Política de Privacidad

Esta Política de Privacidad describe cómo Saurix SpA, RUT 78.468.594-2, con domicilio en la comuna de Santiago, Región Metropolitana, Chile ("Saurix" o "la Plataforma") trata los datos personales en el marco de su software de agentes comerciales con inteligencia artificial. Está alineada con la Ley N° 19.628 y con la Ley N° 21.719 sobre protección de datos personales (vigente desde el 1 de diciembre de 2026).

1. Roles: quién es responsable de los datos

La Plataforma la utilizan empresas ("Clientes") para atender, calificar y agendar conversaciones con sus propios contactos. Respecto de los datos de esos contactos:

• El Cliente es el responsable del tratamiento (controlador): decide las finalidades, tiene la relación con el contacto y debe contar con una base de licitud (por ejemplo, el consentimiento o el interés legítimo) e informar a sus contactos.
• Saurix es el encargado del tratamiento (procesador): trata esos datos únicamente por cuenta y según las instrucciones del Cliente, para prestar el servicio, y no los usa para fines propios.

Respecto de los datos de la cuenta del propio Cliente (sus usuarios administradores), Saurix actúa como responsable. La relación de encargo se detalla en el Contrato de Encargo del Tratamiento (DPA).

2. Datos que tratamos

Datos de cuenta: nombre, correo y credenciales de acceso de los usuarios de cada Cliente. Datos de contactos del Cliente: nombres, teléfonos, correos y el contenido de las conversaciones que los contactos mantienen con el agente de IA por los canales que el Cliente conecta (WhatsApp, correo, web), además de metadatos asociados (fecha/hora, estado de entrega). No solicitamos ni requerimos categorías sensibles de datos para prestar el servicio.

3. WhatsApp Business Platform y Meta

Cuando el Cliente conecta su cuenta de WhatsApp Business, Saurix actúa como proveedor de tecnología ("Tech Provider") sobre la WhatsApp Business Platform de Meta Platforms, Inc. Los mensajes que los contactos del Cliente envían y reciben se procesan para entregar el servicio (responder con IA, agendar, dar seguimiento) y se rigen además por las políticas de Meta. El uso de estos datos se limita a prestar el servicio al Cliente: no se venden ni se usan para publicidad propia. La eliminación de datos asociados a un usuario de Meta puede solicitarse mediante el mecanismo descrito en la sección 9 y a través del punto de contacto de borrado de datos publicado por la Plataforma.

4. Datos de Google (APIs de Google)

Si el Cliente conecta su cuenta de Google, la Plataforma accede únicamente a lo necesario para la función que el Cliente activa: Google Calendar (leer disponibilidad y crear eventos de reuniones agendadas) y Gmail (enviar o redactar correos en nombre del usuario que conectó la cuenta, como recordatorios de reuniones). Los tokens de acceso se almacenan cifrados (AES-256-GCM) y pueden revocarse en cualquier momento desde la Plataforma o desde la configuración de seguridad de Google.

El uso que Saurix hace de la información recibida de las APIs de Google se adhiere a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use): no vendemos esos datos, no los usamos para publicidad y ningún humano los lee salvo consentimiento explícito, necesidad de soporte, seguridad o exigencia legal.

5. Finalidad y base de licitud

Tratamos los datos exclusivamente para operar la Plataforma: responder conversaciones con IA, calificar leads, agendar reuniones, enviar recordatorios y sincronizar con el CRM que el Cliente conecte. La base de licitud del tratamiento de los datos de contactos la aporta el Cliente en su calidad de responsable; Saurix los trata en virtud del contrato de prestación de servicios (encargo de tratamiento). No vendemos datos personales ni los usamos para entrenar modelos de terceros.

6. Proveedores y subencargados

Para prestar el servicio nos apoyamos en proveedores que actúan como subencargados, bajo obligaciones de confidencialidad y seguridad equivalentes a las de esta política:

• Infraestructura y base de datos: Vercel, Neon.
• Modelos de inteligencia artificial: Google (Gemini API), DeepSeek (si se activa esa función) *.
• Telefonía y voz: Retell AI (si se activa esa función) *, ElevenLabs (si se activa esa función), DIDWW (si se activa esa función) *.
• Canales de mensajería y correo: Meta Platforms (si se activa esa función), Twilio (si se activa esa función), Maytapi (si se activa esa función) *, Telegram (si se activa esa función), Resend (si se activa esa función), Google (Gmail y Calendar) (si se activa esa función), Microsoft (Outlook y Calendar) (si se activa esa función).
• CRM que la empresa conecta: CRM que la empresa conecta (HubSpot, Salesforce, Pipedrive, Zoho, Monday) (si se activa esa función).
• Herramientas del proceso comercial: DocuSign (si se activa esa función), Recall.ai (si se activa esa función) *, Stripe (si se activa esa función).
• Monitoreo de errores: Sentry.

* Proveedores con el acuerdo de tratamiento pendiente o el compromiso de no entrenamiento aún sin verificar. Todos ellos intervienen solo si el Cliente activa esa función. El detalle de cada uno —qué datos trata, qué acuerdo lo rige, si hay compromiso de no entrenamiento y qué instrumento ampara la transferencia— está en el Anexo III.

No compartimos datos personales con terceros fuera de los proveedores estrictamente necesarios para el servicio o de una obligación legal.

No entrenamiento: los proveedores de inteligencia artificial que usamos tratan el contenido de las conversaciones únicamente para generar la respuesta del momento. No autorizamos su uso para entrenar ni mejorar modelos. En el modelo principal y en los proveedores que intervienen en todo servicio, esa prohibición está establecida contractualmente. Hay proveedores opcionales —los que solo intervienen si la empresa activa esa función— cuyo acuerdo todavía está por cerrar: no los ocultamos, están marcados uno por uno con su estado en el Anexo III del Contrato de Encargo.

7. Transferencias internacionales

Varios de estos proveedores procesan datos fuera de Chile. En cada caso la transferencia se ampara en un instrumento concreto —las cláusulas contractuales de protección de datos del propio proveedor— y no en una declaración genérica. El mecanismo aplicable a cada proveedor está identificado, uno por uno, en el Anexo III del Contrato de Encargo. Cuando la Agencia de Protección de Datos Personales publique sus cláusulas tipo, migraremos a ellas.

8. Seguridad

Credenciales y tokens de integraciones se cifran en reposo con AES-256-GCM. El acceso a los datos de cada Cliente está aislado por organización (multi-tenant). Las sesiones usan cookies httpOnly firmadas y las comunicaciones viajan cifradas (HTTPS/TLS). Ante una brecha de seguridad que afecte datos personales, notificaremos al Cliente y a la autoridad competente sin dilación indebida, conforme a la Ley N° 21.719.

9. Retención y eliminación

Cada empresa Cliente define, desde la Plataforma, cuánto tiempo se conserva cada categoría de información (conversaciones, actividad, audios, archivos y registros técnicos), con mínimos que no puede bajar para no destruir la evidencia de sus propias operaciones. La política de eliminación viene desactivada: mientras una empresa no la active, su información se conserva mientras dure la relación de servicio. Cuando la activa, lo que supera el plazo que ella misma fijó se elimina de forma automática y diaria, y cada purga queda registrada en su bitácora. El Cliente puede además solicitar en cualquier momento la eliminación de todos los datos de su organización, y hacerlo por sí mismo desde Ajustes → Privacidad y datos. Las solicitudes de eliminación de datos vinculados a un usuario de Meta se atienden por el punto de contacto de borrado de datos de la Plataforma.

9 bis. Llamadas telefónicas y grabación

Si la empresa Cliente activa el agente de voz, las llamadas se graban y se transcriben para dejar registro de lo conversado. La Plataforma anuncia la grabación al inicio de la llamada: el aviso viene activado de fábrica y es la empresa Cliente, como responsable del tratamiento, quien decide si lo mantiene. El audio y su transcripción se conservan según el plazo que la empresa haya definido y se eliminan —también en el proveedor de telefonía— cuando el titular ejerce su derecho de supresión.

10. Tus derechos (Ley N° 21.719)

Toda persona cuyos datos sean tratados puede ejercer los derechos de acceso, rectificación, cancelación (supresión), oposición y portabilidad (derechos ARCOP y de portabilidad). Responderemos las solicitudes dentro de los plazos legales (en general, 30 días). Como Saurix suele actuar como encargado, si tu relación es con un Cliente de la Plataforma dirigiremos o derivaremos tu solicitud al responsable que corresponda. También puedes reclamar ante la Agencia de Protección de Datos Personales (APDP) de Chile.

Cada solicitud queda registrada con un folio que puedes citar y con un plazo de respuesta de 30 días corridos. Si la solicitud se resuelve conservando algún dato por una obligación legal, te diremos cuál y por qué.

11. Menores de edad

La Plataforma está dirigida a empresas y no está destinada a menores de edad. Cuando el asistente detecta indicios de estar conversando con una persona menor de edad, deja de recoger datos y deriva la conversación a una persona del equipo del Cliente.

11 bis. Accesos de soporte

Para resolver un problema, personal de Saurix puede acceder a la cuenta de un Cliente. Cada uno de esos accesos queda registrado y el propio Cliente puede consultarlo desde Ajustes → Privacidad y datos, sin pedírnoslo.

12. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha de última actualización.

13. Contacto

Para consultas sobre privacidad o para ejercer tus derechos, escríbenos a hola@saurix.ai. Responsable: Saurix SpA, RUT 78.468.594-2, Santiago, Chile.