Política de Privacidad y Tratamiento de Datos
Cumplimiento estricto de la Ley N° 21.719 sobre Protección de Datos Personales, Ley N° 20.584 y el Decreto N° 41 del Ministerio de Salud (MINSAL).
Última actualización: Septiembre de 2026 (Región Santiago)
1 Identificación de Roles y Alcance
HoraSuite es una plataforma de software como servicio (SaaS) multi-tenant destinada a la gestión operativa, agendamiento de horas y soporte tecnológico de fichas clínicas electrónicas.
A. Empresas / Clínicas (Responsables del Tratamiento): Los centros de salud y profesionales suscritos a HoraSuite actúan como Responsables del Tratamiento de los datos personales y de salud de sus pacientes.
B. HoraSuite (Encargado del Tratamiento): Trata los datos clínicos exclusivamente por cuenta, orden y mandato de la clínica o profesional, bajo las garantías de un Acuerdo de Tratamiento de Datos (DPA).
C. Paciente (Titular de los Datos): Es el dueño y titular indiscutible de su información personal y sensible de salud.
2 Categorías de Datos Tratados
- Datos de Identificación y Contacto: Nombre completo, RUT / Cédula de Identidad, correo electrónico, teléfono móvil, dirección y fecha de nacimiento.
- Datos Sensibles de Salud (Art. 2 Ley 21.719): Grupo sanguíneo, alergias, diagnósticos, antecedentes mórbidos, notas clínicas evolutivas (SOAP: subjetivo, objetivo, evaluación y plan) y consentimientos informados.
- Metadatos Técnicos y de Trazabilidad: Dirección IP, registros de acceso, fecha y hora de consulta y credenciales criptográficas de verificación OTP.
3 Medidas de Seguridad Técnicas y Criptográficas
En virtud del principio de seguridad de la Ley N° 21.719, HoraSuite implementa arquitectura de protección multicapa:
Los campos clínicos confidenciales (anamnesis, notas SOAP, antecedentes) se almacenan cifrados individualmente en base de datos mediante algoritmos AES-256-CBC.
Infraestructura alojada en Google Cloud Platform, región southamerica-west1 (Santiago, Chile), garantizando baja latencia y jurisdicción física nacional.
Cumplimiento del Decreto 41: Las notas SOAP cerradas son inmutables. Toda corrección se realiza vía adendas fechadas. Cada lectura es auditada con IP y usuario.
Todas las conexiones web, APIs y webhooks operan forzosamente bajo HTTPS con certificados SSL/TLS modernos y políticas estrictas HSTS.
4 Plazo de Conservación: Regla de los 15 Años (MINSAL)
Conforme al Artículo 9 del Decreto Supremo N° 41 de 2012 del MINSAL y la Ley N° 20.584, los registros clínicos deben conservarse obligatoriamente por un plazo mínimo de 15 años contado desde la última atención médica.
Excepción al Derecho de Supresión: Si un titular solicita la eliminación de su ficha clínica, la plataforma aplicará el Bloqueo Preventivo (ARCO), excluyendo sus datos de la vista operativa diaria pero preservando el registro clínico en archivo seguro hasta cumplir el plazo legal sanitario.
5 Ejercicio de Derechos ARCO+P
Los titulares o sus representantes legales pueden ejercer en cualquier momento los derechos reconocidos por la legislación chilena:
- Acceso: Conocer qué datos personales y atenciones se encuentran almacenados.
- Rectificación: Corregir información inexacta o desactualizada.
- Cancelación / Bloqueo: Solicitar la suspensión de comunicaciones comerciales y el bloqueo asistencial de datos no obligatorios.
- Oposición: Oponerse al tratamiento para finalidades no asistenciales (como encuestas o recordatorios opcionales).
- Portabilidad: Obtener una copia estructurada de su ficha en formato JSON y PDF clínico.
Para canalizar solicitudes, el titular puede dirigirse directamente a la clínica tratante o contactar al delegado de privacidad de HoraSuite a través de privacidad@horasuite.cl.
6 Sub-encargados y Transferencias Internacionales
Para la provisión de infraestructura complementaria, HoraSuite suscribe Cláusulas Contractuales Tipo con los siguientes proveedores certificados:
- Google Cloud Platform: Cómputo y base de datos (Región Santiago, Chile).
- Resend / SendGrid: Envío de correos electrónicos transaccionales y de verificación OTP.
- Meta Platforms (WhatsApp Business): Envío de notificaciones y recordatorios autorizados expresamente por el paciente.