Política de Privacidad y Protección de Datos Personales

La presente Política de Privacidad y Protección de Datos Personales (en adelante, la “Política”) describe la manera en que BPO Advisors SpA trata y protege los datos personales de quienes acceden y utilizan los servicios de FirmaYa, que incluye el sitio web disponible en www.firmaya.cl y de la aplicación móvil oficial FIRMAYA (en adelante, conjuntamente, la “Plataforma”).

La presente Política regula exclusivamente el tratamiento de los datos personales. La aceptación de esta Política, manifestada mediante una acción afirmativa inequívoca habilitada en la Plataforma, forma parte integrante de la relación con FirmaYa.

I. Identificación del responsable del tratamiento

• Responsable: BPO Advisors SpA
• RUT: 76.610.718-4
• Representante legal: Marcelo Mora Saa
• Delegado de Protección de Datos: Jorge Pizarro
• Las consultas relativas a privacidad pueden dirigirse a privacidad@firmaya.cl
• Domicilio: Avenida Apoquindo 4499, Piso 6, Las Condes, Santiago
• Correo electrónico de privacidad: privacidad@firmaya.cl
• Formulario web: www.firmaya.cl/privacidad, accesible de forma permanente en la Plataforma

II. Ámbito de aplicación

Esta Política aplica a todos los tratamientos de datos personales realizados por FirmaYa en los siguientes contextos:

• Acceso y uso del sitio web y de la aplicación móvil
• Proceso de enrolamiento, creación y gestión de cuentas
• Validación y verificación de identidad, incluida la autenticación mediante ClaveÚnica, preguntas de seguridad y la verificación mediante lectura del chip NFC de la cédula de identidad, biometría facial, envío de OTP (one time password) a email o teléfono.
• Emisión, administración y gestión de certificados de firma electrónica
• Suscripción, consulta y seguimiento de documentos electrónicos
• Soporte técnico
• Cumplimiento de obligaciones legales y regulatorias asociadas a la actividad de certificación.

Las condiciones comerciales, reglas de contratación y materias de uso del servicio se rigen por los Términos y Condiciones disponibles en www.firmaya.cl.

III. Categorías de titulares

FirmaYa trata datos personales de las siguientes categorías de titulares de datos:

• Originadores: personas naturales o representantes de personas jurídicas que cargan documentos en la Plataforma y proporcionan los datos de contacto de los firmantes.
• Firmantes o terceros firmantes: personas naturales invitadas a suscribir documentos, que se enrolan, crean cuenta y, en su caso, ejecutan procesos de firma robusta o avanzada.
• Titulares de certificados de firma electrónica emitidos o gestionados a través de la Plataforma.
• Visitantes del sitio web que naveguen o interactúen con sus funcionalidades.

Tratamiento de datos personales de niños, niñas y adolescentes

FirmaYa no dirige su servicio a menores de catorce años. En caso de detectar que un menor de dicha edad ha proporcionado datos personales sin autorización de su padre, madre o representante legal, procederá a suprimir dicha información a la brevedad.

Los mayores de catorce y menores de dieciocho años deberán contar con la autorización de su representante legal para enrolarse.

IV. Distinción de roles: responsable y encargado

Es de especial relevancia precisar el rol que asume BPO Advisors SpA en cada flujo:

• Respecto de los datos de los Usuarios que se enrolan, crean cuenta y operan directamente en la Plataforma, BPO Advisors SpA actúa como responsable del tratamiento.
• Respecto de los datos de los terceros firmantes que son incorporados por un Originador para iniciar un flujo de firma, BPO Advisors SpA actúa, en esa fase inicial, como encargado del tratamiento, manteniendo el Originador la calidad de responsable frente a dichos titulares. Cada Originador declara y garantiza contar con la fuente de licitud que le habilita para comunicar esos datos a FirmaYa.

V. Categorías de datos personales tratados

FirmaYa trata los siguientes datos personales para las finalidades y justificándose en las fuentes de licitud que se indican a continuación:

Sobre el tratamiento de datos del chip NFC, biometría facial y Portal de Identidad

Atendido a que se trata de una categoría especial de datos, el tratamiento de datos extraídos del chip NFC y de la biometría facial se rige por exigencias específicas. La fotografía extraída del chip se utiliza como patrón de referencia para verificar, mediante comparación con una imagen facial captada en vivo, la correspondencia biométrica del titular.

El tratamiento de la fotografía del chip y de la biometría facial se funda en el consentimiento del titular. El portal de identidad recurrente supone el almacenamiento persistente de la fotografía facial extraída del chip, que constituye el patrón de referencia y la imagen facial del titular captada en vivo durante el proceso de verificación, que constituye el dato de contraste. Ambos elementos son conservados y reutilizados en autenticaciones posteriores sin nueva lectura de la cédula ni de una nueva captura facial, según corresponda. Asimismo, en los procesos de autenticación asociados a este portal, FirmaYa podrá emplear datos de contacto del titular como su correo electrónico y número de teléfono, previamente recopilados en el enrolamiento, con el fin de enviar códigos de verificación u otros factores de autenticación. Este tratamiento requiere un consentimiento adicional, de alcance temporal prolongado.

Cualquier modificación de las condiciones del tratamiento biométrico, sea una nueva finalidad, un nuevo encargado o un nuevo plazo de retención, requerirá un nuevo consentimiento específico, con un preaviso mínimo de treinta días.

VI. Consentimiento y derecho para revocarlo

Cuando un tratamiento se funde en el consentimiento, el Titular podrá retirarlo en cualquier momento y sin costo alguno, sin que ello afecte la licitud del tratamiento realizado con anterioridad a su retiro. El retiro del consentimiento no implica, por sí solo, la supresión de los datos cuando exista otra fuente de licitud que permita su conservación.

Para retirar el consentimiento, el Titular deberá enviar una solicitud al correo privacidad@firmaya.cl indicando en el asunto "Retiro de consentimiento" o utilizar el formulario disponible en www.firmaya.cl/privacidad. FirmaYa confirmará la recepción y el efecto del retiro dentro del plazo establecido en la Ley.

VII. Origen de los datos

Los datos personales tratados por FirmaYa pueden provenir de las siguientes fuentes:

• Información entregada directamente por el titular durante el proceso de enrolamiento, la creación de cuenta o el uso del servicio.
• Información aportada por el Originador respecto de los terceros firmantes que invita a suscribir documentos, comprensiva de nombre, RUT, correo electrónico y teléfono.
• Información obtenida mediante la autenticación con ClaveÚnica del Servicio de Registro Civil e Identificación de Chile.
• Información leída mediante la tecnología NFC del chip de la cédula de identidad en los procesos de verificación de identidad reforzada, comprensiva de los datos de identidad y de la fotografía utilizada como patrón biométrico.
• Imagen facial captada en vivo del titular durante el proceso de verificación biométrica.
• Información generada automáticamente por el uso de la Plataforma y la suscripción de documentos electrónicos, incluidos los datos de dispositivo, navegación y, cuando el titular lo autorice, geolocalización.
• Información obtenida mediante mecanismos de confirmación de contacto, tales como códigos enviados por correo electrónico o SMS, utilizados durante el enrolamiento o la firma.
• Fuentes de acceso lícito, cuando la normativa de certificación obligue a verificar o consultar registros para la validación de identidad o el estado de los certificados.

VIII. Destinatarios, comunicaciones, cesiones y encargados del tratamiento

Comunicaciones de datos

FirmaYa podrá comunicar datos personales a los siguientes destinatarios:

• Autoridades judiciales, administrativas, regulatorias o gubernamentales, cuando exista obligación legal, requerimiento competente o mandato judicial.
• Agencia de Protección de Datos Personales, en cumplimiento de las obligaciones establecidas en la Ley N° 21.719.
• El Ministerio de Economía, la Subsecretaría de Economía, la ENAC u otras autoridades del sistema de certificación, en cumplimiento de la normativa sobre firma electrónica.
• Cualquier tercero o interesado que consulte el estado de un certificado emitido, en la medida en que dicha publicidad sea legalmente exigible conforme a la Ley N° 19.799.

Relacionamiento con terceros proveedores

FirmaYa, además, puede contratar a terceros proveedores que traten datos personales por cuenta y bajo sus instrucciones (encargados del tratamiento), en particular:

• Proveedores de infraestructura tecnológica y servicios en la nube (servidores, almacenamiento, cómputo).
• Proveedores de servicios de envío de SMS o correo electrónico para autenticación y notificaciones.
• Proveedores de servicios de verificación y validación de identidad.
• Proveedores de soporte técnico y mantenimiento de la Plataforma.

Todos los encargados del tratamiento están sujetos a las instrucciones del Responsable y a las obligaciones legales y contractuales correspondientes, incluyendo el deber de confidencialidad, seguridad y de notificar cualquier incidente de seguridad al Responsable.

IX. Transferencias internacionales

En el contexto de la prestación del servicio, FirmaYa puede utilizar proveedores de infraestructura tecnológica cuyos servidores o centros de datos se encuentren ubicados fuera de Chile, lo que puede implicar transferencias internacionales de datos personales.

En tales casos, FirmaYa garantiza que dichas transferencias se realizan únicamente hacia países, organizaciones o entidades que ofrezcan un nivel adecuado de protección de datos conforme a los estándares de la Ley y a lo que determine la Agencia de Protección de Datos Personales, o bien bajo garantías contractuales adecuadas, tales como cláusulas contractuales tipo aprobadas por la Agencia u otros mecanismos legalmente reconocidos.

• Países o regiones de destino principales: Estados Unidos AWS.
• Nivel de protección y garantías adoptadas: FirmaYa funda la transferencia en garantías contractuales adecuadas celebradas con el proveedor, complementadas por los estándares de seguridad que este mantiene, entre los cuales se incluyen las certificaciones ISO/IEC 27001:2022, ISO/IEC 27017:2015 e ISO/IEC 27018:2019, e informes de auditoría SOC 1, SOC 2 y SOC 3.

X. Plazos de conservación de datos

FirmaYa conserva los datos personales únicamente por el tiempo necesario para cumplir las finalidades informadas, las obligaciones legales o regulatorias aplicables y los plazos de prescripción de las acciones que pudieran derivarse. Transcurridos dichos plazos, los datos serán suprimidos o anonimizados.

XI. Medidas de seguridad

FirmaYa declara adoptar y mantener medidas técnicas, organizativas y de gestión adecuadas y proporcionales al riesgo, orientadas a garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales.

Entre las medidas adoptadas se incluyen:

• Controles de acceso para personal autorizado que requiere conocer la información para operar, desarrollar o mejorar la Plataforma.
• Cifrado de datos en tránsito y en reposo mediante protocolos estándar de la industria.
• Autenticación de doble factor para acceso a sistemas críticos.
• Monitoreo de seguridad, registros de auditoría y gestión de incidentes.
• Certificación ISO 27001 en seguridad de la información e ISO 9001 en gestión de calidad.
• Evaluaciones periódicas de riesgo y revisión de controles de seguridad.
• Aplicación del principio de protección desde el diseño y por defecto.

Ningún sistema puede garantizar seguridad absoluta. Sin perjuicio de ello, FirmaYa adopta medidas razonables y proporcionales al riesgo y se compromete a revisar sus controles de seguridad conforme a la naturaleza del tratamiento, las exigencias regulatorias y la evolución tecnológica.

Brechas de seguridad y notificación a titulares

FirmaYa mantiene un protocolo de gestión de incidentes de seguridad de la información que contempla las etapas de detección, registro, reporte interno, análisis de causa, contención y resolución.

En caso de que se produzca un incidente de seguridad que vulnere datos personales y que genere un riesgo significativo para los titulares afectados, FirmaYa adoptará las medidas inmediatas de contención y procederá a notificar a los titulares afectados y a la autoridad de control competente, en los términos y dentro de los plazos establecidos por la Ley N° 21.719. La notificación incluirá, al menos, la naturaleza del incidente, los datos afectados y las medidas adoptadas para mitigar sus efectos.

XII. Derechos de los titulares

Los titulares de datos pueden ejercer sus derechos ARSOBP sobre los datos personales que FirmaYa trata. En simple, esto significa que los titulares de datos pueden solicitar acciones concretas respecto de la información que tratamos:

• Acceso: solicitar que confirmemos si FirmaYa trata sus datos y pedir información general sobre ese tratamiento, además de acceder a una copia razonable de dichos datos personales.
• Rectificación: pedir que modifiquemos o completemos datos personales que sean inexactos, incompletos o estén desactualizados.
• Supresión: solicitar que eliminemos los datos personales cuando corresponda en los términos definidos por la ley (por ejemplo, si ya no son necesarios o fue retirado el consentimiento cuando ese era la fuente de licitud). Este derecho puede tener límites si debemos conservar información por obligaciones legales o para respaldo/defensa ante reclamos. En esos casos, aplicaremos uso restringido cuando proceda.
• Oposición: cuando el tratamiento no sea imprescindible o existan razones relacionadas con una situación particular los titulares podrán oponerse a determinados tratamientos en los casos previstos por la normativa.
• Bloqueo: pedir que limitemos temporalmente el tratamiento de los datos, por ejemplo, mientras revisamos una solicitud de rectificación, supresión u oposición.
• Portabilidad: cuando aplique, los titulares podrán solicitar que entreguemos ciertos datos en un formato estructurado y de uso común, o que los transmitamos a otro proveedor, en la medida técnicamente posible.

Para ejercer estos derechos, los titulares deberán ingresar una solicitud por www.firmaya.cl/privacidad. Para proteger la información, podremos pedir antecedentes como RUT o correo electrónico para confirmar la identidad según la información disponible en nuestros registros, y, en caso de titulares que actúan mediante representante, la acreditación correspondiente.

FirmaYa dará respuesta dentro del plazo de 30 días corridos contados desde la recepción de la solicitud, pudiendo prorrogarlo por igual plazo cuando la complejidad de la solicitud lo justifique, con notificación al titular.

Derecho a recurrir ante la Agencia de Protección de Datos

Si FirmaYa no da respuesta dentro del plazo señalado, rechaza la solicitud o el titular considera que la respuesta no satisface su requerimiento, podrá presentar una reclamación ante la Agencia de Protección de Datos Personales, conforme al procedimiento de tutela de derechos de la Ley N° 21.719. El titular dispondrá de un plazo de 30 días hábiles contado desde la notificación de la respuesta, o desde el vencimiento del plazo sin respuesta, para interponer dicha reclamación.

XIII. Decisiones automatizadas y elaboración de perfiles

La Plataforma utiliza procesos automatizados para fines operativos, de autenticación y de seguridad, incluyendo el registro de actividad, la confirmación de identidad y la detección de patrones inusuales de uso. La verificación biométrica facial constituye un tratamiento automatizado intrínseco al servicio de firma robusta, realizado sobre la base contractual y, en lo relativo al dato biométrico, del consentimiento del titular.

Si FirmaYa implementa el scoring de comportamiento para la evaluación de riesgo o la elaboración de perfiles, informará al titular sobre la lógica aplicada, las categorías de datos utilizadas y las consecuencias previstas del tratamiento, y le reconocerá el derecho a oponerse en los términos de la Ley. A la fecha de esta versión, FirmaYa no adopta decisiones basadas exclusivamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente al titular, fuera de los procesos de autenticación y seguridad necesarios para el servicio. Cualquier implementación futura será informada mediante la actualización de esta Política.

XIV. Cookies y tecnologías de seguimiento

FirmaYa puede utilizar cookies y tecnologías de seguimiento similares en su sitio web para fines de seguridad, funcionamiento, análisis de uso y mejora de la experiencia. La información detallada sobre los tipos de cookies utilizados, su finalidad, duración y la forma de gestionarlos se encuentra disponible en la Política de Cookies de FirmaYa, accesible en www.firmaya/politicas.

Los Titulares pueden configurar sus preferencias de cookies a través del panel de gestión disponible en el sitio web o mediante la configuración de su navegador. La desactivación de cookies estrictamente necesarias puede afectar el funcionamiento de la Plataforma.

XV. Modificaciones a esta Política

FirmaYa se reserva la facultad de modificar esta Política en cualquier momento, con el objeto de adecuarla a cambios normativos, regulatorios, tecnológicos o de negocio. Las modificaciones sustanciales serán comunicadas a los Titulares a través del sitio web www.firmaya.cl y, cuando corresponda, mediante aviso directo al correo electrónico registrado por el Usuario, con una antelación razonable antes de su entrada en vigencia.

La versión vigente siempre estará disponible de forma gratuita, precisa, clara e inequívoca en www.firmaya.cl/privacidad. La fecha de vigencia y el número de versión identificados en la portada de este documento permiten verificar la versión que se está leyendo.

Versión: 2.0 · Fecha de última actualización: 13 de julio de 2026