Política de privacidad

1. Responsable del tratamiento

Hito Zero SpA, RUT 78.458.447-K, domiciliada en Chile, es responsable del tratamiento de los datos personales que decide tratar para operar RendirFácil (sitio de marketing, cuentas de usuario y prestación del servicio SaaS).

Cuando una organización cliente configura RendirFácil para gestionar rendiciones de su equipo, esa organización suele actuar como responsable respecto de los datos de sus colaboradores y comprobantes, y Hito Zero SpA actúa como encargado del tratamiento, según el contrato o condiciones aplicables (Art. 15 bis, Ley 21.719).

Contacto para privacidad y ejercicio de derechos: contacto@hitozero.com.

2. Qué datos tratamos

• Sitio web (landing): datos de contacto si nos escribes (nombre e correo), preferencia de tema claro/oscuro en el navegador (localStorage) e información técnica básica de conexión (p. ej. dirección IP y user-agent que el servidor o CDN puedan registrar en logs).
• Cuenta y autenticación: nombre, correo, identificadores de sesión y, si usas inicio de sesión con Google o Microsoft, los datos que esos proveedores compartan según tu autorización.
• Perfil y organización: teléfono (p. ej. para WhatsApp), RUT u otros identificadores que registres, roles, áreas y configuración de la organización.
• Rendiciones y finanzas operativas: montos, fechas, comercios, RUT de proveedores en comprobantes, categorías, centros de costo, adjuntos (fotos/PDF), rutas/kilometraje y estados de aprobación.
• Comunicaciones: mensajes del bot de WhatsApp, notificaciones por correo e historial de soporte.
• Uso del servicio: registros de auditoría (acciones, uso de IA, eventos relevantes) necesarios para seguridad y trazabilidad.

En general no tratamos datos sensibles de salud, biométricos o de menores como finalidad del producto. Si un comprobante u otro archivo los contuviera de forma incidental, se trata como contenido del cliente bajo las mismas medidas de seguridad y solo para prestar el servicio.

3. Finalidad y base de licitud

4. Con quién compartimos los datos

No vendemos datos personales. Compartimos información solo con los proveedores de nuestro stack que actúan como encargados (o subencargados) para operar el servicio:

• Railway — hosting de la API y base de datos PostgreSQL
• Cloudflare R2 — almacenamiento de comprobantes y archivos
• Better Auth con inicio de sesión Google y Microsoft (OAuth), cuando eliges ese acceso
• OpenRouter — proveedor principal de IA para análisis de comprobantes (puede enrutar a modelos de terceros según la configuración)
• OpenAI — proveedor de IA directo, cuando está habilitado en la configuración
• Kapso y APIs de Meta — mensajería WhatsApp
• Resend — correo transaccional (invitaciones, notificaciones, soporte)
• Mapbox y/o Google Maps (Places/Routes) — mapas, direcciones y rutas cuando usas rendición por kilometraje, según el proveedor configurado
• Google Fonts — tipografías del sitio público (puede recibir datos técnicos de conexión, p. ej. IP)

Varios de estos proveedores pueden tratar datos fuera de Chile. Cuando corresponda, la transferencia internacional se ampara en mecanismos reconocidos por la normativa chilena, incluyendo cláusulas contractuales modelo u otros instrumentos válidos según la Ley 21.719.

5. Por cuánto tiempo

• Cuenta y datos de servicio: mientras exista la relación contractual o la cuenta activa, y después el tiempo necesario para cierres, reclamos o obligaciones legales (por defecto orientativo: hasta 5 años contables/tributarios cuando aplique).
• Eliminación de cuenta: puedes solicitarla desde la app (Mi perfil). Tras 30 días de gracia (cancelables), anonimizamos tus datos personales de acceso (nombre, correo, teléfono, RUT). Los registros de rendición e historial de aprobación de las organizaciones se conservan para auditoría y contabilidad, sin tu PII de acceso. Puede conservarse evidencia mínima de consentimiento (versión y fecha) sin datos identificables. Los respaldos no se reescriben al instante; se rotan según la política de retención de infraestructura.
• Logs técnicos y de seguridad: plazos limitados según necesidad operativa (orientativo: 12 meses), salvo investigación en curso.
• Preferencia de tema en el navegador: hasta que la borres en tu dispositivo.
• Marketing (si hubo consentimiento): hasta que lo retires o la campaña deje de ser pertinente.

Al vencimiento, los datos se eliminan o se anonimizan, salvo deber legal de conservación.

6. Tus derechos

Como titular puedes ejercer acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y retirar el consentimiento cuando el tratamiento se base en él, escribiendo a contacto@hitozero.com o, para supresión de cuenta, desde Mi perfil en la aplicación.

• Plazo de respuesta: 30 días corridos, prorrogables una sola vez por hasta 30 días más, con aviso (Art. 11, Ley 21.719).
• Rectificación, supresión y oposición son siempre gratuitas. El acceso es gratuito al menos una vez por trimestre.
• Si tus datos los trata tu empleador u organización cliente como responsable, podemos derivar la solicitud a esa organización cuando corresponda. La eliminación de tu cuenta no borra el expediente de rendiciones de la organización.

7. Decisiones automatizadas e IA

RendirFácil usa tratamientos automatizados (incluida IA) para proponer o prellenar campos a partir de comprobantes. Esa sugerencia no sustituye la decisión humana de registro o aprobación: puedes corregir los datos antes de guardar y los flujos de aprobación siguen a cargo de personas autorizadas en tu organización. Tienes derecho a solicitar una explicación razonable, a intervención humana cuando el tratamiento tenga efectos significativos, y a oponerte en los términos de la ley.

8. Origen de los datos

Los obtenemos principalmente de ti (formularios, carga de comprobantes, WhatsApp) o de tu organización cliente; también de proveedores de identidad (Google/Microsoft) si eliges ese acceso, y de sistemas internos de logs necesarios para operar el servicio.

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables y proporcionales: cifrado en tránsito (TLS), controles de acceso, segregación por organización (multi-tenant), almacenamiento restringido de archivos, gestión de secretos fuera del código y registros de auditoría de eventos relevantes. Ninguna medida garantiza seguridad absoluta; frente a una vulneración relevante actuaremos sin dilaciones indebidas conforme a la Ley 21.719 (Art. 14 sexies).

10. Menores de edad

El servicio está dirigido a uso profesional / empresarial. No está pensado para menores de 18 años.

11. Cambios

Podemos actualizar esta política para reflejar cambios del servicio o de la normativa. La versión vigente se publica en esta página con su fecha. Si el cambio es material, avisaremos por canales razonables (p. ej. correo o aviso en la app).

12. Reclamos

Puedes reclamar ante la Agencia de Protección de Datos Personales de Chile, sin perjuicio de otros mecanismos legales aplicables.