Acuerdo de Tratamiento de Datos (DPA)

Versión 1.2 · Vigente desde el 21 de octubre de 2026

Dident SpA, sociedad constituida en Chile

Este Acuerdo de Tratamiento de Datos (DPA) (el «Acuerdo de Tratamiento») forma parte de los Términos del Servicio de Dident (los «Términos»). Se celebra entre:

• La Clínica, cliente de Dident según los Términos, en su calidad de responsable del tratamiento (el «Responsable»); y
• Dident SpA, sociedad constituida en Chile («Dident»), en su calidad de encargado del tratamiento (el «Encargado»).

Si este Acuerdo de Tratamiento y los Términos se contradicen en materia de datos personales, prevalece este Acuerdo de Tratamiento.

1. Definiciones

• Datos Personales: toda información sobre una persona natural identificada o identificable.
• Datos Sensibles: los datos que la ley aplicable califica como tales, incluidos los datos relativos a la salud.
• Tratamiento: cualquier operación sobre Datos Personales, como recolectar, registrar, almacenar, consultar, usar, transmitir, transcribir, bloquear o suprimir.
• Titular: la persona natural a quien se refieren los Datos Personales (por ejemplo, un paciente de la Clínica).
• Subencargado: un tercero contratado por Dident que trata Datos Personales por cuenta del Responsable.
• Incidente de Seguridad: una vulneración de seguridad que provoque la destrucción, pérdida, alteración, comunicación o acceso no autorizados a Datos Personales tratados por Dident en virtud de este Acuerdo de Tratamiento.
• Ley Aplicable: las normas de protección de datos que se aplican al Responsable, en especial: en Chile, la Ley 19.628 y, desde el 1 de diciembre de 2026, sus modificaciones por la Ley 21.719, además de la Ley 20.584 sobre la ficha clínica; en México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025; en Colombia, la Ley 1581 de 2012 y sus decretos reglamentarios; en Perú, la Ley 29733 y su reglamento; y, cuando Dident opere en Brasil, la Lei 13.709/2018 (LGPD).

2. Objeto, naturaleza, finalidad y duración

1. Objeto. El Responsable encarga a Dident el Tratamiento de los Datos Personales necesarios para prestarle el Servicio descrito en los Términos.
2. Naturaleza. Alojamiento, registro, organización, consulta, transmisión y supresión de datos; envío de mensajes por encargo del Responsable; transcripción de audio; y procesamiento con modelos de inteligencia artificial para generar borradores, resúmenes y respuestas que el Responsable revisa y, sólo si el Responsable lo acuerda, ordenar sus datos durante una migración desde otro sistema.
3. Finalidad. Exclusivamente la operación de la clínica del Responsable a través del Servicio: agenda, ficha clínica, presupuestos, cobranza, liquidaciones, comunicaciones con pacientes, portal del paciente, asistente Omni, sitio web y solicitudes de reseña.
4. Duración. Mientras estén vigentes los Términos y, después, sólo por el período de exportación y supresión de la sección 13.
5. El detalle está en el Anexo 1.

3. Categorías de Titulares y de datos

Ver Anexo 1. Incluyen Datos Sensibles de salud. Dident los trata con las medidas del Anexo 3.

4. Instrucciones del Responsable

1. Dident trata los Datos Personales sólo según las instrucciones documentadas del Responsable. Estas instrucciones son los Términos, este Acuerdo de Tratamiento y la configuración que el Responsable hace en el Servicio (por ejemplo, qué mensajes enviar, qué integraciones activar o qué funciones de IA usar).
2. Si Dident considera que una instrucción infringe la Ley Aplicable, lo informará al Responsable y podrá abstenerse de ejecutarla.
3. Si la ley obliga a Dident a tratar datos de otra forma, lo informará previamente al Responsable, salvo que la ley lo prohíba.

5. Obligaciones del Responsable

El Responsable garantiza que:

1. cuenta con una base legal válida para tratar los datos de sus pacientes y para encargar su Tratamiento a Dident, incluida la transferencia internacional de la sección 9;
2. ha informado a los Titulares y obtenido los consentimientos que exija la Ley Aplicable, en especial para tratar datos de salud y para grabar el dictado o la conversación de la consulta;
3. informa a los Titulares que sus datos se alojan y procesan fuera de su país, según la sección 9;
4. envía comunicaciones sólo a Titulares que no se hayan opuesto y respeta sus bajas;
5. conserva la ficha clínica por los plazos legales (en Chile, al menos 15 años desde la última anotación) y pide antes del término del período de exportación la copia de lo que deba conservar;
6. mantiene actualizados los accesos de sus usuarios;
7. es responsable de las integraciones que decide activar (sección 8.5).

6. Obligaciones de Dident

Dident se obliga a:

1. tratar los Datos Personales sólo para la finalidad de la sección 2 y según las instrucciones del Responsable;
2. no usar los Datos Personales para fines propios, no venderlos, no usarlos para publicidad y no usarlos para entrenar modelos de inteligencia artificial, y exigir a los Subencargados de inteligencia artificial que no los usen para entrenar sus modelos;
3. aplicar las medidas de seguridad del Anexo 3 y mantenerlas actualizadas;
4. mantener la confidencialidad de la sección 7;
5. contratar Subencargados sólo según la sección 8;
6. asistir al Responsable con las solicitudes de los Titulares (sección 10), con los Incidentes de Seguridad (sección 11) y con las evaluaciones de impacto (sección 12);
7. devolver y suprimir los datos al término (sección 13);
8. poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo de Tratamiento (sección 14).

7. Confidencialidad

1. El acceso a los datos de producción está limitado al equipo fundador de Dident, con deber de confidencialidad.
2. Ese acceso se usa sólo cuando es necesario para prestar el Servicio, dar soporte, resolver incidentes o cumplir la ley, y se limita a lo que pida cada caso.

8. Subencargados

1. Autorización general. El Responsable autoriza a Dident a contratar los Subencargados del Anexo 2.
2. Condiciones. Dident contrata a cada Subencargado con obligaciones de protección de datos acordes con este Acuerdo de Tratamiento, y responde ante el Responsable por su cumplimiento.
3. Aviso de cambios. Dident avisará al Responsable, por correo al propietario de la cuenta y en la lista publicada en esta página, de cualquier Subencargado nuevo o de su reemplazo con al menos 30 días de anticipación, salvo que una urgencia de seguridad o de continuidad del Servicio lo impida (en ese caso, avisará tan pronto como sea posible). El cambio del proveedor de inteligencia artificial que recibe datos de pacientes es un cambio de Subencargado. Anthropic recibe datos de pacientes sólo para una migración que el Responsable acuerda expresamente. Ese acuerdo, dado para cada migración, reemplaza el aviso y la oposición de este punto. La incorporación de TypeSafe AI, a través de Vercel AI Gateway, como Subencargado que recibe datos de pacientes (versión 1.2 de este Acuerdo de Tratamiento) Dident la avisa directamente a cada Responsable y rige desde la publicación de esa versión para los Responsables que no tienen un plan de pago vigente. A los que tienen un plan de pago vigente se les aplica el aviso de 30 días de este punto. En ambos casos rige la oposición de la sección 8.4.
4. Oposición. El Responsable puede oponerse por motivos razonables de protección de datos dentro de los 15 días siguientes al aviso. Si no se encuentra una solución, el Responsable puede terminar el Servicio afectado sin penalidad y con reembolso proporcional del período pagado y no usado.
5. Integraciones activadas por el Responsable. Los proveedores que el Responsable conecta por decisión propia no son Subencargados de Dident. Entre ellos están Google Calendar, una aplicación propia de Meta para WhatsApp o un asistente de IA externo (por ejemplo, ChatGPT o Claude) conectado a la cuenta del Responsable. El Tratamiento que hagan se rige por el contrato entre el Responsable y ese proveedor.

9. Transferencias internacionales

1. Los datos se alojan en Estados Unidos (Supabase, región us-east-1) y los procesan los Subencargados del Anexo 2, en las ubicaciones que allí se indican.
2. El Responsable autoriza estas transferencias. Dident las realiza con cláusulas contractuales de protección de datos con cada Subencargado, que lo obligan a tratar los datos sólo para prestar su servicio a Dident y con medidas de seguridad adecuadas.
3. El Responsable, como responsable del tratamiento, informa a sus pacientes de estas transferencias.
4. En Chile, desde el 1 de diciembre de 2026 rige la Ley 21.719, que regula las transferencias internacionales de datos. Si la Ley Aplicable de cualquier país exige un mecanismo adicional, las partes lo adoptarán de buena fe.
5. Para Colombia, las partes acuerdan que este Acuerdo de Tratamiento constituye el contrato de transmisión de datos personales que exige la regulación colombiana.

10. Derechos de los Titulares

1. Las solicitudes de los Titulares (acceso, rectificación, supresión o cancelación, oposición, portabilidad, bloqueo y otras) las atiende el Responsable.
2. El Responsable puede consultar, corregir y archivar la mayoría de los datos directamente desde el Servicio. Para lo que no pueda hacer por sí mismo, como una copia completa de los datos de un Titular o su supresión definitiva, Dident lo asistirá dentro de 10 días hábiles desde que el Responsable lo pida a privacy@dident.ai.
3. Si un Titular escribe directamente a Dident, Dident enviará la solicitud al Responsable dentro de 5 días hábiles y no la responderá por sí misma, salvo instrucción del Responsable o que la ley lo exija.

11. Incidentes de Seguridad

1. Aviso. Ante una vulneración de seguridad que constituya un Incidente de Seguridad y afecte los datos del Responsable, Dident le avisará sin demora indebida y a más tardar dentro de 24 horas desde que tome conocimiento de ella. Si no tiene toda la información en ese momento, la entregará por etapas.
2. Contenido. El aviso incluirá, en la medida disponible: qué ocurrió; qué categorías de datos y cuántos Titulares y registros aproximados se vieron afectados; sus posibles consecuencias; las medidas adoptadas o propuestas; y un contacto.
3. Colaboración. Dident colaborará con el Responsable para que éste notifique a la autoridad y a los Titulares cuando la Ley Aplicable lo exija. La notificación a la autoridad y a los Titulares es responsabilidad del Responsable, salvo que la ley la imponga a Dident.
4. Registro. Dident mantendrá un registro de los Incidentes de Seguridad, con sus hechos, efectos y medidas adoptadas.

12. Evaluaciones de impacto y consultas

Dident entregará al Responsable la información razonable sobre el Servicio que éste necesite para realizar una evaluación de impacto en protección de datos o consultar a la autoridad, cuando la Ley Aplicable lo exija.

13. Devolución y supresión al término

1. Al término de los Términos, el Responsable puede pedir una copia de sus datos durante 60 días (el «período de exportación»). Dident la entregará en formatos de uso común (por ejemplo, CSV o JSON, y PDF para las notas clínicas) dentro de 15 días hábiles desde la solicitud.
2. Terminado el período de exportación, Dident suprimirá los Datos Personales de sus sistemas activos dentro de 30 días, y de las copias de respaldo de su proveedor de base de datos cuando éstas se renueven según la rotación del proveedor, hasta 30 días después. Mientras tanto, los respaldos se mantienen protegidos y no se usan.
3. Dident no ofrece la custodia de la ficha clínica después del término. Dident podrá conservar sólo lo que la ley le obligue a conservar, protegido y sin otro uso.
4. A pedido del Responsable, Dident confirmará por escrito la supresión.
5. El audio de la consulta se borra siempre a las 24 horas, con independencia del término del contrato.

14. Información y auditorías

1. Dident pondrá a disposición del Responsable, a su pedido, la información necesaria para demostrar el cumplimiento de este Acuerdo de Tratamiento: la descripción actualizada de las medidas del Anexo 3, la lista de Subencargados y, cuando existan, informes o certificaciones de terceros.
2. Si esa información no basta, el Responsable puede realizar una auditoría, directamente o mediante un auditor independiente sujeto a confidencialidad, no más de una vez al año salvo que haya ocurrido un Incidente de Seguridad o lo exija una autoridad. La auditoría se coordina con 30 días de anticipación, en horario hábil, sin afectar la seguridad ni la confidencialidad de otros clientes, y a costo del Responsable.

15. Responsabilidad

La responsabilidad de las partes bajo este Acuerdo de Tratamiento se rige por los Términos, incluida su limitación de responsabilidad, que se aplica también a los incumplimientos de protección de datos.

16. Disposiciones por país

• Chile. Dident actúa como encargado del tratamiento según la Ley 19.628 y, desde el 1 de diciembre de 2026, según la Ley 21.719. La ficha clínica se rige además por la Ley 20.584 y su reglamento; su custodia y conservación son deber del Responsable.
• México. Dident trata los datos por cuenta del Responsable según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025. La autoridad de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno.
• Colombia. Dident actúa como encargado según la Ley 1581 de 2012. Este Acuerdo de Tratamiento es el contrato de transmisión de la sección 9.5.
• Perú. Dident actúa como encargado del tratamiento según la Ley 29733 y su reglamento.
• Brasil (cuando Dident opere en Brasil). Dident actuará como operador y el Responsable como controlador según la LGPD.

17. Vigencia

Este Acuerdo de Tratamiento rige mientras Dident trate Datos Personales por cuenta del Responsable. Las obligaciones de confidencialidad, supresión y colaboración ante incidentes subsisten después de su término.

18. Contacto

• Protección de datos: privacy@dident.ai. El contacto de protección de datos de Dident es su fundador.
• Avisos legales: legal@dident.ai
• Soporte: support@dident.ai

Anexo 1 — Detalle del tratamiento

Anexo 2 — Subencargados

Lista vigente desde la fecha de este Acuerdo de Tratamiento. Dident avisa los cambios según la sección 8.3.

2.1 Subencargados que tratan datos personales por cuenta de la Clínica

2.2 Proveedores que no reciben datos de pacientes

La generación de sitios web y de artículos del blog se ejecuta en infraestructura operada por Dident y no recibe datos de pacientes.

2.3 Integraciones que activa la Clínica

Los proveedores que la Clínica conecta por decisión propia no son Subencargados de Dident: Google Calendar, una aplicación propia de Meta para WhatsApp y los asistentes de IA externos (por ejemplo, ChatGPT o Claude) conectados a la cuenta de la Clínica. El Tratamiento que hacen se rige por el contrato entre la Clínica y ese proveedor (sección 8.5).

Anexo 3 — Medidas de seguridad

Medidas técnicas:

1. Aislamiento por clínica. Cada tabla con datos de clínicas lleva el identificador de la clínica, y la base de datos aplica reglas de acceso por fila (row level security) que limitan a cada usuario a los datos de las clínicas de las que es miembro.
2. Acceso según rol. Cada usuario tiene un rol en su clínica (por ejemplo, propietario, administrador, profesional o personal) que define qué puede ver y hacer.
3. Cifrado adicional de datos sensibles. Los campos clínicos de texto libre (anamnesis, notas clínicas, transcripciones, indicaciones, observaciones, entre otros) y el documento de identidad del paciente se cifran con AES-256 dentro de la base de datos. La clave se guarda separada de los datos en un almacén de secretos, y sólo el servidor, nunca el navegador, puede descifrarlos.
4. Cifrado de credenciales de integraciones. Los accesos a Google Calendar y a WhatsApp que la clínica conecta se guardan cifrados.
5. Borrado del audio. El audio de cada consulta tiene fecha de borrado a las 24 horas. Una tarea programada lo elimina del almacenamiento y emite una alerta si el borrado falla de forma repetida.
6. Conexiones cifradas (HTTPS) entre los usuarios y el Servicio.
7. Acceso con Google limitado. Entrar con Google sólo da acceso a quien ya es miembro de una clínica; la sesión de cualquier otra persona se cierra.
8. Portal del Paciente. La sesión del paciente usa una cookie propia, separada de la del equipo de la clínica, y los códigos de acceso se guardan en forma no reversible.
9. Registro de acciones de Omni. Cada acción del asistente queda registrada con la clínica y el usuario que la originó.
10. Asistentes de IA externos cerrados por defecto. La conexión de un asistente externo está apagada hasta que el propietario de la clínica la habilita para un usuario, y queda registrada la aceptación del aviso correspondiente.
11. Medición de uso sin datos clínicos. La medición en el navegador requiere consentimiento, no captura lo que se escribe ni graba la pantalla, y elimina identificadores, títulos y búsquedas de las direcciones web antes de enviar cada evento.
12. Registro de errores con limpieza. Antes de enviar un error, se descartan el contenido de los formularios, las cookies y los parámetros de las direcciones, tanto en el navegador como en el servidor.
13. Registro de solicitudes a la IA sin datos de pacientes. El registro técnico de cada solicitud a los modelos lleva sólo datos técnicos e identificadores internos de Dident, sin el contenido de la solicitud ni datos de pacientes.
14. Límite de intentos en el acceso y en formularios públicos, para frenar ataques de fuerza bruta.
15. Bajas protegidas. Los enlaces para darse de baja de los correos de recordatorio están firmados y no permiten dar de baja a otra persona.
16. Entornos de prueba sin envíos reales. Fuera del entorno de producción, los correos a destinatarios reales están bloqueados, y las pruebas automáticas usan bases de datos locales descartables.

Medidas organizativas:

17. Acceso a los datos de producción limitado al equipo fundador, con deber de confidencialidad (sección 7).
18. Respuesta ante incidentes según la sección 11: contención, evaluación del alcance, aviso al Responsable sin demora indebida y a más tardar dentro de 24 horas desde que Dident tome conocimiento de la vulneración, y registro de lo ocurrido.