Política de Privacidad — versión 2 (archivada)

Versión archivada — no rige. Este es el texto de Política de Privacidad tal como estuvo publicado en redcumbre.cl/privacidad hasta el 21 de septiembre de 2026, cuando se publicó la versión siguiente. Se conserva sin modificaciones para consulta de quien haya aceptado esta versión. El texto que rige hoy está en Política de Privacidad.

Versión 2 · Última actualización: 19 de septiembre de 2026

Vigencia: desde su publicación. Las disposiciones referidas a la Ley N° 21.719 rigen plenamente desde su entrada en vigencia.

1. Quiénes somos

Esta política se rige por la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, y por la Ley N° 19.628 en lo que continúe vigente, además de la Ley N° 19.799 sobre documentos electrónicos y firma electrónica y la normativa tributaria del Servicio de Impuestos Internos (SII).

2. A qué se aplica esta política

Aplica a todos los servicios operados por REDCUMBRE bajo la denominación Plataforma REDCUMBRE Multiservicio, incluyendo:

• El sitio web redcumbre.cl y sus subdominios.
• La aplicación web (app.redcumbre.cl) y los paneles master, reseller y tenant.
• Los servicios y marcas ValidaFirma (validafirma.cl) y PinRUT (pinrut.cl), incluidos el flujo de autorización y de verificación de identidad que se sirve en app.pinrut.cl y su API api.pinrut.cl.
• Los módulos de Documentos Tributarios Electrónicos (DTE), Boletas de Honorarios (BHE/BHET), Firma Electrónica Simple (FES), Consultas Tributarias, Pagos, Tesorería, Notificaciones y Webhooks.
• Las APIs públicas e internas y los entornos Sandbox.
• Los asistentes conversacionales con inteligencia artificial disponibles en el sitio público y dentro de la Plataforma.
• Los canales de mensajería por los que atendemos: correo electrónico, WhatsApp y Telegram.

3. Nuestro rol: cuándo somos responsables y cuándo encargados

REDCUMBRE presta servicios a empresas e instituciones (B2B). Esa condición determina quién responde por cada tratamiento.

Si usted es una persona natural cuyos datos fueron incorporados a la Plataforma por una empresa (por ejemplo, porque firmó un documento, postuló a un empleo o recibió una factura), el responsable es esa empresa. La excepción es la verificación de su identidad y su registro en PinRUT: de esos datos REDCUMBRE es responsable, aunque haya llegado derivado por una empresa. Puede dirigir su solicitud a REDCUMBRE y la derivaremos al responsable, o bien contactar directamente a la empresa. Ver §12.

Cuando REDCUMBRE actúa como encargado, ese tratamiento se rige por el contrato con el cliente: por el Anexo de Tratamiento de Datos, si el cliente lo suscribió, y si no, por las cláusulas de protección de datos de su Contrato de Adhesión. El Anexo detalla el objeto del encargo, las instrucciones, los subencargados, los plazos de notificación de incidentes y la devolución o supresión de los datos al término del servicio.

4. Qué datos tratamos

4.1 Datos que usted nos entrega

4.2 Datos que se generan por el uso

4.3 Datos obtenidos de terceros

• Servicio de Impuestos Internos (SII): razón social, giro, direcciones, actividades económicas y documentos autorizados asociados a un RUT, consultados para prellenar formularios y validar la operación tributaria. Este dato se rotula siempre como “según registro SII” y no constituye verificación de identidad del solicitante.
• Clientes de la Plataforma: los datos que una empresa carga sobre sus propios clientes, proveedores o firmantes.
• Registro Civil e Identificación: la vigencia de su cédula de identidad, cuando verifica su identidad.
• Servicio de Impuestos Internos (SII): la consulta asociada a su RUT que se usa para verificar su identidad.
• La empresa que le pidió verificar su identidad o autorizar una operación: el RUT con que se abre esa verificación u operación.

4.4 Datos sensibles

REDCUMBRE trata datos sensibles por iniciativa propia en un solo caso: los datos biométricos de su rostro cuando verifica su identidad o autoriza una operación con verificación facial, con su consentimiento expreso y la información que exige el Art. 16 ter (§5). Además, clientes del sector salud pueden usar la Plataforma para que sus pacientes firmen consentimientos informados o soliciten el envío de informes clínicos. En esos casos:

• Los datos de salud son datos sensibles (Art. 2 letra g de la Ley N° 21.719) y su tratamiento exige consentimiento expreso, específico y revocable (Arts. 16 y 16 bis), que recoge el cliente responsable.
• REDCUMBRE actúa como encargado, aplica medidas de seguridad reforzadas y mantiene la evidencia de firma separada del contenido clínico.
• Ese tratamiento cuenta con una Evaluación de Impacto en Protección de Datos (EIPD) conforme al Art. 15 ter.

4.5 Menores de edad

La Plataforma está dirigida a empresas e instituciones y no se ofrece a menores de 18 años. No recolectamos deliberadamente datos de niños, niñas y adolescentes. Si detectamos que un dato de un menor de 14 años ingresó sin la autorización que exige la ley, lo bloqueamos y lo eliminamos o lo derivamos al cliente responsable.

5. Para qué tratamos los datos y con qué base de licitud

Cuando el tratamiento se funda en el consentimiento, usted puede revocarlo en cualquier momento sin que ello afecte la licitud del tratamiento anterior a la revocación. Cuando se funda en el interés legítimo, puede oponerse conforme a §12.

6. Decisiones automatizadas y perfilamiento

La Plataforma ejecuta tratamientos automatizados que pueden afectarle:

Usted tiene derecho a no quedar sujeto a una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente, a solicitar intervención humana, a obtener información sobre la lógica aplicada y a oponerse. Escriba a privacidad@redcumbre.cl.

7. Uso de inteligencia artificial

Los asistentes conversacionales de REDCUMBRE son desarrollo propio y se ejecutan en infraestructura de REDCUMBRE. Procesan el contenido de la conversación mediante modelos de lenguaje operados por Anthropic (familia Claude), que es el único tercero de toda la cadena: la memoria de la conversación reside en bases de datos propias y los índices semánticos se generan localmente, sin intervención de servicios externos. Respecto de ese uso:

• El contenido de las conversaciones no se utiliza para entrenar modelos de terceros.
• El asistente conserva memoria de la conversación y un perfil básico del contacto (nombre, empresa, interés declarado) para dar continuidad al seguimiento comercial o de soporte.
• Las respuestas del asistente son orientativas; no constituyen asesoría legal, tributaria ni contable, y pueden contener errores. Las decisiones con efecto jurídico requieren confirmación humana.
• No ingrese datos sensibles (salud, biométricos, situación socioeconómica), contraseñas, credenciales tributarias ni certificados digitales en la conversación.
• Puede solicitar la eliminación del historial conversacional conforme a §12.

8. Con quién compartimos los datos

No vendemos datos personales ni los cedemos con fines publicitarios de terceros. Compartimos datos únicamente con:

a) Destinatarios necesarios para el servicio

• Servicio de Impuestos Internos (SII) y organismos fiscales, para la emisión y validación de documentos tributarios.
• Receptores de documentos designados por el cliente emisor.
• Firmantes y contrapartes de un proceso de firma electrónica.
• El cliente responsable de su cuenta, cuando los datos fueron incorporados por él.
• Registro Civil e Identificación, para confirmar la vigencia de la cédula en una verificación de identidad: se le comunica el RUT y el número de serie del documento.
• Servicio de Impuestos Internos (SII), para la misma verificación: se le comunica sólo el RUT.
• La empresa que le pidió verificar su identidad: recibe sólo si la verificación fue autorizada o no, con su motivo, su nivel y su vigencia, y un comprobante firmado. Nunca su nombre, su documento, sus imágenes ni los resultados de la comparación.
• La empresa que le pidió autorizar una operación con PinRUT: recibe su RUT, los datos de la operación que ella misma informó, el resultado y un comprobante firmado. Nunca su nombre, sus canales de recuperación ni su ubicación.

b) Proveedores que tratan datos por cuenta de REDCUMBRE (subencargados)

Cuando REDCUMBRE trata datos por cuenta de un cliente, la nómina vigente de subencargados, con la ubicación del tratamiento y el instrumento que vincula a cada uno, se publica en redcumbre.cl/subencargados.

Lo que NO se entrega a terceros

Su identidad y sus credenciales no salen de nuestra infraestructura. El proveedor de identidad que usamos (ZITADEL) es software de código abierto que REDCUMBRE opera en sus propios servidores. Las contraseñas, sesiones, tokens e identificadores de usuario no se entregan a ningún tercero.

Sobre los canales de mensajería

Si usted nos escribe por WhatsApp o Telegram, el contenido de esa conversación pasa además por los servidores de esos servicios, que lo tratan conforme a sus propias políticas y sobre los que REDCUMBRE no tiene control. Si prefiere evitarlo, puede usar el correo electrónico o el formulario del sitio.

c) Autoridades competentes, cuando exista requerimiento fundado conforme a la ley.

9. Transferencias internacionales

Parte de la infraestructura de REDCUMBRE opera fuera de Chile: los servidores principales están en Brasil (São Paulo) y determinados servicios de almacenamiento, correo, analítica, mensajería, inteligencia artificial y verificación de identidad biométrica operan en Estados Unidos (§8.b). Esto implica transferencia internacional de datos personales, incluidos datos biométricos.

Para legitimarla, REDCUMBRE se apoya en:

1. Cláusulas contractuales y acuerdos de tratamiento (DPA) suscritos con cada proveedor, con obligaciones de confidencialidad, seguridad, subencargo y notificación de incidentes;
2. las decisiones de adecuación que dicte la Agencia de Protección de Datos Personales, cuando existan;
3. las garantías demostrables de los proveedores (certificaciones, controles de acceso, cifrado en tránsito y en reposo);
4. cuando ninguna de las anteriores resulte aplicable, el consentimiento expreso del titular para la transferencia específica.

Puede solicitar información sobre el mecanismo aplicable a un proveedor concreto escribiendo a privacidad@redcumbre.cl.

10. Cuánto tiempo conservamos los datos

Vencidos los plazos, los datos se eliminan o anonimizan. Mientras permanezcan en respaldos, no se acceden, restauran ni utilizan salvo contingencia documentada, requerimiento legal o defensa de derechos.

11. Cookies y tecnologías similares

El sitio público utiliza cookies y almacenamiento local para funcionar, medir su uso y atribuir campañas publicitarias. Las cookies estrictamente necesarias operan sin consentimiento; las de analítica y publicidad solo se activan si usted las acepta y puede retirarlas en cualquier momento desde el panel de preferencias.

El detalle de cada cookie, su finalidad y su duración está en la Política de Cookies, que forma parte integrante de esta política.

12. Sus derechos

Conforme a la Ley N° 21.719, usted puede ejercer los siguientes derechos:

Cómo ejercerlos

1. Escriba a privacidad@redcumbre.cl o use el formulario de solicitudes disponible en redcumbre.cl/privacidad/solicitudes.
2. Indique su nombre, RUT o identificador equivalente, el derecho que ejerce, los datos o servicios involucrados y un correo de contacto.
3. Le pediremos acreditar su identidad con la medida mínima necesaria. No solicitaremos datos adicionales a los indispensables.

Plazos

• Mientras rija la Ley N° 19.628, nos pronunciaremos sobre su solicitud de información, modificación, eliminación o bloqueo de sus datos dentro de 2 días hábiles.
• Acuse de recibo: dentro de los 5 días hábiles siguientes.
• Respuesta fundada: dentro de 30 días corridos desde el ingreso de la solicitud, prorrogables una vez por hasta 30 días corridos más, informándole el motivo de la prórroga.
• Si rechazamos total o parcialmente su solicitud, le explicaremos el fundamento y su derecho a reclamar ante la Agencia de Protección de Datos Personales.

Límite: datos que no podemos eliminar

Ejercer el derecho de supresión no implica el borrado universal de todos sus datos. Determinada información debe conservarse por mandato legal o para permitir el ejercicio y defensa de derechos:

• Documentos tributarios electrónicos y su respaldo, mientras corran los plazos tributarios;
• Documentos firmados electrónicamente y su evidencia (hash, marca de tiempo, IP, user agent, identidad declarada del firmante), porque son la prueba de un acto jurídico y REDCUMBRE asumió su custodia y trazabilidad;
• Registros de auditoría y seguridad necesarios para acreditar la integridad de las operaciones;
• Antecedentes requeridos por una autoridad o necesarios en un litigio o reclamo en curso.
• La prueba de las verificaciones de identidad y de las autorizaciones con verificación facial, durante los plazos de §10, porque es lo que permite defender un acto ya realizado. Revocar el consentimiento detiene el uso futuro de sus datos biométricos, pero no borra esa prueba.
• Si se da de baja de PinRUT o pide suprimir sus datos, eliminamos su PIN, sus canales de recuperación y su reconocimiento facial, y conservamos su RUT, su nombre y el registro de sus autorizaciones durante los plazos de §10, para poder defender las operaciones que autorizó. Puede darse de baja en su portal PinRUT.

En esos casos cerramos su acceso, revocamos sus sesiones, eliminamos los datos accesorios, bloqueamos el uso comercial y de marketing y conservamos únicamente lo exigido, con acceso restringido, finalidad limitada y plazo determinado. Le informaremos con precisión qué se eliminó y qué se retuvo, con su fundamento y plazo.

Si sus datos fueron cargados por una empresa

Si REDCUMBRE actúa como encargado (§3), derivaremos su solicitud al cliente responsable dentro de los plazos indicados y se lo comunicaremos, para que usted pueda dirigirse directamente a él.

13. Seguridad

REDCUMBRE aplica medidas técnicas y organizativas apropiadas al riesgo (Art. 14 quinquies de la Ley N° 21.719), entre ellas:

• Cifrado en tránsito (TLS) y de secretos y credenciales tributarias en reposo (AES-256 o equivalente);
• Aislamiento multi-tenant: los datos de cada cliente se segregan lógicamente y no se exponen a otros clientes;
• Control de acceso basado en roles y motor de políticas de autorización;
• Trazabilidad y auditoría de operaciones sensibles, incluida la terminación de sesiones;
• Verificación de identidad mediante códigos de un solo uso (OTP) en operaciones críticas;
• Controles anti-abuso, límites de uso y protección frente a automatización maliciosa;
• Respaldos con rotación definida;
• Secretos, tokens y certificados digitales que no son visibles desde la interfaz, ni siquiera para el propio cliente.

Ninguna medida elimina por completo el riesgo. Si detecta una vulnerabilidad, repórtela a security@redcumbre.cl.

14. Vulneraciones de seguridad

Si se produce una vulneración de las medidas de seguridad que cause destrucción, filtración, pérdida o alteración de datos personales y exista riesgo razonable para los derechos de los titulares:

• Notificaremos a la Agencia de Protección de Datos Personales sin dilación indebida, dentro de las 72 horas desde detectada, por fases si aún no contamos con toda la información;
• Notificaremos directamente a los titulares afectados, en lenguaje claro, cuando la vulneración afecte datos sensibles, datos de menores de 14 años o datos económicos, financieros o bancarios;
• Notificaremos a nuestros clientes dentro de las 24 horas desde la confirmación razonable del incidente, con informe dentro de las 72 horas siguientes, o en el plazo más exigente que su contrato individual establezca;
• Reportaremos a la Agencia Nacional de Ciberseguridad (ANCI) cuando el incidente califique conforme a la Ley N° 21.663;
• Mantendremos un registro interno de todas las vulneraciones, con sus efectos y medidas correctivas.

15. Cambios a esta política

Podemos actualizar esta política. La versión vigente, con su fecha y número de versión, está siempre publicada en esta página, y es la que rige el tratamiento desde su publicación. Antes de recolectar sus datos para una finalidad nueva le informaremos de ella y, cuando corresponda, le pediremos su consentimiento; la versión que rige para ese tratamiento es la vigente al momento en que usted lo acepta.

Cuando el cambio amplíe las finalidades sobre datos que ya recolectamos o reduzca sus derechos, se lo comunicaremos con al menos treinta (30) días corridos de anticipación, por correo electrónico al contacto registrado y mediante aviso en la Plataforma.

Las versiones anteriores quedan disponibles para su consulta.

16. Contacto y reclamos

Si considera que sus derechos no fueron atendidos, puede reclamar ante la Agencia de Protección de Datos Personales.

Versiones anteriores

• Versión 1 — texto vigente hasta el 19 de septiembre de 2026, archivado sin modificaciones.