Seguridad de los datos
Qué medidas aplicamos para proteger la información de tu negocio y la de tus clientes, explicadas sin tecnicismos.
1. Qué cubre esta página
Aquí describimos las medidas técnicas y organizativas con las que operamos. Es un complemento de la Política de Privacidad, que es el documento con valor legal y donde se detalla qué datos tratamos, con qué base y qué derechos tienes.
Lo que no vas a leer aquí: no afirmamos que la plataforma sea «totalmente segura» ni que «cumple toda la normativa». Ningún sistema es infalible. Tampoco tenemos certificaciones ISO 27001 ni HIPAA, y no vamos a insinuar lo contrario.
2. Cifrado
- En tránsito: todo el tráfico entre tu navegador y la plataforma viaja sobre TLS.
- En reposo: los datos sensibles se almacenan cifrados. Esto incluye las notas de la ficha clínica.
- Cuando se trata de datos de salud que salen de Chile, aplicamos garantías reforzadas: cifrado en tránsito y en reposo, minimización de lo que se transfiere y evaluación específica del proveedor.
3. Quién puede ver qué
- Control de acceso por roles: la plataforma tiene 7 roles con permisos distintos. Cada persona de tu equipo ve solo lo que su rol permite, y la información clínica queda restringida a quienes corresponde.
- Aislamiento por negocio: los datos de cada negocio están separados a nivel de aplicación, y ese aislamiento se refuerza en la base de datos.
- Verificación en dos pasos (2FA): disponible para las cuentas de tu equipo y de administración.
- Acceso interno por necesidad de conocer: nuestro equipo accede a datos de un negocio solo cuando es necesario para operar el servicio o resolver un soporte.
4. Respaldos y trazabilidad
- Respaldos periódicos de la base de datos.
- Registro de auditoría de las acciones relevantes dentro de la plataforma.
- Revisiones de seguridad periódicas y control de los proveedores que tratan datos por cuenta nuestra.
5. Dónde viven tus datos
Operamos con proveedores que tratan datos por cuenta nuestra, bajo obligaciones contractuales de confidencialidad y seguridad. Los principales:
| Proveedor | Para qué |
|---|---|
| Railway | Alojamiento de la aplicación, la base de datos y las colas de procesamiento. |
| Cloudflare R2 | Archivos que cargas (por ejemplo, adjuntos de ficha clínica) y respaldos operativos. |
| Amazon SES | Correos del servicio: confirmaciones, recordatorios y avisos. |
| Flow.cl | Procesa el pago de tu suscripción. No almacenamos números completos de tarjeta. |
| Sincronización opcional con Google Calendar, solo con tu autorización. De tu calendario leemos únicamente los horarios ocupados, no el título ni el contenido de tus eventos, y escribimos en él tus citas de Toma Hora. | |
| Anthropic / OpenAI | Asistente de administración, opcional y solo para roles autorizados. |
Parte de esta infraestructura se ubica fuera de Chile. Esas transferencias se realizan con garantías contractuales conforme a la normativa chilena. El listado completo y actualizado está en la Política de Privacidad.
6. El asistente de IA y tus datos clínicos
El asistente de administración es opcional y está disponible solo para los roles autorizados de tu negocio. Antes de enviar cualquier consulta al proveedor de IA minimizamos los datos: las notas clínicas no se envían, y los identificadores de contacto como email y teléfono se enmascaran u omiten.
7. Tus datos son tuyos
- Exportación: puedes descargar clientes, citas e historial cuando quieras, sin pedir permiso y sin permanencia mínima.
- Eliminación: tras una eliminación los datos dejan de estar accesibles y se purgan de los respaldos dentro del ciclo de retención de estos.
- Conservación: mantenemos los datos mientras exista una relación activa. Después quedan bloqueados solo por los plazos que exige la ley (por ejemplo, documentación tributaria del SII) y luego se suprimen o anonimizan de forma irreversible.
8. Si ocurre un incidente
Ante una brecha de seguridad que afecte datos personales, notificamos conforme a lo establecido en la Política de Privacidad. Si detectas algo que parezca un problema de seguridad, escríbenos a privacidad@tomahora.com y lo revisamos.
9. Marco legal
El tratamiento de datos personales se rige por la Ley N° 19.628 sobre Protección de la Vida Privada y la Ley N° 21.719. Para la ficha clínica y los datos de salud aplican además las obligaciones de la normativa sanitaria chilena. El detalle está en la Política de Privacidad y en los Términos de uso.
10. Contacto
Consultas de seguridad y privacidad: privacidad@tomahora.com. Para el resto, escríbenos por aquí.