Política de privacidad

1.Responsable y Servicio

1.1Responsable. Sherpas Group SpA, RUT 76.271.957-6, con domicilio en La Siembra 8934, Vitacura, Santiago, Chile, representada por Gonzalo Esteban Díaz Pearcy («Sherpas»), es la responsable de datos respecto de los datos personales que trata en relación con SEN Energy Data by Sherpas (el «Servicio»). Se entiende por «Usuario» a toda persona que accede al Servicio o lo utiliza, y por «Titular» a toda persona cuyos datos personales trata Sherpas en relación con el Servicio, incluidos los Usuarios, quienes solicitan acceso, quienes visitan este sitio web y quienes se comunican con Sherpas.

1.2Servicio. SEN Energy Data by Sherpas es un servicio alpha gratuito, con acceso por solicitud, que entrega datos públicos del mercado eléctrico chileno (SEN — Sistema Eléctrico Nacional) al asistente de IA del Usuario (Claude o ChatGPT, incluido Codex). Se conecta mediante un servidor MCP, el estándar con el que los asistentes de IA se conectan a fuentes de datos. La página de confianza de SEN Energy Data by Sherpas (la «página de confianza», https://sherpas-sen-mcp.web.app) presenta la cobertura vigente del Servicio y sus limitaciones declaradas, para cada tabla de datos.

1.3Contacto y delegado de protección de datos. Para cualquier consulta sobre el tratamiento de sus datos, el Titular puede escribir a jorge@sherpas.net. A la fecha de vigencia de esta política, Sherpas no ha designado un delegado de protección de datos; esa dirección es el canal para todo lo relativo a privacidad.

2.Datos personales tratados y finalidades

Sherpas trata las categorías de datos personales que se describen a continuación, para las finalidades que se indican en cada caso. El fundamento del tratamiento se establece en la sección 3 y los plazos de conservación, en la sección 5.

2.1Uso del servidor MCP

Por cada llamada a una herramienta, Sherpas registra la fecha y hora, la herramienta utilizada, los parámetros de la llamada (filtros, períodos y cualquier texto que el asistente de IA haya enviado, por ejemplo el nombre de una empresa o central que se busca; en la herramienta de consulta SQL, el texto SQL completo), si la llamada terminó con éxito o con error, el tiempo de respuesta y el número de filas. Registra también quién la realizó: el correo del Usuario, la aplicación cliente que se conecta (cliente OAuth) y el nombre del cliente de IA (o su identificador del navegador o cliente).

Esta información se utiliza para operar y asegurar el Servicio, prestar soporte, comprender el costo de uso y mejorar las métricas y herramientas. Sherpas no recibe la conversación del Usuario con su asistente de IA, salvo lo que el Usuario decida incluir en un reporte (sección 2.4): el asistente razona por su cuenta y envía a Sherpas solo la llamada a la herramienta, con el texto que decida incluir en ella. El registro tampoco incluye la dirección IP, contraseñas o tokens, ni los resultados entregados.

2.2Inicio de sesión

El Usuario inicia sesión con su cuenta de Google. Google entrega a Sherpas el correo del Usuario, el dominio del correo y si este está verificado; en ningún caso su contraseña. Sherpas utiliza estos datos para comprobar que el Usuario figura en la lista de personas admitidas y para asociar cada llamada a su cuenta. Para mantener abierta la sesión, Sherpas almacena cifradas las credenciales de sesión (tokens). Si detecta que se reutiliza una credencial de renovación ya utilizada, registra un aviso técnico de seguridad que no contiene el correo del Usuario ni su dirección IP.

La pantalla de autorización del inicio de sesión informa al Usuario que, al continuar, acepta los Términos de servicio y esta política (versión 1.1), con enlaces a ambos documentos. El aviso se muestra en español y en inglés.

2.3Registros del servidor

Google Cloud registra automáticamente cada solicitud que llega al servidor MCP: dirección IP, identificador del navegador o cliente, dirección solicitada (que puede incluir parámetros técnicos del inicio de sesión), método, resultado, tamaño y tiempo de respuesta. Sherpas utiliza estos registros con fines de seguridad y para diagnosticar fallas.

2.4Reportes

El Servicio ofrece una herramienta para que el Usuario envíe a Sherpas un reporte sobre un resultado o un problema concreto, por ejemplo una cifra que cree errónea o una pregunta que el Servicio no pudo responder. Es un reporte que el Usuario redacta de forma deliberada, no el historial de su conversación. Está diseñado para enviarse solo cuando el Usuario lo pide a su asistente de IA (/report); el servidor no lo genera por iniciativa propia y se instruye al asistente para que no lo envíe sin esa petición.

El único campo obligatorio es un resumen, en palabras del Usuario, de lo que desea reportar. De forma opcional, el reporte puede incluir hasta tres pares de pregunta y respuesta que el Usuario haya elegido expresamente incluir. Se instruye al asistente de IA para que nunca compile, resuma ni reconstruya el historial de la conversación y para que no envíe nada hasta que el Usuario confirme el contenido exacto. Sherpas agrega el correo del Usuario, la fecha y el nombre del cliente de IA, y utiliza los reportes para corregir errores y mejorar el Servicio. El Usuario no debe incluir contraseñas ni datos personales de terceros en un reporte.

2.5Formulario de solicitud de acceso

Si el Titular lo envía, Sherpas almacena su nombre, correo, organización, rol (opcional), la descripción del uso que pretende dar al Servicio y la fecha de envío, junto con la constancia de que aceptó los Términos de servicio y esta política mediante la casilla obligatoria del formulario: la versión aceptada y la fecha. Estos datos se guardan en una cuenta de Google Cloud de Sherpas (Firestore), y no en un servicio de formularios de terceros, y se utilizan para evaluar la solicitud, contactar al Titular y acreditar su aceptación. El formulario no crea una cuenta ni otorga acceso por sí solo. Quien pide acceso por correo electrónico en lugar de usar el formulario debe indicar en el mensaje que acepta ambos documentos (versión 1.1); ese mensaje es el registro de su aceptación (sección 2.7).

2.6Lista de personas admitidas

Para otorgar acceso, Sherpas mantiene una lista de personas admitidas, que contiene el correo del Usuario y, en el registro de decisiones de acceso, su nombre u organización, las fechas de alta y de baja y una nota de la decisión. Se utiliza para comprobar quién puede ingresar al Servicio y para dejar constancia de esas decisiones. La lista se mantiene en un repositorio privado de Sherpas (GitHub) y en la configuración del servidor.

2.7Correos enviados a Sherpas

Si el Titular escribe a Sherpas (soporte, una solicitud sobre sus datos u otra consulta), Sherpas conserva el mensaje y la dirección de correo del Titular para responderle y atender su requerimiento. Si el mensaje es una solicitud de acceso en la que el Titular indica que acepta los Términos de servicio y esta política, el mensaje es también el registro de esa aceptación.

2.8Registro de consumo (límite de uso)

Para aplicar un límite técnico de uso por hora, Sherpas registra cuánto procesa el Servicio. Parte de ese registro incluye un identificador seudónimo derivado de la cuenta del Usuario (no su correo en texto claro). Un identificador seudónimo no es anónimo, por lo que Sherpas lo trata como dato personal. Los contadores globales por hora no contienen datos personales.

2.9Registros de etapas anteriores

Si el Titular participó en pruebas de versiones anteriores de SEN Energy Data by Sherpas, que ya no están en servicio, Sherpas conserva su nombre, su correo, un identificador de usuario, sus preguntas y las respuestas entregadas en esa etapa. Estos registros no se eliminan automáticamente; se eliminan a solicitud del Titular, quien también puede pedir una copia de ellos.

2.10Sitio web

Sherpas no utiliza herramientas de analítica ni de publicidad, y este sitio web no instala cookies propias. La página principal carga la biblioteca de Firebase (Google), necesaria para el formulario de solicitud de acceso. Al entregar el sitio, Firebase Hosting (Google) y su proveedor de red de distribución de contenido pueden procesar datos técnicos de la visita, como la dirección IP.

2.11Origen de los datos

Sherpas obtiene los datos directamente del Titular (formulario, correos, reportes y llamadas que hace su asistente de IA) y, al iniciar sesión, de su cuenta de Google (correo, dominio y si está verificado). No compra datos ni los obtiene de fuentes de acceso público para identificar al Titular.

3.Fundamentos del tratamiento

3.1Hasta el 30 de noviembre de 2026. Mientras rige el texto actual de la Ley N° 19.628 sobre protección de la vida privada (artículo 4), Sherpas trata los datos personales de quien solicita acceso con el consentimiento expreso de esa persona, otorgado por escrito, en forma electrónica. La persona lo otorga al marcar la casilla obligatoria del formulario de solicitud de acceso, cuyo texto es «He leído y acepto los Términos de Servicio y la Política de Privacidad de SEN Energy Data by Sherpas (versión 1.1)». Sherpas registra, junto con la solicitud, el nombre y el correo que la persona indica en el formulario, la versión aceptada y la fecha. Quien pide acceso por correo electrónico debe indicar en el mensaje que acepta ambos documentos (versión 1.1), y ese mensaje es el registro de su aceptación (sección 2.7). Al iniciar sesión, la pantalla de autorización informa además que, al continuar, el Usuario acepta ambos documentos (sección 2.2).

3.2Otros Titulares y personas ya admitidas. No han marcado esa casilla las personas admitidas antes de la vigencia de la versión 1.0, quienes visitan el sitio web, quienes escriben a Sherpas sin pedir acceso y quienes participaron en etapas anteriores. Respecto de ellas, Sherpas trata únicamente los datos necesarios para atender lo que la propia persona le ha pedido o comunicado, para entregar y asegurar el Servicio y el sitio web, y conserva los registros de etapas anteriores solo hasta que su titular pida eliminarlos (sección 2.9). Sherpas solicitará por correo electrónico a las personas ya admitidas que acepten de forma expresa esta política, e indicará en ese correo la versión cuya aceptación se solicita.

3.3Desde el 1 de diciembre de 2026. Desde la entrada en vigencia de las modificaciones que la Ley N° 21.719 introduce a la Ley N° 19.628, prevista para el 1 de diciembre de 2026, el tratamiento se funda en las siguientes bases:

1. la ejecución del contrato con el Usuario y las medidas precontractuales adoptadas a solicitud del Titular (artículo 13, letra c), para los datos que el Servicio necesita: la solicitud de acceso, el inicio de sesión, la lista de personas admitidas, el registro de uso para operar el Servicio y prestar soporte, y los correos que el Titular envía a Sherpas para pedir acceso o soporte;
2. el interés legítimo de Sherpas (artículo 13, letra d), para proteger la seguridad del Servicio y prevenir abusos (registros del servidor, avisos de seguridad del inicio de sesión y registro de consumo), para mejorar las métricas y herramientas a partir del registro de uso, para conservar la constancia de la aceptación y de las decisiones de acceso y los registros de etapas anteriores hasta que el Titular pida eliminarlos, y para entregar el sitio web (datos técnicos de la visita);
3. el consentimiento del Titular (artículo 12), para lo que no es necesario para prestar el Servicio, como los reportes que el Usuario decide enviar.

3.4Retiro del consentimiento. El Titular puede retirar su consentimiento en cualquier momento, sin efecto retroactivo, escribiendo a jorge@sherpas.net. Mientras el consentimiento sea el fundamento del tratamiento, retirarlo implica dejar de usar el Servicio.

3.5Información sobre el interés legítimo. Desde el 1 de diciembre de 2026, el Titular puede pedir en cualquier momento que se le informe cuál es el interés legítimo invocado en cada caso y puede oponerse a ese tratamiento (sección 8).

4.Destinatarios y acceso a los datos

4.1Proveedores. Sherpas no vende los datos personales de los Titulares ni los comunica a terceros, salvo a proveedores que intervienen en la prestación del Servicio, entre ellos los siguientes, y a las autoridades en el caso de la sección 4.4:

1. Google Cloud y Firebase: alojan y procesan, para operar el Servicio, los datos descritos en la sección 2 (servidor, base de datos, registros, sitio web y formulario), conforme a sus términos de tratamiento de datos para Google Cloud y Firebase. Para el sitio web, Firebase Hosting se apoya en un proveedor de red de distribución de contenido (Fastly).
2. Google, como proveedor de inicio de sesión: sabe que el Usuario inicia sesión en SEN Energy Data by Sherpas y entrega a Sherpas los datos de cuenta indicados en la sección 2. Trata esos datos conforme a su propia política de privacidad.
3. GitHub: en un repositorio privado de Sherpas se mantienen la lista de personas admitidas (correos), el registro de decisiones de acceso y análisis internos de uso del Servicio.
4. Herramientas de análisis del equipo de Sherpas: el equipo puede analizar los registros de uso con herramientas de análisis, incluidas herramientas de inteligencia artificial, que procesan los extractos que el equipo les entrega conforme a los términos de cada herramienta.

4.2Asistente de IA del Usuario. El asistente de IA del Usuario pertenece a otra empresa (Anthropic, OpenAI u otra), que procesa la conversación del Usuario y las respuestas de las herramientas de SEN Energy Data by Sherpas conforme a su propia política de privacidad. Sherpas no recibe la conversación completa: solo lo que el asistente le envía en cada llamada y lo que el Usuario decida incluir en un reporte.

4.3Acceso interno. Dentro de Sherpas, solo pueden leer estos registros las personas del equipo con acceso a su cuenta técnica y las cuentas automáticas de Sherpas (del servicio, de monitoreo, de integración continua, de ingesta y carga de datos y de despliegue, entre otras).

4.4Autoridades. Sherpas comunica datos personales a las autoridades cuando una ley o una resolución judicial lo exige.

5.Plazos de conservación

5.1Plazos. Sherpas conserva los datos personales por los siguientes plazos:

1. Llamadas a herramientas, reportes y avisos de seguridad del inicio de sesión: 180 días. La eliminación automática está configurada en la base de datos.
2. Registro de consumo con identificador seudónimo: 180 días, con eliminación automática activa. Los contadores globales por hora, que no contienen datos personales, se conservan sin plazo definido.
3. Registros del servidor (dirección IP y similares): 30 días.
4. Sesiones de inicio de sesión: las credenciales de acceso duran 12 horas y las de renovación, hasta cerca de un año. Una sesión vencida ya no permite ingresar al Servicio, pero su registro no se elimina automáticamente; se elimina a solicitud del Titular.
5. Formulario de solicitud de acceso, con la constancia de aceptación: sin plazo ni eliminación automática. Si Sherpas rechaza la solicitud o no prosigue con ella, el Titular puede pedir su eliminación.
6. Lista de personas admitidas: el correo del Usuario permanece en la lista activa mientras dure su acceso y se retira al término de este. El registro de decisiones de acceso, que se mantiene en un repositorio privado de Sherpas, deja constancia del alta y de la baja (nombre u organización, correo, fechas y una nota de la decisión), sin plazo definido.
7. Correos enviados a Sherpas: no se eliminan automáticamente; su eliminación puede solicitarse como la de cualquier otro dato (sección 8).
8. Registros de etapas anteriores: no se eliminan automáticamente; se eliminan a solicitud del Titular.

5.2Alpha gratuita. Estas condiciones se aplican a la alpha gratuita; un servicio comercial podrá tener condiciones de privacidad propias.

6.Medidas de seguridad

6.1Medidas aplicadas. Sherpas aplica las siguientes medidas de seguridad:

1. Toda la conexión se realiza cifrada (HTTPS) y el sitio indica a los navegadores que utilicen siempre HTTPS.
2. El Usuario inicia sesión con Google mediante el protocolo estándar de autorización OAuth 2.1. Solo se solicitan su identidad y su correo, y el mantenimiento de la sesión abierta.
3. Quienes se conectan con su cuenta de Google solo ingresan si su correo figura en la lista de admitidos, lo que se verifica tanto al abrir la sesión como en cada solicitud. Las integraciones técnicas internas de Sherpas usan una credencial separada, que no se entrega a terceros.
4. Los registros de sesión se almacenan cifrados, y las claves y secretos del Servicio se mantienen en un gestor de secretos, no en el código.
5. El Servicio solo puede leer los datos de mercado; no puede modificarlos.
6. Un límite de uso por hora protege al Servicio frente a abusos y sobrecargas.

6.2Certificaciones. A la fecha de vigencia de esta política, Sherpas no declara certificaciones de seguridad (como ISO 27001 o SOC 2) ni auditorías externas.

7.Ubicación de los datos y transferencias internacionales

7.1Transferencia internacional. Los datos personales que Sherpas almacena se encuentran fuera de Chile, principalmente en Estados Unidos, por lo que son objeto de transferencia internacional.

7.2Ubicaciones. A la fecha de vigencia de esta política, las ubicaciones son las siguientes:

1. la base de datos y el análisis (BigQuery): multirregión de Estados Unidos;
2. el servidor MCP (Cloud Run): región central de Estados Unidos (us-central1);
3. Firestore: multirregión de Estados Unidos;
4. los registros técnicos de Google Cloud: ubicación «global» de Google, que no está fijada a un país;
5. el sitio web: se entrega mediante la red de distribución de contenido de Firebase Hosting (Google y su proveedor Fastly), con presencia mundial.

7.3Régimen aplicable. La transferencia internacional de datos se rige por la Ley N° 19.628 y, desde el 1 de diciembre de 2026, por los artículos 27 y 28 de esa ley, modificados por la Ley N° 21.719.

7.4Cambios de ubicación. Sherpas no se obliga a mantener una región determinada: estas ubicaciones pueden cambiar.

8.Derechos del Titular

8.1Derechos. El Titular puede ejercer sus derechos de acceso (conocer qué datos personales trata Sherpas y solicitar una copia), rectificación (corregirlos), supresión (también llamada cancelación: solicitar su eliminación), oposición (oponerse a su tratamiento, en los casos que la ley permite), bloqueo temporal y portabilidad (obtener una copia en formato electrónico estructurado y de uso común), además de los demás derechos que la ley reconozca al Titular.

8.2Cómo ejercerlos. Para ejercer estos derechos, el Titular debe escribir a jorge@sherpas.net, indicando el derecho que desea ejercer y el correo con el que utiliza SEN Energy Data by Sherpas. El ejercicio de estos derechos es gratuito. Para proteger los datos, Sherpas podrá solicitar al Titular que confirme su identidad antes de entregarlos o eliminarlos. Sherpas responderá al mismo correo.

8.3Plazo de respuesta. Hasta el 30 de noviembre de 2026, Sherpas responde dentro de dos días hábiles, conforme al artículo 16 de la Ley N° 19.628. Desde el 1 de diciembre de 2026, responde dentro de 30 días corridos, prorrogables por una sola vez por otros 30 días, y atiende las solicitudes de bloqueo temporal dentro de dos días hábiles (artículo 11 de esa ley).

8.4Reclamo. Si Sherpas no responde o rechaza la solicitud, el Titular puede, hasta el 30 de noviembre de 2026, recurrir al juez de letras en lo civil del domicilio de Sherpas y, desde el 1 de diciembre de 2026, reclamar ante la Agencia de Protección de Datos Personales, creada por la Ley N° 21.719, dentro de los 30 días hábiles siguientes.

8.5Titulares en la Unión Europea. Si el Titular se encuentra en la Unión Europea, podrá ejercer los derechos que le reconozca la normativa que resulte aplicable, incluido el Reglamento General de Protección de Datos (RGPD) en la medida en que este lo sea.

9.Decisiones automatizadas y prácticas que Sherpas no realiza

9.1Ausencia de decisiones automatizadas. Sherpas no adopta decisiones automatizadas sobre personas. Las solicitudes de acceso son revisadas por una persona; no existe aprobación automática. Existen dos controles automáticos, de carácter técnico: la comprobación de que el correo del Usuario figure en la lista de personas admitidas al iniciar sesión con Google, y la aplicación de un límite de uso por hora a la totalidad del Servicio, sin importar quién consulta.

9.2Uso de los registros. Sherpas no adopta decisiones sobre el Titular a partir de los registros por persona: los utiliza para prestar soporte, comprender el costo de uso y mejorar el Servicio. Sherpas no entrena modelos con las preguntas del Usuario; el asistente de IA es un servicio distinto (sección 4).

9.3Otras prácticas. Sherpas no vende ni cede datos personales, no muestra publicidad, no usa cookies de publicidad ni de analítica, y no solicita ni trata datos sensibles, datos de salud, datos de tarjetas de pago, números de identificación ni credenciales. Pide al Usuario no ingresarlos en sus consultas ni en sus reportes.

10.Datos de menores

10.1 El Servicio está destinado a uso profesional y no está dirigido a personas menores de 18 años. Sherpas no recopila a sabiendas datos personales de menores de 18 años.

11.Cambios a esta política

11.1 Si Sherpas modifica esta política de forma sustancial, lo informará por correo electrónico a las personas admitidas y en esta página, con al menos 15 días de anticipación a la entrada en vigencia de la nueva versión, que indicará su número y su fecha. Si el cambio requiere un nuevo consentimiento, Sherpas lo solicitará de forma expresa.

12.Ley aplicable e idioma

12.1Ley aplicable. Esta política se rige por las leyes de Chile.

12.2Idioma. La versión en inglés de esta política es una traducción de este texto; en caso de diferencias, prevalece la versión en español.

13.Contacto

13.1 Para cualquier consulta sobre esta política, los Términos de servicio, una solicitud relativa a datos personales o el Servicio, el Titular puede escribir a jorge@sherpas.net o acudir a la página de Soporte. Sherpas Group SpA · La Siembra 8934, Vitacura, Santiago, Chile.