Política de privacidad

1. Identidad y contacto

ATENDIX es un servicio de ATENDIX SpA, RUT 78.449.792-5, con domicilio en PASAJE COBIN 2163, HACIENDA MAULE, MAULE · Chile. Para consultas de privacidad, solicitudes de derechos o reclamos sobre esta política, escribe a contacto@atendix.cl. Podemos pedir información razonable para verificar la identidad de quien solicita datos.

Esta política describe los tratamientos de ATENDIX como plataforma. Cada negocio que usa ATENDIX debe además informar a sus propios clientes finales de manera clara y por un canal apropiado.

2. Versión y régimen legal aplicable

Versión 2026-11-30, publicada el 30 de noviembre de 2026 y preparada para regir desde el 1 de diciembre de 2026. Hasta el 30 de noviembre de 2026 el tratamiento se sujeta al régimen vigente de la Ley N° 19.628 sobre Protección de la Vida Privada. Desde el 1 de diciembre de 2026 se aplicará el texto reformado por la Ley N° 21.719, sus normas complementarias y las instrucciones de la Agencia de Protección de Datos Personales que resulten aplicables.

No interpretamos esta política como una renuncia de derechos. Si una norma imperativa entrega una protección mayor o un procedimiento distinto, se aplicará esa norma.

3. Roles: responsable, encargado y negocio contratante

ATENDIX actúa normalmente como responsable respecto de los datos de prospectos, personas que usan una demo, titulares de cuentas, administradores, profesionales y contactos de facturación. Respecto de los datos de clientes finales que un negocio recibe o carga en la Plataforma, ese negocio es normalmente el responsable y ATENDIX actúa como encargado o mandatario, siguiendo sus instrucciones documentadas y el Anexo de Encargo de los Términos.

El negocio, y el profesional cuando corresponda, define los campos estrictamente necesarios para agendar o gestionar su atención. Debe separar una agenda de cualquier ficha clínica o registro profesional. ATENDIX no es prestador de salud, no entrega atención médica y no se ofrece como repositorio de fichas clínicas.

4. Categorías de datos que podemos tratar

Las categorías dependen de las funciones que cada negocio habilite. No todas se solicitan en todos los casos.

La fuente de los datos puede ser el propio titular al crear una cuenta, pedir una demostración, escribir por WhatsApp o usar la Plataforma; el negocio contratante y sus usuarios autorizados al cargar o configurar información; o una integración que el negocio o profesional conecte expresamente, como Google Calendar. Los registros técnicos se generan al usar el Servicio. Si el negocio entrega datos de terceros, debe contar con una base de licitud e informarles lo que corresponda.

• Cuenta, contratación y facturación: nombre, correo, teléfono, RUT, razón social, plan, estado de pago, comprobantes y comunicaciones de soporte.
• Uso y seguridad: identificadores de autenticación, registros de actividad, dirección IP, identificadores de sesión, dispositivo y eventos necesarios para prevenir fraude y operar el servicio.
• Clientes finales y operaciones del negocio: nombre o alias, teléfono, correo si se entrega, mensajes, citas, servicios, pedidos, direcciones y datos necesarios para su gestión.
• Profesionales y agenda: nombre, especialidad o rol que el negocio configure, horarios, disponibilidad y, si se conecta voluntariamente, información mínima de la cuenta e integración de calendario para sincronizar eventos autorizados.
• Ubicación y entrega: dirección, comuna, coordenadas o geolocalización cuando el cliente la comparte o el negocio habilita cálculo de despacho o un mapa. No recabamos ubicación precisa en segundo plano desde el dispositivo sin una función que la solicite.
• Notificaciones: token o preferencia de notificaciones push y datos de entrega de mensajes operativos. Los recordatorios se usan para citas, pedidos o gestiones solicitadas, no para publicidad.
• Demo y contacto comercial: datos que una persona ingresa voluntariamente en formularios, demostraciones o solicitudes de contacto.
• Datos sensibles que una persona entregue voluntariamente en una conversación —por ejemplo, datos de salud, previsión, discapacidad u otra información íntima—. No son obligatorios para una agenda general y deben minimizarse.

5. Finalidades y bases de licitud

Usamos los datos para crear y administrar cuentas, ejecutar el contrato, cobrar, prestar atención automatizada, agendar, gestionar pedidos, enviar recordatorios operativos, sincronizar integraciones autorizadas, responder soporte, proteger la plataforma, prevenir fraude, cumplir deberes legales y defender reclamaciones. Podemos producir métricas agregadas o anonimizadas para operar y mejorar el Servicio; no usamos datos identificables de conversaciones para entrenar modelos de IA.

Durante la vigencia de la Ley N° 19.628 solicitaremos el consentimiento previo cuando la ley lo exija y trataremos datos sólo para finalidades informadas o autorizadas legalmente. Desde el 1 de diciembre de 2026, aplicaremos la base de licitud pertinente en cada caso —consentimiento, ejecución del contrato o medidas precontractuales, obligación legal, interés legítimo con las salvaguardas exigidas, o defensa de derechos— y registraremos el consentimiento cuando corresponda.

No enviamos publicidad por el solo hecho de tener un número o correo. Cualquier comunicación de marketing requiere una base válida y un mecanismo de oposición o baja cuando la ley lo exija.

6. Datos sensibles, salud y personas menores de edad

Los datos de salud, previsión y otros datos sensibles no deben pedirse por costumbre ni configurarse como obligatorios para agendar, salvo que sean estrictamente necesarios y exista una base legal. Si el negocio necesita tratar un dato sensible, debe informar su finalidad y obtener consentimiento expreso por escrito, verbal o por medio tecnológico equivalente cuando corresponda, salvo una excepción legal específica. Los datos relativos a salud se tratarán sólo dentro de las finalidades y límites que permitan la legislación sanitaria y de protección de datos aplicable.

Respecto de niños y niñas, la información para una reserva debe ser entregada por el padre, madre, representante legal o quien tenga su cuidado personal, y limitarse a lo necesario. Desde el 1 de diciembre de 2026 se aplicará además el interés superior y la autonomía progresiva: el tratamiento de datos de niños exige autorización de quien corresponda; los adolescentes se rigen por las reglas legales aplicables y los datos sensibles de adolescentes menores de 16 años requieren la autorización de su representante, salvo mandato legal. Una solicitud válida de eliminación, rectificación o bloqueo de datos de una persona menor será atendida conforme a la ley y la retención estrictamente necesaria.

ATENDIX no diagnostica, no trata pacientes y no sustituye las obligaciones de confidencialidad, consentimiento informado, custodia y conservación que correspondan al profesional o prestador de salud.

7. IA, chats y acceso excepcional

La IA usa el contexto de la conversación y la información, reglas y personalidad configuradas por el negocio para generar la respuesta solicitada. Puede cometer errores; el negocio debe revisar su configuración, mantener información actualizada y derivar a una persona los casos que lo requieran.

ATENDIX no entrena modelos de IA con datos del negocio ni de sus clientes finales. OpenAI, con el modelo fijo gpt-6-luna, es la ruta primaria y única por defecto. Gemini puede usarse sólo como respaldo técnico ante una indisponibilidad transitoria verificable de OpenAI, después de confirmar servicio pagado, DPA aplicable y requisitos equivalentes de no usar los datos para entrenamiento. Sólo se envía al proveedor de IA la información necesaria para atender la solicitud.

No monitoreamos proactivamente el contenido de los chats. Personal autorizado puede acceder de manera excepcional, limitada y confidencial cuando sea necesario para soporte solicitado, seguridad, prevención de fraude o abuso, investigación de incidentes o cumplimiento de una obligación legal.

8. Proveedores, subencargados y transferencias internacionales

Usamos proveedores que pueden tratar datos por nuestra cuenta y, según la función habilitada, pueden alojar o procesar información fuera de Chile. Exigimos condiciones de confidencialidad, seguridad y tratamiento conforme a las instrucciones aplicables. Desde el 1 de diciembre de 2026, las transferencias internacionales se realizarán conforme a los mecanismos y garantías exigidos por la Ley N° 21.719.

Las transferencias pueden involucrar Estados Unidos, infraestructura global o Chile y Latinoamérica, según el proveedor y la función. ATENDIX no declara que Estados Unidos o una infraestructura global, por sí solos, ofrezcan un nivel adecuado de protección. Cuando una transferencia requiera garantías específicas, aplicaremos y documentaremos el mecanismo legal correspondiente antes de habilitar ese tratamiento; no habilitamos un proveedor opcional si no se cumplen sus requisitos contractuales y de privacidad aplicables.

• Meta / WhatsApp Business Platform para mensajería, cuentas, plantillas y entrega de mensajes.
• Supabase para base de datos, autenticación y almacenamiento en Estados Unidos (región AWS us-east-2, Ohio); y proveedores de alojamiento o ejecución de la aplicación en Estados Unidos e infraestructura edge global cuando estén configurados.
• OpenAI, modelo fijo gpt-6-luna, como proveedor primario y ruta por defecto de IA, con tratamiento en Estados Unidos o infraestructura global; Gemini sólo como respaldo técnico limitado y condicionado, también en Estados Unidos o infraestructura global, en los términos indicados en esta política.
• Google Calendar, de alcance global, y Google Maps, en Estados Unidos o infraestructura global, cuando el negocio conecta su cuenta o activa una función de calendario, mapas, geocodificación o cálculo de entrega.
• Mercado Pago para cobros en Chile o Latinoamérica y Resend para correos transaccionales en Estados Unidos, incluida la copia contractual del checkout.

9. Seguridad e incidentes

Aplicamos medidas técnicas y organizativas proporcionales al riesgo, tales como controles de acceso, separación lógica por tenant, cifrado en tránsito y donde corresponda en reposo, gestión de credenciales y registros de seguridad. Ningún sistema elimina todo riesgo; no prometemos seguridad absoluta.

Ante un incidente, evaluaremos y mitigaremos sus efectos. Informaremos a la autoridad y a los titulares cuando la ley lo requiera; desde el 1 de diciembre de 2026 se aplicarán los deberes de reporte de la Ley N° 21.719, incluyendo los avisos que correspondan respecto de datos sensibles o de personas menores de edad.

10. Conservación, eliminación y anonimización

Mientras la cuenta esté activa conservamos los datos operativos necesarios para prestar el Servicio. Cuando una baja se hace efectiva, se inicia una ventana de 30 días para permitir una reversión solicitada por el contratante y completar operaciones de cierre. Durante ese período se enviarán avisos al correo de la cuenta sobre la eliminación programada.

Al terminar esos 30 días eliminamos o anonimizamos de forma irreversible los datos operativos que ya no sean necesarios, incluidos conversaciones, fichas de contacto, citas, pedidos, configuraciones y la solicitud precontractual de alta. Una factura ya emitida puede conservarse hasta seis años por obligación tributaria y luego se borra su archivo y sus campos identificables. La evidencia legal se desvincula de la cuenta y se eliminan sus identificadores de red; puede conservarse por un máximo de seis años para defensa de reclamaciones y se purga físicamente al vencer. La anonimización elimina o transforma identificadores de forma que ya no permita identificar razonablemente a una persona.

Una solicitud de un cliente final se deriva o asiste con el negocio responsable. Si la persona la hace por WhatsApp, recibe un folio y un acuse inmediato, y se avisa al negocio y a ATENDIX. Al atender una supresión, los pedidos y citas del cliente final se conservan solo como registros anonimizados (sin nombre, teléfono, dirección ni mensajes) hasta por 24 meses para obligaciones legales y atención de reclamos, vinculables únicamente mediante una clave seudónima. El negocio debe gestionar la solicitud sin convertir la agenda en una ficha clínica ni conservar contenido sensible innecesario.

11. Derechos y plazos

Hasta el 30 de noviembre de 2026, las personas pueden ejercer los derechos que reconoce la Ley N° 19.628, incluidos información, modificación, eliminación o bloqueo según sus causales. El responsable debe pronunciarse dentro de dos días hábiles en los casos previstos por su artículo 16; si no responde o deniega indebidamente, existen las vías de tutela que la ley contempla.

Desde el 1 de diciembre de 2026, los titulares podrán ejercer acceso, rectificación, supresión, oposición, portabilidad y bloqueo. ATENDIX acusará recibo y responderá, como regla, dentro de 30 días corridos desde el ingreso de una solicitud completa; puede prorrogar una sola vez hasta por otros 30 días corridos conforme al artículo 11 de la Ley N° 21.719. Una solicitud de bloqueo temporal asociada a rectificación, supresión u oposición debe resolverse dentro de dos días hábiles. Si denegamos total o parcialmente, explicaremos la causa y el titular podrá reclamar ante la Agencia dentro de los plazos legales.

Para ejercer derechos, escribe a contacto@atendix.cl con tu identificación, forma de respuesta y los datos o tratamiento al que se refiere tu solicitud. Los clientes finales pueden dirigirse directamente al negocio responsable, o escribir su solicitud por el mismo chat de WhatsApp para recibir un folio y acuse; ATENDIX colaborará con el negocio conforme al Anexo de Encargo y la ley.

12. Cookies, almacenamiento local y preferencias

El sitio y el panel usan cookies o almacenamiento local estrictamente necesarios para autenticación, seguridad, prevención de fraude, preferencias de sesión y funcionamiento. Hoy no usamos cookies analíticas ni publicitarias, no vendemos datos ni creamos publicidad comportamental. Estas son las cookies que ATENDIX crea actualmente (todas de primera parte, salvo lo indicado sobre Meta):

• sb-…-auth-token (cookie, necesaria): mantiene tu sesión iniciada. Es HttpOnly y SameSite=Lax; dura hasta 400 días y se renueva mientras uses el panel. Puede dividirse en varias partes (.0, .1).
• atendix_cookie_consent (cookie, necesaria): guarda tu elección sobre cookies y la versión de esta política. Dura 6 meses; no contiene datos personales.
• atendix_active_branch (cookie y almacenamiento local, preferencia): recuerda la sucursal activa del panel para filtrar listados. Dura 1 año.
• atx_google_oauth (cookie, necesaria): protege el proceso de conectar Google Calendar contra solicitudes falsificadas. Es HttpOnly, dura 10 minutos y solo se crea al iniciar esa conexión.
• Almacenamiento local del navegador (preferencia, sin caducidad automática): atx_alert_sound_muted, atendix_orders_seen, atendix_orders_alert_watermark, atendix_appointments_seen, atendix_appointments_alert_watermark, atx_handoff_seen_ids, atx-order-alerts y atx-order-alerts-last (por negocio), atendix_upsell_dismissed_…, atx-support-prompt-dismissed y atendix_install_dismissed. Guardan avisos ya vistos, silencio de alertas y mensajes descartados, solo en tu dispositivo.
• Almacenamiento de sesión (se borra al cerrar la pestaña): atendix_config_chat_… (conversación del asistente de configuración) y atendix_signup_ref (referencia temporal del alta mientras vuelves del pago).
• Pantalla de conexión de WhatsApp: solo al conectar tu número en el panel se carga el SDK de Meta (connect.facebook.net), que puede usar cookies o almacenamiento propio para completar el inicio de sesión de Meta. Es necesario para esa función, lo gestiona Meta según sus propias políticas y no se carga en el resto del sitio.

12.1 Tu elección y cómo cambiarla

Al entrar por primera vez puedes elegir "Aceptar todas", "Solo necesarias" o "Personalizar" con el mismo nivel de facilidad. Las necesarias siempre están activas porque sin ellas no funciona el inicio de sesión ni la seguridad. Si aceptas o rechazas categorías opcionales (analíticas o marketing), hoy no cambia nada en el Servicio porque no las usamos; guardamos la preferencia para respetarla si se incorporan.

Puedes cambiar o retirar tu elección cuando quieras con el enlace "Preferencias de cookies" al pie del sitio o al final de esta política. Si incorporamos cookies analíticas, publicitarias o tecnologías no necesarias, o cambia esta política de cookies, volveremos a pedir tu preferencia antes de activarlas. También puedes gestionar o borrar cookies desde tu navegador, considerando que bloquear las necesarias puede impedir el inicio de sesión o partes del Servicio.

13. Cambios y contacto

Publicaremos la versión y fecha de vigencia de esta política cuando haya cambios legales, de proveedores o de tratamiento relevantes. Cuando corresponda, solicitaremos una nueva aceptación o informaremos por un medio razonable antes de aplicar un cambio material.

Contacto de privacidad: contacto@atendix.cl. Esta política se rige por las leyes de Chile, sin perjuicio de las competencias, recursos y derechos irrenunciables que establezca la ley aplicable.