Política de Privacidad

1. Responsable, alcance y marco aplicable

Esta Política explica el tratamiento de datos personales realizado por EBIZ SpA, RUT N.° 77413352-6, representada legalmente por Fernando Ariel Canales Sandoval, con domicilio en Av. Apoquindo 6410, Of. 605, LAS CONDES, Chile (el “Responsable”), al operar Utomaki, sus cuentas, compras, servicios y canales de atención.

Se aplica a visitantes, compradores, titulares de cuentas, representantes, usuarios autorizados, prospectos y personas que se comunican con el Responsable. No se aplica a sitios o servicios de terceros que tengan su propia política y sean contratados directamente por la persona.

El tratamiento se rige por la Ley N.° 19.628 y demás normas chilenas vigentes. Desde el 1 de diciembre de 2026, esta Política y las operaciones a las que se refiere deberán interpretarse y ejecutarse conforme al régimen reformado por la Ley N.° 21.719. Si una norma aplicable reconoce una protección mayor, prevalece esa protección.

1.1 Proveedor tecnológico

El Responsable puede utilizar proveedores tecnológicos para alojar el Sitio, mantener cuentas y carritos, registrar compras, operar funciones contratadas y proteger la plataforma. Esos proveedores tratan los datos necesarios por cuenta del Responsable y conforme a sus instrucciones, sin perjuicio de las obligaciones legales y tratamientos propios que correspondan a cada uno por su función.

2. Datos tratados y fuentes

Las categorías dependen de la relación y de las funciones utilizadas:

• Identificación y contacto: nombre, apellidos, correo, teléfono, RUT y datos de representación.
• Dirección y entrega: calle, número, complemento, comuna, región, código postal, referencias, coordenadas aproximadas y sucursal seleccionada cuando sean necesarias.
• Cuenta y seguridad: identificador, credenciales protegidas, método de acceso, permisos, sesiones, dirección IP, navegador, dispositivo, fechas, actividad y eventos de seguridad.
• Compra y facturación: carrito, productos o servicios, cantidades, descuentos, entrega, estado de pago, boleta o factura, devoluciones, garantías y comunicaciones asociadas.
• Reservas y agenda: servicio, fecha, horario, zona horaria, ubicación, participantes, datos de contacto, comentarios, estado, invitaciones, videollamada y referencias de sincronización cuando se utiliza esa función.
• Pago: medio elegido, estado, referencias de conciliación y, si se inscribe una tarjeta, el identificador o token, tipo y últimos dígitos entregados por el procesador. El número completo y código de seguridad se ingresan directamente en el proveedor de pago.
• Atención y contenido: consultas, reclamos, archivos, reseñas, comentarios, preferencias y comunicaciones de soporte.
• Navegación y medición: páginas, interacciones, origen de visita, campañas y datos de cookies, solo en la medida indicada en tus preferencias.

Los datos se obtienen directamente cuando navegas, te registras, completas un formulario, compras, pagas o solicitas ayuda; de la empresa que te autoriza como usuario; de proveedores de autenticación o pago que eliges; de integraciones activadas; y automáticamente desde el dispositivo al usar el Sitio.

Si inicias sesión con Google, Facebook u otro proveedor, este mostrará qué datos compartirá. Para el acceso con Google recibimos el identificador de la cuenta, nombre, apellidos, correo y confirmación del correo; nunca la contraseña ni, por ese solo acceso, datos de Calendar, Ads, Drive u otros productos. Si entregas datos de otra persona, debes estar autorizado para hacerlo y haberle proporcionado la información exigida.

3. Finalidades y fundamentos

Tratamos los datos para:

• responder consultas, cotizar y adoptar medidas solicitadas antes de contratar;
• crear cuentas, autenticar usuarios, administrar permisos y recuperar accesos;
• mantener el carrito, calcular disponibilidad, precios, despacho y promociones;
• celebrar, confirmar y cumplir compras, reservas, servicios o suscripciones;
• procesar y conciliar pagos, emitir documentos tributarios, entregar y atender garantías o devoluciones;
• prestar soporte y enviar comunicaciones operativas;
• proteger cuentas, prevenir fraude y abuso, mantener trazabilidad e investigar incidentes;
• cumplir obligaciones legales y responder requerimientos válidos de autoridades;
• medir y mejorar el Sitio, preferentemente con datos agregados o anonimizados; y
• enviar publicidad o personalizar medición cuando exista autorización u otra habilitación legal y siempre con una forma expedita de suspenderla.

Hasta el 30 de noviembre de 2026, el tratamiento se sustenta en la autorización del titular o en otra habilitación prevista por la Ley N.° 19.628. Desde el 1 de diciembre de 2026, según cada finalidad, podrá sustentarse además en gestiones precontractuales solicitadas, la ejecución de una compra, cuenta o servicio, una obligación legal o intereses legítimos como seguridad y prevención de fraude, luego de ponderar los derechos de las personas.

Los campos identificados como obligatorios son necesarios para la finalidad indicada. Si no se proporcionan, puede ser imposible crear la cuenta, emitir el documento tributario, entregar o prestar lo solicitado. Los campos opcionales se distinguen en el formulario. Retirar una autorización afecta tratamientos futuros basados en ella, no los ya realizados lícitamente ni aquellos que deban continuar por contrato o ley.

4. Destinatarios, proveedores y transferencias

No vendemos datos personales. Podemos comunicarlos o permitir acceso limitado a:

• proveedores de alojamiento, infraestructura, seguridad, respaldo, correo, soporte y observabilidad;
• procesadores de pago, bancos y servicios antifraude para autorizar, registrar y conciliar operaciones;
• transportistas, puntos de retiro y proveedores logísticos para cumplir la entrega;
• servicios de autenticación, mapas, validación y prevención de abuso cuando utilizas una función que los requiere;
• Google, Meta y proveedores de analítica o publicidad solo después de aceptar esa categoría de cookies;
• integraciones activadas por el Responsable o el Cliente, como SII, calendarios, marketplaces, mensajería, correo o despacho;
• asesores sujetos a confidencialidad cuando sea necesario para cumplir obligaciones o defender derechos; y
• autoridades y tribunales frente a una obligación o requerimiento válido.

Algunos proveedores pueden tratar datos desde otros países. Cuando el Responsable determine una transferencia internacional, limitará los datos a lo necesario y aplicará las condiciones, contratos y garantías exigidos por la ley. Si una persona o Cliente contrata o activa directamente un tercero, también se aplicará la política de ese proveedor.

En una reorganización, fusión o transferencia del negocio, los datos podrán entregarse al sucesor únicamente para continuar las finalidades informadas, sujeto a confidencialidad, información al titular cuando corresponda y legislación aplicable. Para transferir datos obtenidos mediante las APIs de Google en ese contexto, se requiere además el consentimiento explícito previo del usuario; la aceptación general de esta Política no lo sustituye.

5. Servicios y datos de Google

5.1 Acceso con Google

El acceso con Google es voluntario y se utiliza para autenticar, registrar o vincular una cuenta. Conservamos los datos de identidad indicados en el artículo de datos y una huella irreversible del identificador externo delimitada para la aplicación OAuth correspondiente. La credencial recibida se valida con Google y no se reutiliza para acceder a otros servicios. Una identidad ya vinculada permite iniciar sesión; si el correo coincide con una cuenta existente, exigimos autenticación con un método actual y confirmación expresa antes de vincularla.

Los permisos de identidad openid, userinfo.email y userinfo.profile permiten reconocer la cuenta de Google y obtener su correo verificado, nombre y apellidos para esas funciones. No utilizamos esos datos de identidad para segmentar anuncios ni crear audiencias publicitarias. El permiso de perfil no implica que guardemos todos los datos que Google pueda incluir en la credencial: utilizamos los datos de identidad descritos, sin conservar una fotografía de perfil.

5.2 Reservas sincronizadas con Google Calendar

Cuando el Responsable habilita reservas y decide sincronizarlas con Google Calendar, comunicamos a Google los datos necesarios para comprobar disponibilidad y crear, consultar, actualizar o cancelar el evento correspondiente. Según la configuración del servicio, pueden incluir nombre y correo de los asistentes, fecha, horario, zona horaria, servicio reservado, ubicación, comentarios proporcionados para la reserva y enlace de videollamada. Google puede enviar invitaciones y actualizaciones a los asistentes identificados.

El Responsable determina qué calendario conecta, qué datos solicita para la reserva y si utiliza invitaciones o videollamadas; debe contar con una base lícita e informar a las personas involucradas. El proveedor tecnológico de la Plataforma ejecuta esa integración por cuenta del Responsable y conserva los identificadores y estados de sincronización necesarios para operar, evitar duplicados y mantener trazabilidad. Desconectar el calendario impide nuevas sincronizaciones, pero no elimina automáticamente los eventos ya creados ni los antecedentes de la reserva que deban conservarse.

5.3 Medición y seguridad

Google Analytics y las etiquetas de Google Ads reciben datos de navegación, campaña y conversión únicamente después de aceptar la categoría de analítica y publicidad. Google reCAPTCHA puede recibir señales técnicas y de interacción necesarias para evaluar fraude o abuso cuando se utiliza una función protegida. Estos tratamientos no permiten acceder a Calendar ni administrar una cuenta de Google Ads mediante OAuth.

Si aceptas la medición publicitaria y el Responsable la habilita, conservamos el identificador del clic de Google Ads y una referencia aleatoria del navegador para relacionar ese clic con un registro de cuenta, contacto o venta posterior. La referencia del navegador se utiliza durante hasta 90 días y queda limitada al sitio y a los datos de la empresa responsable. Esta medición permite evaluar los resultados de los anuncios; crear una cuenta o enviar un formulario no acredita por sí solo una oportunidad calificada ni una venta pagada.

Cuando el Responsable configura resultados comerciales, podemos comunicar a Google desde el servidor el identificador del clic, una referencia de la conversión, su fecha, moneda, valor y los datos de consentimiento necesarios. Los resultados pueden corresponder a contactos calificados o ventas pagadas; las correcciones y devoluciones pueden actualizar su valor o solicitar su retirada. No incluimos el nombre, correo ni teléfono en ese envío. Esos datos de contacto permanecen disponibles para el equipo autorizado del Responsable, conforme a las finalidades de atención y contratación informadas.

Puedes rechazar o retirar la medición desde las preferencias de cookies. Retirarla detiene nuevos envíos asociados a las referencias conservadas por ese navegador; no deshace los resultados que Google ya recibió ni elimina los antecedentes de cuenta, contacto, compra, pago o auditoría que deban conservarse conforme a esta Política. El envío desde servidor está sujeto a la misma aceptación de medición y no la sustituye ni la evita.

5.4 Uso limitado, comunicación y control

El uso y la transferencia a otras aplicaciones de la información recibida desde las APIs de Google cumplen la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado. Utilizamos esos datos y sus derivados solo para prestar o mejorar las funciones visibles que la persona o el Cliente habilitan. Solo los transferimos para esas funciones con el consentimiento del usuario, cuando sea necesario por seguridad o para cumplir la ley, o en una transferencia del negocio con el consentimiento explícito previo indicado en el apartado de destinatarios. Estas condiciones específicas prevalecen sobre las cláusulas generales de esta Política.

No vendemos los datos obtenidos mediante APIs de Google ni los cedemos a intermediarios de datos. No los utilizamos para servir publicidad personalizada, retargeting o determinar solvencia crediticia. No utilizamos ni autorizamos el uso de esos datos para desarrollar, mejorar o entrenar modelos generales o no personalizados de inteligencia artificial o aprendizaje automático. Esto también se aplica a los datos procedentes de Google Workspace, como Calendar. La administración de las campañas del Cliente y la medición consentida descritas anteriormente son funciones del servicio solicitado; no habilitan otros usos de los datos de identidad o calendarios para publicidad.

El personal y los proveedores no pueden leer datos obtenidos mediante APIs de Google salvo que el usuario haya dado previamente su consentimiento afirmativo para consultar los datos específicos, resulte necesario por seguridad, sea obligatorio por ley o se trate de datos agregados para operaciones internas conforme a las normas aplicables. El soporte no concede por sí solo permiso para leer esos datos: requiere el consentimiento específico previo, salvo que concurra otra de las excepciones indicadas. Quien tenga acceso queda sujeto a controles y confidencialidad.

Quien utilice acceso con Google puede desvincular esa identidad desde la configuración de su cuenta cuando conserve otro método de acceso válido. También puede retirar los permisos concedidos desde su Cuenta de Google.

5.5 Almacenamiento, protección y eliminación de datos de Google

Los datos de identidad se conservan en la cuenta local mientras sean necesarios para el acceso y la relación con el Responsable. Las credenciales de integración, cuando existen, se almacenan cifradas; los datos operativos asociados se conservan en los sistemas del proyecto correspondiente, con separación entre empresas, permisos de acceso y registros de seguridad. Las comunicaciones con las APIs de Google se realizan mediante conexiones cifradas en tránsito.

Desvincular una identidad, desconectar una integración o revocar permisos detiene los accesos correspondientes, pero no equivale a borrar una cuenta local ni los datos que ya se incorporaron a ella. Para solicitar la eliminación de datos de Google almacenados por el Responsable, escribe al contacto de privacidad con el asunto “Privacidad: eliminación de datos de Google” e identifica tu cuenta, la integración y, si corresponde, la empresa o proyecto. No envíes contraseñas ni tokens. Verificaremos tu identidad o representación, eliminaremos los datos que procedan y explicaremos qué antecedentes deben conservarse y por qué. La solicitud no elimina automáticamente eventos o campañas que permanecen en Google.

Los datos de acceso con Google y de reservas sincronizadas siguen los criterios de conservación del apartado Conservación: cuenta activa, prestación y gestión de la reserva y responsabilidades que deban atenderse. Cuando dejan de ser necesarios, se eliminan, anonimizan o bloquean según corresponda. Las copias de respaldo subsisten solo durante su ciclo de reemplazo y no se reutilizan para otras finalidades.

6. Cookies y tecnologías similares

Las cookies permiten mantener una sesión, conservar un carrito o dirección, recordar preferencias y, con autorización, medir el uso. Las necesarias se instalan para prestar funciones solicitadas; las de analítica y publicidad permanecen bloqueadas hasta que se aceptan.

Puedes rechazar o retirar la medición sin afectar las funciones esenciales. El navegador también permite eliminar o bloquear cookies, aunque impedir las necesarias puede deshabilitar el acceso, carrito o entrega.

7. Conservación

Los datos se conservan solo durante el tiempo necesario para cada finalidad, considerando la relación contractual, solicitudes pendientes, seguridad, prevención de fraude, plazos de prescripción y obligaciones tributarias, contables o regulatorias. Luego se eliminan, anonimizan o bloquean cuando la ley lo exija.

• La sesión del navegador y las preferencias técnicas duran los plazos descritos en la tabla de cookies.
• El carrito recuperable se mantiene hasta 90 días o hasta eliminarlo.
• Los datos de cuenta se mantienen mientras esté activa y posteriormente durante los plazos necesarios para atender responsabilidades o impedir fraude.
• Las compras, pagos y documentos tributarios se conservan durante los plazos legales y de prescripción aplicables.
• Las reservas, participantes, eventos y referencias de sincronización se mantienen mientras sean necesarios para prestar el servicio, gestionar cambios o cancelaciones y atender responsabilidades posteriores. Los eventos enviados a un calendario externo siguen además la conservación y eliminación configuradas por el Responsable en ese proveedor.
• Las consultas, reclamos, garantías y evidencia de aceptación se mantienen hasta cerrar el caso y mientras puedan derivarse obligaciones.
• Los datos de publicidad se tratan hasta retirar la autorización o vencer la preferencia, sin perjuicio de los plazos propios informados por cada proveedor.
• Las referencias para atribuir resultados a un clic de Google Ads se utilizan durante su vigencia de hasta 90 días. Los resultados ya vinculados y los registros de envío, corrección o retirada se conservan mientras sean necesarios para comprobar la medición y atender responsabilidades, con acceso restringido; no habilitan nuevos envíos después de retirar el consentimiento o vencer la atribución.

Una copia de respaldo puede subsistir temporalmente hasta completar su ciclo seguro de reemplazo. Durante ese lapso permanece aislada, con acceso restringido y sin reutilizarse para finalidades ordinarias.

8. Seguridad e incidentes

Aplicamos medidas administrativas, técnicas y organizativas proporcionales al riesgo, como control de acceso, credenciales protegidas, separación de proyectos, cifrado en tránsito, registros de seguridad, respaldos y gestión de vulnerabilidades. Ningún sistema elimina por completo todo riesgo, por lo que las medidas se revisan y mejoran periódicamente.

Si ocurre una vulneración que pueda afectar datos personales, se contendrá e investigará, se documentarán las decisiones y se notificará a titulares o autoridades cuando la ley lo exija. Los usuarios deben comunicar inmediatamente accesos no reconocidos, pérdida de credenciales o uso indebido de la cuenta.

9. Derechos de las personas

Puedes solicitar información sobre el tratamiento, acceso a tus datos, rectificación de datos inexactos o desactualizados, eliminación o cancelación cuando proceda y oposición al uso con fines publicitarios. Desde la vigencia del régimen reformado por la Ley N.° 21.719 podrás ejercer además los derechos de supresión, oposición, portabilidad, bloqueo y los demás que esa normativa reconozca.

La solicitud es gratuita y debe indicar nombre, medio de respuesta, derecho ejercido y antecedentes suficientes para identificar los datos. Podremos verificar razonablemente la identidad o representación para evitar entregas indebidas. Responderemos dentro del plazo legal y explicaremos cualquier rechazo total o parcial. Cuando el Responsable trate datos por cuenta de un Cliente, derivará o coordinará la solicitud con quien determine la finalidad.

También puedes retirar autorizaciones para usos futuros, cancelar comunicaciones publicitarias y cambiar tus cookies desde el enlace del pie del Sitio. El ejercicio de derechos no afecta servicios que requieran necesariamente ciertos datos para cumplir el contrato o una obligación legal.

10. Menores, decisiones automatizadas y cambios

El Sitio no busca recopilar conscientemente datos de niños, niñas o adolescentes sin la intervención o autorización que corresponda. Si una oferta se dirige a menores o puede involucrar sus datos, se aplicarán controles adecuados a su edad, interés superior y autonomía progresiva. Quien advierta un tratamiento improcedente puede solicitar su revisión.

No adoptamos decisiones basadas exclusivamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a una persona, salvo que se informe de manera específica, exista fundamento legal y se habiliten las garantías correspondientes. Los controles de fraude pueden detener temporalmente una operación para revisión humana.

Esta Política puede actualizarse por cambios legales, operativos, de proveedores o seguridad. La nueva versión indicará su fecha y se informarán por un medio adecuado los cambios sustanciales. Si una nueva finalidad requiere autorización, se solicitará antes de iniciar ese tratamiento.