Compromiso con tu privacidad

En Ethia Capture creemos que una memoria organizacional útil solo tiene sentido si las personas confían en cómo se trata su información. Esta Política explica qué datos recolectamos, para qué los usamos, con quién los compartimos, por cuánto tiempo los conservamos y cómo puedes ejercer tus derechos, en cumplimiento de la Ley N° 19.628 sobre Protección de la Vida Privada y de las modificaciones introducidas por la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales.

I. Glosario

• Anonimización: proceso irreversible por el cual un dato deja de poder vincularse a una persona identificada o identificable.
• Base de datos personales: conjunto organizado de datos personales.
• Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca del titular para autorizar el tratamiento de sus datos.
• Dato personal: cualquier información vinculada o referida a una persona natural identificada o identificable.
• Datos personales sensibles: datos que revelan origen étnico o racial, afiliación política o sindical, situación socioeconómica, convicciones ideológicas o religiosas, salud, perfil biológico, datos biométricos, vida sexual, orientación sexual o identidad de género.
• Datos biométricos: los obtenidos mediante tratamiento técnico específico que permiten confirmar la identidad única de una persona (por ejemplo, huella digital, iris, o reconocimiento de voz identificatorio).
• Encargado o tercer mandatario del tratamiento: quien trata datos personales por cuenta de un responsable, conforme a sus instrucciones.
• Responsable del tratamiento: quien decide sobre los fines y medios del tratamiento de datos personales.
• Titular de los datos: la persona natural a quien conciernen los datos.
• Tratamiento: cualquier operación (recolección, almacenamiento, uso, comunicación, etc.) sobre datos personales.

II. Introducción y marco normativo

Ethia Capture presta un servicio de memoria organizacional al que se accede por WhatsApp: las organizaciones envían audios de reuniones y documentos, que se transcriben y procesan para extraer conocimiento estructurado (acuerdos, decisiones, tareas, riesgos, entidades) y generar informes.

Esta Política aplica al tratamiento de datos personales que Ethia realiza en el contexto de ese servicio, tanto respecto de los usuarios registrados (administradores y miembros de una organización cliente) como, en la medida en que aparezcan en el contenido procesado, de terceros participantes en las conversaciones grabadas que no son usuarios de la cuenta.

III. Quién es responsable de tus datos — un modelo de dos roles

Este es un punto importante que distingue a Ethia de un servicio de consumo masivo: no todos tus datos son tratados por Ethia con el mismo rol.

1. Ethia como Responsable de datos, respecto de:
   • Los datos de cuenta y contacto de administradores y miembros (nombre, teléfono, correo, rol).
   • Los datos de facturación y suscripción (gestionados junto con Flow).
   • Los datos de uso técnico y seguridad de la plataforma (registros de acceso, logs, métricas de error).
2. Ethia como Encargado o tercer mandatario del tratamiento (Art. 15 bis, Ley N° 21.719), respecto de:
   • El contenido de las conversaciones grabadas (audio, transcripciones), los documentos subidos, y el conocimiento estructurado y la memoria organizacional derivada de ellos.
   • En este caso, la organización cliente que contrató el servicio es la Responsable de esos datos, incluyendo los de sus propios empleados, clientes o terceros que aparezcan en las grabaciones. Ethia trata esta información únicamente conforme a las instrucciones de la organización y a lo pactado en el contrato de encargo de tratamiento de datos suscrito con ella, y no puede usarla para fines propios ni cederla a terceros salvo lo estrictamente necesario para prestar el servicio (por ejemplo, a los proveedores descritos en la sección VIII).

Si tienes dudas sobre quién es el Responsable de un dato específico que te concierne, contáctanos por los medios indicados en la sección XVI; si el dato corresponde al contenido de una conversación grabada, es posible que también debas contactar directamente a la organización que la generó.

IV. Principios que rigen el tratamiento

Tratamos los datos personales conforme a los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad, establecidos en la Ley N° 21.719.

V. Qué datos recolectamos y para qué

VI. Sobre los datos de voz

El audio que envías es tratado para transcribirlo a texto y extraer su contenido (qué se dijo, qué se acordó, qué tareas surgieron). Hoy, Ethia Capture no realiza identificación biométrica por voz: el sistema etiqueta a los participantes como “Hablante 1”, “Hablante 2”, etc., sin vincular esa etiqueta a la identidad real de una persona mediante su huella de voz. Por eso, el tratamiento actual de audio no activa el régimen reforzado de datos biométricos sensibles de la Ley N° 21.719 (Art. 16 ter).

Si en el futuro Ethia incorporara identificación automática de quién habla a partir de su voz, eso sí constituiría tratamiento de datos biométricos sensibles y requeriría el consentimiento explícito reforzado del titular antes de implementarse; esta Política se actualizaría para reflejarlo con anticipación.

VII. Terceros que participan en una conversación grabada, sin ser usuarios

Grabar tu propia conversación es, en general, lícito. Sin embargo, si en esa conversación participan personas que no son usuarios de la cuenta (por ejemplo, un cliente, un proveedor, un candidato en una entrevista), procesar sus datos personales (transcribirlos, identificarlos por nombre, guardarlos en la memoria organizacional) activa las obligaciones de la Ley N° 21.719 igualmente.

Es responsabilidad de la organización y de la persona que graba informar a los participantes de que la conversación será grabada y procesada por este medio, cuando la ley o las circunstancias lo exijan. Ethia está desarrollando mecanismos para facilitar este aviso; mientras tanto, recomendamos comunicarlo verbalmente al inicio de la reunión.

VIII. Con quién compartimos los datos — proveedores y transferencia internacional

Para operar el servicio, compartimos datos con los siguientes proveedores, actuando como encargados del tratamiento por cuenta de Ethia (o de la organización cliente, según corresponda):

No vendemos ni arrendamos tus datos personales a terceros. Solo los compartimos con los proveedores necesarios para operar el servicio, o cuando la ley lo exija (por ejemplo, ante un requerimiento fundado de una autoridad competente).

IX. Plazo de conservación de los datos

Como principio general, conservamos los datos personales solo por el tiempo necesario para cumplir con los fines del tratamiento descritos en esta Política. En particular:

• Datos de cuenta y facturación: mientras la organización mantenga una suscripción activa, y hasta [PENDIENTE — ej. X años] después del término de la relación, salvo que la ley exija un plazo distinto (por ejemplo, para efectos tributarios).
• Contenido de conversaciones y documentos (audio, transcripciones, memoria organizacional): mientras la organización mantenga su suscripción activa. Al término del contrato, se procederá a su borrado o devolución según lo pactado en el contrato de encargo de tratamiento de datos con la organización — este proceso concreto de borrado/devolución aún no está implementado y es un pendiente activo (ver CLAUDE.md, sección 14, punto 3).
• Un usuario o administrador puede solicitar antes de ese plazo la eliminación de datos específicos, conforme a la sección XII.

Somos conscientes de que la propuesta de “memoria organizacional permanente” entra en tensión con el principio de proporcionalidad de la Ley N° 21.719 (Art. 3, letra c), que exige un fin y un plazo definidos para conservar datos por más tiempo del estrictamente necesario. Este punto está identificado como pendiente de definición y no debe considerarse resuelto hasta que esta sección se complete con plazos concretos, revisados por asesoría legal.

X. Medidas de seguridad

Aplicamos medidas técnicas y organizativas concretas para proteger tus datos. Las siguientes están verificadas contra el funcionamiento real del sistema, no son una declaración genérica:

• Cifrado en tránsito: toda la comunicación entre WhatsApp, la web y nuestro backend viaja cifrada (HTTPS/TLS) — tanto el tráfico con los usuarios finales como las llamadas a los proveedores externos (Twilio, Supabase, Google, Flow).
• Aislamiento entre organizaciones: cada consulta a la base de datos queda acotada, del lado del servidor, a la organización de la persona autenticada — ese valor nunca se toma de algo que la propia solicitud pueda manipular. Una organización no puede ver información de otra, ni por error.
• Contraseñas: la contraseña de tu cuenta no queda almacenada por nosotros — la gestiona por completo Supabase Auth, con las prácticas de resguardo (hashing) propias de ese proveedor; nuestro sistema no guarda ese dato en ningún otro momento, con una única excepción acotada y temporal: durante el registro público, mientras se confirma el pago (hasta 1 hora), la contraseña recién elegida se retiene en una fila transitoria que se elimina automáticamente al confirmarse o fallar el pago, o por un proceso de limpieza periódico si nadie retoma un registro abandonado.
• Contenido marcado como privado: una conversación o documento marcado como privado solo es visible para quien lo subió o un administrador de la organización — esta regla se verifica de forma centralizada en cada punto donde el sistema lee ese contenido (las respuestas del agente, la descarga de archivos, y la generación de documentos nuevos a partir de fuentes existentes), no solo en el punto donde se sube o se marca.
• Acceso condicionado a una licencia activa: sin una licencia asignada y activa, una persona no puede usar el producto ni por WhatsApp ni por la web, aunque ya sea miembro conocido de la organización.
• Verificación criptográfica del canal de WhatsApp: cada mensaje entrante se valida contra la firma digital que Twilio adjunta al webhook antes de procesarse — un mensaje sin firma válida se rechaza sin llegar a ejecutar ninguna lógica de negocio.
• Además: control de acceso basado en roles y permisos, límites de tasa (rate limiting) para prevenir abuso del canal de WhatsApp, y monitoreo de errores. Los proveedores listados en la sección VIII cuentan, a su vez, con sus propias medidas de seguridad como parte de sus servicios.

Ante cualquier incidente de seguridad que pudiera afectar tus datos personales, actuaremos conforme a lo exigido por la Ley N° 21.719 (Art. 14 sexies), incluyendo la notificación a la Agencia de Protección de Datos Personales y, cuando corresponda, a los titulares afectados.

XI. Confidencialidad

Mantenemos el deber de secreto y confidencialidad sobre los datos personales que tratamos, incluso después de terminada la relación con la organización o el usuario. El acceso interno a los datos está limitado a lo estrictamente necesario para operar y dar soporte al servicio.

Con total transparencia sobre lo que eso significa en la práctica: como cualquier proveedor de software que aloja datos de sus clientes, quien opera Ethia Capture tiene acceso técnico directo a la base de datos real de producción. No es una función especial ni algo oculto — es una consecuencia necesaria de operar y dar mantenimiento a un sistema como este, y aplica de la misma forma a prácticamente cualquier proveedor de software que use tu organización.

• Ese acceso se usa solo cuando es necesario para resolver un problema técnico real (diagnosticar un error, corregir un dato afectado por un incidente, responder a un pedido de soporte) — nunca para revisar el contenido de una organización sin un motivo concreto que lo justifique.
• El contenido de una organización nunca se comparte ni se muestra a otra organización, bajo ninguna circunstancia — el aislamiento entre organizaciones descrito en la sección X rige también frente a este acceso técnico directo, no solo entre los propios usuarios del producto.
• Con la misma honestidad: hoy no existe un registro automático de auditoría que deje constancia de cuándo se accedió a qué contenido por esta vía. La garantía de que este acceso se use solo cuando corresponde depende, hoy, de la disciplina de quien opera el servicio — no de un control técnico que lo haga cumplir o lo verifique por sí solo. Preferimos decir esto con claridad antes que dar a entender una garantía que todavía no existe.

XII. Tus derechos y cómo ejercerlos

Como titular de tus datos personales, tienes derecho a:

• Acceso: saber si tratamos tus datos, y a qué información específica.
• Rectificación: corregir datos inexactos, desactualizados o incompletos.
• Supresión: solicitar la eliminación de tus datos, cuando corresponda conforme a la ley.
• Oposición: oponerte a un tratamiento específico de tus datos.
• Portabilidad: obtener una copia de tus datos en un formato estructurado y de uso común.
• Bloqueo temporal: solicitar que se suspenda temporalmente el tratamiento de tus datos mientras se resuelve una solicitud de rectificación, supresión u oposición.

Para ejercer estos derechos, puedes escribirnos a contacto@ethiaconsulting.com, o a través de la plataforma web en /contacto. Si tu solicitud se refiere al contenido de una conversación grabada por una organización de la que eres miembro o tercero mencionado, también puede ser necesario que la ejerzas directamente ante esa organización, en su calidad de Responsable de esos datos.

Responderemos dentro de los plazos que establece la ley. Si no estás conforme con nuestra respuesta, puedes reclamar ante la Agencia de Protección de Datos Personales.

XIII. Menores de edad

El servicio no está dirigido a niños, niñas ni adolescentes de forma directa. Si el contenido de una conversación grabada incluye incidentalmente a un menor de edad, aplicamos las protecciones reforzadas de la Ley N° 21.719 (Art. 16 quáter) y limitamos el tratamiento a lo estrictamente necesario, atendiendo al interés superior del menor.

XIV. Cookies y tecnologías similares

La web de administración de Ethia Capture puede utilizar cookies u otras tecnologías equivalentes estrictamente necesarias para mantener tu sesión iniciada y garantizar la seguridad de la plataforma. [PENDIENTE — completar si se incorporan cookies de análisis o marketing; hoy no forman parte del alcance del MVP]

XV. Cambios a esta Política

Podemos actualizar esta Política para reflejar cambios en el servicio o en la normativa aplicable. Publicaremos la versión vigente en https://capture.ethiaconsulting.com/privacidad e indicaremos la fecha de la última actualización. Cuando un cambio requiera tu consentimiento conforme a la ley, te lo solicitaremos de forma expresa.

XVI. Contacto

Si tienes dudas, consultas o quieres ejercer tus derechos respecto de esta Política, escríbenos a contacto@ethiaconsulting.com.