Política de privacidad

1. Quién responde por los datos

Esta distinción es la más importante del documento, porque determina a quién le reclama una familia.

El centro de salud es el responsable de los datos. Decide a quién atiende, qué registra y por cuánto tiempo. La relación con las familias es suya.

Escopia es un encargado del tratamiento. Provee el sistema donde esa información se guarda y la trata únicamente siguiendo las instrucciones del centro. No usa los datos de las personas atendidas para fines propios, no los vende, no los cede a terceros y no los usa para publicidad ni para entrenar modelos.

Por definir: identificación de la empresa titular de Escopia y de su representante.

2. Qué datos se tratan

Del equipo del centro: nombre, apellido, correo, teléfono, especialidad, rol y contraseña. La contraseña se guarda cifrada de forma irreversible: nadie —ni el centro, ni Escopia— puede leerla.

De las personas atendidas y sus apoderados: nombre, documento de identidad, fecha de nacimiento, teléfono, sesiones, asistencia, pagos, evoluciones clínicas y documentos adjuntos.

Las evoluciones clínicas y los documentos son datos sensibles de salud y, tratándose de menores de edad, tienen protección reforzada.

Técnicos: dirección IP, navegador y registro de accesos y acciones dentro del sistema.

3. Para qué se usan

• Prestar el servicio: agendar, registrar sesiones y llevar la ficha.
• Dar acceso a quien corresponda y solo a lo que su rol permite.
• Enviar correos de acceso: invitación, código de inicio y recuperación de contraseña.
• Enviar recordatorios de sesión y confirmar la asistencia. Salen por WhatsApp y por correo, según lo que el centro configure. El recordatorio dice quién, cuándo y dónde: nunca información clínica. Va al contacto que el centro registró para esa persona, que puede ser el suyo, el de un apoderado, o el de un tercero que la propia persona o su apoderado indicaron.
• Dejar registro de auditoría, que es a la vez una obligación y una protección.

No se envía publicidad. No hay comunicaciones comerciales a las familias.

4. Dónde se alojan y quiénes intervienen

Escopia se apoya en proveedores de infraestructura. Ninguno accede a la información para fines propios; la alojan o la transportan.

• Supabase — base de datos. Servidores en Canadá.
• Vercel — ejecución de la aplicación y dominio. Servidores en Estados Unidos.
• Cloudflare R2 — archivos y documentos adjuntos.
• Resend — envío de los correos del sistema. Servidores en Brasil.
• Meta — mensajes de WhatsApp, cuando el centro active esa función.

Esto implica transferencia internacional de datos. La información no se aloja en Chile. Se declara expresamente porque la ley obliga a informarlo y porque un centro tiene derecho a saberlo antes de contratar.

Por definir: cláusulas contractuales con cada proveedor y evaluación de garantías de transferencia.

5. Cómo se protegen

• Cada centro accede únicamente a su propia información, por diseño del sistema.
• Permisos por rol: cada persona ve solo lo que su función requiere.
• Contraseñas cifradas de forma irreversible.
• Código de verificación al correo al iniciar sesión desde un equipo no reconocido, además de la contraseña.
• Límite de intentos de acceso: tras varios fallos desde un mismo origen se bloquea temporalmente, para frenar los intentos automatizados de adivinar contraseñas.
• Conexión cifrada (HTTPS) en todo el sitio, sin excepciones.
• Los documentos se guardan cifrados en reposo (AES-256) y viajan cifrados. Se descargan siempre a través de la plataforma, que comprueba los permisos en cada acceso: no existen enlaces públicos ni directos al almacenamiento.
• Solo se aceptan formatos de documento previamente autorizados, y se verifica que el contenido del archivo corresponda al tipo declarado.
• Registro de auditoría de accesos y acciones, incluida la descarga de documentos sensibles.
• La información no se elimina físicamente: dar de baja archiva y conserva historial.

Las medidas se revisan periódicamente mediante pruebas de seguridad sobre la propia plataforma.

Ninguna medida vuelve un sistema invulnerable. Estas reducen el riesgo; no lo eliminan.

6. Por cuánto tiempo se conservan

Los registros clínicos se conservan mientras el centro deba conservarlos conforme a la normativa sanitaria aplicable, aunque la persona deje de atenderse.

Por definir: plazos concretos de conservación y procedimiento de eliminación al terminar el servicio. Requiere revisión legal, no se pueden estimar.

7. Derechos de las personas

Toda persona puede solicitar acceder a sus datos, rectificarlos si son inexactos, pedir su eliminación, oponerse a ciertos tratamientos y solicitar la portabilidad de su información.

Estas solicitudes se dirigen al centro de salud, que es el responsable. Escopia colabora con el centro para atenderlas, pero no puede resolverlas por su cuenta: no le corresponde decidir sobre información clínica que no es suya.

Tratándose de menores, los derechos los ejerce quien tiene su cuidado legal.

Por definir: canal y plazo de respuesta para estas solicitudes.

8. Incidentes de seguridad

Ante una vulneración que afecte datos personales, Escopia avisará al centro afectado sin dilación indebida, con la información disponible sobre qué ocurrió y qué datos se vieron comprometidos, para que el centro cumpla sus propias obligaciones de notificación.

Por definir: plazo comprometido de notificación.

9. Consultas de esta página

Los datos del formulario de contacto se usan solo para responder la consulta. Se registra además la dirección IP, para evitar el envío automatizado de mensajes.

10. Cambios

Si esta política cambia de forma relevante, se avisará a los centros con los que haya contrato vigente antes de que el cambio entre en vigor.