Política de privacidad
Cómo recopilamos, usamos y protegemos tu información y la de tu comunidad, bajo el marco de la Ley chilena de protección de datos personales y el principio de soberanía de datos indígenas.
Última actualización: junio 2026 · Vigencia plena de la Ley 21.719: 1° de diciembre de 2026
En esta página
1. Responsable del tratamiento
impactoindigena.ai es operado por su fundador Venancio Coñuepan en su calidad de persona natural responsable del tratamiento. Los datos personales recopilados a través de esta plataforma se tratan bajo su responsabilidad y bajo el marco legal chileno.
- ▸Contacto general: [email protected]
- ▸Solicitudes de privacidad: [email protected]
- ▸Domicilio: Chile (notificaciones legales por el canal de privacidad indicado)
2. Marco legal aplicable
Esta política se rige por la legislación chilena y se redacta anticipando los estándares de la Ley N° 21.719 sobre protección de datos personales (en vigencia plena desde el 1° de diciembre de 2026), que actualiza la Ley N° 19.628 de 1999. Aplicamos adicionalmente principios derivados del Convenio 169 OIT, la Declaración de Naciones Unidas sobre los Derechos de los Pueblos Indígenas (UNDRIP) y el principio de Consentimiento Libre, Previo e Informado (CLPI) cuando el tratamiento involucra a pueblos indígenas o sus territorios.
3. Definiciones
Para evitar ambigüedad, esta política usa los siguientes términos en el sentido que aquí se les asigna:
- ▸Titular: la persona natural a quien se refieren los datos personales.
- ▸Responsable: quien decide sobre los fines y medios del tratamiento. impactoindigena.ai lo es respecto de los datos de cuenta de usuarios registrados.
- ▸Encargado: quien trata datos por cuenta y bajo instrucción de un responsable. impactoindigena.ai puede actuar como encargado respecto de datos territoriales y CLPI que una comunidad o empresa suben para gestionar sus propios procesos (ver sección 4).
- ▸Usuario: persona registrada que accede a la plataforma (comunidad, empresa, asesor, investigador, autoridad).
- ▸Comunidad titular: pueblo, comunidad o asociación indígena dueña de los datos sensibles indígenas. La plataforma es custodia técnica, no propietaria.
- ▸Dato sensible indígena: todo dato que revele origen étnico, pertenencia a pueblo indígena, ubicación de comunidades, conflictos territoriales o procesos CLPI. Conforme la Ley 21.719 está protegido como dato sensible.
- ▸Subprocesador: proveedor técnico (cloud, IA, correo) que trata datos siguiendo nuestras instrucciones y bajo contrato de confidencialidad.
4. Nuestro rol según el dato (responsable vs encargado)
No todos los datos en la plataforma están bajo el mismo régimen. Distinguir esto es esencial:
- ▸Datos de cuenta y uso del usuario registrado: somos RESPONSABLES. Decidimos cómo se almacenan, por cuánto tiempo, con qué encargados se comparten. Esta política aplica íntegramente.
- ▸Datos territoriales y CLPI que sube una comunidad o empresa para gestionar sus propios procesos: somos ENCARGADOS. La comunidad o empresa es responsable de esos datos; nosotros sólo los procesamos siguiendo sus instrucciones. La compartición, retención y eliminación las define el titular del proceso.
- ▸Datos públicos de fuentes oficiales (ASC, CONADI, SEA, SMA, etc.): somos RESPONSABLES del cruce analítico que generamos a partir de fuentes ya públicas. No "creamos" estos datos; los integramos con atribución a su fuente.
5. Qué datos personales recopilamos
Distinguimos cuatro categorías con tratamientos diferenciados:
- ▸Datos de identificación: nombre, correo electrónico, organización, rol y RUT cuando lo provees voluntariamente al crear cuenta o solicitar un diagnóstico.
- ▸Datos de uso de la plataforma: diagnósticos realizados, recursos consultados, reportes generados, mensajes en chats internos y registros de actividad asociados a tu sesión.
- ▸Datos técnicos de navegación: IP truncada, tipo de navegador, sistema operativo y eventos agregados de uso. Se procesan en forma anonimizada para mejorar el servicio y detectar anomalías.
- ▸Datos sensibles (sec. 6): origen étnico, pertenencia a pueblo indígena, ubicación de comunidades, datos de conflictos territoriales y similares. Reciben protección reforzada.
6. Datos sensibles y soberanía de datos indígenas
La Ley N° 21.719 califica como datos sensibles aquellos que revelan origen étnico o racial. Por la naturaleza del producto, gran parte de la información que tratamos pertenece a esta categoría: pertenencia a pueblo indígena, ubicación de comunidades CONADI, datos de conflictos territoriales documentados, procesos CLPI. Aplicamos los siguientes principios reforzados:
- ▸Consentimiento expreso y específico de la persona o comunidad titular cuando se trata de datos individualizables.
- ▸Soberanía indígena: los pueblos y comunidades son dueños de los datos que les conciernen. La plataforma actúa como custodia técnica, no como propietaria.
- ▸CLPI aplicado al dato: ningún dato sensible territorial se comparte, publica ni cede sin consentimiento documentado de los representantes autorizados de la comunidad correspondiente.
- ▸Minimización: sólo recopilamos el dato mínimo necesario para la finalidad declarada.
- ▸Anonimización por defecto en agregados públicos: los radares territoriales muestran información a nivel comunal o regional cuando publicar a nivel individual generaría riesgo para la comunidad.
7. Datos de niños, niñas y adolescentes (NNA)
La plataforma no está diseñada para uso por menores de 14 años. No solicitamos ni recopilamos conscientemente datos de NNA. Si una comunidad necesita registrar datos de NNA en procesos CLPI o territoriales, se requiere consentimiento del representante legal (madre, padre o representante de la comunidad) bajo el principio del interés superior del niño consagrado en la Convención sobre los Derechos del Niño y reconocido por el Convenio 169 OIT respecto a NNA indígenas. Aplicamos protecciones reforzadas para menores de 18 años cuando la ley local lo establezca.
8. Para qué usamos tus datos (finalidades y bases de licitud)
Cada finalidad opera bajo una base de licitud específica:
- ▸Prestar el servicio: gestionar cuenta, ejecutar diagnósticos IRI, generar reportes territoriales y CLPI. Base: ejecución del contrato de uso.
- ▸Comunicaciones operativas: notificarte sobre tus procesos, alertas territoriales, cambios de estado. Base: ejecución del contrato + interés legítimo.
- ▸Comunicaciones opcionales: boletín, novedades sobre relacionamiento indígena. Base: consentimiento explícito que puedes retirar en cualquier momento.
- ▸Mejora del producto: análisis de uso agregado y anónimo para entender qué funciona. Base: interés legítimo, con balance de derechos a favor del titular.
- ▸Cumplimiento legal y seguridad: prevención de fraude, atención de requerimientos de autoridad competente. Base: obligación legal.
- ▸Investigación y políticas públicas: producción de evidencia agregada sobre relacionamiento indígena. Base: interés legítimo + anonimización previa. Nunca se publican datos individualizables sin consentimiento.
9. Decisiones automatizadas y elaboración de perfiles
La plataforma utiliza modelos automatizados para calcular el Índice de Relacionamiento Indígena (IRI) de empresas evaluadas, el ranking de Brecha de Relacionamiento ASC × CONADI, la severidad de conflictos territoriales y otros scoring sectoriales. Bajo el principio de transparencia algorítmica de la Ley N° 21.719:
- ▸La lógica metodológica está documentada públicamente (ver /iri/metodologia y los disclaimers de cada radar).
- ▸Las empresas evaluadas en el IRI pueden ejercer derecho de revisión humana y solicitar rectificación si discrepan.
- ▸Ningún perfil automatizado se usa para tomar decisiones legales, contractuales o financieras unilaterales sin intervención humana.
- ▸Las menciones textuales detectadas por matching automático (OCR + parsing de PDFs) se etiquetan como "indicio" hasta validación humana cuando se presentan como evidencia.
- ▸Los datasets de cruce (ej. brecha ASC × CONADI) declaran sus caveats metodológicos en la propia interfaz.
10. Plazos de conservación
Conservamos los datos sólo durante el tiempo necesario para cumplir la finalidad declarada o lo que exija la ley aplicable. Distinguimos tres estados:
- ▸Activo: mientras la cuenta esté activa o la relación con la plataforma esté vigente. Acceso operativo completo.
- ▸Expirado: durante hasta 24 meses tras cierre de la cuenta para fines legales (prescripción civil, requerimientos de autoridad). Sin acceso operativo; sólo recuperable por solicitud legítima del titular o la autoridad.
- ▸Eliminado: tras el plazo legal, los datos se eliminan de bases productivas y de respaldos rotatorios. Los respaldos se rotan completamente dentro de 30 días corridos desde la eliminación.
- ▸Logs técnicos: 90 días para detección de anomalías; después se anonimizan o eliminan.
- ▸Datos contables/tributarios: hasta 60 meses cuando la ley tributaria lo exija.
- ▸Marketing: máximo 36 meses o hasta retiro del consentimiento.
- ▸Datos sensibles indígenas: siguen el principio de retiro a primera solicitud de la comunidad titular. Las copias técnicas se eliminan dentro de 30 días corridos sin pasar por estado expirado.
11. Subprocesadores y compartición con terceros
No vendemos datos personales ni los cedemos con fines comerciales. Los compartimos sólo con subprocesadores bajo contrato de confidencialidad, listados aquí por transparencia:
- ▸Microsoft Azure (Chile Central): alojamiento de aplicación y base de datos PostgreSQL. Datos almacenados dentro de territorio chileno.
- ▸Azure OpenAI Service (East US 2): inferencia para chats públicos sobre derechos indígenas, análisis estructurado de conflictos y scoring. No entrena modelos con datos de la plataforma. Infraestructura en EE.UU.; garantías contractuales equivalentes al estándar chileno.
- ▸OpenAI (solo respaldo): si Azure OpenAI no está disponible, las mismas operaciones de inferencia pueden procesarse directamente con OpenAI (api.openai.com, EE.UU.), bajo su política de no entrenamiento con datos enviados vía API. En operación normal este respaldo no se utiliza.
- ▸Better Stack (Logtail): agregación y retención de logs técnicos de errores del servidor. Los mensajes se sanean antes del envío: emails, RUTs y tokens se reemplazan por marcadores antes de ser enviados a este servicio. Infraestructura en EE.UU.
- ▸GitHub (CI/CD): control de versiones del código fuente. No procesa datos productivos de usuarios.
- ▸Resend: envío de notificaciones operativas de cuenta y procesos (correo transaccional). Infraestructura en EE.UU.
- ▸Autoridad competente: cuando una autoridad judicial, tributaria o regulatoria lo requiera por mandato legal específico.
12. Transferencias internacionales
La infraestructura primaria (servidor web, base de datos, autenticación) está localizada en Chile (Azure Chile Central). Algunos servicios secundarios pueden procesar datos en otras regiones cuando el proveedor no ofrezca el servicio en Chile. En esos casos, exigimos garantías equivalentes al estándar chileno: cláusulas contractuales tipo, cumplimiento de ISO 27001 o equivalente, y compromiso contractual de no transferencia ulterior sin autorización.
13. Medidas de seguridad
Aplicamos medidas razonables agrupadas en tres planos:
- ▸Técnicas: TLS 1.2+ en tránsito, cifrado en reposo de la base de datos y respaldos, contraseñas con hash unidireccional (bcrypt/argon2), headers de seguridad estrictos (CSP, HSTS, X-Frame-Options DENY, Cross-Origin policies), middleware de autenticación NextAuth, revisión periódica de dependencias.
- ▸Administrativas: principio de menor privilegio en acceso a datos, separación estricta entre entornos productivo y de desarrollo, registros de auditoría, respaldos automatizados con prueba periódica de recuperación, gestión documentada de incidentes.
- ▸Físicas: la infraestructura corre en data centers de Azure Chile Central con certificaciones ISO 27001, SOC 2 Tipo 2 y residencia de datos en Chile. La eliminación segura de hardware y los controles físicos son responsabilidad contractual del proveedor cloud.
14. Brechas de seguridad
Mantenemos un procedimiento de respuesta a incidentes que clasifica las brechas según su riesgo:
- ▸Alto riesgo: notificación al titular afectado y a la autoridad competente dentro de 24 horas desde la confirmación. Aplica cuando los datos comprometidos incluyen sensibles, financieros o territoriales que puedan derivar en daño.
- ▸Riesgo medio o bajo: notificación dentro de 72 horas con descripción de la brecha, datos involucrados, medidas adoptadas y recomendaciones de protección.
- ▸En todos los casos documentamos el incidente, su causa raíz y las medidas de mitigación adoptadas.
15. Tus derechos (ARCO+ y portabilidad)
Como titular tienes los siguientes derechos garantizados por la Ley N° 21.719, ejercibles en cualquier momento y de forma gratuita:
- ▸Acceso: saber qué datos tuyos tratamos y obtener una copia.
- ▸Rectificación: corregir datos inexactos o desactualizados.
- ▸Cancelación: eliminar datos cuando ya no sean necesarios o cuando retires tu consentimiento.
- ▸Oposición: oponerte al tratamiento por motivos legítimos.
- ▸Portabilidad: recibir tus datos en formato estructurado e interoperable.
- ▸Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud.
- ▸Revisión humana de decisiones automatizadas: pedir intervención humana cuando un perfil automatizado afecte tus intereses (ej. score IRI).
16. Cómo ejercer tus derechos
Escribe a [email protected] indicando: (1) tu identificación, (2) el derecho que deseas ejercer, (3) los datos a los que se refiere la solicitud y (4) un canal de respuesta. Plazos:
- ▸Solicitud estándar: respuesta dentro de 30 días corridos.
- ▸Solicitud compleja: extensión hasta 60 días corridos con aviso previo justificando la prórroga.
- ▸Emergencia (riesgo grave): respuesta dentro de 48 horas para casos como acceso indebido confirmado, exfiltración o uso no autorizado.
- ▸Si no quedas conforme con nuestra respuesta, puedes presentar reclamo ante la Agencia de Protección de Datos Personales (autoridad que se constituirá conforme a la Ley N° 21.719) o, mientras dicha agencia no esté operativa, ante el órgano competente conforme a la ley vigente.
17. Cookies y tecnologías similares
Sólo usamos cookies estrictamente necesarias (autenticación NextAuth y protección CSRF). No usamos Google Analytics, pixels publicitarios, herramientas de tracking de terceros ni fingerprinting. El inventario completo y auditable de cada cookie con nombre, propósito y duración está en nuestra Política de cookies dedicada.
18. Autoridad de control y reclamos
Conforme a la Ley N° 21.719, la autoridad competente en protección de datos es la Agencia de Protección de Datos Personales. Si consideras que el tratamiento de tus datos vulnera tus derechos, puedes presentar reclamo ante esta agencia una vez constituida, sin perjuicio de las acciones civiles y constitucionales que la ley te reconoce.
19. Ley aplicable
Esta política se rige por las leyes de la República de Chile. Los conflictos derivados del tratamiento de datos personales se resolverán ante los tribunales chilenos competentes, sin perjuicio de las normas imperativas locales que puedan aplicar cuando el titular resida en otra jurisdicción.
20. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales, nuevas funcionalidades o mejoras en nuestras prácticas. Te notificaremos por correo cuando los cambios sean sustanciales y mantendremos un historial accesible bajo solicitud. La fecha de la última actualización aparece al inicio del documento.
¿Tienes dudas o quieres ejercer un derecho? Escribe a [email protected]. Respondemos dentro de 30 días corridos conforme la Ley N° 21.719.