Política de Privacidad y Protección de Datos Personales

1. Identificación del Responsable

La presente Política regula el tratamiento de datos personales realizado por Grupo Schoebitz SpA (en adelante, el Responsable), RUT 78.448.448-3, representada legalmente por Pablo Esteban Schoebitz Donoso, RUT 19.004.957-4, en su calidad de responsable del tratamiento de los datos recabados a través de la plataforma SaaS miAgenda Clínica, accesible en miagendaclinica.cl.

Para contacto en materias de privacidad, soporte y ejercicio de derechos (art. 14 ter, Ley N° 21.719):

• Domicilio: Río Volcán 3527, Puente Alto, Región Metropolitana, Chile
• Correo de contacto: contacto@miagendaclinica.cl (privacidad, soporte y ejercicio de derechos; asunto sugerido para datos personales: «Protección de datos personales»)
• Encargado de Protección de Datos (EPD): Pablo Esteban Schoebitz Donoso — contacto@miagendaclinica.cl

2. Marco Legal Aplicable

Esta Política se dicta en cumplimiento de:

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (APDP), con plena vigencia desde el 1 de diciembre de 2026.
• Ley N° 20.584, sobre Derechos y Deberes de los Pacientes, en lo relativo al tratamiento de datos clínicos.
• Código Sanitario y normativa del Ministerio de Salud (MINSAL).
• Código Tributario, en lo relativo a conservación de registros contables.

3. Roles en el Tratamiento de Datos

Nuestra gestión se divide en dos niveles de responsabilidad:

• Datos de clínicas, profesionales y personal administrativo (usuarios directos del software): el Responsable actúa como responsable del tratamiento ante dichos titulares.
• Datos de pacientes ingresados por los Clientes (clínicas, consultorios o profesionales independientes): el Responsable actúa únicamente como encargado del tratamiento (art. 15 bis, Ley N° 21.719). El Cliente — quien contrata la plataforma — es el responsable del tratamiento ante el paciente.

4. Principios del Tratamiento

Conforme al artículo 3° de la Ley N° 21.719, el tratamiento se rige por los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, seguridad, responsabilidad proactiva, y protección desde el diseño y por defecto (art. 14 quáter).

5. Categorías de Datos, Finalidades y Base Legal

5.1 Usuarios de la plataforma (clínicas y profesionales)

5.2 Datos de pacientes (tratados por encargo del Cliente)

Universo de titulares: pacientes atendidos por clínicas, consultorios o profesionales odontológicos independientes que usan la plataforma. Fuente de los datos: proporcionados directamente por el Cliente responsable, o por el propio paciente ante dicho responsable.

• Identificación y contacto: nombre, RUT, fecha de nacimiento, dirección, teléfono, correo.
• Datos sensibles de salud: ficha clínica, anamnesis, odontograma, diagnósticos, evoluciones, imágenes, consentimientos informados (Ley 20.584).
• Datos económicos: presupuestos, pagos, historial de deuda.

Finalidad: prestación del servicio SaaS de gestión clínica por instrucción exclusiva del Cliente responsable. Base legal: determinada por el Cliente (generalmente consentimiento del paciente y/o obligación legal sanitaria). Conservación: mínimo 15 años desde la última atención (Ley 20.584 y normativa MINSAL), salvo instrucción de supresión fundada del Cliente responsable.

6. Destinatarios y Subprocesadores

El Responsable no vende ni cede datos con fines comerciales. Utiliza los siguientes encargados/subprocesadores:

• Google Cloud / Firebase — infraestructura, base de datos, almacenamiento y autenticación. Puede implicar transferencia internacional. Google actúa como encargado conforme a su Data Processing Addendum: cloud.google.com/terms/data-processing-addendum
• TUU — procesamiento de pagos de suscripción (solo datos necesarios para el cobro; cumplimiento PCI-DSS).
• Google Gmail (miagendaclinica@gmail.com) — envío de correos transaccionales (recordatorios y confirmaciones de cita).

Cualquier nuevo subprocesador será informado mediante actualización de esta Política.

7. Transferencias Internacionales

Cuando los datos se almacenan o procesan fuera de Chile (por ejemplo, en servidores de Google Cloud), el Responsable garantiza que dicha transferencia se realiza bajo cláusulas contractuales que ofrecen un nivel de protección adecuado, conforme al artículo 14 ter letra h) de la Ley N° 21.719. En caso de que el país de destino no cuente con nivel adecuado de protección, se aplican las garantías contractuales estándar de Google LLC y las salvaguardas exigidas por la ley.

8. Derechos de los Titulares

Conforme a los artículos 4° a 9° de la Ley N° 21.719, los titulares tienen derecho a:

• Acceso — conocer qué datos se tratan, con qué finalidad, origen y destinatarios.
• Rectificación — corregir datos inexactos, incompletos o desactualizados.
• Supresión — solicitar eliminación cuando proceda conforme al art. 7°.
• Oposición — oponerse al tratamiento en los casos del art. 8°.
• Portabilidad — recibir sus datos en formato estructurado y de uso común, cuando el tratamiento sea automatizado y basado en consentimiento (art. 9°).
• Bloqueo — suspensión temporal del tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición (art. 8° ter).
• Revocación del consentimiento — retirarlo en cualquier momento, sin efecto retroactivo (art. 12).

8.1 Cómo ejercer sus derechos

Usuarios de la plataforma (clínicas/profesionales): envíe solicitud escrita a contacto@miagendaclinica.cl indicando: (a) individualización y autenticación de identidad; (b) domicilio o correo para la respuesta; (c) derecho que desea ejercer; (d) datos o tratamiento sobre los que versa la solicitud (art. 11).

El Responsable acusará recibo y responderá dentro de 30 días corridos, prorrogables por una sola vez hasta 30 días corridos adicionales, debidamente fundados. La solicitud es gratuita.

Pacientes: deben dirigirse en primer lugar al responsable de su atención odontológica (clínica, consultorio o profesional independiente donde se atienden), por ser quien determina el tratamiento de sus datos. MiAgenda Clínica colaborará tecnológicamente con ese responsable para atender las solicitudes que éste le instruya.

Si el Responsable rechaza o no responde oportunamente, el titular puede reclamar ante la Agencia de Protección de Datos Personales (APDP) dentro de los 30 días hábiles siguientes a la respuesta o al vencimiento del plazo (art. 11 y art. 41).

9. Decisiones Automatizadas y Perfiles

La plataforma no adopta decisiones basadas exclusivamente en tratamiento automatizado ni elabora perfiles con efectos jurídicos o significativos sobre los titulares. Las funciones de la plataforma requieren intervención humana del profesional o personal del Cliente.

10. Medidas de Seguridad

Conforme a los artículos 14 quáter y 14 quinquies, el Responsable implementa:

• Cifrado de datos en tránsito (TLS/HTTPS) y en reposo en Firebase.
• Autenticación segura mediante Firebase Authentication.
• Control de acceso basado en roles (RBAC): cada usuario accede solo a los datos de su cuenta de consultorio (Clientes no acceden a datos de otros Clientes).
• Registros de auditoría de accesos y modificaciones.
• Copias de seguridad periódicas y plan de recuperación ante desastres.
• Capacitación del personal en protección de datos.
• Evaluaciones periódicas de riesgo y seguridad.
• Deber de secreto y confidencialidad (art. 14 bis).

11. Notificación de Vulneraciones de Seguridad

Ante una vulneración que ocasione destrucción, filtración, pérdida, alteración o acceso no autorizado a datos personales, y exista riesgo razonable para los derechos de los titulares, el Responsable (art. 14 sexies):

• Reportará a la APDP por los medios más expeditos posibles y sin dilaciones indebidas.
• Notificará a los titulares afectados cuando la vulneración pueda generar un alto riesgo, especialmente si involucra datos sensibles de salud.
• Adoptará medidas inmediatas para contener y remediar el incidente.
• Mantendrá registro documentado del incidente, sus efectos y medidas adoptadas.

Como encargado del tratamiento de datos de pacientes, el Responsable notificará de inmediato al Cliente responsable ante cualquier incidente de seguridad (art. 15 bis).

12. Plazos de Conservación

• Fichas clínicas de pacientes: mínimo 15 años desde la última atención (Ley 20.584 / MINSAL).
• Datos contables y facturación: 6 años desde el período tributario (Código Tributario).
• Logs y auditoría: 2 años desde su generación.
• Cuentas de usuario: vigencia del contrato + 2 años tras su término.

Transcurrido el plazo, los datos serán eliminados o anonimizados de forma segura.

13. Datos de Menores de Edad

La plataforma puede contener datos de menores en el contexto de atención clínica dental. El tratamiento es responsabilidad del Cliente (clínica o profesional independiente), quien debe contar con el consentimiento del representante legal del menor. El Responsable no recaba datos de menores con fines propios.

14. Cookies y Tecnologías de Seguimiento

La plataforma no utiliza Google Analytics ni herramientas de seguimiento publicitario de terceros. Se emplean cookies estrictamente necesarias para autenticación y seguridad de la sesión. No se instalan cookies de rastreo sin consentimiento del usuario.

15. Evaluación de Impacto (DPIA)

Por tratarse de una plataforma que procesa datos sensibles de salud, el Responsable realiza Evaluaciones de Impacto en Protección de Datos conforme al artículo 15 ter de la Ley N° 21.719. Los resultados se documentan y están disponibles para la APDP cuando sea requerido.

16. Registro de Actividades de Tratamiento

En cumplimiento del principio de responsabilidad proactiva (accountability), el Responsable mantiene un Registro de Actividades de Tratamiento (RAT) interno y actualizado, que documenta de forma detallada cada operación de tratamiento de datos personales — incluyendo categorías de titulares y de datos, finalidades, bases legales, destinatarios, plazos de conservación, transferencias internacionales y medidas de seguridad aplicables.

La información contenida en este documento público resume dicho registro conforme al artículo 14 ter de la Ley N° 21.719. El RAT completo no se publica en línea por contener detalle operativo de la plataforma, pero puede ser puesto a disposición de la Agencia de Protección de Datos Personales (APDP) cuando sea requerido en el marco de sus facultades fiscalizadoras.

17. Actualización de la Política

El Responsable puede modificar esta Política para adaptarla a cambios legislativos o de la plataforma. Las modificaciones sustanciales serán comunicadas por correo electrónico y/o publicadas en el sitio web con al menos 30 días de anticipación, indicando la nueva versión y fecha de vigencia.

18. Ley Aplicable y Jurisdicción

Esta Política se rige por las leyes de la República de Chile. Para controversias sobre tratamiento de datos personales, las partes se someten a los tribunales ordinarios de justicia competentes en Chile y, cuando corresponda, a las atribuciones de la APDP.

Fecha de última actualización: 24 de junio de 2026 · Grupo Schoebitz SpA · RUT 78.448.448-3 · Río Volcán 3527, Puente Alto