Privacy and Data Protection Policy - SmileHub Chile

1. Marco Normativo y Principios Rectores

Rige de estricta conformidad con la Ley N° 19.628 sobre Protección de la Vida Privada, la Ley N° 20.584 sobre Derechos y Deberes en Salud, el D.S. N° 41/2012 del MINSAL y la Ley N° 21.719 sobre Protección de Datos Personales que crea la Agencia de Protección de Datos Personales en Chile.

Se aplican los principios de licitud, lealtad, finalidad explícita, minimización de datos, exactitud, seguridad y responsabilidad proactiva (*accountability*).

2. Roles en el Tratamiento: Prestador (Responsable) y SmileHub (Encargado)

2.1. Prestador como Responsable: La clínica o centro médico actúa como Responsable del Tratamiento y custodio legal obligado de las fichas clínicas conforme al artículo 13 de la Ley N° 20.584.

2.2. SmileHub como Encargado: SmileHub actúa como proveedor de tecnología y Encargado del Tratamiento, tratando datos por cuenta del prestador sin explotar datos médicos con fines comerciales.

3. Categorías de Datos, Metadatos de Pago y Telemetría Mínima (Enmiendas v0.11)

3.1. Metadatos de Pago (Cero Almacenamiento de Tarjetas Crudas):SmileHub NO almacena, no procesa ni retiene números completos de tarjetas de crédito/débito (PAN), códigos de seguridad (CVV) ni fechas de expiración en texto plano. Las operaciones de suscripción operan vía pasarela certificada PCI-DSS (Stripe Billing). Solo se almacenan referencias opacas de tokenización, identificador de cliente, marca de tarjeta y los últimos 4 dígitos informativos.

3.2. URLs de Agendamiento Externo y Telemetría Mínima:En las redirecciones a sitios externos de reserva configurados por clínicas en Marketplace Base, SmileHub captura únicamente una telemetría mínima (marca temporal UTC, identificador de sucursal y dominio de destino) estrictamente orientada a la estabilidad técnica, auditoría y prevención de abuso, sin generar perfiles publicitarios ni cross-site tracking.

3.3. Datos Sensibles de Salud:Fichas clínicas, diagnósticos, odontogramas, periodontogramas, recetas y notas de evolución son datos sensibles con protección reforzada y reserva médica legal.

3.4. Geolocalización Coarse (Aproximada):La búsqueda de clínicas cercanas utiliza geolocalización a nivel de comuna o aproximada, sin rastreo continuo ni almacenamiento de historiales de desplazamiento físico de pacientes.

3.5. Minimización de IP y User-Agent:Las direcciones IP se anonimizan a nivel de subred (/24 en IPv4 o /32 en IPv6) y el User-Agent se restringe a la familia genérica de navegador/SO, sin fingerprinting de hardware.

4. Delimitación con Terceros y Plataformas Externas

Al redirigir a una plataforma externa de agendamiento de una clínica, el tratamiento posterior de datos se rige por las políticas de dicho prestador externo. SmileHub no custodia fondos de pacientes correspondientes a pagos clínicos (Stripe Connect / cuentas directas de la clínica).

5. Prohibición Estricta de Inteligencia Artificial General sobre Datos Clínicos

Los datos personales, clínicos, de notas de evolución, odontogramas o recetas no son utilizados ni cedidos para el entrenamiento de modelos de inteligencia artificial general (AGI), modelos fundacionales o LLMs públicos de terceros. No se adoptan decisiones asistenciales automatizadas sin intervención facultativa humana obligatoria.

6. Derechos de los Titulares: Ley N° 19.628 y Ley N° 21.719

6.1. Derechos Disponibles: Acceso, Rectificación, Supresión / Cancelación, Oposición, Portabilidad y Bloqueo temporal.

6.2. Salvedades de Aplicabilidad Progresiva de la Ley N° 21.719:El ejercicio de las nuevas potestades estará sujeto a las normas transitorias y reglamentos que dicte la Agencia de Protección de Datos Personales de Chile.

6.3. Límite Sanitario Legal a la Supresión:Conforme al artículo 13 de la Ley N° 20.584 y D.S. 41/2012, las fichas clínicas deben ser conservadas obligatoriamente durante un mínimo de al menos diez (10) años por el prestador de salud custodio, encontrándose el derecho de supresión subordinado a dicho mandato sanitario irrestricto.

6.4. Canal Oficial: Solicitudes canalizadas a través de privacidad@smilehub.dental acreditando identidad fehaciente.

7. Plazos de Retención y Proveedores de Infraestructura

- Fichas clínicas: Mínimo 10 años conforme a Ley 20.584. - Antecedentes tributarios y facturación: Mínimo 6 años conforme al Código Tributario. - Evidencias de consentimiento digital: Inmutables durante la vigencia de la cuenta y plazos de prescripción. - Subencargados: Infraestructura en la nube Microsoft Azure (PostgreSQL, Blob Storage, Key Vault) y pasarela Stripe Billing para licencias SaaS.

8. Notificación de Incidentes de Seguridad

Ante brechas de seguridad confirmadas, SmileHub notificará a la brevedad a las clínicas afectadas, a los titulares y a la autoridad de protección de datos competente, implementando las medidas inmediatas de remediación.