← Volver

Versión 1.0 · 2026-08-24 · Ley N° 21.719 (vigencia plena 1 de diciembre de 2026)

Política de tratamiento de datos personales

FirovAI SpA (ValiPay) trata datos personales en Chile. Esta política se publica de forma permanente para cumplir el deber de información y transparencia (art. 14 ter).

1. Responsable y contacto

  • Responsable: FirovAI SpA, Santiago, Chile.
  • Producto: ValiPay (control de cuentas por pagar).
  • Contacto de titulares y de la Agencia: founder@firov.cl.
  • Canal de solicitudes: /datos-personales.

Respecto de facturas, contratos, RUT y correos de proveedores que un mandante carga en su tenant, el mandante es responsable del tratamiento y FirovAI SpA actúa como encargado (art. 15). Respecto de la cuenta de usuario (email, nombre, rol), FirovAI SpA es responsable.

2. Categorías, finalidades y bases de licitud

No se trata datos de menores de 14 años ni datos sensibles de salud. Tipos:

  • Identificación de usuarios: nombre, email, rol, org.
  • Identificación comercial de contrapartes: razón social, RUT, email, contacto.
  • Documentos AP: facturas, contratos, OC (pueden incluir datos de terceros).
  • Trazas: eventos de auditoría, solicitudes ARCOP, incidentes de seguridad.

Finalidades: autenticar, operar el expediente AP, detectar anomalías, notificar al proveedor del caso, cumplir obligaciones tributarias y de defensa de derechos.

Bases (art. 13, sin consentimiento como regla): c) ejecución del contrato de servicio; b) obligación legal (conservación tributaria/comercial); a) datos de obligaciones económicas cuando corresponda al Título III; e) ejercicio o defensa de derechos. El consentimiento (art. 12) no se usa como contraprestación del servicio.

3. Destinatarios y transferencias internacionales

  • Supabase / infraestructura cloud (alojamiento y autenticación).
  • Google Gemini: extracción y chat sobre el expediente. El modelo no autoriza pagos.
  • Resend: correo al email del proveedor del caso o del actor, con allowlist.

Estas transferencias pueden salir de Chile. Se fundan en la ejecución del contrato (art. 27 letra g) y en medidas de seguridad del art. 14 quinquies (cifrado en tránsito, control de acceso, RLS). La Agencia publicará la lista de países adecuados (art. 28); hasta entonces se informa que el nivel de adecuación formal puede no estar resuelto y que existen garantías contractuales y técnicas con los encargados.

4. Conservación

  • Cuenta de usuario: mientras exista membresía y hasta 5 años después para auditoría.
  • Expediente AP (facturas/contratos): mientras dure la relación comercial y las obligaciones legales tributarias (referencia habitual: 6 años).
  • Solicitudes ARCOP e incidentes: 5 años (accountability).

5. Derechos del titular (ARCOP + bloqueo)

Acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal (arts. 5 a 9 y 8 ter). Plazo de respuesta: 30 días corridos, prorrogable una vez. Bloqueo temporal: respuesta en 2 días hábiles. El ejercicio es gratuito (salvo reiteración abusiva de acceso o portabilidad en el trimestre).

Si no hay respuesta o se rechaza, el titular puede reclamar ante la Agencia de Protección de Datos Personales (APDP) en 30 días hábiles (art. 11).

6. Decisiones automatizadas

Gemini extrae campos y redacta explicaciones. Los detectores (reglas determinísticas) marcan anomalías. Ningún modelo autoriza un pago. Un humano (HITL) decide. No hay perfilamiento con efectos jurídicos automáticos sobre el titular.

7. Seguridad y brechas

Medidas: autenticación invite-only, roles, RLS por org, secretos de servidor, rate limit, magic bytes, CSP/HSTS, URLs firmadas de corta vida, registro de auditoría inmutable para el viewer. Ante una vulneración con riesgo razonable se reporta a la Agencia sin dilaciones indebidas y, si hay datos económicos/financieros o sensibles, también a los titulares (art. 14 sexies).

8. Cookies

Solo cookies técnicas de sesión (Supabase). No hay analítica ni publicidad de terceros. No se requiere banner de marketing.

9. Fuente de los datos

Los facilita el titular (login, equipo) o el mandante (carga de documentos y maestros de proveedores). No se compran bases de fuentes públicas para este producto.