Política de Privacidad de Dident

Versión 1.2 · Vigente desde el 21 de octubre de 2026

Dident SpA, sociedad constituida en Chile

Esta política explica qué datos personales trata Dident, para qué los usa, con quién los comparte, cuánto tiempo los guarda y cómo puedes ejercer tus derechos.

1. Quiénes somos

Dident es un servicio de software para clínicas dentales, prestado por Dident SpA, sociedad constituida en Chile («Dident» o «nosotros»). Puedes contactarnos por correo en las direcciones de la sección 15.

Contacto de protección de datos: el fundador de Dident atiende las consultas y solicitudes sobre datos personales en privacy@dident.ai.

2. A quién aplica esta política y qué papel cumplimos

Dident cumple dos papeles distintos según de quién sean los datos:

Cuando Dident actúa como encargado, la relación con la clínica se rige por el Acuerdo de Tratamiento de Datos (DPA).

3. Usuarios de las clínicas

3.1 Qué datos tratamos

• Identificación y contacto: nombre, correo electrónico, teléfono, rol en la clínica y, en el caso de los profesionales, los datos profesionales que la clínica registre (por ejemplo, la especialidad).
• Acceso: datos técnicos del inicio de sesión. Si entras con Google, recibimos de Google tu correo y un identificador de tu cuenta.
• Suscripción de la clínica: plan contratado y estado de los pagos. La suscripción se compra a Polar, que actúa como comerciante registrado (merchant of record): Polar cobra, emite el comprobante y gestiona los impuestos del cobro. Los datos de la tarjeta los trata Polar como responsable propio, según su política; nosotros no los vemos.
• Uso del servicio: registros técnicos (fecha, hora, dirección IP, navegador), errores, algunos eventos operativos que registra nuestro servidor (por ejemplo, un inicio de sesión, el alta de la clínica o la publicación del sitio) y, sólo si aceptas las cookies de medición, eventos de uso del producto en tu navegador.
• Soporte: los mensajes que nos envías.

3.2 Para qué los usamos y con qué base legal

3.3 Cómo medimos el uso del producto

Usamos PostHog para medir el uso del producto. En tu navegador, la medición se activa sólo si aceptas las cookies de medición. La configuramos para no registrar lo que escribes ni grabar tu pantalla. Además, antes de enviar cada evento quitamos los identificadores de las direcciones web, el título de la página y las búsquedas, para que no viajen nombres ni datos de pacientes. Si retiras tu consentimiento, la medición en tu navegador se detiene de inmediato.

Nuestro servidor también registra en PostHog algunos eventos operativos, asociados a un identificador interno de tu cuenta y nunca a contenido clínico. Antes de que inicies sesión, en lugar de tu correo usamos un código derivado de él que no lo revela.

4. Pacientes de las clínicas

4.1 La clínica es la responsable de tus datos

Si eres paciente de una clínica que usa Dident, la clínica es la responsable de tus datos personales: decide qué datos registra y para qué. Dident los trata por cuenta de la clínica, sólo para prestarle el servicio y según sus instrucciones, conforme al Acuerdo de Tratamiento de Datos (DPA). No usamos tus datos para fines propios, no los vendemos y no los usamos para publicidad.

Para ejercer tus derechos (acceso, rectificación, supresión, oposición y los demás que te reconozca la ley), dirígete a tu clínica. Si nos escribes a nosotros, enviaremos tu solicitud a la clínica dentro de 5 días hábiles y te avisaremos que lo hicimos. Después ayudaremos a la clínica a responderte, dentro de 10 días hábiles desde que nos lo pida.

4.2 Qué datos pueden tratarse por cuenta de la clínica

Según lo que la clínica use y registre:

• Identificación y contacto: nombre, documento de identidad, fecha de nacimiento, teléfono, correo, dirección, previsión o seguro.
• Datos de salud (datos sensibles): anamnesis, alergias y medicamentos, odontograma, periodontograma, diagnósticos, notas clínicas, imágenes clínicas, recetas, consentimientos, planes de tratamiento y presupuestos.
• Audio de la consulta: cuando el profesional dicta o graba la consulta para transcribirla. En nuestros servidores, el audio se borra automáticamente a las 24 horas. Se conservan la transcripción y la nota que el profesional aprueba. Si la subida del audio falla, el audio queda guardado en el navegador del dispositivo con que se grabó, para poder reintentarla; se descarta al subirse o, a más tardar, a los 7 días (ver la Política de Cookies).
• Citas y pagos: agenda, asistencia, montos, pagos registrados y saldos.
• Comunicaciones: mensajes de WhatsApp y correos entre tú y la clínica, recordatorios, mensajes de fidelización y respuestas a encuestas de satisfacción.
• Portal del Paciente: si la clínica te invita, los datos de acceso y tus consultas en el portal y, sólo si aceptas las cookies de medición, eventos de uso del portal, sin lo que escribes y sin identificadores en las direcciones (ver la Política de Cookies).

4.3 Qué hace Dident con esos datos

Sólo lo necesario para prestar el servicio a la clínica: guardarlos de forma segura, mostrarlos a los usuarios autorizados de la clínica, enviar los mensajes que la clínica configura, transcribir el dictado, redactar un borrador de nota clínica que el profesional revisa y aprueba, y responder las consultas del equipo de la clínica a través de su asistente Omni.

Algunas de estas funciones usan proveedores de inteligencia artificial. En el uso diario del servicio, con datos de pacientes trabajan sólo tres:

• Baseten, para los modelos de lenguaje del servicio (borradores de notas, asistente Omni y otras funciones de redacción y análisis);
• AssemblyAI, para la transcripción de la voz;
• TypeSafe AI, a través de Vercel AI Gateway, para el modelo Jev: las recomendaciones de Omni y las propuestas de datos de la ficha clínica (por ejemplo, una alergia mencionada en una nota) y de presupuesto a partir de las notas clínicas, que una persona de la clínica revisa y acepta antes de que se guarden. Se solicita retención cero en cada consulta.

Además, cuando una clínica nueva nos pide migrar sus datos desde otro sistema, y sólo con su acuerdo expreso, usamos Anthropic para ordenar esa información durante la migración (por ejemplo, para reconocer que dos registros corresponden al mismo paciente). Anthropic recibe sólo los datos necesarios para esa tarea (como nombres, profesional tratante, fechas y motivos de consulta) y los conserva según su política.

Cada uno recibe sólo los datos necesarios para la tarea (por ejemplo, la transcripción del dictado para redactar la nota). Fuera de esas migraciones, Anthropic se usa sólo para generar sitios web y artículos de blog de las clínicas, sin datos de pacientes. Para controlar la calidad y el costo de las solicitudes a los modelos usamos Langfuse (en Estados Unidos), que recibe sólo datos técnicos de cada solicitud, como el modelo usado, la cantidad de texto, el uso, el costo, si hubo un error y, en el audio, el idioma y la duración, junto con identificadores internos de Dident (de la clínica, de la sesión y del usuario del equipo que hizo la consulta) que no le permiten a Langfuse saber quién es; sin el contenido de las solicitudes ni datos de pacientes.

La IA no toma decisiones clínicas: toda nota, propuesta o mensaje generado con IA lo revisa una persona de la clínica.

4.4 Pacientes menores de edad

Los datos de pacientes menores de edad los registra la clínica y se gestionan a través de su padre, madre o representante legal, según la ley de cada país. Las solicitudes sobre esos datos las presenta el representante legal ante la clínica.

4.5 Mensajes de la clínica

Si recibes recordatorios o mensajes de tu clínica por correo o WhatsApp, puedes pedir no recibir más. Los correos de recordatorio incluyen un enlace para darte de baja. También puedes pedírselo directamente a tu clínica.

5. Visitantes de sitios web

5.1 dident.ai y la plataforma

• Formulario de contacto: si nos escribes, tratamos tu nombre, correo, clínica, país y mensaje para responderte. La base legal es tu solicitud y nuestro interés legítimo en contestarte.
• Datos técnicos: dirección IP y datos del navegador, para entregar el sitio, limitar abusos (por ejemplo, demasiados intentos de acceso o de envío de formularios) y registrar errores.
• Cookies: usamos cookies y almacenamiento del navegador necesarios para que el sitio y la sesión funcionen y, sólo con tu consentimiento, para medir el uso. El detalle está en la Política de Cookies.

5.2 Sitios web de las clínicas

Los sitios web de las clínicas creados con Dident (en subdominios de dident.app o en el dominio propio de la clínica) son de cada clínica. Si reservas una hora o dejas tus datos en uno de esos sitios, la clínica es la responsable y Dident actúa como su encargado (sección 4).

Estos sitios muestran un aviso de cookies. Además, pueden cargar tipografías desde Google Fonts y bibliotecas de estilos e íconos desde redes de distribución de contenido de terceros. Al cargarlas, tu navegador envía a esos proveedores tu dirección IP y datos técnicos del navegador. El detalle está en la Política de Cookies.

6. Clínicas y profesionales que aún no son clientes

6.1 Qué hacemos

Para presentar Dident a clínicas dentales, podemos preparar una versión de demostración del sitio web de una clínica y enviarla por correo a su responsable. Para eso usamos información profesional de fuentes públicas: el sitio web de la clínica y sus perfiles públicos de redes sociales (por ejemplo, Instagram o Facebook), incluidos fotos, servicios y textos publicados por la propia clínica.

6.2 Qué datos tratamos

• De la clínica: nombre, país, ciudad, especialidad, sitio web, perfiles públicos de redes sociales, teléfono comercial y la información pública usada para armar la demostración.
• Del responsable o propietario: nombre de pila y correo de contacto profesional, y notas internas de nuestro equipo comercial.
• De la interacción: si el correo se entregó, se abrió o se hizo clic en él, si se visitó la demostración y si se respondió. Para contar las visitas, la demostración guarda en tu navegador el código del enlace que recibiste (ver la Política de Cookies).

No tratamos datos de pacientes en este proceso.

6.3 Para qué y con qué base legal

Para ofrecer nuestros servicios a la clínica y medir el interés en la oferta. La base legal es nuestro interés legítimo en ofrecer un servicio profesional a un negocio, usando sólo datos de contacto profesional obtenidos de fuentes públicas.

6.4 Cuánto dura y cómo darte de baja

• Cada correo incluye la forma de darte de baja y un enlace a esta política.
• El enlace a la demostración deja de funcionar 7 días después del envío.
• Para no recibir más correos, responde al correo con la palabra «baja» o escribe a privacy@dident.ai. Marcaremos tu dirección para no volver a escribirte y apagaremos la demostración, si sigue activa. Conservaremos sólo lo mínimo para respetar tu baja.
• Si no respondes, borraremos los datos del contacto y la demostración 12 meses después del último contacto.

7. Con quién compartimos datos

No vendemos datos personales. Los compartimos sólo con:

1. Proveedores que nos ayudan a prestar el servicio (subencargados). Cada uno trata los datos sólo para la tarea que le encargamos. La lista oficial, con los datos que recibe cada uno, es el Anexo 2 del Acuerdo de Tratamiento de Datos (DPA). Hoy es la siguiente:

   Subencargados que tratan datos personales por cuenta de la clínica

   Proveedor	Para qué	Ubicación
   Supabase (sobre Amazon Web Services)	Base de datos, autenticación de usuarios, almacenamiento de archivos (audio, imágenes clínicas, documentos) y resguardo de las claves de cifrado	EE.UU. (región us-east-1, Virginia)
   Vercel	Alojamiento y ejecución de la aplicación, de los sitios web de las clínicas y de las tareas programadas	EE.UU. (región de ejecución por defecto de Vercel, Washington D.C.); los archivos estáticos se distribuyen por su red global
   Baseten	Modelos de lenguaje del Servicio: borradores de notas clínicas a partir del dictado, asistente Omni, análisis de respuestas a encuestas y borradores de respuesta a reseñas	Según la política del proveedor (infraestructura en varias nubes y regiones). El proveedor declara que no guarda copia de las entradas ni de las respuestas de sus modelos y que no entrena con los datos de sus clientes
   AssemblyAI	Transcripción del dictado clínico y de los comandos de voz a Omni	EE.UU.
   Vercel AI Gateway y TypeSafe AI	Modelo de lenguaje Jev: recomendaciones proactivas de Omni y propuestas de datos de la ficha clínica y de presupuesto a partir de las notas clínicas, que el equipo de la clínica revisa antes de guardarlas	Según la política de cada proveedor, con retención cero solicitada en cada consulta
   Langfuse	Registro técnico de las solicitudes a los modelos de IA, para control de calidad y de costos	EE.UU.
   Resend	Envío de correos: recordatorios, confirmaciones, invitaciones al portal y avisos	EE.UU. (datos de la cuenta); el envío sale desde la región configurada para el dominio de envío, según la política del proveedor
   Meta Platforms (API de WhatsApp Cloud)	Envío y recepción de mensajes de WhatsApp	EE.UU. (almacenamiento por defecto de la API de WhatsApp Cloud)
   Kapso	Conexión del número de WhatsApp de la clínica y recepción de mensajes y archivos	Según la política del proveedor
   Sentry	Registro de errores de la aplicación	Según la región de la cuenta (EE.UU. o Alemania), conforme a la política del proveedor
   PostHog	Medición de uso del producto y activación gradual de funciones	EE.UU.
   Upstash (mediante Vercel)	Límite de intentos (por ejemplo, de acceso) para prevenir abusos	Según la región configurada, conforme a la política del proveedor
   Anthropic	Generación del sitio web y de los artículos del blog de la clínica; y, sólo con el acuerdo expreso de la clínica, la migración de sus datos desde otro sistema	Según la política del proveedor

   Proveedores que no reciben datos de pacientes

   Proveedor	Para qué	Ubicación
   Kie.ai	Imágenes ilustrativas del blog	Según la política del proveedor
   Google Fonts	Tipografías que pueden cargar los sitios web generados para las clínicas	Red global de Google
   Polar	Venta y cobro de la suscripción de la clínica, como comerciante registrado (merchant of record)	EE.UU. y otros países, según la política del proveedor

2. Integraciones que activa la clínica, como Google Calendar, una aplicación propia de Meta para WhatsApp o un asistente de IA externo (por ejemplo, ChatGPT o Claude) conectado a su cuenta. Estos proveedores no son subencargados de Dident: los datos pasan a ellos por decisión de la clínica, y su tratamiento se rige por el contrato entre la clínica y ese proveedor.

3. Autoridades, cuando la ley lo exija o por orden judicial.

4. Un comprador o sucesor, si Dident se fusiona o vende su negocio, con las mismas obligaciones de esta política.

Te avisaremos de los cambios en la lista de subencargados publicando la nueva versión. A las clínicas se los avisamos con al menos 30 días de anticipación, según el Acuerdo de Tratamiento de Datos (DPA).

8. Transferencias internacionales

Dident aloja el servicio en Estados Unidos: la base de datos principal está en la región us-east-1 (Virginia) de Amazon Web Services, a través de Supabase. Los subencargados de la sección 7 procesan datos en los lugares que ahí se indican. Esto significa que tus datos se transfieren fuera de tu país.

Protegemos estas transferencias con cláusulas contractuales de protección de datos con cada proveedor, que lo obligan a tratar los datos sólo para la tarea encargada y con medidas de seguridad adecuadas. Cuando se trata de datos de pacientes, la clínica, como responsable, informa a sus pacientes de estas transferencias.

En Chile, desde el 1 de diciembre de 2026 rigen las reglas sobre transferencia internacional de datos de la Ley 21.719; ajustaremos estos mecanismos a lo que esa ley y su regulación exijan.

9. Cuánto tiempo conservamos los datos

Podemos conservar datos por más tiempo si la ley lo exige o para defendernos ante un reclamo, sólo durante ese plazo.

10. Tus derechos

Según la ley de tu país, puedes pedir:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión o cancelación: que borremos tus datos cuando ya no sean necesarios o no haya base legal para tratarlos.
• Oposición: que dejemos de tratar tus datos para ciertos fines, como el envío de comunicaciones comerciales.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Bloqueo o limitación: que suspendamos temporalmente el tratamiento mientras se resuelve una solicitud.
• Revocar tu consentimiento, cuando el tratamiento se base en él.

Si eres paciente, presenta tu solicitud ante tu clínica (sección 4.1). Si eres usuario de una clínica, visitante o contacto comercial, escríbenos a privacy@dident.ai. Podemos pedirte que acredites tu identidad. Te responderemos dentro de 15 días hábiles, o antes si la ley de tu país fija un plazo menor.

La exportación de datos se hace a pedido: no hay por ahora una descarga completa en autoservicio.

10.1 Chile

Se aplica la Ley 19.628 sobre protección de la vida privada. Desde el 1 de diciembre de 2026 rigen las modificaciones de la Ley 21.719, que incorporan, entre otros, los derechos de portabilidad y bloqueo, y el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado. Los datos de salud son datos sensibles. La ficha clínica se rige además por la Ley 20.584 y su reglamento. Hasta que la Agencia de Protección de Datos Personales asuma sus funciones, puedes recurrir a los tribunales según la Ley 19.628; desde entonces, podrás reclamar ante la Agencia.

10.2 México

Se aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025. Tienes derechos de acceso, rectificación, cancelación y oposición (ARCO) y puedes revocar tu consentimiento. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno.

10.3 Colombia

Se aplica la Ley 1581 de 2012 y sus decretos reglamentarios. Tienes derecho a conocer, actualizar, rectificar y suprimir tus datos, a solicitar prueba de la autorización y a revocarla. Antes de reclamar ante la Superintendencia de Industria y Comercio, debes presentar tu consulta o reclamo ante el responsable. Los datos de salud son sensibles y no estás obligado a autorizar su tratamiento.

10.4 Perú

Se aplica la Ley 29733 y su reglamento. Tienes derechos de acceso, rectificación, cancelación y oposición, además del derecho a ser informado. Puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

10.5 Brasil (cuando operemos en Brasil)

Cuando ofrezcamos el servicio en Brasil, se aplicará la Lei Geral de Proteção de Dados (Lei 13.709/2018), con los derechos de su artículo 18, y podrás reclamar ante la Autoridade Nacional de Proteção de Dados (ANPD).

11. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos, entre ellas:

• Aislamiento por clínica en la base de datos: cada clínica sólo accede a su propia información.
• Acceso según rol: cada usuario ve lo que su rol permite.
• Cifrado adicional de la información clínica sensible y del documento de identidad del paciente, con una clave que se guarda separada de los datos.
• Borrado automático del audio de la consulta a las 24 horas.
• Conexiones cifradas (HTTPS) entre tu navegador y el servicio.
• Registro de las acciones que ejecuta el asistente Omni.
• Medición de uso sin grabaciones de pantalla ni captura de lo que se escribe, y registro de errores que descarta el contenido de los formularios, las cookies y los parámetros de las direcciones antes de enviarse, tanto en el navegador como en el servidor.
• Acceso restringido a los datos de producción: limitado al equipo fundador de Dident, cuando es necesario para soporte o seguridad, y con deber de confidencialidad.

Ningún sistema es infalible. Si ocurre una brecha de seguridad que afecte datos de pacientes, Dident la informará a la clínica sin demora indebida y a más tardar dentro de 24 horas desde que tome conocimiento de ella, para que la clínica cumpla sus deberes contigo. Si afecta tus datos como usuario, visitante o contacto comercial, te la informaremos sin demora indebida, y a la autoridad cuando la ley lo exija.

12. Cookies

Usamos cookies y almacenamiento del navegador necesarios para el funcionamiento del servicio y, sólo con tu consentimiento, para medir el uso. Puedes aceptar o rechazar la medición en el aviso de cookies. El detalle está en la Política de Cookies.

13. Menores de edad

Dident es un servicio para clínicas; sus usuarios son adultos que trabajan en ellas. No recopilamos a sabiendas datos de menores de edad como usuarios. Los datos de pacientes menores los trata la clínica según la sección 4.4.

14. Cambios a esta política

Podemos actualizar esta política. Publicaremos la nueva versión con su fecha. Si el cambio es importante, avisaremos a las clínicas por correo y dentro del servicio con al menos 30 días de anticipación, salvo que la ley nos obligue a aplicarlo antes.

15. Contacto

Dident SpA, sociedad constituida en Chile.

• Privacidad y datos personales: privacy@dident.ai
• Consultas legales: legal@dident.ai
• Soporte del servicio: support@dident.ai