1. Responsable y ámbito
PerimetroX SpA, RUT 78.441.124-9, con domicilio informado en Santiago de Chile y representante informado Andrés Rojas, es responsable de los datos que trata para administrar el sitio y sus propias relaciones comerciales, de seguridad y prestación. Cuando procese datos por cuenta de un Cliente, su rol se determina según quién decide los fines y medios del tratamiento, como se explica más adelante. El canal de privacidad y contacto es [email protected].
Esta Política cubre el sitio público, consultas y cotizaciones, contratación, comunicaciones operativas, acceso al portal, soporte y los datos tratados durante los servicios EASM. No reemplaza las instrucciones ni los documentos particulares que regulen datos tratados por cuenta de un Cliente.
2. Marco temporal y legal
A la fecha de esta versión, 14 de octubre de 2026, se encuentra vigente la Ley N.º 19.628 en su texto aplicable hasta el 30 de noviembre de 2026. La Ley N.º 21.719 fue publicada y su entrada en vigor está diferida al 1 de diciembre de 2026. Por ello, los derechos y procedimientos vigentes hoy se distinguen de los cambios futuros indicados en esta Política. PerimetroX debe revisar y adaptar esta información y sus procesos antes de esa fecha.
La Política también considera, según corresponda, las normas chilenas sobre contratación, consumo, ciberseguridad y delitos informáticos. La aplicación de una norma sectorial depende de sus supuestos legales; esta Política no declara que PerimetroX tenga una calidad regulatoria o certificación no comprobada.
Fuentes: Ley N.º 19.628 vigente a la fecha de esta versión y Ley N.º 21.719, con vigencia diferida.
3. Datos y fuentes
- Consultas y cotizaciones: nombre, correo, empresa, dominio o activo propuesto, interés, mensaje y datos de atribución comercial que acompañen una solicitud. Los campos efectivamente disponibles dependen del formulario utilizado.
- Contratación y administración del servicio: datos de contacto y organización, identificación y cargo de representantes cuando se soliciten, alcance autorizado, oferta y documentos aceptados, órdenes de compra, comprobantes o referencias de pago cuando se remitan, y datos necesarios para facturación y coordinación.
- Evaluación EASM: dominios, direcciones IP, subdominios y activos relacionados; registros DNS; información de puertos, servicios, certificados TLS, respuestas HTTP, rutas, endpoints, configuración y hallazgos observables, además de evidencias y datos necesarios para preparar los entregables.
- Portal y acceso: identidad de correo entregada por el proveedor de autenticación, asignación de cliente y rol, eventos técnicos de acceso y solicitud que se registren, y datos que el usuario envíe en soporte o encuestas. Una preferencia de dominio seleccionada en el dashboard se guarda en el almacenamiento local del navegador.
- Comunicaciones y seguridad: dirección de correo destinataria, contenido y metadatos de mensajes transaccionales, códigos o enlaces privados que se envían, señales antiabuso y datos técnicos de las solicitudes, como dirección IP o agente de usuario cuando el flujo los recibe o registra.
Los datos pueden provenir directamente de la persona, del Cliente que solicita o administra el servicio, de los sistemas externos incluidos en el alcance autorizado, de consultas técnicas a fuentes públicas o de proveedores que permiten operar el sitio y el portal.
4. Finalidades y fundamento
| Tratamiento | Finalidad | Fundamento aplicable |
|---|---|---|
| Contacto y cotización | Responder la solicitud, preparar una oferta y dar seguimiento a la gestión pedida. | El consentimiento expreso e informado que corresponda al formulario y a su finalidad, o la autorización legal aplicable. |
| Contratación y prestación | Formalizar el alcance, coordinar el análisis, producir entregables y habilitar los accesos contratados. | El consentimiento o autorización legal que corresponda al tratamiento de datos personales. Las instrucciones del Cliente delimitan el alcance técnico, pero no reemplazan por sí solas la autorización exigida por la ley. |
| Pago y facturación | Verificar el pago remitido, mantener registros de la operación y cumplir obligaciones tributarias. | La autorización legal aplicable, incluida la exigida para obligaciones tributarias; la contratación identifica la operación, pero no se presenta por sí sola como autorización legal. |
| Acceso, soporte y seguridad | Verificar identidad y permisos, entregar funciones privadas, atender incidencias y prevenir usos abusivos. | El consentimiento o autorización legal que corresponda y las obligaciones de seguridad aplicables, limitado a la finalidad informada. |
| Atribución comercial | Asociar a una solicitud el canal de origen que se capturó en el navegador. | Se remite únicamente junto con la solicitud comercial que la persona decide enviar. |
Hasta el 30 de noviembre de 2026, el artículo 4 de la Ley N.º 19.628 vigente exige que el tratamiento esté autorizado por ley o cuente con el consentimiento expreso que corresponda, informado respecto de su propósito. Por eso, el contrato con una organización, el interés comercial o la disponibilidad pública de un dato no se presentan aquí como una autorización general ni como una base autónoma equivalente al régimen futuro. Cuando se invoque consentimiento, su alcance debe quedar documentado para la finalidad correspondiente y su revocación produce efectos hacia el futuro, conforme a la ley.
En particular, la aceptación del Cliente autoriza el servicio solo dentro del alcance aceptado. No reemplaza automáticamente el consentimiento o la autorización legal que pudiera requerirse respecto de datos personales de otras personas que aparezcan en activos evaluados. Los registros de aceptación de términos o privacidad pueden contener la identidad asociada, la versión del documento y la fecha de aceptación, con el fin de acreditar el acto cuando corresponda; no se utilizan para inferir una aceptación que no ocurrió.
5. Datos visibles en la superficie externa
Una evaluación puede encontrar nombres, correos u otros datos personales publicados en activos de la organización evaluada. Que un dato sea accesible desde Internet no significa que quede autorizado para cualquier uso ni que su titular haya consentido otros fines.
PerimetroX limita el tratamiento a la finalidad técnica del servicio, al alcance autorizado y a las instrucciones que correspondan. El Cliente debe contar con facultades para instruir el análisis y colaborar en la determinación de la base jurídica y las medidas aplicables respecto de información de terceros. La autorización técnica para evaluar un activo no elimina los derechos de sus titulares.
Si una persona solicita ejercer derechos sobre datos tratados por cuenta de un Cliente, PerimetroX podrá derivar la solicitud al Cliente que determine la finalidad de ese tratamiento y prestarle la asistencia que corresponda conforme a los documentos vigentes.
6. Roles según el tratamiento
PerimetroX determina las finalidades de los datos que recibe para administrar su sitio, responder consultas, gestionar sus relaciones comerciales, proteger accesos y cumplir obligaciones propias. Respecto de ciertos datos técnicos o personales procesados durante una evaluación solicitada por un Cliente, PerimetroX puede operar siguiendo el alcance e instrucciones del Cliente, que determina el objetivo de esa evaluación.
El rol jurídico concreto depende de quién decide las finalidades y medios esenciales del tratamiento. No todas las relaciones tienen necesariamente el mismo rol y esta Política no afirma que exista un acuerdo de tratamiento de datos (DPA) firmado con cada Cliente. Las responsabilidades, instrucciones, subencargados, transferencias y medidas específicas deben constar en los documentos de la contratación cuando resulte necesario.
7. Proveedores y destinatarios
| Proveedor o grupo | Intervención comprobada | Información que puede intervenir |
|---|---|---|
| Cloudflare | Entrega del sitio y funciones de edge, control de acceso, mitigación antiabuso, base de datos y almacenamiento de archivos según el flujo. | Solicitudes, señales técnicas, identidad y datos del portal o archivos que el servicio requiera. |
| Resend | Envío de correos operativos o transaccionales. | Dirección destinataria, contenido del correo y, según el flujo, enlace privado, código o información de coordinación. |
| Google Gemini API | Análisis asistido por IA cuando está habilitado en una ejecución. | Entradas técnicas delimitadas para el módulo: identificadores de host o IP, servicios, TLS, rutas, endpoints, resultados y hallazgos; véase la sección 8. |
| Google o Microsoft | Proveedor de identidad seleccionado para el acceso federado de clientes, según la opción habilitada. | Datos de autenticación procesados por el proveedor y la afirmación de identidad que Cloudflare Access entrega al portal. |
| Google Fonts | Entrega de tipografías externas cuando una página carga sus hojas de estilo. | La solicitud del navegador y sus metadatos de red; el código no envía a Google los campos de los formularios por esta solicitud. |
| Fuentes y servicios técnicos externos | Resolución, consulta o verificación técnica según los pasos de la evaluación. | El dominio, IP u objetivo consultado que resulte necesario para la solicitud. Los proveedores concretos pueden variar por técnica y no existe un inventario único confirmado para todos los modos. |
El flujo de pago revisado utiliza comprobantes y revisión operativa; no se identificó una pasarela de tarjetas integrada en el sitio. Si una persona paga mediante su banco, la entidad financiera trata la operación bajo sus propios términos. El código de consulta de tipo de cambio realiza solicitudes a fuentes públicas sin incluir campos de contacto o del cliente.
Los destinatarios adicionales podrán ser asesores profesionales, autoridades o tribunales cuando sea necesario para la finalidad, exista una obligación legal o el Cliente lo haya instruido válidamente. No se publican datos de clientes.
8. Análisis asistido por inteligencia artificial
Algunas etapas del análisis pueden utilizar Google Gemini API cuando esa capacidad está habilitada para la ejecución. El código construye entradas específicas a partir de resultados EASM: según el módulo pueden contener dominios o hosts, direcciones IP, puertos y servicios, metadatos TLS, rutas, endpoints, parámetros, hallazgos o fragmentos técnicos. Un módulo que revisa archivos JavaScript puede incluir contenido clasificado por el motor como secreto potencial. El contenido enviado depende del módulo y de los datos encontrados; no significa que en todas las ejecuciones se envíe el reporte completo.
Esta comunicación es externa a la infraestructura de PerimetroX. Antes de compartir información de un Cliente deben aplicarse el alcance, las instrucciones y las obligaciones contractuales correspondientes. PerimetroX no afirma aquí una región de procesamiento, un plazo de retención, una exclusión de entrenamiento ni una garantía contractual uniforme del proveedor: esas condiciones dependen del producto, cuenta y términos vigentes de Google y deben validarse para la operación concreta.
Si la ejecución no cuenta con el proveedor o configuración de IA disponible, el código contempla rutas de análisis determinista o la omisión de módulos asistidos según el caso.
9. Transferencias internacionales
Los proveedores globales indicados pueden procesar solicitudes o información en infraestructura ubicada fuera de Chile, según el servicio, su configuración y sus términos. La ubicación efectiva, las entidades receptoras y los mecanismos contractuales o legales aplicables no son iguales para todos los proveedores y no se afirman como verificados de forma uniforme en esta Política.
PerimetroX debe limitar los datos compartidos a lo necesario y verificar antes de cada uso las condiciones aplicables al proveedor y a la contratación. Cuando corresponda, los documentos del Cliente deben establecer las instrucciones y salvaguardas exigibles. Esta declaración no representa una certificación de adecuación ni afirma el uso de cláusulas contractuales específicas.
10. Conservación y eliminación
No existe un único plazo calendario que pueda aplicarse a todos los registros del sitio, clientes, evaluaciones y respaldos. La conservación depende de la finalidad, el estado de la contratación, la modalidad aceptada, las obligaciones tributarias y otras exigencias legales, las necesidades de acreditar una operación o defender derechos, y las instrucciones del Cliente cuando PerimetroX actúa por su cuenta.
La vigencia de un código o enlace de acceso limita su utilización; no equivale necesariamente al borrado físico inmediato de todo registro técnico asociado. Del mismo modo, eliminar o anonimizar información en sistemas activos no implica que desaparezca al instante de respaldos sujetos a ciclos de rotación. No hay un plazo único documentado para reportes y evidencias: cuando la oferta o el contrato aplicable establezca uno, ese plazo se aplica a la prestación correspondiente; en los demás casos, la conservación se determina conforme a la finalidad, las obligaciones legales y contractuales y las instrucciones válidas del Cliente, y la información se suprime, anonimiza o bloquea cuando deja de ser necesaria, de acuerdo con la ley y los ciclos de respaldo aplicables.
La atribución comercial del navegador se describe en la Política de Cookies. Si se envía junto con una solicitud, la información recibida forma parte del registro de esa gestión y no se rige por el plazo local del navegador.
11. Derechos y solicitudes
Hasta el 30 de noviembre de 2026 se aplica el texto vigente de la Ley N.º 19.628. En sus condiciones legales, la persona puede solicitar información sobre datos personales que le conciernan y su fuente, finalidad o destinatarios, así como su modificación, eliminación o bloqueo cuando proceda. La ley vigente también regula el reclamo judicial frente a ciertos rechazos o falta de respuesta.
La Ley N.º 21.719 entrará en vigor el 1 de diciembre de 2026. Desde esa fecha incorporará, según sus requisitos y excepciones, derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y el nuevo marco institucional. Esta Política se actualizará antes de su entrada en vigor para reflejar el procedimiento operativo y la autoridad competente que corresponda. No se presentan esos derechos futuros como plenamente vigentes en la fecha de esta versión.
Para presentar una solicitud, escribe a [email protected] e indica el dato o tratamiento al que se refiere y un medio razonable para verificar tu identidad. No incluyas contraseñas, códigos de un solo uso ni secretos. Si PerimetroX actúa por cuenta de un Cliente respecto de los datos consultados, podrá derivar la solicitud a ese Cliente y colaborar conforme al régimen aplicable. Se responderá según los plazos y procedimientos legales vigentes; no se aplica por analogía un plazo de otra jurisdicción.
12. Seguridad e incidentes
El sitio y el portal incorporan controles de identidad y autorización, separación de acceso por cliente en funciones protegidas, comunicaciones HTTPS y medidas de seguridad y antiabuso proporcionadas por la infraestructura utilizada. El alcance concreto de las medidas depende del componente y de su configuración. No se afirma una certificación, auditoría independiente, cifrado de cada dato en reposo ni seguridad absoluta que no haya sido acreditada.
Si un incidente afecta datos personales, PerimetroX evaluará su alcance y adoptará las acciones de contención y comunicación que exijan la ley aplicable, los compromisos contractuales y las circunstancias. Esta Política no inventa un plazo universal de 72 horas ni un deber ante una autoridad cuya competencia aún no esté vigente para el hecho.
13. Menores
Los servicios EASM y el portal están orientados a organizaciones y profesionales, no a menores. Los formularios no están diseñados para recopilar intencionalmente datos de menores. Si un representante legal advierte que un menor envió información, puede contactarnos para que revisemos el caso conforme a la ley aplicable.
14. Cookies y almacenamiento
La página Política de Cookies diferencia cookies gestionadas por los servicios de seguridad, almacenamiento del navegador, sesiones de pestaña y solicitudes de recursos externos. La atribución local no es una cookie y el almacenamiento local del dashboard puede guardar la selección de dominio. La Política no declara que exista un panel de consentimiento o preferencias si la interfaz no lo ofrece.
15. Cambios y vigencia
Esta Política puede actualizarse si cambian las operaciones o las normas aplicables. La versión y fecha se publican en esta página. Los cambios no alteran retroactivamente los consentimientos registrados ni sustituyen la aceptación que un flujo o la ley requieran.
16. Contacto
Consultas y solicitudes de privacidad: [email protected].
La aplicación de la Ley N.º 21.663 de ciberseguridad depende de sus criterios legales de servicio esencial y de una calificación de operador de importancia vital cuando corresponda. Prestar servicios de ciberseguridad no permite presumir por sí solo que PerimetroX tenga esa calidad.