Política de Privacidad

Esta política explica cómo Xmartlab Servicios Tecnológicos Limitada, RUT 76.712.589-5 ("Xmartlab"), trata datos al operar VerantID, sus servicios de identidad, consentimientos, OAuth, información pública, soporte y páginas vinculadas.

Xmartlab es responsable de la cuenta, seguridad y funcionalidades propias. Cuando una empresa solicita una verificación o datos, esa entidad define la finalidad y Xmartlab puede actuar como encargado tecnológico, sin perjuicio de sus tratamientos propios de seguridad, auditoría y operación.

Se aplica la Ley N° 19.628 vigente y se incorporan anticipadamente estándares de la Ley N° 21.719, que entrará en vigor el 1 de diciembre de 2026. Esta política informa sobre el tratamiento; no reemplaza las autorizaciones específicas solicitadas dentro de VerantID.

• Directamente del titular al registrarse, completar formularios o ingresar información.
• Del documento de identidad, su MRZ y chip NFC.
• Del dispositivo y de la interacción con la aplicación.
• De empresas que envían solicitudes de consentimiento o verificación.
• De fuentes consultadas por instrucción del titular mediante Clave Única.
• De fuentes públicas cuando el usuario solicita consultar su información pública.
• De proveedores que devuelven resultados técnicos, como puntajes de liveness o estados de notificación.
• De fuentes oficiales o gubernamentales, para verificar la vigencia de tu documento de identidad.

• Crear, administrar y proteger la cuenta VerantID.
• Verificar la identidad, vigencia y autenticidad del documento.
• Comprobar presencia y comparar el rostro con la fotografía del documento.
• Prevenir fraude, suplantación, clonación y accesos no autorizados.
• Presentar, registrar, firmar, revocar y acreditar consentimientos.
• Obtener información desde fuentes autorizadas por el titular.
• Mostrar, actualizar o eliminar la información pública solicitada por el usuario.
• Procesar autorizaciones OAuth y entregar solamente los campos aprobados.
• Enviar códigos, alertas, invitaciones y comunicaciones operativas.
• Atender soporte, ejercer derechos y mantener evidencia de seguridad y auditoría.

La base aplicable puede ser el consentimiento, la prestación solicitada, la relación contractual, una obligación legal u otra autorización permitida. Cuando se requiera consentimiento, se solicitará de forma específica y separada.

Antes de comenzar informamos que se utilizarán datos del documento, fotografía del chip y una prueba de vida. Sin esta autorización no es posible completar la verificación biométrica.

El video se transmite a Amazon Rekognition, que evalúa exclusivamente la prueba de vida (que seas tú, en persona, frente a la cámara) y devuelve un puntaje y una imagen de referencia temporal. La comparación de tu rostro con la fotografía del chip de tu documento la realiza un modelo propio de reconocimiento facial, de código abierto y pre-entrenado, que Xmartlab opera en su propia infraestructura. Xmartlab no guarda ese video ni la imagen de referencia; conserva el resultado, los puntajes, los intentos y evidencia técnica. Según la documentación pública de Face Liveness de AWS, la sesión y sus datos dejan de estar disponibles poco después de creada.

Los resultados son probabilísticos y se combinan con otros controles. No utilizamos tus datos biométricos para entrenar ni ajustar (fine-tune) modelos de inteligencia artificial, ni con fines publicitarios: el modelo de reconocimiento facial es pre-entrenado y solo se usa para comparar tu rostro en cada verificación. La plantilla biométrica (una representación matemática de tu rostro, no una fotografía) se conserva mientras tu cuenta esté activa; ver la sección "Conservación y eliminación" para más detalle.

Cada solicitud identifica la empresa, finalidad, datos pedidos y quién podrá verlos. El titular puede aprobar, rechazar y, cuando corresponda, revocar la solicitud.

La credencial de Clave Única se cifra y conserva como máximo 72 horas para evitar solicitarla otra vez. Esto es independiente de la conservación de los resultados: sin autorización se eliminan después de 5 horas; con autorización permanecen hasta una solicitud de eliminación o el término de su necesidad.

"Mi información pública" se actualiza solo por solicitud del usuario. Al eliminarla se vacían los datos y el resumen, conservando únicamente fechas y metadata mínima de trazabilidad.

Los datos pueden ser entregados a la empresa solicitante dentro de la finalidad informada, a autoridades con competencia legal y a proveedores que trabajan bajo instrucciones de Xmartlab.

Parte del procesamiento ocurre fuera de Chile, especialmente en Estados Unidos. Aplicamos cifrado, controles de acceso y obligaciones contractuales. No vendemos datos ni autorizamos su uso publicitario.

La expiración o revocación termina la vigencia de un consentimiento, pero no elimina necesariamente la evidencia mínima necesaria para acreditar que fue otorgado, rechazado o revocado.

Xmartlab mantiene un sistema de gestión de seguridad certificado bajo ISO/IEC 27001 y aplica medidas técnicas y organizativas proporcionales al riesgo:

• Cifrado de comunicaciones y cifrado OpenPGP adicional para cargas sensibles.
• Cifrado de campos y material biométrico almacenado.
• Hashes para búsquedas sin exponer identificadores originales.
• Gestión separada de llaves, credenciales y secretos.
• Controles de acceso, sesiones, revocación y límites de intentos.
• Validación criptográfica del chip, firma documental y controles contra clonación.
• Registros de auditoría, monitoreo y respuesta a incidentes.

Ningún sistema es completamente infalible. Ante un incidente que pueda afectar derechos, actuaremos conforme a la normativa vigente y a nuestros procedimientos de seguridad.

Conforme a la legislación vigente, puedes solicitar información, acceso, modificación, eliminación o cancelación y bloqueo cuando corresponda. Desde el 1 de diciembre de 2026 se reconocerán expresamente los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo bajo la Ley N° 21.719.

Puedes usar la opción "Solicitud de privacidad" en soporte o escribir a soporte@verant.id. Podremos comprobar tu identidad para proteger los datos frente a solicitudes de terceros.

Responderemos tu solicitud dentro de 30 días corridos desde su recepción, plazo que podremos extender por una única vez y por hasta 30 días corridos adicionales si la complejidad del caso lo requiere. Las solicitudes de bloqueo temporal de datos se responden dentro de 2 días hábiles. Si no recibes respuesta o no estás conforme con ella, puedes además presentar tu reclamo ante la autoridad de protección de datos personales competente en Chile.

Una eliminación puede limitarse por obligaciones legales, investigación de seguridad, acreditación de consentimientos o defensa de reclamaciones. En ese caso se restringirá el uso de la información conservada.

La creación de una cuenta VerantID está destinada a personas de 18 años o más. Verificamos la fecha de nacimiento obtenida desde la MRZ. Si la persona es menor, el enrolamiento se detiene antes de NFC y liveness, no se crea la cuenta y se eliminan los datos del intento, salvo un registro técnico mínimo.

Esta restricción corresponde a la cuenta VerantID y no define los casos en que una empresa pueda usar servicios de verificación con una base legal y representación adecuadas.

Publicaremos cada nueva versión con su fecha. Los cambios relevantes podrán comunicarse mediante la app, correo u otro canal adecuado.