1. Alcance y propósito

La presente Política de Privacidad describe cómo 3IT INGENIERÍA Y DESARROLLO LTDA (la "Organización") recolecta, utiliza, almacena, comparte y protege los datos personales tratados a través de la aplicación Software de Producción (la "Aplicación"), destinada exclusivamente a uso interno por trabajadores y colaboradores autorizados. La Aplicación no está diseñada para uso por el público general.

Esta Política se ajusta a los estándares habitualmente observados en políticas de privacidad de aplicaciones móviles en Chile, incorporando principios de transparencia, minimización, seguridad y responsabilidad proactiva.

2. Marco normativo aplicable (Chile)

El tratamiento de datos personales se rige por:

• Ley N° 19.628, sobre Protección de la Vida Privada.
• Ley N° 21.719 (Reforma integral y Agencia de Protección de Datos).
• Normativa laboral y contractual aplicable.

La Organización adopta desde ya los estándares reforzados de la Ley 21.719 bajo un enfoque de privacy by design y privacy by default, aun antes de su plena exigibilidad.

3. Roles y responsabilidades

Responsable del tratamiento: 3IT INGENIERÍA Y DESARROLLO LTDA, quien determina los fines y medios del tratamiento.

Encargados del tratamiento / proveedores (si aplica): proveedores tecnológicos que procesan datos por cuenta de la Organización (por ejemplo, hosting cloud, monitoreo y soporte), bajo contratos, obligaciones de confidencialidad y medidas de seguridad equivalentes.

4. Principios del Tratamiento de Datos

El tratamiento de datos personales se realiza conforme a los siguientes principios, recogidos en la Ley 19.628 y reforzados por la Ley 21.719:

• Licitud y lealtad
• Finalidad específica y legítima
• Proporcionalidad y minimización de datos
• Calidad y exactitud de los datos
• Transparencia e información al titular
• Seguridad y confidencialidad
• Responsabilidad proactiva del Responsable

5. Datos personales tratados

Según perfiles y módulos habilitados, la Aplicación puede tratar las siguientes categorías:

• Identificación laboral/corporativa: nombre, identificador interno, correo corporativo, cargo, área/gerencia, y otros datos necesarios para la operación.
• Autenticación y acceso (SSO): identificador corporativo y atributos provistos por Azure AD (por ejemplo, correo/UPN y pertenencia a grupos o roles), además de tokens de sesión.
• Datos operacionales de producción: órdenes/OT, lotes, consumos, tiempos, estados, trazabilidad de ejecución, aprobaciones, observaciones y adjuntos (si se habilitan).
• Auditoría y seguridad: bitácoras de accesos y acciones (fecha/hora, módulo, operación realizada), IP y datos técnicos de dispositivo/navegador cuando corresponda.

Datos sensibles: la Aplicación no requiere datos sensibles como regla general. Si por necesidad operacional se llegaran a tratar, se documentará formalmente su categoría, finalidad, base legal y controles reforzados.

6. Finalidades del tratamiento

La Organización trata datos personales para:

• Autenticar y autorizar accesos (SSO, roles y permisos) y administrar cuentas internas.
• Operar procesos de producción, registro, trazabilidad, control y reportería interna.
• Auditar acciones relevantes (trazabilidad) y prevenir fraudes o usos indebidos.
• Asegurar continuidad operacional, soporte técnico y gestión de incidentes.
• Cumplir políticas internas, requerimientos contractuales o exigencias regulatorias aplicables al negocio.

Los datos no serán utilizados para fines de marketing masivo o publicidad dirigida, salvo que se informe y habilite expresamente.

7. Base de legitimación (contexto laboral)

Según el contexto, el tratamiento se funda en:

• La ejecución de una relación contractual o laboral.
• El interés legítimo de la Organización en la operación segura de sus sistemas.
• El cumplimiento de obligaciones legales.
• El consentimiento del titular, cuando la ley así lo exija (especialmente bajo la Ley 21.719).

8. Origen de los datos

Los datos provienen de:

• Azure AD (SSO) y directorios corporativos: atributos de identidad y pertenencia a grupos o roles.
• Ingreso directo por el usuario en la operación del proceso (registros de producción, observaciones, adjuntos).
• Cargas o integraciones desde sistemas corporativos (si se habilitan), bajo control de la Organización.

9. Alojamiento, transferencias y ubicación

La Aplicación se aloja en Amazon Web Services (AWS) en la región us-west-1 (Norte de California, EE. UU.). Esto implica que los datos pueden almacenarse y procesarse fuera de Chile.

La Organización definirá y mantendrá salvaguardas contractuales y técnicas con sus proveedores para resguardar confidencialidad, integridad, disponibilidad y control de acceso, incluyendo exigencias a subencargados cuando corresponda.

10. Destinatarios y acceso

Los datos podrán ser accedidos únicamente por:

• Usuarios internos autorizados según su rol (operación, supervisión, auditoría interna).
• Áreas internas con necesidad justificada: TI, Seguridad de la Información, Continuidad Operacional y Auditoría/Compliance; y, cuando corresponda, RR.HH.
• Proveedores estrictamente necesarios para operación y soporte (por ejemplo, AWS y herramientas de observabilidad), bajo deberes de confidencialidad.

11. Retención y eliminación

Los datos personales serán conservados solo por el tiempo necesario para cumplir las finalidades descritas y conforme a políticas internas de retención, pudiendo incluir:

• Datos operacionales: según ciclo de vida del proceso.
• Registros de auditoría y seguridad: 12 a 24 meses.
• Respaldos: 30 a 90 días.

Posteriormente, los datos serán eliminados o anonimizados.

12. Medidas de seguridad

La Organización implementa controles proporcionales al riesgo, incluyendo:

• SSO con Azure AD, control de acceso basado en roles (RBAC) y principio de mínimo privilegio.
• Cifrado en tránsito (TLS) y, cuando aplique, cifrado en reposo en servicios administrados.
• Monitoreo y registro de eventos, alertas y trazabilidad de acciones relevantes.
• Segregación de ambientes (desarrollo, pruebas y producción) y control de cambios.
• Gestión de vulnerabilidades y parches; hardening de configuraciones.
• Copias de seguridad y procedimientos de recuperación (DR/BCP) según criticidad.

13. Derechos de los titulares y canal interno

Los titulares de datos personales podrán ejercer los derechos reconocidos por la Ley 19.628 y, una vez vigente, por la Ley 21.719, incluyendo:

• Derecho de acceso
• Derecho de rectificación
• Derecho de cancelación o supresión
• Derecho de oposición
• Derecho de portabilidad de los datos
• Derecho a no ser objeto de decisiones automatizadas, cuando aplique

Canal de privacidad: ciberdefensa@3it.cl. La Organización responderá dentro de los plazos legales.

14. Cookies y tecnologías similares

La Aplicación puede usar cookies o almacenamiento local estrictamente técnico (sesión, seguridad y preferencias). No utiliza cookies de marketing orientadas a público general. Si se habilitan analíticas, se documentará herramienta, finalidad y datos tratados.

15. Incidentes de seguridad

Ante incidentes que comprometan datos personales, se activará el procedimiento interno de respuesta a incidentes, incluyendo evaluación, mitigación y, cuando corresponda, notificación conforme a la Ley 21.719.

16. Cambios a esta Política

Esta Política podrá actualizarse por cambios técnicos u organizacionales o por ajustes normativos. La versión vigente se mantendrá disponible en un repositorio o sitio interno definido por la Organización.