Plataforma
Seguridad y datos personales
Cómo protegemos accesos, secretos y conversaciones, qué datos guardamos y cómo nos preparamos para la Ley 21.719.
Un trabajador digital conversa con tus clientes y lee tus sistemas. Por eso la seguridad no es un anexo: se decide en el diseño, con reglas simples que tu equipo puede verificar.
#Principios
- Mínimo privilegio: cada acceso tiene solo los permisos que la tarea necesita. Para David, solo lectura.
- Cuentas de servicio, no personas: nunca usamos la cuenta o la contraseña de una persona de tu equipo.
- Secretos fuera del código: claves y tokens se guardan como secretos cifrados del entorno de ejecución, nunca en repositorios, documentos ni correos.
- Cifrado en tránsito: todo el tráfico va por HTTPS/TLS.
- Revocable: puedes cortar cualquier acceso desde tu lado en cualquier momento.
#Qué datos guardamos
| Dato | Para qué | Cuánto tiempo |
|---|---|---|
| Datos de contacto del lead | Atenderlo y registrar el resultado en tu CRM. | Lo que defina tu política; tu CRM es la fuente principal. |
| Conversaciones y transcripciones | Continuidad, traspaso a tu equipo y mejora de instrucciones. | Plazo acordado en el diseño. |
| Grabaciones de llamadas | Calidad y revisión de casos, solo si se informan al inicio de la llamada. | Plazo acordado; pueden desactivarse. |
| Registro de consultas de David | Trazabilidad de cada cifra. | Plazo acordado con tu área de control. |
| Bajas y supresiones | No volver a contactar a quien lo pidió. | Mientras exista la relación, con el mínimo de datos. |
#Datos personales en Chile
La Ley 21.719, que reemplaza a la Ley 19.628, entra en vigencia el 1 de diciembre de 2026 y crea la Agencia de Protección de Datos Personales con facultades para fiscalizar y sancionar. Diseñamos cada implementación con sus reglas:
- Base de licitud para cada tratamiento: el consentimiento del lead que llenó tu formulario, la ejecución de un contrato o el interés legítimo, según el caso.
- Información clara a las personas: quién trata sus datos, para qué y cómo ejercer sus derechos.
- Derechos de acceso, rectificación, supresión, oposición y portabilidad, con un procedimiento para responder a tiempo.
- Datos sensibles (salud, por ejemplo) solo cuando la tarea lo exige y con las garantías que corresponden. En clínicas, Ana agenda y confirma; no recoge diagnósticos.
- Seguridad y aviso de incidentes según lo que exige la ley.
Además, las comunicaciones promocionales deben identificar al remitente y permitir darse de baja (Ley 19.496, artículo 28 B).
#Proveedores
Un trabajador digital usa proveedores especializados (infraestructura, modelos de lenguaje, voz, telefonía, mensajería). En el diseño te entregamos la lista de los que intervienen en tu implementación, qué datos reciben y en qué región procesan. Si tu política exige un proveedor o una región en particular, lo respetamos.
#Modelos de lenguaje y tus datos
- En las implementaciones usamos modelos a través de APIs empresariales cuyos términos no permiten usar tus datos para entrenar modelos.
- Al modelo se le envía solo lo necesario para responder: la conversación en curso y el conocimiento relevante, no tu base completa.
- Con David, el modelo no ve las tablas completas: recibe la estructura (nombres de tablas y columnas) y devuelve una consulta que valida la capa semántica.
#Certificaciones
Guren AI no cuenta hoy con certificaciones como SOC 2 o ISO 27001. Si tu empresa las exige a sus proveedores, conversemos: podemos responder tu cuestionario de seguridad y ajustar la arquitectura de la implementación a tus requisitos.