Aviso de Privacidad — NormiQA GO

Versión: 1.0-borrador Fecha: 15 de septiembre de 2026 Aplica a: el servicio disponible en go.normiqa.com

⚠️ ESTE DOCUMENTO ES UN BORRADOR DE TRABAJO Fue redactado como plantilla, sin revisión de un abogado o abogada con matrícula vigente en Chile. No debe publicarse en go.normiqa.com, entregarse a trabajadores, ni usarse como base de decisiones comerciales o legales mientras no sea revisado, corregido y aprobado por asesoría legal calificada. Este es un modelo con fines informativos: consulta a un abogado o abogada para obtener asesoría legal específica a tu situación. Los textos entre corchetes, como [PENDIENTE DE CONFIRMAR: ...], marcan datos que faltan o decisiones que la abogada debe tomar antes de publicar este documento.

Para quién es este aviso

Este Aviso de Privacidad tiene dos destinatarios distintos, porque en NormiQA GO intervienen dos tipos de personas:

• Si eres la empresa contratista que contrata NormiQA GO ("el Cliente"), este aviso te

explica qué datos trata Liberty por tu cuenta, y qué debes hacer tú, como empleador, respecto de tus propios trabajadores.

• Si eres un trabajador o trabajadora de una empresa contratista cuyos datos fueron cargados

en NormiQA GO por tu empleador, este aviso te explica qué pasa con tu información, aunque tú no te hayas registrado directamente en la plataforma.

A lo largo del documento se indica a cuál de los dos casos aplica cada sección cuando es relevante.

1. Quién trata tus datos

Si eres trabajador: tu empleador (la empresa contratista) es quien decide cargar tus datos en esta plataforma y es responsable de contar con base legal para hacerlo. Liberty trata tus datos porque tu empleador contrató el servicio, no por una decisión propia sobre ti.

Contacto de Liberty para materias de privacidad: contacto@libertysoluciones.com. [PENDIENTE DE CONFIRMAR: si Liberty cuenta con un Delegado de Protección de Datos Personales y sus datos de contacto].

2. Qué datos se tratan

2.1 Datos de los trabajadores de la empresa contratista

2.2 Documentos cargados, incluidos datos sensibles de salud

La plataforma organiza documentos según un catálogo de 75 tipos. Cada documento incluye el archivo (guardado de forma privada), su fecha de emisión y vencimiento, una huella digital del archivo (hash), quién lo cargó, y un resumen generado automáticamente por inteligencia artificial sobre su contenido.

Siete de esos tipos de documento son datos sensibles de salud, categoría especialmente protegida por la Ley 21.719:

• Examen preocupacional
• Examen de altura geográfica (DS 29)
• Aptitud médica
• Declaración de salud
• Certificado de afiliación de salud
• Certificado de mutual del trabajador
• Certificado de mutual / organismo administrador

Los demás documentos del catálogo incluyen, entre otros, cédula de identidad, contrato de trabajo, certificado de antecedentes y licencia de conducir.

Estos datos de salud se tratan exclusivamente para acreditar el cumplimiento de exigencias laborales y de seguridad ocupacional frente al mandante de la empresa contratista (por ejemplo, exigencias derivadas de la Ley 16.744 sobre accidentes del trabajo, del DS 29 y de la Ley 20.123 sobre subcontratación), y no para ningún otro fin.

2.3 Datos de quienes usan la plataforma directamente

Al registrarse, quienes administran o usan NormiQA GO en representación de la empresa contratista entregan: nombre completo, correo electrónico y nombre de la empresa. También se registra la versión de los documentos legales que aceptaron y la fecha de aceptación, y, si llegaron desde un enlace de campaña, sus parámetros utm_* (por ejemplo, el nombre de la campaña), solo para saber qué campaña originó la cuenta. No se usan cookies ni se comparten con terceros.

3. De dónde vienen los datos

Los datos de los trabajadores no los entrega el propio trabajador a Liberty: los carga la empresa contratista (a través de las personas que administran o usan la cuenta) al momento de registrar trabajadores, vehículos y documentos en la plataforma.

4. Para qué se usan los datos

• Organizar y respaldar el cumplimiento documental de los trabajadores de la empresa

contratista.

• Generar entregas o carpetas de documentos para que la empresa contratista los comparta con su mandante.
• Leer automáticamente los documentos cargados mediante inteligencia artificial (ver

sección 6), como ayuda para clasificarlos y detectar fechas relevantes.

• Administrar cuentas, accesos y soporte de la plataforma.
• Cumplir obligaciones legales de Liberty, cuando corresponda.

5. Base de licitud

• Respecto del Cliente y sus usuarios (sección 2.3): la base es la ejecución del contrato de

servicio (los Términos de Servicio) que la empresa contratista celebra con Liberty.

• Respecto de los trabajadores (secciones 2.1 y 2.2): la base de licitud le corresponde **a

la empresa contratista, en su calidad de empleador, con fundamento en la relación laboral y en las obligaciones que le impone la Ley 20.123 sobre subcontratación y el DS 76 de acreditar el cumplimiento normativo de sus trabajadores frente al mandante. Liberty no verifica esta base de licitud**; actúa como encargada, siguiendo las instrucciones de la empresa contratista, según el Acuerdo de Tratamiento de Datos.

Si eres trabajador y tienes dudas sobre por qué tus datos están en esta plataforma, la primera persona a quien preguntar es tu empleador (la empresa contratista), que es quien decidió cargarlos y quien debe explicarte la finalidad.

6. A quién se entregan los datos

6.1 Liberty, como encargada

Liberty trata los datos para operar la plataforma, según lo indicado en el Acuerdo de Tratamiento de Datos. El personal de Liberty solo accede a los datos de una empresa cuando es necesario para dar soporte, y ese acceso queda registrado en un historial de auditoría interno.

6.2 El mandante, como tercero receptor

El mandante recibe únicamente los documentos o carpetas que la propia empresa contratista decide entregarle, por sus propios medios, fuera de NormiQA GO. Liberty no entrega datos directamente a ningún mandante.

6.3 Anthropic, como subencargado de inteligencia artificial — transferencia internacional

Esto es importante y queremos que quede completamente claro.

Cuando se carga un documento en NormiQA GO, el archivo se envía automáticamente a la API de Anthropic (modelo claude-haiku-4-5), un proveedor de inteligencia artificial, para que lo lea y proponga el tipo de documento, el titular y las fechas relevantes. Esto ocurre con todos los documentos cargados, incluidos los siete tipos de documentos de salud señalados en la sección 2.2.

Esto significa que exámenes ocupacionales, certificados de salud, cédulas de identidad y demás documentos salen desde la infraestructura de NormiQA GO hacia un proveedor ubicado en el extranjero, específicamente para ese procesamiento automático de lectura.

Lo que hoy podemos declarar con certeza:

• La clave de acceso a esa API se guarda como secreto del servidor y nunca queda expuesta en el

navegador ni en el código fuente.

• El envío ocurre en el momento en que se carga el documento, con el único fin de proponer su

clasificación.

Lo que está pendiente de verificar y declarar con precisión, antes de publicar este aviso:

• [PENDIENTE DE CONFIRMAR: si Anthropic retiene el contenido enviado y por cuánto tiempo, según

sus términos comerciales de API vigentes al momento de la contratación].

• [PENDIENTE DE CONFIRMAR: si Anthropic usa el contenido enviado para entrenar sus modelos, y si

existe una cláusula contractual que lo excluya].

• [PENDIENTE DE CONFIRMAR: el mecanismo de transferencia internacional de datos que corresponde

usar bajo la Ley 21.719 para este envío — por ejemplo, cláusulas contractuales u otro mecanismo habilitado por la autoridad].

• [PENDIENTE DE CONFIRMAR: si, dado que se trata de datos sensibles de salud, esta transferencia

requiere un consentimiento específico y separado del trabajador, o si basta con declararlo como subencargado en este aviso — ver Acuerdo de Tratamiento de Datos].

6.4 Otros proveedores de infraestructura

NormiQA GO usa Supabase (base de datos y almacenamiento de archivos) y Cloudflare Workers (para ejecutar la aplicación) como proveedores de infraestructura. El proyecto de Supabase está alojado en la región us-east-1 (Virginia del Norte, Estados Unidos). Esto significa que todos los datos de NormiQA GO —incluidos los documentos de salud— se almacenan fuera de Chile, lo que constituye una transferencia internacional de datos personales. [PENDIENTE DE CONFIRMAR: el mecanismo de transferencia internacional que la Ley 21.719 exige para este alojamiento en Estados Unidos].

7. Cuánto tiempo se conservan los datos — una tensión real que preferimos explicar con honestidad

Hoy, NormiQA GO no elimina automáticamente ningún documento. Esto es una decisión deliberada: los documentos cargados sirven como evidencia de qué se entregó efectivamente a un mandante en un momento determinado, algo que puede ser necesario para responder ante una fiscalización, una auditoría del mandante, o un conflicto laboral. Cuando se reemplaza un documento por uno más nuevo (por ejemplo, un examen médico renovado), el documento anterior no se borra: queda guardado junto con el nuevo.

Somos conscientes de que esto puede entrar en tensión con el derecho a pedir la eliminación de tus datos que reconoce la Ley 21.719, y con el principio de no guardar datos personales más tiempo del necesario. Por eso preferimos decirlo así de directo, en lugar de prometer un plazo que hoy no cumplimos:

• **Actualmente no existe un plazo de conservación definido ni un proceso automático de

eliminación o anonimización de documentos.**

• Estamos trabajando en definir una política de retención que concilie la necesidad de conservar

evidencia de cumplimiento (respaldada, entre otras normas, en la Ley 20.123 y el DS 76) con el derecho de las personas a pedir la eliminación de sus datos.

• **Mientras esa política no exista, si eres trabajador y quieres pedir la eliminación de tus

datos**, puedes escribir a contacto@libertysoluciones.com. Evaluaremos tu solicitud junto con tu empleador caso a caso, y te explicaremos qué se puede eliminar y qué no puede eliminarse todavía porque existe una obligación legal de conservarlo como respaldo frente al mandante o a la autoridad laboral.

[PENDIENTE DE CONFIRMAR: si la abogada define un plazo concreto de conservación, o un criterio de anonimización cuando un trabajador deja la empresa, para reemplazar este texto por una política definitiva].

8. Tus derechos (Acceso, Rectificación, Cancelación, Oposición y Portabilidad)

Tanto si eres usuario de la plataforma como si eres trabajador de una empresa contratista cuyos datos fueron cargados en ella, la Ley 21.719 te reconoce los siguientes derechos sobre tus datos personales:

• Acceso: saber qué datos tuyos se tratan y para qué.
• Rectificación: pedir que se corrijan datos inexactos o desactualizados.
• Cancelación o supresión: pedir que se eliminen tus datos, con las salvedades indicadas en

la sección 7 sobre evidencia de cumplimiento.

• Oposición: oponerte a un tratamiento específico de tus datos, en los casos que la ley

permite.

• Portabilidad: pedir tus datos en un formato que puedas transferir a otro responsable.

Cómo ejercerlos:

• Si eres trabajador, lo primero es contactar a tu empleador (la empresa contratista), que es

la Responsable de tus datos y quien puede resolver directamente tu solicitud dentro de la plataforma. Si no obtienes respuesta, puedes escribir también a Liberty a contacto@libertysoluciones.com, quien colaborará con tu empleador para responderte, según lo pactado en el Acuerdo de Tratamiento de Datos.

• Si eres usuario registrado, puedes ejercer tus derechos directamente escribiendo a

contacto@libertysoluciones.com.

Responderemos dentro de los plazos que establece la Ley 21.719 [PENDIENTE DE CONFIRMAR: plazo exacto de respuesta según la ley y su reglamento, para reemplazar esta referencia genérica].

9. Medidas de seguridad

Aplicamos, entre otras, las siguientes medidas técnicas y organizativas:

• Conexión cifrada obligatoria (HTTPS con HSTS) en toda la plataforma.
• Cabeceras de seguridad del navegador (política de contenido, bloqueo de inserción en marcos

externos, prevención de detección de tipo de archivo).

• Aislamiento de los datos de cada empresa dentro de la base de datos, aplicado a nivel de base

de datos y no solo en la pantalla, de modo que una empresa no puede ver los datos de otra.

• Los archivos se guardan en un almacenamiento privado, nunca público, y se descargan mediante

enlaces firmados de corta duración.

• Cada archivo tiene una huella digital (hash SHA-256) que permite verificar que no fue alterado.
• Los accesos del personal de soporte de Liberty a los datos de una empresa quedan registrados

en un historial de auditoría.

• Segundo factor de autenticación (TOTP) disponible para las cuentas.

Hoy su activación es opcional. La inscripción del factor se realiza desde NormiQA Data; NormiQA GO solicita el código a quien ya lo tiene activado..

10. Notificación de brechas de seguridad

Si ocurre un incidente de seguridad que comprometa datos personales tratados en NormiQA GO, Liberty se compromete a:

• Evaluar el incidente y sus efectos apenas se detecte.
• Notificar a la empresa contratista afectada sin demora injustificada, para que esta, en su

calidad de Responsable, pueda cumplir con la obligación de notificar a la autoridad de protección de datos y a los titulares afectados dentro del plazo de 72 horas que exige la Ley 21.719, cuando el incidente genere un riesgo para sus derechos.

• Colaborar con la empresa contratista entregando la información técnica necesaria para esa

notificación.

[PENDIENTE DE CONFIRMAR: el procedimiento interno detallado de Liberty para detectar, escalar y comunicar brechas, referenciado también en el Acuerdo de Tratamiento de Datos].

11. Menores de edad

NormiQA GO está dirigido a empresas y a la gestión de datos de trabajadores. [PENDIENTE DE CONFIRMAR: si existe posibilidad de que se carguen datos de trabajadores menores de edad, por ejemplo aprendices o estudiantes en práctica, y si corresponde una sección específica sobre tratamiento de datos de menores bajo la Ley 21.719].

12. Cambios a este aviso

Podemos actualizar este Aviso de Privacidad para reflejar cambios en el servicio o en la normativa aplicable. Avisaremos los cambios relevantes mediante la plataforma o al correo registrado, indicando la nueva fecha de versión.

13. Contacto

Para cualquier consulta sobre este Aviso de Privacidad o para ejercer tus derechos: contacto@libertysoluciones.com.

Notas de implementación técnica

• La empresa contratista debería poder generar, desde la plataforma, una constancia de este

aviso para entregar a sus trabajadores (por ejemplo, un enlace o PDF), ya que Liberty no tiene contacto directo con los trabajadores.

• El registro de accesos del staff de Liberty (liberty_audit_log) debe conservarse como

evidencia de la medida de seguridad descrita en la sección 9.

• Si se confirma un mecanismo de transferencia internacional específico para Anthropic (sección

6.3), debe quedar documentado también en el Acuerdo de Tratamiento de Datos.

• Si se define una política de retención (sección 7), debe implementarse como proceso técnico

(borrado, anonimización o archivado) y no solo como texto legal.

Lista de verificación de cumplimiento

Registro de actualizaciones normativas

Puntos que la abogada debe revisar

1. Si enviar documentos de salud a Anthropic en el extranjero requiere consentimiento específico

del trabajador, además de la declaración como subencargado (pregunta abierta del inventario).

1. Qué mecanismo de transferencia internacional corresponde usar respecto de Anthropic, y

confirmar la región de alojamiento de Supabase para saber si hay una transferencia adicional.

1. La redacción de la sección 7 (retención como evidencia versus derecho de supresión): validar

si el texto propuesto es jurídicamente sostenible o si se requiere fijar un plazo concreto.

1. Plazo exacto de respuesta a solicitudes de derechos ARCOP bajo la Ley 21.719 y su reglamento.
2. Si corresponde designar formalmente un Delegado de Protección de Datos Personales y publicar

sus datos de contacto.

1. Cómo se entrega materialmente este aviso a los trabajadores, dado que ellos no interactúan

directamente con la plataforma ni con Liberty.

1. Si el tratamiento de datos de menores de edad (aprendices, en práctica) requiere una sección

adicional.