1. Responsable, encargado y delegado

Responsable del tratamiento de los datos de Profesionales, Asistentes y usuarios de cuentas DentalSpot: DentalSpot SpA, RUT 77.599.283-2, domicilio Hochstetter 1002, oficina 1103, Santiago, Chile.

Encargado del tratamiento de los datos clínicos de Pacientes: DentalSpot actúa como encargado por cuenta y orden del Profesional u Organización tratante, en los términos del art. 15 ter de la Ley 21.719. El Profesional u Organización es el responsable del tratamiento frente al Paciente.

Delegado de Protección de Datos (DPO): contacto en privacidad@dentalspot.cl.

2. Marco legal aplicable

Ley 21.719 sobre protección y tratamiento de datos personales (Chile).
Ley 20.584 sobre derechos y deberes que tienen las personas en relación con acciones vinculadas a su atención en salud.
Ley 19.628 en lo que continúe vigente durante el régimen de transición.
Ley 19.496 sobre protección de los derechos de los consumidores.
Normativa sectorial sanitaria del Ministerio de Salud y de la Superintendencia de Salud.

3. Datos que tratamos, con base legal y plazo

Categoría	Ejemplos	Base legal	Plazo
Identificación	Nombre, RUT, email, teléfono, dirección	Ejecución del contrato + consentimiento	Mientras la cuenta esté activa + 5 años
Datos clínicos (sensibles)	Ficha clínica, diagnósticos, planes de tratamiento, presupuestos, imágenes intraorales	Consentimiento expreso del Paciente + obligación legal de conservación de ficha clínica (Ley 20.584 art. 12)	Mínimo 15 años desde la última atención (art. 12 Ley 20.584)
Financieros	Registro de pagos, plan contratado, RUT de facturación; NO almacenamos PAN ni CVV	Ejecución del contrato + obligación tributaria	6 años (art. 17 Código Tributario)
Uso y técnicos	IP, user-agent, logs de acceso, eventos de auditoría	Interés legítimo (seguridad y prevención de fraude)	12 meses
Marketing	Email para newsletter, Meta Pixel	Consentimiento opt-in revocable	Hasta revocación

4. Finalidades del tratamiento

Operar la Plataforma y sus funcionalidades de gestión clínica.
Permitir al Profesional cumplir con sus deberes de registro, facturación y atención al Paciente.
Comunicar al Paciente recordatorios, presupuestos y enlaces de pago, autorizado por el Profesional tratante.
Cumplir obligaciones legales, tributarias y sanitarias.
Detectar y prevenir fraude, abuso de la Plataforma y vulneraciones de seguridad.
Mejorar la Plataforma mediante análisis estadísticos en datos agregados o seudonimizados.

5. Datos sensibles (información de salud)

Los datos clínicos del Paciente son datos sensibles y reciben protección reforzada conforme al art. 2 letra g) y al art. 16 de la Ley 21.719. En particular: (i) acceso restringido por rol y por relación profesional-paciente mediante políticas RLS; (ii) cifrado en tránsito (TLS 1.2+) y en reposo a nivel de proveedor; (iii) registro de auditoría de accesos; (iv) prohibición absoluta de uso comercial o de cesión a terceros con fines distintos a los clínicos y administrativos autorizados.

6. Encargados y sub-encargados del tratamiento

Para operar la Plataforma utilizamos los siguientes proveedores, que actúan como encargados o sub-encargados, bajo contrato de confidencialidad y obligaciones equivalentes a las exigidas por la Ley 21.719:

Proveedor	Servicio	País de procesamiento
Supabase Inc.	Base de datos, autenticación, almacenamiento de archivos	EE.UU. (región configurada en us-east-1)
Vercel Inc.	Hosting y CDN del frontend	EE.UU. y red global
Resend	Envío de correos transaccionales	EE.UU.
MercadoPago Chile S.A.	Procesamiento de pagos	Chile / Argentina
OpenAI L.L.C. / Anthropic PBC	Asistente conversacional opt-in (sin datos clínicos identificables)	EE.UU.
Sentry	Monitoreo de errores (datos técnicos, sin contenido clínico)	EE.UU. / UE
Meta Platforms Ireland Ltd.	Meta Pixel (solo si el usuario acepta cookies de marketing)	Irlanda / EE.UU.

No vendemos ni cedemos datos personales a terceros con fines comerciales.

7. Transferencias internacionales

Algunos de los proveedores antes indicados procesan datos fuera de Chile. Estas transferencias se realizan al amparo del art. 27 y siguientes de la Ley 21.719, mediante: (i) cláusulas contractuales de confidencialidad y seguridad equivalentes; (ii) certificaciones de los proveedores (SOC 2, ISO 27001) cuando corresponda; (iii) en el caso de datos clínicos, medidas adicionales de minimización y seudonimización.

8. Derechos del titular (ARCO+)

Conforme a los arts. 4 al 14 de la Ley 21.719, el titular tiene derecho a:

Acceso: obtener confirmación y copia de los datos que tratamos.
Rectificación: corregir datos inexactos o incompletos.
Cancelación / supresión: solicitar eliminación, sujeta a las obligaciones de conservación legales (ver sección 11 sobre anonimización).
Oposición: oponerse a tratamientos basados en interés legítimo o decisiones automatizadas.
Portabilidad: recibir los datos en formato estructurado y de uso común.
Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud.
Revocación del consentimiento: retirar el consentimiento en cualquier momento, sin efecto retroactivo.

9. Procedimiento para ejercer derechos ARCO

9.1. Canales: (a) desde la Plataforma en "Cuenta y Seguridad → Privacidad"; (b) por correo a privacidad@dentalspot.cl con la referencia "Derechos ARCO".

9.2. Acreditación de identidad: solicitaremos antecedentes razonables para verificar la identidad del titular (RUT y, en su caso, autorización notarial para representantes).

9.3. Plazo de respuesta: hasta 15 días hábiles desde la recepción de la solicitud completa, prorrogable por 15 días hábiles adicionales en casos complejos, comunicando al titular el motivo de la prórroga.

9.4. Costo: gratuito, salvo solicitudes manifiestamente infundadas o repetitivas.

9.5. Derecho a reclamo: sin perjuicio del derecho del titular a presentar un reclamo ante la Agencia de Protección de Datos Personales (cuando se encuentre en funciones), o ante la autoridad competente.

10. Seguridad de la información

Aplicamos medidas técnicas y organizativas razonables, considerando el estado de la técnica, los costes y los riesgos:

Cifrado TLS 1.2+ en tránsito y cifrado en reposo a nivel de base de datos.
Control de acceso por roles (RBAC) y políticas de Row-Level Security en base de datos.
Autenticación de doble factor disponible para cuentas de Profesional.
Registros de auditoría de accesos a datos clínicos.
Respaldos periódicos cifrados con retención mínima de 30 días.
Procesos internos de evaluación de riesgo y respuesta a incidentes.

11. Notificación de brechas de seguridad

En caso de vulneración de seguridad que afecte datos personales y que entrañe riesgo para los derechos del titular, DentalSpot notificará a la Agencia de Protección de Datos Personales y a los titulares afectados dentro de las 72 horas de tomar conocimiento, conforme al art. 14 quáter de la Ley 21.719. La notificación incluirá la naturaleza de la brecha, datos afectados, medidas adoptadas y recomendaciones al titular.

12. Conservación, anonimización y eliminación

12.1. Los plazos generales se indican en la tabla de la sección 3.

12.2. Cuando un Paciente solicita la eliminación de sus datos, y siempre que no exista obligación legal vigente de conservación, sus datos identificatorios serán anonimizados de forma irreversible, manteniéndose únicamente datos estadísticos disociados que no permiten reidentificarlo (art. 13 Ley 21.719).

12.3. Los datos clínicos sujetos a conservación obligatoria por la Ley 20.584 permanecerán archivados hasta el cumplimiento del plazo legal, con acceso restringido al equipo tratante y a las autoridades competentes.

13. Menores de edad

El tratamiento de datos de menores de 14 años requiere autorización del padre, madre o representante legal (art. 16 Ley 21.719). El Profesional tratante es responsable de obtener y documentar dicha autorización. La Plataforma asume que el Profesional ha cumplido este deber al cargar los datos del menor.

14. Cookies y tecnologías similares

El uso de cookies se rige por la Política de Cookies. Las cookies no esenciales requieren consentimiento opt-in revocable.

15. Modificaciones a esta Política

Esta Política puede ser actualizada. Para cambios sustantivos, notificaremos al titular con al menos 30 días de anticipación por correo y aviso destacado en la Plataforma, y solicitaremos re-aceptación expresa.

Versión 2 — Vigente desde el 6 de mayo de 2026.

Política de Privacidad