Seguridad de los datos

1. Qué cubre esta página

Aquí describimos las medidas técnicas y organizativas con las que operamos. Es un complemento de la Política de Privacidad, que es el documento con valor legal y donde se detalla qué datos tratamos, con qué base y qué derechos tienes.

Lo que no vas a leer aquí: no afirmamos que la plataforma sea «totalmente segura» ni que «cumple toda la normativa». Ningún sistema es infalible. Tampoco tenemos certificaciones ISO 27001 ni HIPAA, y no vamos a insinuar lo contrario.

2. Cifrado

En tránsito: todo el tráfico entre tu navegador y la plataforma viaja sobre TLS.
En reposo: los datos sensibles se almacenan cifrados. Esto incluye las notas de la ficha clínica.
Cuando se trata de datos de salud que salen de Chile, aplicamos garantías reforzadas: cifrado en tránsito y en reposo, minimización de lo que se transfiere y evaluación específica del proveedor.

3. Quién puede ver qué

Control de acceso por roles: la plataforma tiene 7 roles con permisos distintos. Cada persona de tu equipo ve solo lo que su rol permite, y la información clínica queda restringida a quienes corresponde.
Aislamiento por negocio: los datos de cada negocio están separados a nivel de aplicación, y ese aislamiento se refuerza en la base de datos.
Verificación en dos pasos (2FA): disponible para las cuentas de tu equipo y de administración.
Acceso interno por necesidad de conocer: nuestro equipo accede a datos de un negocio solo cuando es necesario para operar el servicio o resolver un soporte.

4. Respaldos y trazabilidad

Respaldos periódicos de la base de datos.
Registro de auditoría de las acciones relevantes dentro de la plataforma.
Revisiones de seguridad periódicas y control de los proveedores que tratan datos por cuenta nuestra.

5. Dónde viven tus datos

Operamos con proveedores que tratan datos por cuenta nuestra, bajo obligaciones contractuales de confidencialidad y seguridad. Los principales:

Proveedor	Para qué
Railway	Alojamiento de la aplicación, la base de datos y las colas de procesamiento.
Cloudflare R2	Archivos que cargas (por ejemplo, adjuntos de ficha clínica) y respaldos operativos.
Amazon SES	Correos del servicio: confirmaciones, recordatorios y avisos.
Flow.cl	Procesa el pago de tu suscripción. No almacenamos números completos de tarjeta.
Google	Sincronización opcional con Google Calendar, solo con tu autorización. De tu calendario leemos únicamente los horarios ocupados, no el título ni el contenido de tus eventos, y escribimos en él tus citas de Toma Hora.
Anthropic / OpenAI	Asistente de administración, opcional y solo para roles autorizados.

Parte de esta infraestructura se ubica fuera de Chile. Esas transferencias se realizan con garantías contractuales conforme a la normativa chilena. El listado completo y actualizado está en la Política de Privacidad.

6. El asistente de IA y tus datos clínicos

El asistente de administración es opcional y está disponible solo para los roles autorizados de tu negocio. Antes de enviar cualquier consulta al proveedor de IA minimizamos los datos: las notas clínicas no se envían, y los identificadores de contacto como email y teléfono se enmascaran u omiten.

7. Tus datos son tuyos

Exportación: puedes descargar clientes, citas e historial cuando quieras, sin pedir permiso y sin permanencia mínima.
Eliminación: tras una eliminación los datos dejan de estar accesibles y se purgan de los respaldos dentro del ciclo de retención de estos.
Conservación: mantenemos los datos mientras exista una relación activa. Después quedan bloqueados solo por los plazos que exige la ley (por ejemplo, documentación tributaria del SII) y luego se suprimen o anonimizan de forma irreversible.

8. Si ocurre un incidente

Ante una brecha de seguridad que afecte datos personales, notificamos conforme a lo establecido en la Política de Privacidad. Si detectas algo que parezca un problema de seguridad, escríbenos a privacidad@tomahora.com y lo revisamos.

9. Marco legal

El tratamiento de datos personales se rige por la Ley N° 19.628 sobre Protección de la Vida Privada y la Ley N° 21.719. Para la ficha clínica y los datos de salud aplican además las obligaciones de la normativa sanitaria chilena. El detalle está en la Política de Privacidad y en los Términos de uso.

10. Contacto

Consultas de seguridad y privacidad: privacidad@tomahora.com. Para el resto, escríbenos por aquí.