Política de Privacidad

POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS PERSONALES

ORAVIA SpA

Versión: 1.0

Fecha de emisión: —-

01. Objeto, alcance y aceptaciónCopiar el enlace a la sección 01. Objeto, alcance y aceptación

Esta Política de Privacidad y Tratamiento de Datos Personales explica cómo Oravia SpA trata datos personales en relación con su sitio web, aplicación, Plataforma, Registro Clínico Electrónico, programas de salud, teleconsultas, herramientas de seguimiento, canales de soporte y demás servicios relacionados.

La Política se aplica a pacientes, usuarios, clientes, visitantes, acompañantes, representantes, profesionales de la salud, proveedores y demás personas cuyos datos sean tratados en el contexto de los servicios de Oravia.

Esta Política forma parte integrante de los Términos y Condiciones aplicables a Usuarios y Profesionales. Los Términos regulan el acceso, contratación y uso de los servicios y esta Política regula específicamente el tratamiento y protección de los datos personales. Cuando una operación de tratamiento cambie, Oravia actualizará esta Política y pondrá a disposición su versión vigente.

02. Identificación del responsable y canales oficialesCopiar el enlace a la sección 02. Identificación del responsable y canales oficiales

Responsable del tratamiento: Oravia SpA

RUT: 78.459.189-1

Domicilio: Álvarez 646 oficina 503, Viña del Mar.

Representante legal: MATIAS LORENCES VEGA

Canal para ejercicio de derechos de datos personales: —----------------.

03. Marco normativo y vigenciaCopiar el enlace a la sección 03. Marco normativo y vigencia

El tratamiento se rige por el artículo 19 N°4 de la Constitución Política de la República, la Ley N° 19.628, la Ley N° 20.584 sobre derechos y deberes en la atención de salud, el Decreto Supremo N°6 de 2022 sobre atención de salud a distancia con tecnologías de información y comunicaciones, el Código Sanitario, las normas técnicas sanitarias aplicables y demás normativa vigente.

La Política también ha sido estructurada para cumplir los principios, deberes de transparencia, derechos, reglas de seguridad y régimen de transferencias internacionales incorporados por la Ley N° 21.719, una vez que sus modificaciones entren en vigencia. Si existe una diferencia entre la legislación vigente y una referencia anticipada a la Ley N° 21.719, prevalecerá la normativa vigente aplicable al tratamiento respectivo.

04. Definiciones principalesCopiar el enlace a la sección 04. Definiciones principales

Dato personal. Cualquier información vinculada o referida a una persona natural identificada o identificable.

Dato personal sensible. Información relativa, entre otras materias, a la salud, perfil biológico, datos biométricos, vida sexual, orientación sexual o identidad de género.

Tratamiento. Cualquier operación de recolección, registro, organización, almacenamiento, uso, consulta, comunicación, transmisión, modificación, bloqueo, anonimización o eliminación de datos.

Responsable. Persona natural o jurídica que decide sobre las finalidades y medios esenciales del tratamiento.

Encargado o tercero mandatario. Proveedor que trata datos por cuenta de Oravia y conforme a sus instrucciones.

Ficha clínica. Registro que contiene los antecedentes relativos a la atención de salud del paciente y que permite una atención continua, coordinada y centrada en sus necesidades clínicas.

Equipo tratante. Profesionales que participan directamente en la atención del paciente y que acceden solo a la información necesaria para sus funciones clínicas.

Sistema Nacional de Receta Electrónica: plataforma pública utilizada por el profesional para emitir recetas con su firma.

05. Categorías de datos personales tratadosCopiar el enlace a la sección 05. Categorías de datos personales tratados

5.1Usuarios y pacientesCopiar el enlace a la sección 5.1. Usuarios y pacientes

Identificación: nombre y apellidos, RUT o cédula de identidad, fecha de nacimiento, residencia y, cuando sea necesario, acreditación de mayoría de edad.

Contacto: correo electrónico, teléfono, domicilio y zona horaria.

Cuenta y autenticación: credenciales, estado del perfil, registros de aceptación, preferencias operativas, actividad necesaria para seguridad y recuperación de cuenta.

Datos aportados voluntariamente en la Plataforma: peso, estatura y otros antecedentes que el Usuario decida incorporar para el seguimiento de su programa.

Datos de salud generados durante la atención: anamnesis, antecedentes relevantes, signos vitales, peso, estatura, diagnósticos o hipótesis diagnósticas, indicaciones, tratamientos, recetas, informes, evolución, eventos adversos y demás antecedentes necesarios para la prestación.

Datos de agenda y prestación: profesional asignado, fecha y hora de atención, asistencia, reagendamientos, cancelaciones, duración referencial, comunicaciones operativas y continuidad del cuidado.

Datos de acompañantes: nombre o identificación y circunstancia de acompañamiento, cuando el paciente participe con una persona de confianza.

Datos transaccionales: plan contratado, cargos, pagos, devoluciones, facturación y antecedentes necesarios para gestionar la suscripción. Los datos completos de tarjetas pueden ser tratados directamente por la pasarela de pago habilitada.

Comunicaciones: solicitudes, reclamos, tickets, correos, respuestas, antecedentes aportados y registros necesarios para resolverlos.

5.2ProfesionalesCopiar el enlace a la sección 5.2. Profesionales

Identificación: nombre, RUT, cédula, razón social cuando corresponda, profesión, especialidad y rol.

Habilitación profesional: título, certificaciones, registro ante la autoridad competente, antecedentes de acreditación y autorización para ejercer en Chile.

Antecedentes contractuales y operativos: disponibilidad, agenda, perfil profesional, ubicación declarada, descripción de actividad, comunicaciones y cumplimiento de protocolos.

Antecedentes de seguro: existencia y vigencia del seguro de responsabilidad civil médica, cuando corresponda.

Datos financieros y tributarios: banco, tipo y número de cuenta, boletas, facturas, retenciones y liquidaciones de honorarios.

Datos de seguridad y uso: credenciales, registros de acceso, actividad en la Plataforma y eventos de seguridad.

5.3Visitantes, acompañantes y tercerosCopiar el enlace a la sección 5.3. Visitantes, acompañantes y terceros

Podemos tratar datos de visitantes que navegan por la Plataforma, de acompañantes que participan en una teleconsulta, de representantes que ejercen derechos y de terceros que se comunican con Oravia. Estos datos se utilizarán exclusivamente para responder la solicitud, permitir la atención, verificar la identidad, cumplir obligaciones legales o proteger la seguridad.

5.4Datos que no se solicitan como regla generalCopiar el enlace a la sección 5.4. Datos que no se solicitan como regla general

Oravia no dirige el servicio a menores de dieciocho años y no solicita deliberadamente datos de menores. No se solicita geolocalización precisa, datos biométricos ni grabaciones audiovisuales para la prestación ordinaria. Si una funcionalidad futura requiriera alguna de estas categorías, se informará específicamente antes de su tratamiento y se obtendrán las autorizaciones que correspondan.

06. Fuentes de los datosCopiar el enlace a la sección 06. Fuentes de los datos

Directamente del titular, cuando crea su cuenta, contrata un plan, agenda una atención, proporciona información durante la consulta, utiliza la Plataforma o se comunica con Oravia.

Del profesional que participa en la atención y registra antecedentes en el RCE.

De proveedores de pago, exclusivamente para confirmar o gestionar transacciones, devoluciones, conciliaciones y obligaciones asociadas.

De registros públicos o fuentes legalmente accesibles, para verificar la habilitación, inscripción, identidad o antecedentes profesionales de los prestadores.

De autoridades, tribunales, organismos de fiscalización o entidades públicas cuando exista una obligación o facultad legal para requerir información.

El IMC calculado en el sitio público se procesa localmente en el dispositivo del usuario. Sus valores no se envían a Oravia ni se incorporan a una base de datos.

Oravia no compra bases de datos para comercializar servicios ni obtiene datos clínicos de terceros para fines ajenos a la atención. Si se recibieran datos por error o sin fundamento, se adoptarán medidas para devolverlos, eliminarlos, anonimizarlos o tratarlos únicamente cuando exista una base jurídica aplicable.

07. Matriz de tratamientos, finalidades y bases de licitudCopiar el enlace a la sección 07. Matriz de tratamientos, finalidades y bases de licitud

Cada tratamiento debe limitarse a los datos necesarios, adecuados y pertinentes para su finalidad. La base indicada a continuación se aplicará según la operación concreta y la normativa vigente. Cuando se utilice consentimiento, este será previo, específico, informado, inequívoco y revocable sin efectos retroactivos.

7.1Registro, cuenta y administración del perfilCopiar el enlace a la sección 7.1. Registro, cuenta y administración del perfil

Datos: identificación, contacto, credenciales, fecha de nacimiento, residencia y datos operativos mínimos.

Finalidades: crear y mantener la cuenta, autenticar al titular, administrar el Perfil, coordinar servicios y prevenir accesos no autorizados.

Base: ejecución de medidas precontractuales o del contrato, cumplimiento de obligaciones de seguridad y, cuando corresponda, consentimiento.

Conservación: durante la relación y por el tiempo necesario para atender obligaciones legales, reclamos y responsabilidades. Posteriormente se suprimirán o anonimizarán los datos que no deban conservarse.

7.2Suscripción, pagos, facturación y devolucionesCopiar el enlace a la sección 7.2. Suscripción, pagos, facturación y devoluciones

Datos: plan, precio, medio de pago, transacciones, comprobantes, facturación, devoluciones y datos necesarios para conciliar cargos.

Finalidades: contratar y cobrar la suscripción, procesar pagos, emitir documentos tributarios, gestionar cancelaciones, retractos, reembolsos y prevenir transacciones fraudulentas.

Base: ejecución del contrato, cumplimiento de obligaciones tributarias y legales y, cuando corresponda, medidas de seguridad o consentimiento para operaciones específicas.

Destinatarios: pasarela de pagos, bancos, proveedores de facturación, asesores y autoridades competentes cuando corresponda.

7.3Agenda, recordatorios y comunicaciones operativasCopiar el enlace a la sección 7.3. Agenda, recordatorios y comunicaciones operativas

Finalidades: agendar, confirmar, cancelar o reagendar atenciones, enviar recordatorios y avisos neutros, informar disponibilidad de informes, coordinar soporte y continuidad del servicio.

Regla de contenido: los correos transaccionales no deben contener diagnósticos, recetas, informes, adjuntos clínicos ni enlaces de videoconsulta. El contenido clínico estará disponible en la Plataforma o en el medio seguro definido para la atención.

Base: ejecución del contrato.

7.4Prestación de salud digital y ficha clínicaCopiar el enlace a la sección 7.4. Prestación de salud digital y ficha clínica

Finalidades: realizar anamnesis, evaluación, diagnóstico, indicaciones, tratamiento, seguimiento, emisión de informes, coordinación del equipo tratante, continuidad del cuidado, emisión de recetas y cumplimiento de las obligaciones de registro clínico.

Datos: datos de salud que sean necesarios para la prestación, además de identificación, contacto y antecedentes de acompañamiento.

Base: consentimiento expreso del titular.

Regla clínica: las decisiones de diagnóstico, tratamiento y prescripción corresponden al profesional tratante, que conserva autonomía clínica. La automatización de agenda, recordatorios o pagos no reemplaza el juicio clínico.

7.5Gestión de profesionalesCopiar el enlace a la sección 7.5. Gestión de profesionales

Finalidades: verificar identidad, habilitación, certificaciones y seguro. Seleccionar y administrar profesionales. Asignar atenciones. Liquidar honorarios. Emitir documentos tributarios. Controlar accesos. Investigar reclamos y cumplir obligaciones contractuales, sanitarias y legales.

Base: medidas precontractuales, ejecución del contrato civil, cumplimiento legal y ejercicio o defensa de derechos.

7.6Soporte, reclamos, auditoría y continuidadCopiar el enlace a la sección 7.6. Soporte, reclamos, auditoría y continuidad

Finalidades: responder solicitudes, investigar incidentes, auditar accesos y prestaciones, gestionar reclamos, proteger a pacientes y profesionales, asegurar continuidad y ejercer o defender derechos.

Base: ejecución contractual, cumplimiento de obligaciones legales y sanitarias y ejercicio o defensa de derechos.

7.7Seguridad, prevención de fraude y control de abusosCopiar el enlace a la sección 7.7. Seguridad, prevención de fraude y control de abusos

Finalidades: detectar suplantación, fraude, uso indebido, vulneraciones, accesos no autorizados, extracción automatizada de datos y ataques contra la Plataforma o los medios de pago.

Base: Interés legítimo.

7.8Estadísticas y mejora del servicioCopiar el enlace a la sección 7.8. Estadísticas y mejora del servicio

Oravia podrá elaborar estadísticas operativas y análisis de funcionamiento únicamente con datos anonimizados o con medidas que impidan razonablemente identificar a una persona. Los datos clínicos identificables no se utilizarán para fines estadísticos o de mejora fuera de las finalidades informadas sin una base jurídica adicional.

7.9Publicidad y marketingCopiar el enlace a la sección 7.9. Publicidad y marketing

Oravia no condiciona la contratación ni la atención a la recepción de publicidad. Si en el futuro ofrece comunicaciones comerciales, solicitará un consentimiento opcional, separado, específico y revocable. La negativa o revocación no afectará la prestación contratada.

08. Tratamiento de datos de salud y registro clínico electrónicoCopiar el enlace a la sección 08. Tratamiento de datos de salud y registro clínico electrónico

Los datos de salud son datos personales sensibles y se tratarán con secreto, confidencialidad, seguridad y acceso restringido. El RCE de Oravia registra los antecedentes de las atenciones y tiene por finalidad integrar la información necesaria para una atención continua, coordinada y centrada en las necesidades clínicas del paciente. Oravia administra el Registro Clínico Electrónico y mantiene la custodia y conservación de la información clínica en la medida que corresponda a su calidad de prestador institucional y conforme a la normativa sanitaria aplicable.

La ficha clínica es única por paciente dentro del programa. Los profesionales que integren el equipo tratante podrán acceder únicamente a la información necesaria para la atención que realicen y la continuidad del cuidado.

Los profesionales que realizan atenciones deben registrar sus actuaciones y responden por sus actos clínicos y registros en el ámbito de sus competencias. El personal administrativo no tendrá acceso al contenido clínico de la ficha. Podrá acceder únicamente a datos administrativos, metadatos y registros técnicos estrictamente necesarios para sus funciones, sin visualizar diagnósticos, anamnesis, recetas, informes ni demás antecedentes clínicos.

Cada profesional responde individualmente por sus actos clínicos, diagnósticos, tratamientos e indicaciones. El acceso a una ficha única no transforma las decisiones de distintos profesionales en un acto clínico conjunto ni desplaza las responsabilidades que correspondan a cada prestador.

Los profesionales deberán registrar la atención en el RCE de Oravia y no podrán mantener registros clínicos paralelos en medios personales o plataformas propias, salvo que una obligación legal o una instrucción clínica documentada lo exija y se implementen las salvaguardas correspondientes.

Al término de la teleconsulta, Oravia pondrá a disposición del paciente un informe de atención que podrá incluir identificación, diagnóstico o hipótesis diagnóstica, indicaciones e identificación del profesional. El aviso de disponibilidad enviado por correo será neutro y no contendrá información clínica.

Las teleconsultas no se graban por Oravia. La herramienta de videollamada se configura para impedir el almacenamiento audiovisual por Oravia. Esta regla no debe interpretarse como una afirmación de que ninguna transmisión técnica pueda atravesar infraestructura de terceros.

09. Comunicaciones a terceros y destinatariosCopiar el enlace a la sección 09. Comunicaciones a terceros y destinatarios

Oravia no cede datos personales ni los comunica a terceros para fines propios o comerciales incompatibles con los informados. Podrá comunicar datos estrictamente necesarios a las siguientes categorías:

A los Profesionales que participen directamente en la atención, exclusivamente respecto de los datos necesarios para dicha prestación.

Personal de Oravia autorizado por perfiles y funciones, con acceso limitado y trazable.

Proveedores de alojamiento, infraestructura, seguridad, correo transaccional, videollamada, soporte, analítica técnica y gestión de la Plataforma, cuando traten datos por cuenta de Oravia y bajo instrucciones documentadas.

Pasarelas de pago, bancos y proveedores de facturación, para procesar cobros, devoluciones, conciliaciones y documentos tributarios.

Sistema Nacional de Receta Electrónica y organismos sanitarios, en la medida necesaria para la emisión, validación y gestión de recetas o para cumplir obligaciones legales.

Tribunales, Ministerio Público, Superintendencia de Salud, SERNAC, Ministerio de Salud, Agencia de Protección de Datos Personales y demás autoridades que estén facultadas para requerir información.

Asesores profesionales, auditores, aseguradoras y proveedores de continuidad o defensa, sujetos a confidencialidad y acceso limitado, cuando sea necesario para las finalidades informadas.

La farmacia en la que el paciente adquiera medicamentos no forma parte del contrato con Oravia. Oravia no vende, dispensa ni intermedia en la compra de medicamentos.

Los proveedores tecnológicos serán vinculados mediante contratos de encargo que definan el objeto, duración, finalidad, categorías de datos, categorías de titulares, instrucciones, confidencialidad, seguridad, subcontratación, incidentes, devolución o eliminación de datos y auditoría. El encargado solo podrá tratar los datos conforme a las instrucciones de Oravia y no podrá utilizarlos para una finalidad propia incompatible ni comunicarlos fuera de la autorización documentada. La subcontratación de otro encargado deberá estar autorizada y quedar sujeta a obligaciones equivalentes. Cuando corresponda a una transferencia internacional, el contrato deberá incorporar cláusulas contractuales tipo (SCC) u otra garantía adecuada y jurídicamente válida.

10. Proveedores y transferencias internacionalesCopiar el enlace a la sección 10. Proveedores y transferencias internacionales

La siguiente descripción corresponde a la operación actualmente declarada y debe actualizarse si cambian los proveedores, las regiones de procesamiento o las funciones contratadas. La versión vigente de esta sección tendrá carácter informativo y será publicada junto con la Política.

10.1Google workspace (correo transaccional y operativo)Copiar el enlace a la sección 10.1. Google workspace (correo transaccional y operativo)

Google Workspace SMTP relay se utiliza para comunicaciones transaccionales y operativas desde servidores con región de datos en la Unión Europea. El contenido de estos correos se limita al nombre, dirección de correo electrónico y demás datos de contacto estrictamente necesarios. No incluyen diagnósticos, recetas, informes de atención, resultados de exámenes, adjuntos clínicos ni enlaces de videoconsulta.

10.2Herramienta de videollamadaCopiar el enlace a la sección 10.2. Herramienta de videollamada

Actualmente se utiliza Google Meet para la comunicación audiovisual de las teleconsultas. La transmisión puede involucrar infraestructura y enrutamiento internacional del proveedor. Oravia no graba ni almacena el contenido audiovisual de las consultas y mantiene la ficha clínica completa en su Registro Clínico Electrónico. Antes de publicar esta versión debe confirmarse el proveedor jurídico, las ubicaciones o regiones de tratamiento relevantes, la existencia y alcance del acuerdo de tratamiento y las garantías aplicables.

10.3Registro clínico electrónicoCopiar el enlace a la sección 10.3. Registro clínico electrónico

El RCE de Oravia se encuentra alojado en infraestructura de Google Cloud Platform en Santiago de Chile, según la arquitectura declarada para el servicio. Los datos clínicos completos permanecen en dicho RCE, sin perjuicio de las transmisiones temporales necesarias para la atención mediante herramientas tecnológicas.

10.4Pasarela de pagosCopiar el enlace a la sección 10.4. Pasarela de pagos

La pasarela de pagos vigente es Mercado Pago (MercadoLibre Chile Ltda.). El proveedor podrá tratar datos financieros y transaccionales según su propia política y el encargo o relación jurídica aplicable.

10.5Bases y garantíasCopiar el enlace a la sección 10.5. Bases y garantías

Las transferencias internacionales se efectuarán únicamente cuando exista una base jurídica y garantías adecuadas conforme a la normativa aplicable al momento de la operación. La garantía concreta para cada proveedor deberá documentarse antes de la publicación, indicando, según corresponda, decisión de adecuación, cláusulas contractuales, normas corporativas vinculantes, certificación, consentimiento específico u otra hipótesis legal aplicable. Oravia no declarará que un país ofrece un nivel adecuado de protección mientras ello no haya sido verificado conforme al régimen vigente.

Oravia solo habilitará proveedores que traten datos personales por su cuenta cuando exista un Acuerdo de Procesamiento de Datos (DPA) u otro contrato equivalente que delimite el encargo, su duración, finalidad, categorías de datos y titulares, instrucciones, confidencialidad, seguridad, subcontratación, gestión de incidentes, devolución o eliminación de datos y auditoría. En las transferencias internacionales que lo requieran, el DPA deberá incorporar cláusulas contractuales tipo (SCC) u otras garantías adecuadas jurídicamente válidas, sin perjuicio de la verificación de su alcance, jurisdicción, subencargados y medidas de seguridad antes de la habilitación del proveedor.

Cuando la transferencia involucre datos de salud o información que pueda revelar la condición de paciente, se aplicarán medidas reforzadas de minimización, confidencialidad, seguridad, acceso restringido y ausencia de almacenamiento audiovisual cuando corresponda.

Los cambios materiales en proveedores, países de destino, categorías de datos o garantías serán incorporados a una nueva versión de esta Política y comunicados por los canales establecidos, cuando corresponda.

11. Plazos de conservación y eliminaciónCopiar el enlace a la sección 11. Plazos de conservación y eliminación

Oravia conservará los datos solo durante el tiempo necesario para cumplir la finalidad informada, las obligaciones legales y contractuales, la continuidad de la atención y la formulación, ejercicio o defensa de derechos. Los plazos o criterios aplicables son los siguientes:

Ficha clínica y registros de salud: La ficha clínica se conservará por un plazo mínimo de quince años contado desde el último ingreso de información, sin perjuicio de otros plazos legales aplicables.

Cuenta, perfil y suscripción: durante la relación contractual y posteriormente por el plazo necesario para obligaciones legales, tributarias, reclamos, auditorías y defensa de derechos.

Pagos y documentos tributarios: durante los plazos exigidos por la legislación tributaria, contable y de prescripción aplicable.

Datos de profesionales: durante la relación contractual y por el tiempo necesario para acreditar habilitación, pagos, obligaciones legales, reclamos, auditorías y responsabilidades.

Comunicaciones y reclamos: durante la gestión de la solicitud y por el plazo necesario para acreditar su atención y ejercer o defender derechos.

Registros de seguridad y accesos: durante el período objetivamente necesario para prevenir, investigar y documentar incidentes, cumplir obligaciones legales y defender derechos.

Consentimientos, revocaciones y aceptación de documentos: durante el tiempo necesario para acreditar la existencia, alcance y fecha de la autorización o su revocación.

Grabaciones audiovisuales: Oravia no graba ni conserva las teleconsultas como parte de la prestación ordinaria.

Datos anonimizados: podrán conservarse mientras mantengan carácter irreversible y se utilicen para fines estadísticos u operativos compatibles con la ley.

Una vez vencido el plazo aplicable, los datos serán eliminados, anonimizados o bloqueados, salvo que exista una obligación legal de conservación, una orden de autoridad, una necesidad de defensa de derechos o una solicitud de bloqueo que impida su uso pero no necesariamente su almacenamiento.

12. Medidas de seguridad y confidencialidadCopiar el enlace a la sección 12. Medidas de seguridad y confidencialidad

Oravia aplica medidas técnicas y organizativas adecuadas al tipo de datos, finalidad, contexto, tecnología y riesgos del tratamiento. Estas medidas incluyen, según corresponda:

Control de acceso por roles y perfiles, con principio de necesidad de conocer.

Autenticación, gestión de credenciales y restricciones para impedir el uso compartido de cuentas.

Cifrado de información en tránsito y, cuando corresponda, en almacenamiento.

Registros de actividad y auditoría de accesos al RCE y a sistemas relevantes, protegidos contra modificaciones no autorizadas.

Separación entre información administrativa y contenido clínico, con restricción de acceso del personal no tratante.

Respaldos, continuidad operativa y procedimientos de recuperación.

Acuerdos de tratamiento y obligaciones de confidencialidad con proveedores y personas autorizadas.

Bloqueo de grabación audiovisual en la consola de administración, conforme a la configuración operacional vigente.

Procedimientos para gestionar, investigar, documentar y mitigar incidentes de seguridad.

Ningún sistema conectado a Internet puede garantizar seguridad absoluta. Oravia deberá adoptar medidas razonables y proporcionales y, ante incidentes, aplicar los procedimientos de notificación y mitigación exigidos por la normativa vigente.

El deber de confidencialidad se mantiene después de finalizada la relación con el titular, el profesional, el representante de Oravia o el proveedor.

13. Derechos de los titularesCopiar el enlace a la sección 13. Derechos de los titulares

De conformidad con la normativa aplicable y, desde su entrada en vigemvia, con la Ley N° 21.719, el titular podrá ejercer los siguientes derechos, sin perjuicio de las limitaciones legales:

13.1AccesoCopiar el enlace a la sección 13.1. Acceso

Solicitar confirmación sobre si Oravia trata sus datos, acceder a ellos y conocer su origen, finalidades, destinatarios de cesiones (identidad o categorías), plazos de conservación y, cuando corresponda, la lógica de los sistemas automatizados.

13.2RectificaciónCopiar el enlace a la sección 13.2. Rectificación

Solicitar la corrección, actualización o complementación de datos inexactos, erróneos, desactualizados o incompletos. Efectuada la rectificación, Oravia no podrá volver a tratar los datos sin rectificar. Asimismo, Oravia tiene el deber de comunicar los cambios realizados a todas las personas o entidades a quienes les haya comunicado previamente la información (efecto expansivo), salvo que sea imposible o exija un esfuerzo desproporcionado.

13.3SupresiónCopiar el enlace a la sección 13.3. Supresión

El titular puede solicitar la eliminación de sus datos personales cuando ya no sean necesarios para las finalidades originales o cuando haya revocado su consentimiento. Este derecho no es absoluto y puede ser rechazado si la conservación es necesaria para cumplir obligaciones legales, contractuales, defender derechos o fines sanitarios. En particular, la ficha clínica se conservará por un plazo mínimo de quince años desde el último ingreso de información. Durante este periodo, las solicitudes de supresión no implicarán la eliminación o alteración de la ficha, la cual se mantendrá con medidas de confidencialidad y acceso restringido para fines clínicos. Los datos de cuenta, suscripción, seguimiento no clínico y preferencias comerciales se eliminarán o anonimizarán cuando ya no exista obligación legal ni base jurídica que justifique su conservación.

13.4OposiciónCopiar el enlace a la sección 13.4. Oposición

Solicitar el cese de un tratamiento específico cuando se funde en la base de interés legítimo (debiendo el titular justificar brevemente los motivos), si los datos provienen de fuentes de acceso público, o cuando el tratamiento se realice exclusivamente con fines de mercadotecnia, marketing directo o perfilamiento comercial (en cuyo caso el cese es absoluto). La oposición no aplicará cuando el tratamiento sea estrictamente necesario para cumplir una obligación legal o ejecutar el contrato de prestación de servicios de salud.

El titular tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que le afecten significativamente o produzcan efectos jurídicos en él. Si bien Oravia no realiza decisiones basadas únicamente en estos tratamientos, el titular conserva en todo momento el derecho a obtener una explicación significativa sobre la lógica aplicada, a exigir intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión.

13.5PortabilidadCopiar el enlace a la sección 13.5. Portabilidad

Solicitar y recibir del responsable una copia de los datos personales que el propio titular haya facilitado, en un formato electrónico estructurado, genérico, interoperable y de uso común, para transferirlos a otro responsable, siempre que el tratamiento se realice por medios automatizados y bajo las bases del consentimiento o ejecución contractual. En materia de salud, la portabilidad se ejercerá prioritariamente sobre la ficha clínica según las normas especiales de interoperabilidad sanitaria.

13.6Bloqueo temporalCopiar el enlace a la sección 13.6. Bloqueo temporal

Solicitar la suspensión temporal de cualquier operación de tratamiento sobre sus datos personales mientras se investiga y resuelve una solicitud principal de rectificación, supresión u oposición, o de manera alternativa al derecho de supresión. Durante el periodo de bloqueo, Oravia suspenderá todo uso activo del dato, limitándose únicamente a su conservación técnica e inmutable.

13.7Revocación del consentimientoCopiar el enlace a la sección 13.7. Revocación del consentimiento

Cuando la base sea el consentimiento, el titular puede retirarlo en cualquier momento, gratuitamente y por medios similares o equivalentes a los utilizados para otorgarlo. La revocación no afecta la licitud de los tratamientos realizados antes de ella ni impide conservar datos cuando exista otra base legal u obligación de conservación.

14. Procedimiento para ejercer derechosCopiar el enlace a la sección 14. Procedimiento para ejercer derechos

El titular o su representante legal debidamente acreditado podrá ejercer sus derechos de forma expedita enviando su solicitud a —----------------.. El procedimiento se sujetará a las siguientes reglas y plazos fatales:

Requisitos de la solicitud: El titular deberá individualizarse indicando su nombre completo, RUT, cédula de identidad y medio de contacto para recibir notificaciones (ej. correo electrónico). Tratándose de rectificaciones, deberá señalar las modificaciones precisas y los documentos que las justifiquen. En solicitudes de supresión u oposición, deberá especificar la causal legal invocada.

Acuso de recibo: Al momento de ingresar la solicitud por cualquiera de los canales autorizados, Oravia emitirá de forma automática e inmediata un acuso de recibo digital, registrando la fecha exacta de ingreso.

Plazo general de resolución: Oravia se pronunciará por escrito respecto de la solicitud en un plazo máximo e improrrogable de treinta (30) días corridos contado desde la fecha de ingreso registrada en el acuso de recibo. Este plazo podrá ser prorrogado por Oravia por una sola vez y hasta por treinta (30) días corridos adicionales, siempre que existan razones complejas de hecho o de derecho que lo justifiquen, circunstancia que deberá ser notificada fundadamente al titular antes del vencimiento del plazo inicial.

Plazo especial para Bloqueo Temporal: Toda solicitud de bloqueo temporal de tratamiento deberá resolverse de urgencia en un plazo fatal de dos (2) días hábiles desde su recepción. En caso de que Oravia rechace la solicitud de bloqueo, deberá fundar su decisión y comunicarla por vía electrónica de forma inmediata a la Agencia de Protección de Datos Personales.

Costos** de gestión**: El ejercicio del derecho de acceso y portabilidad respecto de datos personales generales se regirá por la normativa aplicable. Esta regla de costos no se aplicará a la ficha clínica. La entrega al titular, su representante legal o quien esté legalmente facultado de una copia íntegra o parcial de la ficha clínica será gratuita y sin dilaciones indebidas, con independencia del número de solicitudes o de su periodicidad.

Reclamación de Tutela ante la Agencia: Si Oravia deniega total o parcialmente una solicitud, emite una respuesta incompleta o no responde dentro del plazo legal establecido de 30 días corridos, el titular podrá interponer una Reclamación de Tutela de Derechos ante la Agencia de Protección de Datos Personales (APDP). El reclamo ante la Agencia deberá presentarse por escrito dentro del plazo fatal de treinta (30) días hábiles contado desde la notificación de la negativa de Oravia o desde el vencimiento del plazo que Oravia disponía para responder.

15. Reclamo ante la agencia de protección de datos personalesCopiar el enlace a la sección 15. Reclamo ante la agencia de protección de datos personales

Una vez que la Agencia de Protección de Datos Personales se encuentre habilitada y resulte aplicable el procedimiento de tutela de la Ley N° 21.719, el titular podrá presentar un reclamo ante ella si Oravia rechaza su solicitud o no responde dentro del plazo legal. El reclamo deberá efectuarse en la forma, plazo y medios que establezca la Agencia.

Esta posibilidad no limita otros derechos administrativos, sanitarios, civiles o judiciales que puedan corresponder al titular.

16. Decisiones automatizadas y elaboración de perfilesCopiar el enlace a la sección 16. Decisiones automatizadas y elaboración de perfiles

La Plataforma puede utilizar automatizaciones para agendar, enviar recordatorios, sincronizar horarios, procesar pagos, detectar errores técnicos, aplicar controles de seguridad y organizar información operativa.

Actualmente Oravia no declara realizar decisiones basadas exclusivamente en tratamiento automatizado o elaboración de perfiles que produzcan efectos jurídicos o afecten significativamente al titular. La Plataforma no diagnostica, prescribe medicamentos ni determina por sí sola un tratamiento médico. Las decisiones clínicas corresponden al profesional tratante.

Si en el futuro se implementara una decisión automatizada con efectos jurídicos o significativos, Oravia informará su existencia, finalidad, lógica significativa, consecuencias, derechos de oposición, intervención humana y mecanismos de revisión antes de aplicarla.

17. Personas menores de edadCopiar el enlace a la sección 17. Personas menores de edad

El programa está dirigido exclusivamente a personas mayores de dieciocho años con capacidad para contratar y residencia en Chile. Si Oravia o el profesional toma conocimiento de que un paciente es menor de edad, se cancelará la atención programada y se adoptarán medidas para limitar el uso de sus datos, sin perjuicio de las obligaciones legales de protección, conservación o comunicación que pudieran resultar aplicables.

18. Cookies y tecnologías similaresCopiar el enlace a la sección 18. Cookies y tecnologías similares

La Plataforma utiliza cookies y tecnologías similares estrictamente necesarias para la autenticación de sesiones, seguridad, recuerdo de configuraciones técnicas y el funcionamiento básico del servicio. Estas tecnologías operan sin necesidad de consentimiento previo al ser indispensables para proveer el servicio solicitado, mantener la integridad de los sistemas o habilitar funciones expresamente requeridas por el titular.

Oravia implementa un gestor de consentimiento (Consent Manager) que garantiza el bloqueo técnico de todas las etiquetas y tecnologías no esenciales hasta que el usuario otorgue su aceptación expresa. Las cookies analíticas, de personalización o complementarias solo se activarán mediante un consentimiento previo, informado, específico, libre y afirmativo, organizado por categorías separadas en un centro de preferencias que mantendrá las opciones no esenciales desmarcadas por defecto.

Se podrán utilizar herramientas de analítica de uso propia para fines estadísticos y de mejora del rendimiento, sin realizar perfilamiento publicitario ni seguimiento cruzado de usuarios. Asimismo, en páginas de acceso público y carácter informativo, se podrá implementar un píxel publicitario configurado bajo una lista cerrada de eventos operativos, el cual se encuentra estrictamente parametrizado para no capturar ni enviar atributos que permitan inferir condiciones de salud o antecedentes clínicos de los visitantes.

El rechazo o la revocación del consentimiento para el uso de cookies no esenciales no impedirá el acceso a la Plataforma ni afectará la calidad de la prestación de los servicios de salud contratados. Oravia garantiza que los datos de salud nunca serán utilizados para fines de publicidad dirigida y que cualquier comunicación comercial futura estará sujeta a un consentimiento opcional y totalmente independiente.

19. Incidentes de seguridadCopiar el enlace a la sección 19. Incidentes de seguridad

Oravia mantendrá procedimientos para detectar, contener, investigar, documentar y mitigar incidentes que puedan afectar la confidencialidad, integridad o disponibilidad de datos personales. Cuando la normativa lo exija, comunicará el incidente a la autoridad competente y a los titulares afectados, especialmente cuando se trate de datos sensibles o exista un riesgo razonable para sus derechos y libertades.

Tratándose de incidentes de seguridad de la información que puedan afectar los sistemas o la información utilizada en atenciones de salud a distancia, Oravia aplicará el procedimiento sanitario correspondiente, incluyendo la adopción inmediata de medidas de contención y mitigación, su documentación y la notificación al Comité de Seguridad de la Información del Ministerio de Salud dentro de las setenta y dos horas siguientes a su detección, cuando resulte aplicable.

20. Actualizaciones de esta políticaCopiar el enlace a la sección 20. Actualizaciones de esta política

Oravia podrá actualizar esta Política para reflejar cambios legales, regulatorios, tecnológicos, operativos, de proveedores, finalidades o medidas de seguridad. Cada versión indicará su fecha de emisión y entrada en vigor.

Las modificaciones sustanciales serán informadas mediante un correo electrónico, aviso destacado en la Plataforma u otro medio que permita acreditar su comunicación, con la anticipación que corresponda. Cuando una modificación requiera consentimiento, se solicitará mediante una acción afirmativa, separada y no premarcada.

La aceptación de los Términos y Condiciones no constituye por sí sola consentimiento para recibir publicidad ni para tratamientos que no sean necesarios para ejecutar el servicio contratado.