Política de privacidad

Mindsign es un producto de Mindigital SpA (RUT y domicilio en Chile). Esta política explica cómo tratamos los datos personales conforme a la Ley N° 19.628 y la Ley N° 21.719 sobre protección de datos personales, y la institucionalidad de la Agencia de Protección de Datos Personales (APDP). Si firmaste un documento o usas MindSign Docs, revisa además su sección propia.

1. Roles: responsable y encargado

Cuando una institución cliente usa Mindsign para gestionar las firmas de sus funcionarios, esa institución es el responsable del tratamiento (controlador) de los datos de sus personas. Mindigital actúa como encargado del tratamiento (procesador): tratamos esos datos únicamente bajo las instrucciones de la institución y para prestar el servicio. Respecto de los datos de quienes visitan este sitio o crean una cuenta, Mindigital es el responsable.

2. Qué datos tratamos

• De funcionarios (por cuenta de la institución): nombre, cargo, unidad, correo, teléfono, foto y enlaces, para construir y aplicar su firma y su tarjeta de contacto.
• De administradores: nombre, correo y credenciales de acceso (contraseña cifrada).
• Técnicos: eventos de uso del banner y de la tarjeta (tipo de evento, navegador, fecha) con fines de analítica del propio servicio. No almacenamos la dirección IP de estos eventos.

No tratamos datos sensibles. No vendemos datos personales ni los usamos para publicidad de terceros.

3. Finalidad y base de licitud

Tratamos los datos para: aplicar firmas de correo vía la API de Google, generar tarjetas de contacto, ejecutar campañas internas y medir su desempeño, y operar la cuenta. La base de licitud es el contrato con la institución y su instrucción como responsable; para datos de la cuenta, la relación contractual con el titular.

4. Encargados y transferencias (Google)

Para escribir las firmas usamos la API de Google (Gmail / Admin SDK); Google actúa como sub-encargado. El correo de los funcionarios no pasa por nuestros servidores: la firma se escribe directamente en su Gmail vía API. La autorización se otorga por delegación a nivel de dominio que el administrador de la institución controla.

5. Medidas de seguridad

• Credenciales de Google y de pago cifradas en reposo (AES-256-GCM).
• Contraseñas almacenadas con hash (no reversibles).
• Sesiones con cookies HttpOnly, SameSite y Secure en HTTPS; protección CSRF; control de fuerza bruta; cabeceras de seguridad.
• Aislamiento por institución (multi-tenant) y respaldo reversible de la firma previa antes de aplicar.

6. Conservación

Conservamos los datos mientras exista la relación con la institución o la cuenta. Al terminar, se eliminan o anonimizan en un plazo razonable. Los eventos de analítica se conservan por un período limitado para reportería del servicio.

7. Derechos de los titulares (ARCOP)

Toda persona puede ejercer sus derechos de acceso, rectificación, cancelación (supresión), oposición y portabilidad. Si tus datos los trata una institución, dirígete a ella como responsable; te derivaremos si corresponde. Para solicitudes hacia Mindigital, escribe a datos@mindigital.cl. Responderemos en los plazos legales.

8. Incidentes de seguridad

Ante una vulneración que afecte datos personales, notificaremos a la institución responsable y, cuando corresponda, a la Agencia de Protección de Datos Personales y a los titulares, conforme a la Ley 21.719.

9. Contacto

Responsable: Mindigital SpA. Consultas de privacidad: datos@mindigital.cl. También puedes reclamar ante la Agencia de Protección de Datos Personales.

10. MindSign Docs

Esta sección explica cómo se tratan los datos personales en MindSign Docs, el servicio de envío y firma electrónica de documentos de Mindigital SpA (Santiago, Chile), conforme a la Ley N° 19.628 y la Ley N° 21.719. En lo que no diga, se aplican los puntos anteriores de esta política.

Quién es responsable de qué

La empresa que envía los documentos es la responsable del tratamiento de los datos de las personas a quienes les pide firmar: decide qué documentos envía, a quién y para qué, y debe contar con una base legal para tratar esos datos. MindSign Docs actúa como encargado del tratamiento: trata esos datos solo por cuenta de la empresa, según sus instrucciones y para prestar el servicio, y no los usa para fines propios. Para los datos del equipo de la empresa que usa la cuenta, Mindigital es responsable, como se indica en el punto 1.

Qué datos guardamos de quienes firman

• Nombre y correo, y el teléfono cuando el código de verificación se envía por SMS.
• RUT, cuando la empresa lo pide en el documento.
• Dirección IP y datos del dispositivo y del navegador desde los que se abre y se firma el documento.
• Fechas y horas de cada paso: envío, apertura, verificación del código, firma o rechazo.
• La evidencia de la firma: el registro de cada paso, la huella digital (SHA-256) de cada versión del documento y el sello de tiempo.
• El documento y lo que contiene, que define la empresa que lo envía.

Para qué los usamos

Solo para enviar el documento, verificar la identidad de quien firma con el código, registrar la firma, generar la evidencia y permitir comprobar el documento después. No vendemos estos datos ni los usamos para publicidad. La página pública de verificación muestra lo mínimo: la empresa emisora, las iniciales de quienes firmaron y las fechas, nunca correos ni el contenido del documento. El sello de tiempo lo emite un servicio externo, que recibe solo la huella digital del documento y no su contenido.

Cuánto tiempo los conservamos

Los documentos, su evidencia y los datos de quienes firman se conservan según la retención configurada para la cuenta de la empresa: mientras la empresa mantenga su cuenta, o por el plazo de conservación acordado en su plan (en el plan Empresa, la retención se configura a la medida). Cumplido ese plazo, o cuando la empresa termina el servicio y lo solicita, los borramos o anonimizamos, salvo lo que la ley obligue a guardar. Antes de eso, la empresa puede descargar sus documentos firmados.

Otros registros tienen plazos propios: la bitácora de cada documento (su evidencia) se guarda 6 años, el plazo que exige la normativa tributaria; el registro de accesos a datos personales se guarda 365 días, y los códigos de verificación se borran 30 días después de creados.

Seguridad

Los documentos se guardan cifrados con una clave propia de cada empresa, cada empresa ve solo sus datos y cada enlace de firma es personal. Ante un incidente que afecte estos datos, avisamos a la empresa responsable para que pueda cumplir sus deberes conforme a la Ley 21.719.

Tus derechos si firmaste un documento

Si firmaste un documento con MindSign Docs y quieres ejercer tus derechos de acceso, rectificación, supresión, oposición o portabilidad, dirígete a la empresa que te lo envió, porque es la responsable. Si nos escribes a datos@mindigital.cl, derivamos tu solicitud a esa empresa y la apoyamos para responder. Ten en cuenta que borrar los datos de un documento firmado puede afectar su evidencia, por lo que la empresa puede tener motivos legales para conservarlos.