Vigente, con revisión legal externa en curso. Este texto describe lo que el sistema hace de verdad y no declara ninguna medida que no podamos mostrar. Rige desde su fecha de vigencia; si la revisión introduce cambios sustanciales, se publicará una versión nueva y se avisará.
Política de Privacidad
Qué datos trata Kronozz, para qué, con qué base, por cuánto tiempo, a quién salen y cómo se ejercen los derechos.
Versión 2026.09.30 · vigente desde el 30 de septiembre de 2026 · cambio sustancial: requiere aceptación
En resumen
- Kronozz es responsable de los datos de las cuentas de sus clientes, y encargado de los datos de los clientes finales de cada negocio: quien decide qué se hace con ellos es el negocio.
- Los datos se procesan en Estados Unidos, no en Chile, porque ahí están los proveedores de infraestructura e inteligencia artificial.
- Se declara solo lo que se puede acreditar, y se dice expresamente qué falta.
- Los derechos se ejercen escribiendo a privacidad@kronozz.com y se responden en los plazos legales.
1. Quién trata sus datos
KRONOZZ DIGITAL SPA, sociedad constituida en Chile, opera la plataforma Kronozz. Para cualquier asunto de privacidad: privacidad@kronozz.com.
Hay un Delegado de Protección de Datos designado: Marco Romero Alcalá, desde el 3 de septiembre de 2026. Es la contraparte para la autoridad de control y para cualquier persona que quiera ejercer sus derechos, y se le escribe a privacidad@kronozz.com. Designarlo no es obligatorio en Chile; se hizo porque es el eje del modelo de prevención de infracciones.
Fundamento: Ley 21.719, art. 14 ter: identificación del responsable y sus datos de contacto.
2. Los dos papeles, que ordenan todo lo demás
Kronozz ocupa dos posiciones distintas y conviene distinguirlas porque cambian quién decide y a quién reclamar.
Frente a los datos de nuestros clientes —la empresa que contrata la plataforma, sus usuarios, su facturación— somos responsables: decidimos para qué se usan.
Frente a los datos de los clientes finales de cada negocio —las personas que le escriben por WhatsApp, sus contactos, sus citas, su ficha clínica— somos encargados: los tratamos por cuenta del negocio y siguiendo sus instrucciones. Quien decide qué se hace con esos datos es el negocio, no nosotros.
Esa distinción no nos exime frente a la persona afectada. La ley chilena hace responder solidariamente a quien trata datos por cuenta de otro, y por eso varios de los controles de esta plataforma no son configurables por el negocio.
Fundamento: Ley 21.719, art. 15 bis: relación responsable–encargado y responsabilidad solidaria.
3. Qué datos se tratan
Los datos que trata Kronozz dependen de qué negocio use la plataforma y de qué rubro sea.
De nuestros clientes (donde somos responsables):
- Identificación y contacto: nombre, correo, teléfono, empresa.
- En una solicitud de demo: tamaño del equipo, volumen mensual estimado de conversaciones y la versión de la política aceptada.
- Atribución comercial de una solicitud de demo: página de entrada, página de conversión, dominio de referencia, parámetros UTM y fecha de entrada.
- Credenciales de acceso y registros de sesión.
- Datos de facturación y de la relación comercial.
- Credenciales de las integraciones que conectan, guardadas cifradas.
De los clientes finales de cada negocio (donde somos encargados):
- Identificación y contacto: nombre, teléfono, correo, documento de identidad cuando el negocio lo pide.
- Contenido de las conversaciones, incluidos audios, imágenes y documentos enviados.
- Citas, historial de compras, etapa en el embudo comercial y notas del negocio.
- Datos de salud, en los rubros de salud humana y veterinaria: motivo de consulta, ficha clínica, resultados de exámenes. Son datos sensibles y tienen exigencias más estrictas.
- Datos de niños y niñas, cuando el negocio los recoge: solo con autorización del adulto responsable.
Fundamento: Ley 21.719, art. 14 ter: categorías de datos tratados; art. 16 bis: los datos de salud son sensibles.
4. Para qué se tratan, y con qué base
Cada tratamiento tiene una finalidad concreta y una base que lo permite. No usamos los datos de los clientes finales de un negocio para otra cosa que prestarle el servicio a ese negocio.
| Para qué | Qué datos | Con qué base |
|---|---|---|
| Prestar el servicio contratado: conversaciones, agenda, campañas, embudo | Los del negocio y los de sus clientes finales | Ejecución del contrato con el negocio; instrucciones del negocio como responsable |
| Responder automáticamente con el agente de inteligencia artificial | Contenido de la conversación y contexto cargado por el negocio | Ejecución del contrato; el negocio configura el alcance y puede elegir con qué proveedor de IA opera su agente |
| Cobrar la suscripción a través de un procesador de pagos | Identificación y correo de quien paga, y el detalle de la transacción. Los datos de la tarjeta van directo al procesador y no pasan por Kronozz | Ejecución del contrato |
| Enviar comunicación comercial a los clientes finales | Contacto y perfil comercial | Consentimiento de la persona, registrado con su procedencia. Sin ese registro, la plataforma bloquea el envío |
| Cobrar la suscripción y facturar | Datos de la relación comercial | Ejecución del contrato y obligaciones legales |
| Sostener la seguridad de la plataforma y auditar accesos | Registros técnicos y de sesión | Interés legítimo en la seguridad; obligación de acreditar las medidas |
| Cumplir requerimientos de una autoridad competente | Lo estrictamente requerido | Obligación legal |
| Responder, coordinar, calificar y medir una solicitud de demo | Datos del formulario y atribución comercial de esa visita | Consentimiento visible de quien envía la solicitud |
Fundamento: Ley 21.719, art. 14 ter: finalidades y base de licitud de cada tratamiento.
5. Decisiones que toma el sistema solo
El agente califica automáticamente a los interesados y puede moverlos de etapa en el embudo comercial del negocio a partir de lo que la persona escribió. Es una decisión automatizada y hay que decirlo, porque la política anterior no lo mencionaba.
Sus efectos son comerciales: influyen en la prioridad con que el negocio atiende a alguien y en qué mensajes recibe. No determinan acceso a un servicio esencial, ni a crédito, ni a un diagnóstico. El agente no diagnostica ni indica tratamientos.
Toda persona tiene derecho a que se le explique el criterio, a pedir la intervención de una persona y a solicitar la revisión de la decisión. La solicitud se dirige al negocio con el que está hablando, o a privacidad@kronozz.com si prefiere hacerlo a través nuestro.
Lo que falta y estamos construyendo: que el propio panel muestre por qué el agente calificó o movió a alguien. Las señales ya se guardan; todavía no están a la vista.
Fundamento: Ley 21.719, art. 8 bis: derecho a explicación, a intervención humana y a revisión de la decisión automatizada.
6. Dónde se tratan los datos, y a quién salen
Los datos se procesan fuera de Chile. Las dos bases de datos están alojadas en Estados Unidos, en la región de Oregón, y los modelos de inteligencia artificial, la mensajería y el correo también son proveedores internacionales.
Decirlo importa porque la versión anterior de este documento afirmaba lo contrario. No existe hoy una alternativa equivalente alojada íntegramente en Chile, y ocultarlo no cambiaría el hecho.
La lista completa de proveedores que reciben datos —con el país, para qué, y en qué estado está el acuerdo con cada uno— se publica por separado y se mantiene atada al código: si aparece un destino nuevo sin declarar, la verificación del repositorio falla. Esa lista dice también, sin adornos, que ningún acuerdo de tratamiento está firmado todavía.
Fundamento: Ley 21.719, art. 14 ter: transferencias internacionales y el mecanismo que las habilita.
7. Los datos de pago
El cobro de la suscripción lo procesa un proveedor de pagos, al que se le entrega lo necesario para cobrar: quién paga, su correo de facturación y el detalle de la transacción.
Los datos de la tarjeta se entregan directamente a ese proveedor y no pasan por Kronozz. Se verificó en la base de datos que no existe ninguna columna que guarde un número de tarjeta ni su código de verificación. De la suscripción se conserva únicamente el identificador de cliente que el procesador devuelve, que permite cobrar el período siguiente y no sirve para reconstruir el medio de pago.
El procesador de pagos no recibe ningún dato de los clientes finales de un negocio: la relación de cobro es entre Kronozz y el negocio que contrata.
8. Elección de proveedor y cambios futuros
Algunos servicios admiten más de un proveedor. El modelo de inteligencia artificial con el que responde el agente es el caso más claro: hay varios declarados y un negocio puede pedir que el suyo funcione con uno concreto, por preferencia técnica, por costo o porque su propio cliente se lo exige. Todos reciben lo mismo y todos procesan fuera de Chile; cambiar de proveedor cambia a quién se envían los datos, no qué se envía.
Lo mismo vale para los servicios que un negocio conecta por su cuenta —agenda, hojas de cálculo, archivos, su tienda en línea—: se declara la familia completa del proveedor y no solo el producto que use hoy, de modo que sumar otro no obligue a esperar una actualización del papeleo para poder empezar.
Hay además un caso distinto que conviene separar: la plataforma puede conectarse a la API que el negocio le indique —su propio sistema de gestión, su sitio web, su sistema de reservas— y ahí los datos no salen hacia un proveedor que elegimos nosotros, sino de vuelta hacia el propio negocio o hacia un tercero que él contrató. En esos casos quien responde por ese sistema es el negocio que lo eligió; nosotros entregamos los datos a donde su dueño indica. El destino concreto de cada negocio queda registrado en su configuración.
Cuando incorporemos un proveedor nuevo, se declara antes de que reciba datos y se avisa con al menos 30 días de anticipación; quien no esté de acuerdo puede terminar el contrato sin penalización dentro de ese plazo. La única excepción es el reemplazo de urgencia, cuando un proveedor deja de funcionar de un día para otro: ahí el aviso sale apenas ocurre, porque mantener el servicio caído para cumplir un plazo perjudicaría más que el propio cambio.
La lista completa, con quién recibe qué y en qué país, se publica aparte y se mantiene atada al código.
Fundamento: Ley 21.719, art. 15 bis: la subcontratación requiere autorización escrita del responsable.
9. Cómo se protegen, y qué falta
Estas son las medidas que existen y se pueden mostrar. La versión anterior declaraba certificaciones y controles que no tenemos, y esa clase de afirmación se vuelve en contra en cuanto alguien la revisa.
Lo que hay:
- Cifrado del tráfico en tránsito y cifrado en reposo provisto por la infraestructura.
- Aislamiento entre negocios aplicado en la propia base de datos: cada consulta va acotada al negocio que la hace, no por confianza en la interfaz.
- Archivos en almacenamiento privado, entregados solo a un usuario con sesión que pertenece al negocio dueño del archivo.
- Permisos por rol y por usuario dentro de cada negocio.
- Los datos de costo interno de la plataforma están revocados columna por columna, incluso para usuarios con sesión válida.
- Bloqueo en la propia base del envío de comunicación comercial sin consentimiento registrado, y del envío fuera del horario permitido en la hora local de quien recibe.
- Registro de cada bloqueo, con el motivo, disponible para el negocio.
Lo que todavía no hay, y por eso no se declara:
- No tenemos SOC 2, ISO 27001 ni ninguna otra certificación de seguridad, ni auditoría externa periódica.
- No hay autenticación multifactor en el panel.
- No hay sistema de detección de intrusiones ni programa formal de capacitación.
- No tenemos todavía la constancia documentada de las medidas de nuestro proveedor de infraestructura, que la ley obliga a poder mostrar.
Fundamento: Ley 21.719, art. 14 quinquies: acreditar que las medidas de seguridad existen y funcionan es carga del responsable.
10. Cuánto tiempo se conservan
El estado honesto: hoy hay dos borrados automáticos en funcionamiento, el de los resultados de exámenes y el de las solicitudes de demo. Del resto de los datos se conserva todo mientras la cuenta esté activa. Los plazos de abajo son los que estamos implementando, y decimos cuáles ya corren y cuáles no.
Los plazos dependen de la finalidad. A los 24 meses una tarea diaria elimina de la solicitud comercial el nombre, correo, teléfono, empresa, calificación y atribución, y conserva únicamente la prueba mínima del consentimiento y del estado comercial. El contacto se anonimiza si no avanzó, se marcó perdido o su seguimiento lleva 24 meses sin una transición; se conserva cuando existe una relación contractual o seguimiento comercial reciente.
| Qué | Cuánto | ¿Se ejecuta hoy? |
|---|---|---|
| Resultados de exámenes clínicos | Se resume y se destruye el archivo original tras el plazo configurado | Sí, con una tarea diaria automática |
| Datos de la cuenta del negocio | Mientras la cuenta esté activa, y 30 días después para exportar | Manual al terminar el contrato |
| Conversaciones y contactos | Mientras el negocio los mantenga; se borran cuando él lo pide | A petición, desde el propio panel |
| Registro de consentimiento | Se conserva como prueba de licitud del tratamiento | Permanente por diseño |
| Datos personales, calificación y atribución de una solicitud de demo | 24 meses desde la solicitud | Sí, se purgan con una tarea diaria automática |
| Identificador técnico seudonimizado para limitar abuso | Hasta 48 horas | Sí, se elimina durante el control de solicitudes |
| Registro de bloqueos de envío | Pendiente de definir plazo | Sin borrado automático todavía |
| Copias de seguridad | Según la política del proveedor de infraestructura | Del proveedor, no nuestro |
Fundamento: Ley 21.719, art. 14 ter: plazo de conservación de los datos.
11. Sus derechos y cómo ejercerlos
Toda persona puede pedir acceso a sus datos, su rectificación, su supresión, oponerse al tratamiento, pedir que se bloquee y llevárselos en un formato reutilizable.
Si sus datos los tiene un negocio que usa Kronozz, quien decide sobre ellos es ese negocio: lo más rápido es dirigirle la solicitud a él. Si prefiere hacerlo a través nuestro, escriba a privacidad@kronozz.com y la trasladamos, ayudando a que se cumpla.
Plazo: respondemos dentro de los 30 días corridos que fija la ley, prorrogables por otros 30 cuando la solicitud sea compleja, avisando de la prórroga. La versión anterior prometía 15 días hábiles y 48 horas para urgencias; hoy no existe el mecanismo que permita sostener esos plazos, y prometer lo que no se cumple es peor que declarar el plazo legal.
También puede reclamar ante la autoridad de control competente en su país. En Chile, ante la Agencia de Protección de Datos Personales una vez que entre en funciones.
Para dejar de recibir comunicación comercial no hace falta ningún trámite: basta con pedirlo por el mismo canal, de cualquier forma razonable —«no me escribas más» sirve—, y se aplica en el plazo más breve posible.
Fundamento: Ley 21.719, art. 11: los derechos se responden en 30 días corridos, prorrogables por 30.
12. Seguimiento de aperturas, cookies y almacenamiento del navegador
Cuando un negocio envía un correo desde Kronozz, el mensaje incluye una imagen invisible que permite saber si se abrió, y se registra el momento y el programa de correo usado. Eso es seguimiento y hay que decirlo: la política anterior no lo mencionaba.
Los enlaces de esos correos pueden llevar un identificador que permite saber si se hizo clic. No se usa para construir perfiles fuera de la relación con ese negocio.
Sobre el sitio y el panel, lo que corresponde decir es más simple de lo que suele decirse: no ponemos ninguna cookie. No hay analítica de terceros, ni píxeles de publicidad, ni herramientas de grabación de sesión. Lo que sí usamos es almacenamiento del navegador, que no viaja al servidor en cada petición y que se borra vaciando los datos del sitio.
Durante una visita pública guardamos en sessionStorage —solo mientras esa pestaña está abierta— la primera página de entrada, el dominio de referencia, los parámetros UTM y la fecha de entrada. Si la persona solicita una demo, se agrega la página de conversión y esos datos se envían junto con el formulario al CRM interno de ventas. No se crea un identificador publicitario ni seguimiento entre sitios.
Para frenar abuso se deriva un identificador técnico seudonimizado con una sal del servidor. La IP sin procesar no se guarda ni se registra y el identificador se conserva por un máximo de 48 horas.
Lo necesario para que el panel funcione:
- La sesión de cada uno de los dos proyectos de base de datos, que es lo que mantiene a alguien dentro sin volver a escribir la contraseña.
- La empresa activa y, para nuestro personal autorizado, si está actuando en modo de administración.
- El momento de la última actividad, para cerrar la sesión sola cuando queda abierta.
- Un valor de un solo uso durante una conexión con Google u otro proveedor, para comprobar que la respuesta corresponde a la petición que se hizo.
- El plan elegido mientras se completa una contratación.
Preferencias, que solo afectan cómo se ve:
- El tema claro u oscuro y el idioma.
- Si el menú lateral está plegado.
- Si se aceptaron las notificaciones del navegador y las del embudo.
Fundamento: Corrige la versión anterior, que decía que el sitio «usa las cookies necesarias para funcionar»: no usa ninguna. Declarar cookies que no existen es tan inexacto como callar las que sí, y en este caso además renuncia a decir algo que juega a favor.
13. Cuando una autoridad pide datos
Puede ocurrir que un tribunal, un organismo público o una autoridad extranjera nos requiera información. Es una de las pocas situaciones en que datos de un negocio o de sus clientes salen de la plataforma sin que el negocio lo haya pedido, así que corresponde decir exactamente cómo se maneja.
Solo entregamos datos cuando existe una orden válida, dictada por una autoridad con competencia sobre nosotros y por el canal formal correspondiente. Un correo pidiendo información, aunque venga con membrete, no es una orden.
Cada requerimiento se revisa antes de responder: se comprueba la competencia de quien lo emite, se limita la entrega a lo estrictamente pedido —nunca se entrega la base entera cuando piden un dato— y se rechaza o se impugna lo que exceda el marco legal o resulte manifiestamente desproporcionado.
Cuando el requerimiento afecte datos que tratamos por cuenta de un negocio, se lo avisamos antes de entregar nada, para que pueda oponerse por sus propios medios. La única excepción es que la ley nos prohíba avisar, y en ese caso lo avisamos apenas la prohibición se levante.
De cada requerimiento recibido queda constancia interna con su fecha, su origen, qué se pidió y qué se entregó.
Fundamento: Restituye una sección que la política anterior sí tenía y que se perdió al reescribirla. Es además un requisito habitual para los proveedores tecnológicos que operan sobre plataformas de mensajería de terceros.
14. Cómo reportar una falla de seguridad
Si alguien encuentra una vulnerabilidad en Kronozz, queremos enterarnos por esa persona antes que por un incidente. Escribir a seguridad@kronozz.com con lo necesario para reproducirla es suficiente; no hace falta ser cliente.
Nos comprometemos a acusar recibo dentro de 3 días hábiles, a informar qué encontramos y, cuando corresponda, a reconocer públicamente a quien reportó si así lo prefiere.
No emprenderemos acciones legales contra quien investigue de buena fe, respetando tres límites: no acceder a datos de terceros más allá de lo mínimo para demostrar la falla, no degradar el servicio ni intentar denegarlo, y no divulgar el hallazgo hasta que esté corregido o hayan pasado 90 días desde el reporte.
No tenemos un programa de recompensas. Decirlo por adelantado es más honesto que dejar que alguien lo asuma.
15. Niños, niñas y adolescentes
Kronozz no está dirigido a menores de edad: quien contrata la plataforma es una empresa.
Los negocios que la usan sí pueden recibir mensajes de menores, sobre todo en el rubro educativo. En ese caso, tratar sus datos requiere la autorización del adulto responsable: en Chile por debajo de los 14 años y en Estados Unidos por debajo de los 13. La verificación corresponde al negocio, porque Kronozz no puede comprobar la edad de quien escribe.
Los datos de menores tienen protección reforzada, y una filtración que los afecte se notifica también a las personas involucradas.
Fundamento: Ley 21.719, art. 16 quáter, y COPPA en Estados Unidos.
16. Si ocurre una filtración
Ante una vulneración de seguridad que afecte datos personales, la notificamos a la autoridad de control sin dilaciones indebidas y dejamos constancia de lo ocurrido, de lo que se hizo y de sus efectos.
Cuando la filtración afecte datos sensibles —salud, entre otros— o datos de menores de 14 años, o cuando represente un riesgo alto, avisamos también a las personas afectadas.
Si la filtración ocurre en los datos que tratamos por cuenta de un negocio, se lo comunicamos a él sin demora para que pueda cumplir sus propias obligaciones.
Lo que falta: el registro formal de incidentes y el procedimiento escrito con responsables y plazos internos. Está en construcción.
Fundamento: Ley 21.719, art. 14 sexies: notificación de vulneraciones a la Agencia y, en su caso, a los titulares.
17. Chile, México y Estados Unidos
El servicio se ofrece hoy en Chile, México y Estados Unidos, y esta política se redactó contra los requisitos de esos tres países. La versión anterior asumía compromisos específicos para Colombia y Argentina, donde no operamos.
En Chile rige la Ley 21.719 sobre protección de datos personales a partir del 1 de diciembre de 2026, y hasta entonces la normativa anterior. Esta política ya está escrita contra la nueva.
En México aplican la legislación federal de protección de datos personales en posesión de particulares y los derechos de acceso, rectificación, cancelación y oposición.
En Estados Unidos, además de la normativa estatal de privacidad aplicable, rigen las reglas federales sobre mensajería comercial y correo electrónico, y las reglas específicas sobre menores de 13 años.
Si una persona se encuentra en otro país, respetamos los derechos que su legislación local le reconozca.
Fundamento: Ley 21.719, art. 1° bis: la ley se aplica a quien ofrece servicios a titulares en Chile, aunque no esté domiciliado en el país.
18. Cambios en esta política
Cuando esta política cambie de forma sustancial, avisamos con al menos 30 días de anticipación y pedimos que la acepten nuevamente antes de seguir usando el panel. Un cambio de redacción no bloquea a nadie.
Cada versión queda identificada por su número y su fecha, y se conserva el texto exacto de cada una: es lo que permite saber después qué decía la política que alguien aceptó.
19. Contacto
Privacidad y ejercicio de derechos: privacidad@kronozz.com. Reportes de uso indebido de la plataforma: abuso@kronozz.com. Fallas de seguridad: seguridad@kronozz.com. Asuntos contractuales: legal@kronozz.com.
Indicar en el asunto el país desde el que escribe ayuda a aplicar los plazos correctos, pero no es obligatorio ni condiciona la respuesta.