comunicacion habituales.
- El historial de versiones quedara disponible para consulta.
Se recomienda revisar periodicamente esta politica. El uso continuado de la plataforma tras una modificacion implica la aceptacion de la version vigente.
17 Contacto y reclamos
Para cualquier consulta, solicitud de ejercicio de derechos o reclamo relacionado con el tratamiento de tus datos personales, puedes contactarnos en:
Tambien puedes presentar reclamos ante las autoridades chilenas competentes en materia de proteccion de datos personales.