Política de Privacidad

1. Responsable del tratamiento

Mila SpA, RUT 78.427.836-0, con domicilio en Pangal 1700, Lote A-1, comuna de Aysén, Aysén, Chile. Contacto de privacidad: admin.umbral@gmail.com.

2. Quiénes son titulares de datos en Umbral

Dos grupos de personas tienen datos en la Plataforma:

• Profesionales usuarios: profesionales de la salud mental que crean una cuenta para usar la Plataforma. Umbral es responsable de sus datos.
• Pacientes: personas atendidas por los profesionales usuarios y cuyos datos son cargados por estos en la Plataforma. Respecto de los pacientes, el profesional es el responsable y Umbral actúa como encargado del tratamiento.

Origen de los datos: los datos de los pacientes no se recogen directamente de ellos, sino que los carga el profesional tratante en el marco de la atención clínica. Esa es su fuente de origen.

3. Datos que tratamos

3.1 Del profesional usuario

• Identificación: nombre, email, especialidad, foto opcional.
• Credenciales de autenticación (contraseña hasheada con bcrypt, nunca en texto plano).
• Datos de integración: tokens de Google Calendar y Mercado Pago, cifrados en aplicación con AES-256-GCM antes de almacenarse.
• Datos de uso técnico: IP al aceptar T&C, logs de autenticación, eventos de la aplicación necesarios para diagnóstico.

3.2 Del paciente

• Identificación: nombre, RUT o documento, fecha de nacimiento, género, contacto.
• Datos de salud (categoría especial bajo la Ley 21.719): notas clínicas, resultados de tests psicométricos (WISC-V, Rorschach Kernberg y otros), informes, archivos cargados por el profesional.
• Tutor o apoderado responsable (cuando el paciente es menor de edad o no puede consentir por sí mismo).

Datos obligatorios y facultativos: algunos datos son necesarios para prestar el servicio (por ejemplo, el email del profesional para crear la cuenta, o el contacto y el monto del paciente para procesar una reserva); sin ellos no es posible operar esa función. Otros son facultativos (por ejemplo, la foto de perfil o el RUT del paciente) y no entregarlos solo limita funciones puntuales, sin impedir el uso de la Plataforma.

• Prestar el servicio (gestión clínica, agenda, cobros, informes). Base legal: ejecución del contrato con el profesional (Art. 13 letra b) Ley 21.719).
• Procesar pagos. Base legal: ejecución de contrato y obligaciones legales tributarias.
• Cumplir obligaciones legales (conservación de registros tributarios). Base legal: cumplimiento de la ley (Código Tributario).
• Seguridad y prevención de fraude. Base legal: interés legítimo del Responsable.

Para datos de salud del paciente, la base legal es el consentimiento informado que el profesional obtiene del paciente conforme a la Ley 20.584 y al deber de secreto profesional.

Decisiones automatizadas: no realizamos decisiones automatizadas ni elaboración de perfiles que produzcan efectos jurídicos sobre las personas. El cálculo y la puntuación de los tests psicométricos es una herramienta de apoyo que el profesional interpreta profesionalmente: no sustituye su juicio clínico ni adopta decisiones por sí misma.

Asistente con inteligencia artificial: la Plataforma incluye un asistente opcional que responde preguntas del profesional sobre el uso de la app y sobre su propia actividad. Para responder, envía la consulta del profesional junto con los datos estructurados estrictamente necesarios (identificación y contacto de sus pacientes, motivo de consulta, agenda y cobros) a nuestro proveedor de IA (OpenAI, en la tabla de proveedores). No se le envían notas clínicas, resultados de tests, informes ni entrevistas de ingreso. Los datos enviados a través de su API no se utilizan para entrenar sus modelos. El asistente es una ayuda operativa: no adopta decisiones clínicas ni sustituye el juicio del profesional.

Para operar la Plataforma compartimos datos estrictamente necesarios con los siguientes proveedores. Todos cuentan con estándares de seguridad reconocidos internacionalmente:

Algunos proveedores procesan datos fuera de Chile. La transferencia se ampara en cláusulas contractuales estándar y en estándares equivalentes de protección reconocidos por la Ley 21.719.

6. Tiempo de conservación

• Cuenta del profesional: eliminación inmediata al cerrar la cuenta.
• Datos del paciente: cuando el profesional elimina una ficha, se borra a los 30 días (papelera restaurable), o de inmediato si el profesional lo solicita desde la papelera. Al cerrar la cuenta, la eliminación es inmediata.
• Backups operativos: las copias de respaldo de Supabase pueden conservar registros hasta 30 días adicionales tras la eliminación, plazo tras el cual desaparecen.
• Registros de cobros y transacciones de Mercado Pago: 6 años (Art. 17 Código Tributario), por obligación legal del Servicio de Impuestos Internos.

7. Tus derechos (Ley 19.628 / Ley 21.719)

Como titular de datos personales tienes derecho a:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos.
• Cancelación: solicitar la eliminación de tus datos. Los profesionales pueden hacerlo directamente desde Configuración → Eliminar cuenta. Los pacientes pueden solicitarlo al profesional tratante o directamente a admin.umbral@gmail.com.
• Oposición: oponerte al tratamiento por motivos legítimos.
• Portabilidad: obtener tus datos en formato estructurado y de uso común para entregarlos a otro responsable.
• Bloqueo: exigir la suspensión temporal del tratamiento mientras se resuelve una solicitud.

Para ejercer estos derechos escribe a admin.umbral@gmail.com identificándote. Responderemos en un plazo máximo de 30 días corridos. Si no estás conforme con la respuesta, puedes reclamar ante la Agencia de Protección de Datos Personales (cuando se constituya en el marco de la Ley 21.719) o el órgano competente.

8. Medidas de seguridad

• Aislamiento por usuario (Row Level Security): a nivel de base de datos, cada profesional solo puede leer y escribir sus propios registros. Ningún profesional accede a datos de otro, incluso si la aplicación tuviera errores.
• Cifrado en tránsito: TLS 1.2+ en todas las comunicaciones.
• Cifrado en reposo: AES-256 nativo en la base de datos. Además, a nivel de aplicación con AES-256-GCM ciframos los datos de salud y los identificadores de los pacientes (nombre, RUT, contacto, notas clínicas, registros de sesión, resultados de tests, informes y consentimientos firmados), así como las credenciales de proveedores externos (tokens OAuth, secretos de Mercado Pago). De este modo, esos datos permanecen ilegibles incluso ante un acceso indebido a la base de datos.
• Almacenamiento privado: los archivos clínicos viven en un bucket privado con políticas de acceso por profesional. No son indexables ni accesibles por URL pública.
• Hashing de contraseñas: bcrypt con sal por usuario. La Plataforma nunca conoce las contraseñas en texto plano.
• Registros de autenticación: los eventos de inicio de sesión quedan registrados por nuestro proveedor de infraestructura y pueden consultarse ante una solicitud justificada o la investigación de un incidente de seguridad.
• Registro de accesos a fichas clínicas (auditoría): registramos quién accede y quién modifica el expediente de cada paciente, con marca de tiempo, para dejar trazabilidad ante una solicitud justificada o la investigación de un incidente.

9. Menores de edad

La Plataforma no está dirigida a menores como usuarios directos. Cuando los datos de un paciente menor de edad son cargados por un profesional, el consentimiento informado debe obtenerse del apoderado o representante legal. Los pacientes mayores de 14 años deben además ser informados del tratamiento de sus datos de manera comprensible para su edad (Ley 21.430 sobre garantías de niñez).

10. Cookies y tecnologías similares

Umbral utiliza únicamente cookies estrictamente necesarias para la autenticación y el funcionamiento del servicio. No utilizamos cookies publicitarias ni de seguimiento de terceros. No vendemos datos a terceros bajo ninguna circunstancia.

11. Brechas de seguridad

En caso de una vulneración de seguridad que afecte datos personales de pacientes, notificaremos a los profesionales titulares dentro de las 72 horas de haber tomado conocimiento, conforme al Art. 14 ter de la Ley 21.719. Cada profesional notificará a su vez a los pacientes afectados conforme a sus obligaciones profesionales.

12. Cambios en esta política

Cuando esta política cambie de manera material, notificaremos por correo a los usuarios registrados con al menos 15 días de antelación. La versión vigente siempre está publicada en esta URL.

13. Contacto

Para cualquier consulta sobre el tratamiento de tus datos personales: admin.umbral@gmail.com.