Política de privacidad

Normai SpA, RUT 78.489.631-5, con domicilio en Morandé 805, oficina 508, Santiago, Región Metropolitana. Su representante legal es Francisco Ricardo Muñoz González.

Para todo lo relacionado con esta política, incluido el ejercicio de tus derechos, el canal es privacidad@normai.cl, o el domicilio postal indicado arriba.

Normai no ha designado un delegado de protección de datos ni un encargado de prevención de infracciones. Si lo hace, esta política lo dirá con nombre.

Cuando visitas este sitio o usas el portal, Normai es el responsable del tratamiento y esta política es la que rige.

Cuando Normai presta el servicio a una empresa cliente y trata datos de las personas de esa empresa, Normai es encargado y actúa por instrucción del cliente, que es quien responde frente a esas personas. Esa relación se rige por el contrato del artículo 15 bis, no por esta página. Si tus datos llegaron a Normai por esa vía, la política que te aplica es la de esa empresa.

La base general del tratamiento es el consentimiento (artículo 12). Cuando ya existe un contrato de servicio, el tratamiento necesario para ejecutarlo se apoya en el artículo 13.

Las páginas públicas de este sitio no instalan ninguna cookie. No hay analítica, ni píxeles publicitarios, ni redes sociales incrustadas. Está medido, no declarado: se comprueba cargando normai.cl en un navegador limpio y mirando qué queda.

Hay un único recurso de terceros en todo el sitio, y sólo en las páginas del diagnóstico: el componente de Cloudflare Turnstile que comprueba que la petición no viene de un programa automático. Se carga desde challenges.cloudflare.com y existe porque el diagnóstico carga sitios ajenos a petición de cualquiera: sin esa comprobación, este servicio serviría para que un tercero hiciera que nuestros servidores golpearan los suyos. La portada, la política y el portal no lo cargan.

El portal de clientes sí usa cookies, y sólo las estrictamente necesarias para mantener tu sesión iniciada. Sin ellas no se puede saber que eres tú quien está leyendo un informe. No sirven para seguirte fuera de este sitio.

Normai no vende ni cede datos personales. Los comparte sólo con los proveedores que hacen funcionar el servicio, y cada uno los trata por instrucción de Normai:

Eso significa que hay transferencia internacional de datos, y conviene decirlo sin adornos. Los artículos 27 y 28 permiten estas transferencias cuando el país de destino ofrece un nivel adecuado de protección, o cuando existen garantías contractuales que lo suplen.

Conviene decir también qué sale y qué no. El grueso de tus datos se queda en Brasil: el sitio y el portal se ejecutan en São Paulo, y la base de datos —donde viven los correos de acceso, las empresas, los informes y las mediciones del diagnóstico— también. Lo que sí cruza a Estados Unidos es acotado y se puede nombrar: la dirección y el contenido de cada correo que te enviamos, que pasan por Resend, y tu dirección IP con las señales de tu navegador cuando pides un diagnóstico, que las recibe Cloudflare para decidir si la petición es de una persona.

Y una precisión que casi nadie hace y cambia el análisis: que un servidor esté en Brasil no convierte a su dueño en brasileño. Vercel y Supabase son sociedades estadounidenses, así que su personal puede acceder a esa infraestructura desde Estados Unidos. Por eso estas transferencias se apoyan en los contratos suscritos con cada proveedor y no en dónde está enchufada la máquina.

A esta fecha, la Agencia de Protección de Datos Personales todavía no ha declarado qué países tienen nivel adecuado, porque la ley aún no rige. Por eso estas transferencias se apoyan en los contratos de tratamiento suscritos con cada proveedor y en las cláusulas de protección que esos contratos contienen, no en una declaración de adecuación que hoy no existe.

El correo de acceso y los datos de tu empresa, mientras dure la relación de servicio.

Los informes de cumplimiento y las actas de conformidad se conservan como evidencia, y por eso son inmutables: no se editan ni se borran, porque un informe que se puede reescribir después de firmado no prueba nada. Si la medición cambia, se publica otro informe y el anterior queda como estaba.

Terminado el servicio, los informes y las actas se conservan mientras puedan ser exigidos como prueba de lo que se hizo, y se eliminan después. La eliminación es una operación deliberada de Normai, y queda registrada.

Las mediciones del diagnóstico gratis, y el correo de quien pidió recibir el informe, se conservan doce meses y después se eliminan. El plazo no es redondo por casualidad: doce meses es lo que permite comparar un sitio con su medición del año anterior, que es la única razón por la que vale la pena guardarlas. Al borrarse la medición se borra también el correo asociado.

Si prefieres que eliminemos tu correo antes de ese plazo, basta con pedirlo y se hace; no hace falta explicar por qué.

La suscripción a las novedades va por su cuenta y tiene tres plazos, porque son tres situaciones distintas. Si marcaste la casilla y nunca confirmaste, la dirección se borra a los treinta días: un correo sin consentimiento confirmado no es algo que debamos guardar. Si confirmaste, se conserva mientras sigas suscrito. Y si te das de baja, queda la constancia de esa baja —la dirección y la fecha— durante cuatro años, que es el plazo en que prescriben las acciones por infracción a la ley según el artículo 40: es lo que nos permite demostrar que dejamos de escribirte el día que lo pediste, y evitar que la dirección vuelva a entrar en la lista por descuido. Si prefieres que borremos también esa constancia, se borra.

Los registros técnicos del servidor los conserva el proveedor de alojamiento según sus propios plazos.

Las medidas de seguridad adoptadas son técnicas y organizativas, y éstas son las principales.

Todo el tráfico va cifrado con TLS. El acceso al portal es por enlace de un solo uso enviado a tu correo, sin contraseñas: no guardamos un activo que no necesitamos custodiar.

Quién ve qué lo decide la base de datos con políticas de seguridad a nivel de fila, y no la aplicación. La diferencia importa: una regla que vive en la base no se puede saltar desde el navegador aunque la aplicación tenga un error. Un usuario sin empresa asociada no obtiene un mensaje de error, obtiene cero filas.

Firmar un acta exige un rol específico, comprobado también en la base y no sólo en la interfaz.

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición y portabilidad, reconocidos en los artículos 4 y 5 a 9, y el de bloqueo temporal del artículo 8 ter.

Se ejercen escribiendo a privacidad@normai.cl. No cobramos por ello.

Respondemos dentro de 30 días corridos, prorrogables una sola vez por otros 30 corridos avisándote antes, tal como fija el artículo 11. Una solicitud de bloqueo temporal se responde en 2 días hábiles.

Si el tratamiento se apoya en tu consentimiento, puedes retirar el consentimiento cuando quieras, por un medio tan simple como el que usaste para darlo. La revocación no afecta lo que se hizo antes de ella.

Con la publicidad eso es todavía más simple, y conviene decirlo aparte. Contra el envío de novedades y cualquier otra comunicación comercial puedes oponerte sin dar razones, como reconoce el artículo 8 letra b) para el marketing directo. No se pondera contra ningún interés nuestro: se ejecuta. Cada correo de novedades lleva abajo un enlace que te da de baja con un clic, sin escribir a nadie y sin pasar por ninguna pantalla que te pregunte si estás seguro. También puedes pedirlo a privacidad@normai.cl, y si nos escribes a cualquier otra dirección también vale.

Si rechazamos tu solicitud, o si no te respondemos dentro del plazo, puedes reclamar ante la Agencia de Protección de Datos Personales. El plazo para hacerlo es de 30 días hábiles, y no depende de que nos hayas escrito antes.

El escáner calcula automáticamente un puntaje de cumplimiento. Ese puntaje se refiere a un sitio web, no a una persona, y no produce efectos jurídicos sobre nadie ni se usa para elaborar perfiles de personas.

La lógica es pública en su forma: se compara lo que el sitio hace al cargarse contra una lista de comprobaciones derivadas del articulado, y cada comprobación aporta un peso. Lo que el escáner no pudo verificar se informa como no concluyente y nunca como en regla, y lo que sólo consta por declaración del cliente viaja en una cifra separada que jamás se suma con lo medido.

De ti. Los que tratamos nos los entregas al pedir un diagnóstico, al entrar al portal o al firmar un acta.

La excepción es el resultado de un escaneo: proviene de lo que el sitio medido publica en internet, es decir, de una fuente de acceso público, y sólo se recoge lo que ese sitio expone por sí solo a cualquier visitante.

Si cambia, cambia su versión y su fecha, y la versión anterior deja de estar vigente desde ese momento. Los cambios que afecten a qué datos se tratan o para qué se avisan por correo a quienes tengan acceso al portal.

Versión 1.6, 10 de septiembre de 2026.