Política de Privacidad y Protección de Datos Personales

I. Alcance

Esta Política se aplica a todo tratamiento de datos personales que realiza Ordis SpA (en adelante "Ordis"), RUT 78.366.107-1, en el marco de la prestación de servicios contables a pequeñas y medianas empresas (PYMEs) en Chile a través de la plataforma ordis.cl. Comprende a los usuarios directos (clientes-empresa y sus representantes), a los titulares cuyos datos Ordis trata por cuenta de un tercero (trabajadores y socios de las empresas clientes) y a los visitantes que dejan sus datos de contacto.

II. Marco legal

Ordis trata datos personales conforme a la Ley N° 19.628 sobre Protección de la Vida Privada y a la Ley N° 21.719, que la moderniza y entra en vigencia plena el 14 de diciembre de 2026. Las referencias a artículos en este documento corresponden a la Ley 21.719, salvo indicación distinta.

III. Roles de Ordis en el tratamiento (rol dual)

• Ordis como Responsable del tratamiento. Respecto de los datos de contacto e identificación del propio cliente-empresa y su representante (razón social, RUT, datos de contacto, régimen tributario, datos de cuenta), Ordis decide las finalidades y los medios.
• Ordis como Encargado del tratamiento (Art. 15 bis). Respecto de los datos de los trabajadores y socios de cada cliente, Ordis los trata por cuenta del cliente-empleador, que es el Responsable. Ordis no los usa para fines propios y se limita a ejecutar las instrucciones del cliente según el contrato de encargo. La base de licitud de esos datos —y el consentimiento de los datos sensibles de trabajadores (salud / isapre, Art. 16)— los aporta el cliente-empleador, no Ordis.

IV. Qué datos tratamos

Los datos sensibles de trabajadores se tratan exclusivamente en calidad de Encargado, siguiendo las instrucciones del cliente-empleador y para cumplir las obligaciones laborales y previsionales de éste.

V. Finalidad y base de licitud

VI. Decisiones automatizadas y elaboración de perfiles

Ordis aplica tratamientos automatizados que constituyen elaboración de perfiles en el sentido del Art. 15 ter: risk score tributario, detección de anomalías y anti-fraude, scoring por RUT y categorización por IA de proveedores y gastos. Estos tratamientos no producen decisiones jurídicas ni significativas automáticas sobre el titular: siempre existe intervención humana (la contadora o el responsable interpretan y comunican el resultado). Como titular tienes derecho a una explicación, a la intervención humana y a oponerte. Por la combinación de perfilado y tratamiento masivo de datos socioeconómicos y sensibles, Ordis mantiene una Evaluación de Impacto en la Protección de Datos (EIPD) conforme al Art. 15 ter.

VI bis. Uso de datos para mejorar y entrenar los sistemas de Ordis

Ordis desarrolla y opera sus propios sistemas automatizados, y tiene interés en usar la información que administra para mejorarlos: ajustar los modelos que clasifican documentos y movimientos, y eventualmente especializar un modelo de lenguaje propio mediante entrenamiento.

Esta finalidad es distinta de aquella por la que recibimos tus datos. Los recibimos para llevar tu contabilidad y cumplir tus obligaciones tributarias; entrenar sistemas es otra cosa, y el contrato de servicio por sí solo no la autoriza (Art. 3 lit. b, principio de finalidad). Por eso la declaramos aparte y la sometemos a reglas propias.

Las reglas que Ordis se impone:

1. Anonimización irreversible como piso mínimo. No se usa para esta finalidad ningún dato que no haya pasado antes por un procedimiento de anonimización irreversible en los términos del Art. 2 lit. k. Sustituir el RUT por un código es seudonimización, no anonimización: ese dato sigue siendo dato personal y queda excluido.
2. Consentimiento expreso para lo sensible. Los datos que revelan situación socioeconómica de una persona natural son datos sensibles (Art. 2 lit. g). No se usan para esta finalidad sin consentimiento expreso de su titular, aunque estén anonimizados.
3. Autorización específica para el resto. Para los demás datos personales se requiere una cláusula específica en el contrato de servicio, o consentimiento posterior en instrumento separado. Es revocable en cualquier momento, sin expresión de causa, y su revocación no afecta en nada la prestación del servicio contratado.
4. Los datos de terceros quedan fuera. No se usan para esta finalidad los datos de trabajadores, prestadores a honorarios ni contrapartes comerciales de nuestros clientes: respecto de ellos Ordis actúa como Encargado y no como Responsable, y no le corresponde decidir sobre esa finalidad.
5. Registro documentado. Ordis mantiene registro de qué conjuntos de datos se usaron, qué procedimiento de anonimización se les aplicó y qué autorización los ampara, a disposición de la Agencia.

Mientras estas condiciones no estén íntegramente satisfechas, Ordis no realiza tratamiento alguno para esta finalidad.

VII. Con quién compartimos los datos

Ordis recurre a proveedores que actúan como encargados (sub-encargados) del tratamiento, bajo deber de secreto y confidencialidad. Listado vigente:

No actúan como encargados de la PII de clientes (quedan fuera del listado): Cloudflare (solo DNS), Apify/Brightdata (scraping de marketing), Tavily (búsqueda de normativa) y mindicador.cl (UF/UTM). El SII, la TGR y Previred no son sub-encargados: Ordis opera ante ellos por mandato del titular.

Ordis no vende, arrienda ni monetiza datos personales. Adicionalmente, podrá comunicar datos a autoridades competentes (Tribunales, Ministerio Público o la Agencia de Protección de Datos) cuando una orden legal o judicial lo requiera.

VIII. Transferencias internacionales

Los proveedores anteriores tratan datos fuera de Chile (EE.UU.). El mecanismo de transferencia son las cláusulas contractuales modelo que dicte la Agencia de Protección de Datos Personales (Art. 28) —no el Ministerio de Economía—, o subsidiariamente una declaración de país adecuado, normas corporativas vinculantes o el consentimiento del titular. Hasta que la Agencia publique dichas cláusulas (previsto para diciembre 2026), Ordis suscribe con cada encargado un acuerdo de tratamiento que documenta garantías equivalentes (cifrado en tránsito TLS 1.2+ y en reposo AES-256, control de acceso restringido y certificaciones del proveedor).

IX. Por cuánto tiempo conservamos los datos

Conservamos los datos solo por el tiempo necesario para las finalidades para las que se recogieron, con las siguientes excepciones legales:

X. Tus derechos

Como titular puedes ejercer acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y retirar tu consentimiento cuando quieras. El procedimiento, los plazos y la gratuidad se detallan en el documento 21719-canal-derechos.md. En resumen: escríbenos a hola@ordis.cl o por WhatsApp al +56 9 4498 6557; respondemos en 30 días corridos, prorrogables una sola vez por otros 30. La rectificación, supresión y oposición son siempre gratuitas; el acceso es gratuito al menos una vez por trimestre. La supresión no procede sobre la documentación que la ley obliga a conservar (Art. 17 CT).

XI. Origen de los datos

Los datos del cliente y de los visitantes se obtienen directamente de ellos. Los datos de trabajadores y socios los ingresa el cliente-empleador en la plataforma (Ordis los trata como Encargado). Algunos datos de identificación (RUT, razón social, ficha) se obtienen de fuentes públicas del SII por mandato del cliente.

XII. Seguridad

Ordis aplica medidas técnicas y organizativas:

• Cifrado en reposo AES-256-GCM de las credenciales (clave SII, clave TGR, facturación) y del certificado .pfx, en bucket privado.
• Cifrado en tránsito TLS gestionado por la plataforma + cookies __Host-.
• Autenticación y contraseñas delegadas a un proveedor especializado (hashing server-side con bcrypt): Ordis no maneja contraseñas en claro.
• Segregación por cliente en dos capas: Row Level Security en la base de datos + verificación de acceso en la aplicación (empresa resuelta del lado del servidor, anti-IDOR).
• Registro de auditoría inalterable (append-only con cadena de hash anti-manipulación).
• Seudonimización en logs (placeholders [RUT]/[EMAIL]; el registro guarda solo el hash, nunca el valor) y un escáner de PII diario.
• Monitoreo con scrub de PII en las trazas de error.

XIII. Confidencialidad del equipo

Todo el equipo de Ordis está sujeto a deberes de confidencialidad y secreto profesional sobre la información contable y tributaria de los clientes, que subsisten tras el término de la relación.

XIV. Notificación de incidentes de seguridad

Ante una vulneración de seguridad que afecte datos personales, Ordis notifica a la Agencia de Protección de Datos sin dilaciones indebidas cuando exista un riesgo razonable para los derechos de los titulares (Art. 14 sexies), y notifica a los titulares afectados cuando el riesgo sea alto y, en todo caso, cuando se afecten datos sensibles, económicos/financieros/bancarios o de niños, niñas y adolescentes. El detalle operativo está en 21719-plan-respuesta-brechas.md. Ordis mantiene además un registro de todas las vulneraciones, se notifiquen o no (21719-registro-vulneraciones.md).

XV. Cookies

Ordis utiliza cookies estrictamente necesarias para mantener la sesión segura. En las páginas públicas, la analítica opcional de PostHog y Google requiere aceptar la medición. La analítica de Vercel no utiliza cookies.

Google Analytics y Google Ads permanecen desactivados hasta que el visitante acepta expresamente la medición. Antes de aceptar no se carga Google Tag Manager ni se envían pings a Google. Esta capa se limita a las páginas públicas de marketing y no se habilita dentro del portal, el panel administrativo, el acceso o las invitaciones. La preferencia se conserva en el navegador y puede cambiarse o retirarse desde el control Preferencias de cookies del pie de página; retirarla recarga el documento para impedir nuevas solicitudes de medición opcional. Rechazar esta medición no limita el acceso al sitio ni la reserva de reuniones.

El calendario integrado utiliza Cal.com para gestionar reuniones online. Solicita nombre y correo para la reserva y permite añadir una nota opcional. Los datos de la reserva se procesan en Cal.com; no enviamos esos datos a Google Analytics ni a Google Ads. La agenda funciona también si eliges solo las cookies necesarias.

XVI. Responsabilidades del cliente

El cliente, como Responsable del tratamiento de los datos de sus trabajadores que ingresa al sistema, debe: (a) contar con base legal para recopilarlos y transferirlos a Ordis; (b) informar a sus trabajadores que usa a Ordis como proveedor tecnológico; (c) ingresar datos veraces y actualizados; y (d) custodiar sus credenciales de acceso.

XVII. Datos de menores

Ordis no está dirigido a menores de 18 años ni recopila intencionalmente sus datos. Si se detecta que se han recopilado datos de un menor, se eliminan de inmediato.

XVIII. Vigencia, cambios y reclamos

Ordis puede actualizar esta Política; publicará la versión vigente con su fecha en ordis.cl/privacidad. Los cambios sustanciales se notifican con 30 días corridos de anticipación. Puedes reclamar ante la Agencia de Protección de Datos Personales de Chile.