Políticas de Privacidad

Sapira AI SpA (“Sapira”, “Nosotros”), con domicilio en Genova 2016, Santiago], Chile, opera el sitio web https://aisapira.com/ y la plataforma de software y APIs asociadas (en conjunto, los “Servicios”). Esta Política de Privacidad describe cómo recopilamos, usamos, compartimos y protegemos los datos personales cuando usted o su organización utilizan nuestros Servicios, interactúan con nuestros canales de soporte o visitan nuestros sitios.

Nuestra Política se aplica a clientes empresariales, usuarios finales autorizados por esos clientes y visitantes del sitio (“Usuarios”). Para ciertos módulos y países también aplicamos estándares del GDPR/UK GDPR y normativas locales análogas. Antes de usar los Servicios, lea atentamente esta Política.

Qué es Sapira y qué datos tratamos

Sapira es una plataforma B2B para automatizar procesos Order-to-Cash (O2C) con inteligencia artificial aplicada. Para operar, tratamos datos que pueden identificar directa o indirectamente a personas naturales vinculadas a nuestros clientes (por ejemplo, contactos comerciales, responsables de cuentas por cobrar, usuarios del ERP/CRM, firmantes de contratos). Los tipos de datos pueden incluir: datos de identificación y contacto, información profesional, credenciales y metadatos de acceso, registros de actividad en la plataforma, datos contractuales y de facturación orquestados desde sistemas del cliente, y evidencias de auditoría asociadas a acciones realizadas.

También tratamos datos técnicos provenientes del uso del sitio y la app (direcciones IP, identificadores de dispositivo, tipo de navegador, zona horaria, cookies y tecnologías similares) para fines operativos, de seguridad y mejora de la experiencia. Los datos cargados por el cliente a la plataforma (por ejemplo, contratos, catálogos, estructuras de precios, listas de clientes, facturas, estados de pago) se procesan según su configuración, integraciones y autorizaciones.

Rol de Sapira y base de legitimación

En general, Sapira actúa como encargado del tratamiento (processor) respecto de los datos personales que el cliente (responsable del tratamiento) nos confía para la ejecución de los Servicios. En lo que respecta a datos de sitio, marketing o soporte que recolectamos directamente, Sapira actúa como responsable. Las bases de legitimación incluyen la ejecución de contrato con el cliente, el interés legítimo en operar y proteger la plataforma, y el consentimiento cuando sea exigido por la normativa aplicable (por ejemplo, para comunicaciones comerciales o determinadas cookies).

Fuentes e integraciones

Los datos se obtienen de: información suministrada por el cliente al contratar e implementar; datos generados por el uso de la plataforma; integraciones técnicas con ERP/CRM, facturadores electrónicos y bancos; y canales de soporte. Cuando el cliente decide integrar sistemas de terceros, Sapira procesará los datos estrictamente para prestar la funcionalidad habilitada por el cliente, conforme a esta Política y al contrato vigente.

Para qué usamos los datos

Utilizamos los datos para operar y prestar los Servicios, gestionar cuentas y autenticación, orquestar flujos O2C (por ejemplo, reglas de reconocimiento de ingresos, programación de emisión de documentos en el ERP/facturador, seguimiento de cobranzas), habilitar integraciones, proveer copiloto y agentes de IA, generar reportes y auditoría, resolver incidencias y mejorar el rendimiento y seguridad. También podemos usar datos anonimizados o agregados para estadísticas, mejora de producto y análisis de capacidad. No vendemos datos personales, ni utilizamos los datos del cliente para entrenar modelos de IA propios o de terceros sin autorización expresa.

IA responsable y BYO API key

Nuestros agentes de IA (proformas, cobranza, copiloto RAG) pueden invocar modelos de terceros. El Cliente puede optar por “Bring Your Own API key (BYO)” para que la facturación del proveedor de IA sea directa con su organización; de lo contrario, Sapira puede proveer el acceso como parte del plan. Limitamos el contexto enviado a los modelos al mínimo necesario y, cuando corresponde, aplicamos redacción/enmascaramiento de campos sensibles. El comportamiento y la retención que realicen esos modelos se rigen por las políticas del proveedor de IA elegido por el cliente. Nosotros no almacenamos ni reutilizamos los prompts, resultados ni datos enviados a modelos de IA externos. El cliente es responsable de la configuración y permisos de sus datos en la plataforma para acotar la exposición a IA de acuerdo con su política interna.

Subprocesadores e infraestructura

Para operar los Servicios utilizamos proveedores de infraestructura y subprocesadores (por ejemplo, Supabase para backend/almacenamiento y otros servicios cloud, monitoreo, telemetría, correo transaccional, providers de IA). Seleccionamos subprocesadores con criterios de seguridad y confidencialidad razonables y mantenemos acuerdos contractuales adecuados.

Aplicaremos medidas alineadas con buenas prácticas y con las leyes aplicables, incluyendo la Ley 19.628 sobre protección de datos personales y la Ley 21.459 sobre delitos informáticos. Mantendremos disponible un listado actualizado de subprocesadores, el cual podrá ser solicitado por el Cliente. Podemos actualizar la lista de subprocesadores y, cuando sea exigible, notificaremos cambios materiales por los canales acordados.

Seguridad

Aplicamos medidas técnicas y organizativas razonables alineadas a buenas prácticas: cifrado en tránsito y en reposo, control de acceso por roles, SSO opcional, registro y auditoría de eventos, aislamiento lógico por cliente, gestión de vulnerabilidades y copias de resguardo. Ningún sistema es absolutamente infalible; por ello fomentamos configuraciones seguras por parte del cliente (perfiles, permisos, MFA donde aplique) y entornos compatibles. En caso de incidente de seguridad que afecte datos personales, notificaremos sin demora indebida y colaboraremos con las medidas de contención y obligaciones de notificación pertinentes.

Conservación y eliminación

Conservamos los datos personales mientras sea necesario para prestar los Servicios, cumplir obligaciones contractuales o legales y mantener registros de auditoría legítimos. Al finalizar el servicio, el cliente puede exportar su información dentro del plazo indicado contractualmente (por defecto, 30 días). Transcurrido dicho plazo, Sapira podrá eliminarla de nuestros sistemas, salvo que la normativa vigente exija su conservación. Las copias de respaldo y registros que contengan datos personales se eliminarán o anonimizarán dentro de los 90 días siguientes, salvo requerimiento legal o de cumplimiento.

Transferencias internacionales

Nuestros subprocesadores pueden operar fuera de Chile y del país del cliente. Cuando se realicen transferencias internacionales, implementaremos salvaguardas apropiadas (por ejemplo, cláusulas contractuales tipo o mecanismos equivalentes) y medidas complementarias de seguridad, según lo requiera la normativa aplicable.

Garantizaremos que las transferencias internacionales se realicen hacia países o entidades que aseguren un nivel de protección de datos personales equivalente al exigido por la legislación chilena o, en su caso, por el GDPR. Cuando la ubicación de un subprocesador relevante cambie, notificaremos al Cliente por los canales acordados.

Derechos de los titulares

Según la legislación aplicable (por ejemplo, Ley N°19.628 de Chile y, cuando corresponda, GDPR/UK GDPR), los titulares pueden solicitar acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Cuando Sapira actúe como encargado, canalizaremos la solicitud al responsable (cliente) para su gestión; cuando Sapira sea responsable, atenderemos directamente. Podemos requerir información adicional para verificar identidad y legitimar la solicitud. Algunas solicitudes pueden verse limitadas por obligaciones legales, contractuales o de seguridad. Las solicitudes podrán realizarse a través del canal de privacidad indicado en esta Política. Sapira responderá dentro de los plazos establecidos por la normativa aplicable.

El Cliente, como responsable del tratamiento, declara y garantiza que: (i) ha obtenido todas las bases legales y consentimientos necesarios para la recopilación, uso y transferencia de los datos personales a Nosotros para el procesamiento conforme estos Términos; y (ii) es el responsable primario de atender las solicitudes de ejercicio de Derechos ARCO (Acceso, Rectificación, Cancelación, Oposición, Portabilidad) de sus usuarios finales y terceros, con Sapira obligándose únicamente a asistirle en su rol de encargado, en los términos previstos en el correspondiente Acuerdo de Procesamiento de Datos.

Cookies y analítica

Utilizamos cookies y tecnologías similares para funciones esenciales del sitio, seguridad, preferencias y analítica. Puede gestionar sus preferencias desde el navegador y, cuando corresponda, desde el banner de consentimiento. Ciertas cookies son necesarias para operar el sitio; deshabilitarlas podría afectar su experiencia.

Servicios de terceros y enlaces

Los Servicios pueden incluir enlaces o integraciones con plataformas de terceros (ERP/CRM, facturadores electrónicos, bancos, proveedores de IA). Esos servicios se rigen por sus propias políticas de privacidad. Sapira limita el intercambio de datos personales con estos servicios al mínimo necesario para habilitar las funcionalidades contratadas. Sapira no controla las prácticas de dichos terceros ni responde por sus actos u omisiones; recomendamos revisar sus términos antes de habilitar integraciones.

Menores de edad

Nuestros Servicios no están dirigidos a menores. No recopilamos intencionalmente datos de menores, y los clientes no deben cargar datos de menores salvo que cuenten con las bases legales y permisos requeridos por la normativa aplicable y lo hayan acordado contractualmente. En caso de detectar el tratamiento no autorizado de datos de menores, procederemos a su eliminación inmediata y notificará al Cliente correspondiente.

Cambios en esta Política

Podemos actualizar esta Política para reflejar cambios legales, de producto o de proveedores. Cuando un cambio sea sustancial, procuraremos notificarlo por los canales acordados. La versión publicada con su fecha de última actualización indica la política vigente. El uso continuado de los Servicios tras la publicación constituirá aceptación de la versión actualizada.

Contacto y responsable de privacidad

Para consultas sobre privacidad o para ejercer derechos, contáctenos en legal@aisapira.com o mediante los medios de contactos disponibles en la pagina web. Si corresponde, indicaremos datos de nuestro delegado o encargado de protección de datos y canales adicionales.