Política de Privacidad
Versión 2026.08.01 — publicada el 1 de agosto de 2026. Versiones anteriores en historial.
Régimen legal aplicable
Esta Política da cumplimiento a la Ley N° 19.628 sobre Protección de la Vida Privada y a la Ley N° 21.719 sobre Protección de Datos Personales, que entrará en plena vigencia el 1° de diciembre de 2026, aplicándose ya desde ahora los principios de minimización, finalidad, licitud, proporcionalidad y seguridad que esta última consagra.
1. Responsable del tratamiento y contacto de privacidad
MAQUINALO SpA, RUT 78.472.447-6, representada legalmente por Claudia Elizabeth Valdivia Hernández, es responsable del tratamiento de los datos personales recopilados a través de Maquinalo.cl.
- Contacto para privacidad y derechos: jorubilla@maquinalo.cl
- Responsable interno: la máxima autoridad administrativa de la sociedad. Maquinalo podrá designar voluntariamente un Delegado de Protección de Datos conforme al artículo 50 de la Ley N° 21.719; esa designación no se declara realizada mientras no exista un acto formal.
- Domicilio: Pasaje Motu Iti sitio 54, Villa Anakena, Curicó, Región del Maule, Chile.
2. Datos que recopilamos
2.1 Datos de registro
- Nombre completo, email, teléfono
- RUT (Rol Único Tributario) y fecha de nacimiento
- Contraseña (almacenada como hash bcrypt, nunca en texto plano)
2.2 Datos de verificación de identidad — incluye datos biométricos
La comparación de la fotografía de cédula de identidad con la selfie implica tratamiento de datos biométricos, calificados como datos sensibles por el artículo 2° letra g) de la Ley N° 21.719. El tratamiento se realiza con base en consentimiento expreso y específico del titular (checkbox separado en el onboarding), es proporcional a la finalidad de prevención de fraude y verificación de identidad, no se usa para perfilamiento automatizado ni se transfiere a terceros distintos del proveedor de verificación. Los datos biométricos se conservan durante la vigencia de la cuenta + 12 meses y se destruyen de forma irreversible al término de ese plazo. Maquinalo ha realizado una Evaluación de Impacto en Protección de Datos (EIPD / DPIA) disponible a solicitud del titular y de la APDP.
Revocar el consentimiento biométrico: puedes revocarlo en cualquier momento escribiendo a jorubilla@maquinalo.cl o desde /mi-cuenta/privacidad → datos biométricos. Al hacerlo, se elimina la selfie y los datos derivados, sin afectar la licitud del tratamiento previo a la revocación.
2.3 Datos de empresas arrendadoras
- Razón social, RUT empresa, representante legal
- Datos bancarios (banco, tipo y número de cuenta) para recibir pagos
- Documentación técnica y tributaria de la maquinaria publicada
- Certificado F-30 y F-30-1 cuando el arriendo incluya operador
2.4 Datos de uso y seguridad
- Logs de acceso: IP, user-agent, timestamp, identificador de sesión
- Eventos de firma electrónica (hash OTP, hash documento, IP, UA)
- Historial de solicitudes, contratos, pagos
2.5 Datos adicionales de prevención de fraude
En operaciones de riesgo elevado podemos solicitar antecedentes adicionales de manera proporcional. Esto es un control contractual y antifraude; no implica que Maquinalo se declare sujeto obligado ante la UAF.
- Declaración de Persona Expuesta Políticamente (PEP)
- Origen de los fondos
- Documentación adicional solicitada en review manual
3. Bases de licitud y finalidades
| Finalidad | Base legal |
|---|---|
| Ejecución del contrato (arriendo, pago, facturación) | Art. 14 a) Ley 19.628 — necesario para la ejecución |
| Cumplimiento tributario (DTE, conservación 6 años) | Art. 17 Código Tributario; art. 14 c) Ley 19.628 |
| Verificación biométrica de identidad | Consentimiento expreso — art. 12 y 14 b) Ley 19.628; art. 12 Ley 21.719 |
| Verificación reforzada y prevención de fraude | Ejecución contractual e interés legítimo en la seguridad de las partes |
| Prevención del fraude | Interés legítimo de la Plataforma y los usuarios |
| Comunicaciones de marketing | Consentimiento expreso y revocable (opt-in / opt-out) |
| Analítica de uso (Google Analytics / Vercel Analytics) | Consentimiento vía banner de cookies |
4. Destinatarios — con quién se comparten tus datos
- Parte contratante (arrendador / arrendatario): nombre, RUT, contacto y datos del contrato, estrictamente los necesarios para la celebración y ejecución.
- Procesador de pagos (PSP): datos de la transacción.
- Proveedor de DTE (SimpleAPI): datos tributarios de las facturas de comisión emitidas por Maquinalo.
- Proveedor de email (ZeptoMail): emails transaccionales.
- Proveedor de SMS (Unimatrix): teléfono y código de verificación cuando se habilite el segundo canal.
- Autoridades competentes (por ejemplo, Tribunales, SII, SERNAC, Ministerio Público o UAF): únicamente cuando medie requerimiento fundado o una obligación legal aplicable.
No vendemos datos personales a terceros ni los usamos para perfilamiento con efectos legales significativos.
5. Transferencias internacionales
Algunos de nuestros proveedores tratan datos fuera de Chile:
| Proveedor | País | Finalidad | Base jurídica |
|---|---|---|---|
| Supabase Inc. | Estados Unidos (us-west-2) | Base de datos + almacenamiento | Cláusulas contractuales tipo + consentimiento |
| Vercel Inc. | Estados Unidos | Hosting del frontend y APIs | Cláusulas contractuales tipo + consentimiento |
| Zoho Corporation (ZeptoMail) | Infraestructura internacional | Envío de email transaccional | Contrato de servicio y medidas del proveedor |
| Cloudflare Inc. | EE.UU. / red global | CAPTCHA (Turnstile) | Cláusulas contractuales tipo |
| Unimatrix | Infraestructura internacional | SMS de verificación, cuando se habilite | Contrato de servicio y consentimiento cuando corresponda |
Maquinalo selecciona proveedores con compromisos contractuales de seguridad, limita los datos enviados a lo necesario para cada servicio y revisará las reglas de transferencia internacional que dicte la APDP cuando entren en vigencia. Puedes pedir información sobre un proveedor específico al canal de privacidad.
6. Plazos de retención por tipo de dato
| Categoría | Plazo de conservación | Justificación |
|---|---|---|
| Datos de registro (perfil, contacto) | Vigencia cuenta + 2 años | Prescripción de acciones contractuales (CC art. 2515) |
| DTE, facturas, datos tributarios | 6 años | Art. 17 Código Tributario |
| Fotografía de cédula | Vigencia verificación + 12 meses | Prevención del fraude + exigibilidad legal |
| Selfie y datos biométricos derivados | Vigencia cuenta + 12 meses | Minimización Ley 21.719; se elimina al cerrar cuenta + 12m |
| Logs de seguridad no biométricos (IP, UA) | 12 meses | Detección de fraude y ciberseguridad |
| Logs de firma electrónica (inmutables) | 10 años | Prescripción extintiva de contratos (CC art. 2515); evidencia probatoria |
| Antecedentes antifraude adicionales | Vigencia de la operación + plazo de defensa contractual aplicable | Seguridad, prevención de fraude y ejercicio de derechos |
| Datos de solicitudes rechazadas (sin operación) | 12 meses | Auditoría de decisiones |
| Comunicaciones de marketing (opt-in) | Hasta revocación | Consentimiento vigente |
Los datos se eliminan mediante sobrescritura o crypto-shredding según corresponda. Ciertos datos agregados y anonimizados (no reconducibles a personas identificables) pueden conservarse indefinidamente para fines estadísticos.
7. Cookies
| Cookie | Categoría | Origen | Duración |
|---|---|---|---|
session | Esencial | Propia | Duración de la sesión |
maq_sv (versión de sesión) | Esencial | Propia | 7 días |
consent | Esencial | Propia | 12 meses |
_ga, _gid | Analítica (opt-in) | Google LLC | 12 meses / 24 h |
va_* | Analítica (opt-in) | Vercel | 12 meses |
cf_turnstile | Anti-bot (esencial) | Cloudflare | Sesión |
Ver detalle en /cookies. Las cookies no esenciales requieren tu consentimiento explícito (banner al ingresar por primera vez). Puedes modificar tus preferencias en cualquier momento desde el mismo banner.
8. Derechos del titular (ARCO + portabilidad + reclamo)
Como titular de los datos, tienes los siguientes derechos:
- Acceso: saber qué datos tenemos sobre ti y solicitar copia.
- Rectificación: corregir datos inexactos o desactualizados.
- Cancelación (supresión): pedir la eliminación de tus datos cuando ya no sean necesarios.
- Oposición: oponerte a ciertos tratamientos (marketing, analítica).
- Portabilidad: recibir tus datos en un formato estructurado (JSON) para transferirlos a otro servicio.
- Limitación: solicitar restricción temporal del tratamiento.
- Revocación del consentimiento: retirar el consentimiento biométrico y a marketing en cualquier momento.
- Reclamo ante la APDP: presentar reclamo ante la Agencia de Protección de Datos Personales de Chile si consideras que tus derechos han sido vulnerados.
9. Procedimiento ARCO
Para ejercer cualquiera de los derechos anteriores, escríbenos a jorubilla@maquinalo.cl. Para validar tu identidad aceptamos: (i) firma electrónica avanzada del titular, o (ii) verificación por doble canal: respuesta a correo registrado + código enviado al teléfono registrado. No requerimos cédula adicional si el titular ya tiene identidad verificada en la Plataforma.
Plazo de respuesta: 15 días hábiles, prorrogable por 15 días hábiles adicionales con justificación escrita. Si la solicitud es claramente infundada o excesiva podrá denegarse, informando las razones.
También puedes ejercer muchos de estos derechos directamente desde /mi-cuenta/privacidad (exportar datos, eliminar cuenta, opt-out marketing, revocar biometría).
10. Seguridad
- Cifrado en tránsito (HTTPS/TLS) y en reposo (AES-256 en proveedor).
- Contraseñas cifradas con bcrypt + salting.
- 2FA TOTP opcional para todas las cuentas, obligatorio para administradores.
- Rate limiting y protección anti-bot (Turnstile).
- Audit log inmutable de firmas electrónicas.
- Revisión periódica de accesos y separación de ambientes (dev / staging / prod).
- Acceso basado en rol (RBAC), almacenamiento privado y enlaces temporales para documentos.
11. Menores de edad
La Plataforma no está dirigida a menores de 18 años. Solicitamos y verificamos la fecha de nacimiento al registro. Si detectamos una cuenta de menor de edad, la cerraremos y eliminaremos los datos asociados salvo obligación legal de conservación.
12. Incidentes de seguridad
En caso de ciberincidente que afecte datos personales, Maquinalo.cl notificará a los titulares afectados y a la APDP conforme a los plazos y procedimientos exigidos por la Ley N° 21.719 (artículo 15 ter bis y normativa complementaria), en el plazo más breve posible y, en todo caso, no superior a 72 horas desde la toma de conocimiento.
13. Modificaciones de esta Política
Esta Política puede actualizarse por cambios regulatorios, técnicos u organizacionales. Las modificaciones sustanciales se notificarán con al menos 15 días de anticipación y se publicarán en el historial. Cuando un cambio requiera nuevo consentimiento (ej. nueva finalidad de tratamiento), se solicitará al siguiente ingreso del usuario.
14. Contacto
- Privacidad y derechos: jorubilla@maquinalo.cl
- Domicilio: Pasaje Motu Iti sitio 54, Villa Anakena, Curicó, Región del Maule, Chile
- APDP: www.apdp.cl (cuando entre en operación)
Política de Privacidad — versión 2026.08.01. Entrada en vigencia: 1 de agosto de 2026. Para conocer la versión vigente en la DB, ejecute npm run legal:version.