1. Quién trata tus datos y cómo contactarnos
El responsable del tratamiento es FacturaLibre SpA (RUT 78.513.033-2), empresa chilena de software, titular del servicio FacturaLibre, representada legalmente por Matías Belmar Fernández. Para cualquier tema de privacidad puedes escribirnos a contacto@facturalibre.cl o usar el formulario de facturalibre.cl/derechos; por esos dos medios recibimos las solicitudes de los titulares.
No hemos designado un encargado de prevención (delegado de protección de datos): las consultas las atiende directamente nuestro equipo en ese correo.
Esta política se rige por la ley chilena, en particular la Ley 19.628 sobre protección de la vida privada y la Ley 21.719 de protección de datos personales.
2. Qué datos tratamos
Tratamos datos de cuatro grupos de personas: quienes usan FacturaLibre (los dueños y el equipo de cada negocio, y los contadores que llevan uno); las personas que aparecen en los documentos de nuestros clientes (sus clientes, proveedores, trabajadores, pacientes o transportistas); los titulares de las claves y certificados que se nos entregan; y quienes visitan el sitio, nos escriben o piden una demo.
De ti como usuario: nombre, correo electrónico, WhatsApp, contraseña (almacenada con hash bcrypt, nunca en claro) y los registros de acceso y actividad necesarios para operar la cuenta de forma segura (fecha, dirección IP y navegador de cada acción relevante).
De tu empresa: RUT, razón social, giro, dirección, datos de contacto y la información tributaria necesaria para emitir documentos.
De tus documentos: los datos que tú ingresas en cada factura, boleta o nota —incluidos los datos del receptor, que es un tercero— y el XML firmado resultante. También los documentos que te emiten tus proveedores y llegan a tu casilla de intercambio o al Registro de Compras y Ventas del SII, y, si los usas, las boletas de honorarios que recibes y las cartolas bancarias que cargas para conciliar. Estos datos de terceros los tratamos por encargo tuyo (sección 10).
De dónde llegaste al sitio (campaña, anuncio o referido), si el enlace lo traía, para medir qué canales nos traen clientes.
Tu certificado digital: se almacena cifrado con AES-256-GCM. Nuestro equipo solo accede a él para los trámites que hacemos por ti ante el SII, y cada acceso queda registrado.
Tus claves tributarias del SII (la del representante legal y la de la empresa), solo si se nos entregan. Las que nos entregas en «Clave tributaria» sin la autorización versión 2026-10-v1 se guardan cifradas con AES-256-GCM, las usamos solo para los trámites y lecturas que autorizas, cada consulta de nuestro equipo queda registrada y las revocas cuando quieras. Las que se nos entregan con esa autorización, por cualquiera de los caminos que nombra la sección 6, se rigen por esa sección.
Si le das a tu asistente de IA el Permiso para emitir (al conectarlo o después), guardamos con ese permiso la fecha, la dirección IP y el navegador desde los que lo diste, el texto exacto que aceptaste y cómo confirmaste que eras tú (el código de tu app de autenticación o el que te mandamos por correo), y cuáles de tus documentos emitió tu asistente. Del código por correo guardamos solo su huella (hash): deja de servir a los 10 minutos y la borramos a más tardar dos días después.
De dónde vienen: casi todo nos lo entregas tú, tu equipo o tu contador al usar el servicio. Lo demás viene del SII (los documentos que tus proveedores te emiten, tu Registro de Compras y Ventas y tus boletas de honorarios, que leemos con tu autorización) y de fuentes de acceso público, que explica la sección 11.
Nunca pedimos tu Clave Única ni almacenamos los datos de tu tarjeta de crédito.
3. Para qué los usamos y con qué base legal
Para prestarte el servicio contratado: emitir y firmar tus documentos, enviarlos al SII, entregárselos a tu receptor, recibir los de tus proveedores, mantener tu respaldo legal y darte soporte. Base: la ejecución del contrato que celebras con nosotros al aceptar los términos.
Para cobrarte la suscripción, emitirte su factura y cumplir las obligaciones legales y tributarias que nos aplican a nosotros. Base: el contrato y la obligación legal.
Para proteger las cuentas y el servicio (el registro de accesos, los frenos a los intentos fallidos, la bitácora de lo que hace nuestro equipo) y para saber qué canal trajo a cada cliente con la cookie propia fl_origen. Base: nuestro interés legítimo en un servicio seguro y en medir nuestros canales sin vender ni ceder esos datos. Puedes oponerte a la medición rechazando las cookies (sección 9) o en facturalibre.cl/derechos.
Para medir nuestros anuncios con Google y Meta. Base: tu consentimiento, que das o niegas en el aviso de cookies y retiras cuando quieras desde la sección 9, sin que eso afecte lo tratado antes de retirarlo. Hasta el 30 de noviembre de 2026, las etiquetas de medición de Google se cargan en el sitio y el registro salvo que rechaces las cookies (sección 9).
Para avisarte de cosas operativas del servicio (un documento rechazado, un cobro, un cambio en los términos). No usamos tus datos para publicidad de terceros, no los vendemos, no te enviamos boletines ni publicidad por correo y no los usamos para entrenar modelos de inteligencia artificial.
4. Con quién los compartimos y dónde están
Servicio de Impuestos Internos (SII): recibe los documentos tributarios que emites. Es el destinatario obligatorio del servicio y el envío lo ordenas tú al emitir.
Amazon Web Services: infraestructura donde corre la aplicación. La aplicación, los archivos y la recepción de los correos de intercambio están en Estados Unidos (región de Virginia del Norte); los correos del servicio se envían desde Brasil (región de São Paulo, Amazon SES).
Aurora PostgreSQL, en Amazon Web Services: base de datos donde se almacena la información de tu cuenta y tus documentos, en Estados Unidos (región de Virginia del Norte), cifrada con llaves propias.
Turso: fue nuestra base de datos hasta el 4 de octubre de 2026 y conserva una copia congelada de esa fecha, sin uso, hasta que la eliminemos.
MercadoPago: procesa el pago de la suscripción. Los datos de tu tarjeta se ingresan y quedan en MercadoPago; no pasan por nuestros servidores.
Zoho: aloja nuestro correo (contacto@ y soporte@). Si nos escribes, tu mensaje queda ahí. Si nos escribes por WhatsApp, la conversación queda en WhatsApp (Meta).
Google y Meta: si aceptas las cookies de medición (sección 9); hasta el 30 de noviembre de 2026, Google también mientras no las rechaces.
Contadores partner: solo si contratas un servicio profesional, y solo respecto de la empresa cuyo servicio prestan.
Los correos que tú registras en «Copia de los documentos emitidos» (tu administrador contable, por ejemplo): mientras la tengas activada, reciben una copia de cada documento que emites, con los datos de tu cliente, y pueden recibir también el aviso de las compras que el SII registra a tu nombre, con los datos de ese proveedor. Cuando alguien la activa o cambia esos correos, les avisamos a los dueños del negocio, y la apagas cuando quieras en Empresa.
Asistentes de IA que tú conectas (Claude, de Anthropic; ChatGPT, de OpenAI): reciben los datos de tus negocios que les pides, por tu instrucción, y los tratan según tu plan con ellos. Tú eliges qué negocios conectas y los desconectas cuando quieras en Integraciones → Asistente de IA.
Transferencia internacional: Estados Unidos y Brasil no han sido declarados todavía países con un nivel adecuado de protección por la autoridad chilena. Por eso la transferencia a Amazon Web Services se ampara en garantías adecuadas: el contrato de tratamiento de datos de AWS, que incorpora cláusulas contractuales tipo, más el cifrado de la base y de los secretos con llaves que controlamos nosotros. Google, Meta, Zoho, Anthropic y OpenAI también tratan los datos fuera de Chile, bajo sus propios contratos de tratamiento de datos, y solo en los casos que dice esta sección.
Fuera de estos casos, y de un requerimiento legal de autoridad competente, no compartimos tus datos con nadie.
5. Cuánto tiempo los conservamos
Los documentos tributarios electrónicos y sus XML firmados se conservan por el plazo legal de 6 años, que es una obligación tributaria y no una decisión nuestra.
Los datos de tu cuenta se conservan mientras el servicio esté activo. Al terminar, tienes 60 días para exportar tu respaldo; después eliminamos lo que no estemos obligados a conservar.
Lo que la ley nos obliga a conservar no se borra cuando cierras tu cuenta: queda bloqueado, sin uso, hasta que se cumpla su plazo.
La bitácora de accesos y de lo que hace nuestro equipo, las solicitudes de los titulares con nuestras respuestas y el registro de vulneraciones de seguridad se conservan 6 años: son la prueba de cómo tratamos los datos.
La cookie fl_origen dura 90 días; tu decisión sobre las cookies, 180. Los códigos de acceso que mandamos por correo se guardan solo como huella y vencen en minutos. Las demos que nadie usa se eliminan, con aviso previo, después de un tiempo sin actividad.
El certificado digital entregado sin la autorización versión 2026-10-v1 se elimina cuando lo quitas de la plataforma o cuando cierras tu cuenta.
Las claves y el certificado entregados con la autorización versión 2026-10-v1, y la constancia de esa autorización, se conservan y se borran como dice la sección 6.
Hasta que la eliminemos, la copia congelada de Turso (sección 4) y el respaldo cifrado del cambio de base de datos conservan los datos tal como estaban el 4 de octubre de 2026, sin uso: lo que borremos después de esa fecha sigue en esas copias hasta entonces.
6. Claves tributarias y certificado entregados con la autorización versión 2026-10-v1
Esta sección vale para la clave tributaria del representante legal, la de la empresa y el certificado digital que se nos entregan aceptando la autorización versión 2026-10-v1: en «Clave tributaria» o en «Certificado digital» del portal, en el panel del contador que lleva la empresa, cuando los carga nuestro equipo o en el enlace con que el titular nos autoriza sin tener cuenta en FacturaLibre. Vale también para los que se nos entregan desde AgendaLibre, también de SOVA SpA, al activar la facturación electrónica de un negocio, aceptando la versión de esa autorización para AgendaLibre (2026-10-v1-canal): AgendaLibre los guarda cifrados solo mientras nos los envía y borra su copia en cuanto le respondemos; quien no tiene cuenta en FacturaLibre pide que los borremos escribiendo a soporte@facturalibre.cl. Para ellos rige lo que dice aquí y el texto de esa autorización.
De cada autorización guardamos el texto exacto que se aceptó y su versión, el nombre que escribió quien la dio, la cuenta desde la que la dio (si la dio con una; si la dio en AgendaLibre, el correo de su cuenta allí), el RUT del titular, la fecha, la dirección IP y el navegador. Cuando alguien pide un enlace para que el titular nos autorice, guardamos desde ese momento lo que anotó: el nombre de pila del titular, su RUT y su correo, su teléfono o los dos. Sirve para hacerle llegar el enlace y para probar la autorización y quién la pidió; lo guardamos aunque el titular no llegue a usar el enlace, y se conserva como parte de esa prueba. A ese correo le podemos mandar el enlace una sola vez, cuando alguien lo crea, y no le escribimos para nada más. Si eres esa persona y tu nombre, tu correo o tu teléfono de contacto están equivocados, puedes pedir que los corrijamos escribiendo a soporte@facturalibre.cl con tu RUT. El RUT del titular no se cambia: es el de quien autoriza con ese enlace. De la dirección del enlace guardamos solo una huella (hash): sirve una vez y vence a las 72 horas.
La clave del representante la usamos para los trámites de la empresa ante el SII que dice su autorización y, si falta la de la empresa, para leer sus compras, sus ventas y las boletas de honorarios que recibe; la de la empresa, para esas mismas lecturas. El certificado lo usamos para firmar y enviar los documentos de la empresa, pedir y anular sus folios, consultar el estado de sus documentos, leer sus compras y sus ventas, responder a sus proveedores y ceder sus facturas cuando la empresa lo pide, y nuestro equipo lo usa para entrar a sii.cl en los trámites de la empresa. La clave, el certificado y su contraseña quedan cifrados con AES-256-GCM y no vuelven a aparecer en el portal; cada vez que alguien de nuestro equipo ve la clave o la contraseña, o descarga el certificado, queda registrado quién y cuándo.
Cada autorización termina cuando dice su texto, y cada una tiene el suyo. La del certificado, la de la clave de la empresa y la de la clave del representante entregada «mientras dure la suscripción» terminan cuando termina la suscripción de la empresa a FacturaLibre. La de la clave del representante entregada «solo mientras dura la puesta en marcha» termina al terminar la puesta en marcha (o antes, si antes termina la suscripción); desde ahí el certificado se sigue usando con su propia autorización. Todas terminan también si la empresa queda suspendida o si damos por terminado el servicio. Desde el día en que termina una autorización no usamos lo que ella cubre (la clave o el certificado), y lo borramos dentro de 60 días. Si la empresa vuelve a pagar o la reactivamos antes de que lo borremos, la autorización sigue vigente, salvo que hayamos dado por terminado el servicio; la que se dio solo para la puesta en marcha sigue hasta que terminemos la puesta en marcha, y una vez terminada no vuelve.
Antes de eso se puede pedir que borremos una clave: desde «Clave tributaria» del portal o, si eres su titular, aunque no tengas cuenta, escribiendo a soporte@facturalibre.cl con tu RUT y el de la empresa. Desde que se pide en «Clave tributaria», la clave no se usa más; si se pide por correo, desde que registramos el pedido, a más tardar el día hábil siguiente. La borramos pasados 7 días, o antes si hace falta para no pasar de los 60 días desde que terminó su autorización. El pedido hecho en «Clave tributaria» se puede deshacer en ese plazo, mientras su autorización siga vigente; el del titular, no. El certificado se puede cambiar desde «Certificado digital», y su titular puede pedir que lo borremos escribiendo a soporte@facturalibre.cl.
La constancia de cada autorización (el texto, quién la dio, cuándo y desde dónde) y los datos del enlace se conservan también después de borrar la clave o el certificado: son la prueba de qué se autorizó y quién lo hizo.
Si diste una de estas autorizaciones como titular, o alguien pidió un enlace a tu nombre, y no tienes cuenta en FacturaLibre, ejerces tus derechos sobre tus datos (sección 8) escribiendo a soporte@facturalibre.cl con tu RUT.
7. Cómo los protegemos
Certificado digital y claves cifrados con AES-256-GCM; contraseñas con hash bcrypt; la base de datos y los respaldos, cifrados con llaves propias; todo el tráfico por HTTPS con HSTS.
Segundo factor obligatorio para todas las cuentas; permisos por persona y por negocio; el acceso de nuestro equipo pasa por un segundo factor y queda en una bitácora que no se puede editar ni borrar.
Fuera del pago de la suscripción, que carga los campos seguros de MercadoPago, y de la medición de Google Tag Manager cuando la aceptas (y, hasta el 30 de noviembre de 2026, en el sitio y el registro mientras no la rechaces), la aplicación no carga scripts de terceros: la política de seguridad de contenido (CSP) solo admite nuestro dominio y esos orígenes.
Las pantallas donde se escribe una clave del SII, la contraseña del certificado o un código no cargan scripts de terceros, aunque hayas aceptado las cookies.
El acceso a los datos de una empresa está restringido a los usuarios que tú autorizas, con permisos por empresa.
Si una vulneración de seguridad afecta datos personales con un riesgo razonable para sus titulares, la registramos y la informamos a la Agencia de Protección de Datos Personales sin demora; si afecta datos sensibles o datos sobre obligaciones económicas, financieras, bancarias o comerciales, se la comunicamos además a cada titular afectado, en palabras simples. Si afecta datos que tratamos por tu encargo, te avisamos a ti.
8. Tus derechos
Puedes solicitar acceso a tus datos personales, su rectificación si están equivocados, su eliminación cuando no exista obligación legal de conservarlos, y oponerte a tratamientos que no sean necesarios para prestarte el servicio.
También puedes pedir la portabilidad (recibir los datos que nos entregaste en un formato estructurado y de uso común, o que se los pasemos a otro responsable), no ser objeto de decisiones tomadas solo por un sistema que te afecten (sección 12) y, mientras resolvemos una rectificación, supresión u oposición, el bloqueo temporal de esos datos. Si tienes cuenta, en Mi perfil descargas tus datos de usuario cuando quieras, y tus documentos se exportan desde el portal.
Para ejercerlos, usa el formulario de facturalibre.cl/derechos o escríbenos a contacto@facturalibre.cl desde el correo asociado a tu cuenta. Es gratis. Te damos un folio, acusamos recibo y te respondemos por escrito dentro de 30 días corridos (prorrogables una vez por otros 30 días corridos, con aviso); el bloqueo temporal lo respondemos dentro de 2 días hábiles. Podemos pedirte que compruebes tu identidad antes de entregar o cambiar datos.
Si no tienes cuenta en FacturaLibre (por ejemplo, nos autorizaste tu clave o tu certificado por un enlace, o alguien pidió un enlace a tu nombre), escríbenos a soporte@facturalibre.cl con tu RUT.
Si rechazamos tu solicitud o no respondemos a tiempo, puedes reclamar ante la Agencia de Protección de Datos Personales dentro de 30 días hábiles.
Cuando un tratamiento se basa en tu consentimiento (las cookies de medición), puedes retirarlo en cualquier momento, sin que eso afecte lo tratado antes.
10. Los datos de terceros en tus documentos: el encargo
Los datos de tus clientes, proveedores, trabajadores, pacientes o transportistas que aparecen en tus documentos son tuyos: tú eres su responsable y nosotros los tratamos por tu encargo, solo para prestarte el servicio y según tus instrucciones. Las condiciones de ese encargo están en el Contrato de tratamiento de datos por encargo (facturalibre.cl/encargo-de-datos), que forma parte de los términos del servicio.
Si emites boletas del rubro salud con el nombre del paciente u otro dato de salud, ese es un dato sensible: tú eres responsable de contar con la base legal para tratarlo. Nosotros no llevamos un registro de pacientes: el dato vive solo en el documento que emites.
Si eres cliente, proveedor o trabajador de un negocio que usa FacturaLibre, puedes ejercer tus derechos ante ese negocio o ante nosotros en facturalibre.cl/derechos; se lo hacemos llegar. Los documentos tributarios ya emitidos no se pueden borrar ni modificar: se corrigen con una nota que emite el negocio.
11. Datos que vienen de fuentes de acceso público
Para autocompletar la razón social, el giro y la dirección cuando escribes un RUT, usamos la información tributaria que el SII publica (la situación tributaria de cada contribuyente y la nómina de sus direcciones). De una persona natural con inicio de actividades eso puede incluir su nombre, su actividad y su dirección comercial.
Puedes oponerte a ese tratamiento en facturalibre.cl/derechos: dejaremos de mostrar tus datos públicos en el autocompletado, salvo los que necesite un documento que alguien emite a tu nombre.
12. Decisiones automatizadas
No tomamos sobre las personas decisiones basadas solo en un tratamiento automatizado que les produzcan efectos jurídicos, ni elaboramos perfiles.
Algunas reglas del servicio se aplican solas porque son parte del contrato: si un cobro de la suscripción no se resuelve, el negocio deja de emitir documentos en producción; si hay demasiados intentos fallidos de entrar, el acceso se frena por un rato. Puedes pedir que una persona de nuestro equipo revise cualquiera de esas decisiones y explicarnos tu caso, en facturalibre.cl/derechos o en contacto@facturalibre.cl.
13. Cambios a esta política
Cada versión de esta política lleva su fecha. Si la cambiamos de una forma que te afecte de manera relevante, te avisaremos por correo con al menos 30 días de anticipación.