Política de privacidad

Esta política describe cómo Notta (operado por Emisso SpA, RUT 78.434.693-5) recolecta, usa, almacena y protege datos personales bajo la Ley 21.719 de Datos Personales de Chile, vigente desde el 1 de diciembre de 2026.

Aplica a usuarios del servicio Notta (interfaz web, API REST, MCP). Las obligaciones de la Ley 21.719 aplican a todas las empresas, incluidas las MIPYME, desde su entrada en vigencia el 1 de diciembre de 2026; para las empresas de menor tamaño, durante los primeros 12 meses la Agencia podrá aplicar amonestación en lugar de multa, lo que difiere la sanción pecuniaria pero no las obligaciones. En Notta cumplimos la normativa desde el día uno.

De ti (usuario administrador):

• Email + contraseña (almacenada con hashing seguro gestionado por Supabase Auth; nunca accedemos a tu contraseña en claro).
• RUT, razón social, dirección y giro de tu organización.
• Certificado digital .p12 (cifrado AES-256-GCM, envelope encryption con KEK/DEK por organización).
• CAFs y DTEs emitidos (con datos del receptor).
• Audit log de cada acción (con actor y hash chain SHA-256).
• Teléfono de contacto: te lo pedimos al crear tu empresa y lo usamos únicamente para acompañarte en la puesta en marcha ante el SII (WhatsApp o llamada). Es necesario para prestarte ese acompañamiento, así que no podemos eliminarlo mientras tu cuenta siga activa; sí puedes corregirlo o cerrar tu cuenta escribiendo a contacto@tryemisso.com. No lo usamos para marketing.

De receptores (cuando emites un DTE):

• RUT, razón social, dirección + giro del receptor.
• Detalle de los ítems facturados (descripción, montos).

Automáticamente, por el solo hecho de navegar:

• Dirección IP, navegador, sistema operativo, tipo de dispositivo y país aproximado.
• Páginas que visitas, clics y scroll, más la campaña o el enlace que te trajo.
• Grabación de tu sesión en notta.cl y en app.notta.cl. Lo que escribes en los campos de formulario se enmascara en tu navegador antes de salir, así que la grabación no contiene tu clave tributaria, tu RUT ni los montos que tecleas. El detalle está en el artículo 11.

Tratamos tus datos bajo las siguientes bases legales reconocidas por la Ley 21.719:

• Ejecución de contrato: firmar y enviar DTEs al SII en tu nombre, mantener tu cuenta operativa.
• Obligación legal: retener documentos tributarios por 6 años (Código Tributario) + mantener audit trail para fiscalización SII.
• Interés legítimo: seguridad del servicio, prevención de fraude, mejora del producto.
• Consentimiento: los formularios de contacto de notta.cl, con casilla no premarcada que tienes que marcar tú antes de enviar. Puedes retirarlo en cualquier momento escribiendo a contacto@tryemisso.com, sin que ello afecte la licitud del tratamiento realizado previamente (Art. 14 ter k).

Usamos tus datos exclusivamente para:

• Prestar el servicio (firmar DTEs, sincronizar con SII, calcular F29 propuesto).
• Procesar pagos vía MercadoPago.
• Enviar notificaciones operacionales (folios bajos, certificado por vencer, DTE rechazado).
• Cumplir obligaciones legales (retención SII 6 años).
• Soporte técnico (cuando contactes a contacto@tryemisso.com).
• Entender cómo se usa el producto y dónde se traba la gente: páginas vistas, embudos y grabaciones de sesión con los formularios enmascarados.
• Medir qué campaña publicitaria trajo a cada visitante del sitio público notta.cl.

No vendemos ni rentamos tus datos a terceros. Ni siquiera consideramos hacerlo.

DTEs + audit log: 6 años desde la emisión, por requerimiento del SII (Código Tributario Art. 17). Aplica incluso si cierras tu cuenta.

Datos de cuenta (email, org, certificado): mientras tu cuenta esté activa + 30 días posteriores al cierre, para permitir reactivación accidental.

Registros técnicos de la operación (peticiones a la API, métricas y los avisos automáticos que enviamos a tus sistemas): 90 días desde que se generan, para diagnosticar incidentes. Si un aviso quedó a la espera de entregarse, lo guardamos como máximo 180 días.

Compartimos datos con los siguientes encargados de tratamiento. Con cada uno mantenemos, o estamos formalizando, un acuerdo de tratamiento de datos que lo obliga a la confidencialidad y a usar la información solo para prestarnos el servicio:

• Supabase: infraestructura de base de datos + autenticación. Sirviendo desde us-east-1.
• Vercel: hosting del frontend + funciones serverless. Sirviendo desde us-east-1 (Estados Unidos).
• MercadoPago: procesamiento de pagos. Recibe email + razón social + montos, no recibe certificado ni DTEs.
• Resend: envío de emails transaccionales (notificaciones).
• PostHog: analítica de producto y grabación de sesión, tanto en notta.cl como en app.notta.cl. Recibe tu recorrido por las pantallas: páginas vistas, clics y scroll. El texto y las imágenes se enmascaran en tu navegador antes de salir, de modo que ni lo que escribes ni lo que se muestra en pantalla (tu clave tributaria, los RUT, los montos) viaja en la grabación. Dentro de app.notta.cl la grabación queda asociada a tu cuenta, para poder ayudarte cuando reportas un problema; en notta.cl es anónima. Sirviendo desde Estados Unidos.
• Meta y Google: medición de campañas publicitarias, solo en el sitio público notta.cl. Reciben identificadores de cookie y la página donde ocurrió la conversión, no tu RUT ni tu email. Sirviendo desde Estados Unidos.
• Slack: canal interno del equipo. Al crear tu empresa se abre un hilo privado con el nombre y RUT del emisor y los avances de tu puesta en marcha, para que soporte pueda ayudarte sin pedirte los datos de nuevo. Sirviendo desde Estados Unidos.

Además, los DTE firmados se transmiten al Servicio de Impuestos Internos (SII) como destinatario tributario por mandato legal; el SII no es un encargado de tratamiento de Notta.

Algunos proveedores almacenan datos fuera de Chile (Supabase, Vercel y Resend en us-east-1; PostHog, Slack, Meta y Google en Estados Unidos). Estados Unidos no cuenta con una declaración de nivel adecuado de protección, así que amparamos esos envíos en cláusulas contractuales modelo, y estamos completando esa formalización con cada proveedor antes de que la Ley 21.719 entre en vigencia el 1 de diciembre de 2026.

Agentes LLM conectados por MCP. Si conectas un agente (Claude, ChatGPT, Cursor o cualquier cliente MCP) a tu cuenta, los datos de tu empresa (el RUT y la razón social de tus clientes y proveedores, montos, folios y fechas) salen hacia el proveedor de ese agente, que puede procesarlos fuera de Chile. Es el titular quien elige y conecta su agente, de modo que Notta no es quien realiza esa transferencia: no elegimos el destinatario ni la finalidad del tratamiento posterior. El registro de clientes MCP es abierto por diseño, así que no podemos comprometer un país de destino.

Lo que sí hacemos, antes de que ocurra: la pantalla de autorización te dice qué app pide acceso y a qué dominio van los datos, enumera el alcance exacto que se concede (derivado del catálogo real de operaciones, no de un texto fijo) y distingue las apps que no podemos verificar. Puedes revocar cualquier app conectada en cualquier momento desde Ajustes → «Usa Notta desde tu agente de IA», y tu empresa puede apagar de una vez la escritura por MCP para todas ellas. Tu clave tributaria del SII y tus certificados de firma nunca salen por este canal.

Si esto te preocupa, podemos discutir una región Chile-residente para tu organización en el plan Pro: contacta a contacto@tryemisso.com.

Tienes los siguientes derechos sobre tus datos personales bajo la Ley 21.719:

• Acceso: conocer qué datos tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Cancelación: eliminar tus datos (sujeto al plazo SII de 6 años para DTEs).
• Oposición: oponerte a tratamientos basados en interés legítimo.
• Portabilidad: recibir tus datos en formato JSON/XML estructurado.
• Bloqueo: solicitar la suspensión temporal del tratamiento mientras se resuelve una solicitud de rectificación o supresión. Atendemos las solicitudes de bloqueo dentro de 2 días hábiles (Art. 8 ter).

Para ejercer cualquiera escribe a contacto@tryemisso.com. Respondemos dentro de 30 días corridos, prorrogables una sola vez por 30 días corridos adicionales cuando la complejidad lo justifique (Art. 11). El ejercicio de estos derechos es gratuito (Art. 10).

Medidas técnicas + organizativas que aplicamos:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256-GCM para certificados y claves tributarias, envelope encryption con KEK/DEK por organización; llave maestra gestionada fuera de la base de datos).
• RLS (Row-Level Security) en Postgres: cada org sólo ve sus propios datos. Defense-in-depth en cada repo.
• Audit log con hash chain SHA-256: cualquier alteración de una fila pasada es detectable.
• API keys almacenadas sólo como hash SHA-256. Headers de seguridad HTTP (CSP, HSTS).
• Acceso de staff bajo privilegio mínimo, con revisión periódica de accesos.
• Rotación de llaves soportada por diseño (envelope encryption).
• Evaluaciones de seguridad de terceros planificadas antes de la disponibilidad general. Canal de reporte responsable de vulnerabilidades: contacto@tryemisso.com.

Si detectamos una brecha de seguridad que comprometa tus datos personales, te notificaremos por email sin dilaciones indebidas tras tomar conocimiento de la brecha, y notificaremos a la Agencia de Protección de Datos Personales cuando corresponda (Ley 21.719, Art. 14 sexies).

El email incluirá: alcance de la brecha, datos afectados, acciones tomadas, recomendaciones para el usuario.

Usamos cookies estrictamente necesarias para el funcionamiento del servicio (sesión, CSRF, preferencias).

En el sitio público notta.cl usamos además cookies de medición publicitaria: el pixel de Meta (_fbp, _fbc) y Google Analytics 4 + Google Ads (_ga, _gcl_*). Sirven para saber qué campaña te trajo. Hoy se cargan en toda visita; el banner de consentimiento que las va a condicionar entra antes del 1 de diciembre de 2026, junto con la vigencia de la Ley 21.719. Mientras tanto puedes oponerte escribiendo a contacto@tryemisso.com y dejamos de cargarlas para ti. Estas cookies no existen dentro de app.notta.cl.

Para métricas anonimizadas usamos Vercel Web Analytics, sin cookies, sin datos de sesión, agregación a nivel de país/dispositivo.

Usamos además PostHog para ver dónde se traba la gente, en notta.cl y en app.notta.cl. Deja cookies propias (ph_*) y graba tu recorrido por la pantalla: páginas vistas, clics y scroll. Los campos de formulario se enmascaran en tu navegador antes de salir, así que la grabación no contiene lo que escribiste. Para dejar de ser grabado, escríbenos por el canal ARCOP del artículo 8 y bloqueamos tu captura.

Notta es un servicio B2B y no está dirigido a menores de 18 años. No recolectamos datos de menores conscientemente. Si descubres que un menor entregó datos, contáctanos y los eliminaremos.

Para consultas de privacidad o ejercer derechos ARCOP:

• Encargado de Protección de Datos (DPO): contacto@tryemisso.com
• Soporte general: contacto@tryemisso.com
• Seguridad / divulgación responsable: contacto@tryemisso.com

Si no estás conforme con nuestra respuesta, puedes presentar un reclamo ante la Agencia de Protección de Datos.