Política de Privacidad

Última actualización: julio de 2026 · Versión 1.0

1. Responsable del tratamiento

NormaIQ SpA, con domicilio en Santiago, Chile, es el responsable del tratamiento de los datos personales recolectados a través de la plataforma NormaIQ (normaiq.io).

Contacto del Delegado de Protección de Datos (DPO): [email protected]

2. Datos que recopilamos

Recopilamos únicamente los datos necesarios para prestar el servicio:

• Datos de la empresa: razón social, RUT, rubro, tamaño.
• Datos de contacto: nombre, cargo, correo electrónico.
• Datos de uso: respuestas al cuestionario de assessment, evidencias cargadas, interacciones con el Copilot.
• Datos técnicos: dirección IP (anonimizada para rate limiting), logs de acceso sin PII.

No recopilamos datos sensibles (salud, biometría, creencias, etc.) en el sentido del artículo 2 de la Ley 21.719.

3. Bases de licitud del tratamiento

• Ejecución del contrato: los datos son necesarios para proveer el servicio NormaIQ contratado (Art. 13 d), Ley 21.719).
• Consentimiento explícito: para comunicaciones de marketing opcionales (Art. 13 a).
• Interés legítimo: para mejorar la plataforma y detectar fraudes (Art. 13 f).

4. Finalidad del tratamiento

• Proveer el servicio de diagnóstico, planificación y monitoreo normativo.
• Generar y verificar el Sello NormaIQ.
• Operar el Copilot Asesor y Guardian.
• Cumplir obligaciones legales y regulatorias.

5. Derechos ARCO+ del titular

En virtud de la Ley 21.719, usted tiene derecho a:

• Acceso: conocer qué datos tenemos sobre usted.
• Rectificación: corregir datos inexactos.
• Cancelación / Supresión: solicitar la eliminación de sus datos.
• Oposición: oponerse al tratamiento en ciertas circunstancias.
• Portabilidad: recibir sus datos en formato estructurado y de uso común.

Para ejercer cualquiera de estos derechos, escriba a [email protected]. Responderemos en un plazo máximo de 30 días hábiles.

6. Conservación de datos

Los datos se conservan durante la vigencia del contrato y por un período de 5 años adicionales para efectos de auditoría y cumplimiento legal. Los datos de evidencias se almacenan en Azure Blob Storage (región West Europe) con cifrado en reposo (AES-256).

7. Transferencias internacionales

Los datos son procesados en infraestructura de Microsoft Azure (West Europe). Microsoft actúa como encargado de tratamiento bajo cláusulas contractuales tipo aprobadas por la Comisión Europea, equivalentes a los estándares exigidos por el Art. 26 de la Ley 21.719.

No vendemos, alquilamos ni compartimos datos personales con terceros con fines comerciales.

8. Seguridad

Implementamos medidas técnicas y organizativas proporcionales al riesgo: acceso mediante tokens HMAC-SHA256, secrets en Azure Key Vault, conexiones TLS 1.2+, rate limiting, y sin almacenamiento de PII en logs de aplicación.

9. Notificación de brechas

En caso de una brecha de seguridad que afecte datos personales, notificaremos a la Agencia de Protección de Datos Personales (APDP) y a los titulares afectados dentro de las 72 horas siguientes a tener conocimiento, conforme al Art. 49 de la Ley 21.719.

10. Cambios a esta política

Cualquier modificación material a esta política será notificada por correo electrónico con al menos 30 días de anticipación. La versión vigente siempre estará disponible en normaiq.io/privacidad.html.

11. Contacto y reclamaciones

Para consultas sobre privacidad: [email protected]

Si considera que el tratamiento de sus datos vulnera la normativa, tiene derecho a presentar una reclamación ante la Agencia de Protección de Datos Personales (APDP) una vez que esta entre en funciones (diciembre de 2026).