Dermalink

Política de Privacidad y Tratamiento de Datos Personales

Dermalink

Versión 3.5 · Publicación: 16/10/2026 · Vigencia: 16/10/2027

Sustituye íntegramente toda política de privacidad publicada con anterioridad bajo la marca Dermalink, cualquiera sea el operador tecnológico que la haya emitido.

Versión 16-10-2026_v3.5

Ver PDF oficial (versión 16-10-2026_v3.5) ↗SHA-256 9eb3ce466c54b3df…

1. Quién trata sus datos

Responsable del tratamiento: Sociedad Profesional Javier Larraín y Compañía Limitada (nombre de fantasía Dermabiomed Ltda.), RUT 76.461.951-K, domicilio Los Carrera 200, Of. 602, Los Ángeles, representada por el Dr. Javier Larraín Amigo.

Encargado del tratamiento: Tecnologías de Marketing SpA (“IAsistente”), RUT 78.271.145-8, domicilio Moneda 812, Of. 601, Santiago, que opera la Plataforma por cuenta y bajo instrucciones documentadas del Responsable, sin finalidades propias (artículo 15 bis de la Ley N° 19.628, texto fijado por la Ley N° 21.719).

Canal para ejercer sus derechos y para consultas sobre datos personales: contacto@dermalink.cl (canal institucional del Responsable; no utilizar cuentas personales).

2. Marco legal y régimen de transición

Se aplican la Ley N° 19.628, actualmente vigente; la Ley N° 21.719, publicada el 13 de diciembre de 2024 y en plena vigencia desde el 1 de diciembre de 2026; la Ley N° 20.584 en materia de ficha clínica; la Ley N° 21.541, el Decreto N° 6 de 2021 del Ministerio de Salud y la Norma General Técnica N° 237, aprobada por Decreto Exento N° 51 de 2024 del Ministerio de Salud, en materia de telemedicina; el Decreto Supremo N° 41 de 2012 del Ministerio de Salud, reglamento del artículo 13 de la Ley N° 20.584, cuya actualización se encuentra pendiente conforme a la Ley N° 21.668 sobre interoperabilidad de fichas clínicas; y la Ley N° 19.496.

Anticipación voluntaria. El Responsable aplica desde ya los estándares de la Ley N° 21.719 —deber de información, protección desde el diseño, registro de actividades de tratamiento, evaluación de impacto y reporte de vulneraciones— aun antes de su entrada en vigor. Las referencias a artículos de la Ley N° 21.719 se entienden hechas al texto de la Ley N° 19.628 según ella lo fija.

Sus datos de salud son datos personales sensibles y gozan de protección reforzada.

3. Qué datos tratamos, para qué y con qué fundamento

No tratamos datos de tarjeta. El pago se realiza íntegramente en el sitio de la pasarela; solo conservamos la referencia de la transacción.

4. Lo que no hacemos con sus datos

• No vendemos ni cedemos sus datos con fines comerciales.
• No los usamos para publicidad ni para elaboración de perfiles comerciales. La única excepción a este punto y al anterior es la comunicación a Google descrita en la cláusula 14.3, que no incluye su nombre, RUT, datos de contacto ni información de su consulta.
• No adoptamos decisiones automatizadas con efectos jurídicos o significativos, en los términos del artículo 8° bis de la Ley N° 19.628, texto fijado por la Ley N° 21.719. La Plataforma no clasifica casos ni sugiere diagnósticos, tratamientos ni dosis.
• No usamos sus datos ni sus fotografías para entrenar sistemas de inteligencia artificial sin su autorización expresa y separada. Véase el párrafo siguiente.
• La plataforma clínica no contiene rastreadores publicitarios ni analítica de terceros. Véase la cláusula 14.

Uso opcional para inteligencia artificial. El Responsable podrá usar las fotografías y los datos clínicos de la consulta para entrenar sistemas de inteligencia artificial de apoyo a la detección de lesiones dermatológicas, solo respecto de los pacientes que lo autoricen mediante un consentimiento expreso, separado, voluntario y revocable (artículo 16 de la Ley N° 19.628, texto fijado por la Ley N° 21.719). Rigen las siguientes reglas:

• No es condición de la atención: quien no lo autorice recibe exactamente la misma atención.
• Los datos se usan sin nombre, RUT ni datos de contacto, sin metadatos y excluyendo imágenes con rostro o rasgos que permitan identificar al paciente.
• No se usan datos de pacientes menores de 18 años.
• La revocación impide usar sus datos en entrenamientos futuros; no es técnicamente posible retirarlos de un sistema ya entrenado.
• El diagnóstico sigue siendo responsabilidad exclusiva del médico. Si en el futuro estos sistemas se usaran en la atención, esta Política se actualizará y se le solicitará aceptar la nueva versión.
• Los sistemas entrenados son de propiedad del Responsable. Tecnologías de Marketing SpA solo presta la infraestructura y el soporte técnico, por cuenta del Responsable, y no usa esos datos ni esos sistemas para productos propios ni para otros clientes.
• Antes de activar este uso, el Responsable realizará una evaluación de impacto en protección de datos e informará en esta Política cualquier nuevo proveedor que intervenga.

5. Fotografías clínicas

1. Almacenamiento privado, sin dirección pública permanente.
2. Enlaces firmados de vida corta: la visualización se realiza mediante enlaces que expiran a los 5 minutos.
3. Eliminación de metadatos: al cargarse, el sistema elimina toda la información oculta del archivo, incluida la geolocalización, en aplicación del principio de proporcionalidad (artículo 3°) y del deber de protección desde el diseño y por defecto (artículo 14 quáter). El artículo 16 sexies regula el tratamiento de los datos de geolocalización; en la Plataforma ese dato se elimina en origen, de modo que no llega a ser tratado.
4. Uso exclusivamente clínico. No se publican, no se usan con fines promocionales, no se comparten en redes sociales y no se incorporan a galerías de casos.
5. Cada apertura de una fotografía queda registrada en la bitácora de auditoría.

6. Niños, niñas y adolescentes

Conforme al artículo 16 quáter de la Ley N° 19.628 (texto fijado por la Ley N° 21.719), el tratamiento atiende al interés superior del menor y a su autonomía progresiva:

• La Plataforma atiende a pacientes de todas las edades, desde el nacimiento, siempre a través de la cuenta de un adulto responsable. Tratándose de menores de 2 años se aplica un umbral de derivación reforzado a atención presencial, atendido el menor rendimiento diagnóstico de la evaluación fotográfica en esa etapa.
• Todo menor de 18 años se atiende a través de la cuenta de un adulto responsable, que declara el vínculo y su facultad para decidir en salud.
• Para datos sensibles de menores de 16 años la ley exige consentimiento de los padres, representante legal o de quien tenga el cuidado personal. El Responsable aplica ese estándar y lo extiende a todo menor de 18.
• Para adolescentes de 14 a 17 años se recaba además su asentimiento. Tratándose de pacientes de 16 y 17 años, el consentimiento sobre sus datos de salud lo otorga el propio adolescente, conforme al artículo 16 quáter.
• La Plataforma no acepta consultas que impliquen el envío de fotografías de zonas íntimas (las que cubre la ropa interior), a cualquier edad.
• Al cumplir 18 años el paciente, el adulto que lo tenía a su cargo deja de acceder a su información clínica, por haber cesado su representación legal. El paciente puede asumir la titularidad de su cuenta.

7. Quién puede acceder a sus datos

El control de acceso se aplica mediante reglas a nivel de base de datos (row level security) y no depende únicamente del código de la aplicación. Los perfiles médico y administrativo están sujetos a verificación en dos pasos obligatoria.

8. Acceso técnico del operador — declaración expresa

Operar una plataforma implica que el personal técnico del Encargado dispone de acceso administrativo a la infraestructura en que residen los datos, incluidas credenciales de servicio que pueden eludir las reglas de acceso de la aplicación. No afirmamos que ese acceso no exista. Lo que declaramos es cómo está acotado:

• se ejerce solo para operar, mantener y asegurar el servicio, bajo instrucción documentada del Responsable;
• se limita al personal estrictamente necesario, bajo principio de mínimo privilegio;
• está sujeto a deber de secreto que subsiste tras el término de la relación (artículo 14 bis);
• queda registrado en la bitácora de auditoría inalterable, incluidas las lecturas;
• no habilita el uso de los datos para fines propios del Encargado, lo que está contractualmente prohibido.

9. Con quién compartimos datos

Proveedores que actúan como encargados, bajo obligaciones de confidencialidad y seguridad:

El listado vigente se mantiene en dermalink.cl/privacidad/encargados y los cambios se comunican con al menos 15 días de antelación.

Destinatario independiente. Solo si usted acepta las cookies de publicidad del sitio informativo, los datos de medición descritos en la cláusula 14.3 se comunican a Google LLC, que los trata como responsable independiente, conforme a sus condiciones de protección de datos para Google Ads, y no como encargado del Responsable.

10. Plazos de conservación

Advertencia. Enviada la consulta al médico nace la ficha clínica y rige el plazo legal de conservación. Ni la revocación del consentimiento ni el cierre de la cuenta producen su borrado: la revocación detiene el tratamiento futuro, no elimina el registro histórico.

11. Transferencias internacionales

Sus datos clínicos se almacenan en Brasil y la aplicación se ejecuta en Estados Unidos: se almacenan en un país y se procesan en otro.

Garantías. Estas transferencias se amparan en cláusulas contractuales e instrumentos jurídicos suscritos con cada proveedor, que establecen garantías adecuadas, conforme al artículo 27 letra b) y al artículo 28 de la Ley N° 19.628 (texto fijado por la Ley N° 21.719). La documentación está a disposición del titular, previa solicitud a contacto@dermalink.cl, y forma parte del registro de actividades de tratamiento.

El Responsable no invoca el consentimiento del titular como fundamento de estas transferencias, por tratarse de transferencias habituales y no específicas, supuesto en el cual la ley exige garantías contractuales.

Los datos de medición de anuncios descritos en la cláusula 14.3 se comunican a Google LLC, en Estados Unidos. Esa transferencia se ampara en las cláusulas de protección de datos que Google aplica a Google Ads (artículo 27 letra b); su consentimiento es el fundamento del envío, no de la transferencia.

12. Seguridad

• Cifrado en tránsito mediante HTTPS forzado en toda la Plataforma. El cifrado en reposo lo provee la infraestructura del proveedor de almacenamiento, no un desarrollo propio.
• Verificación en dos pasos obligatoria para el personal clínico y administrativo.
• Control de acceso por roles aplicado a nivel de base de datos.
• Imposibilidad de registrar datos clínicos en consultas no pagadas, impuesta a nivel de base de datos.
• Almacenamiento privado de fotografías con enlaces de vida corta y eliminación de metadatos.
• Registro de auditoría inalterable de accesos y operaciones, incluidas las lecturas, con actor, acción, recurso, IP, navegador, fecha y hora.

Declaración de alcance. En aplicación del principio de lealtad se deja constancia de que: (i) la dirección IP se obtiene, en la mayoría de los flujos, de una cabecera que el cliente puede manipular, por lo que no constituye prueba concluyente de origen, salvo en el inicio de sesión, la recuperación de clave y el control de límite de peticiones; y (ii) el ingreso mediante proveedor de identidad de terceros no queda registrado en la bitácora propia, sin perjuicio de que todos los accesos posteriores a datos de paciente sí se auditan.

13. Boletas

La boleta consigna RUT, nombre y correo, y la glosa del tipo de prestación, sin ningún dato clínico. Esa glosa revela que usted recibió una atención dermatológica, información que se trata como relacionada con su salud. Tratándose de un paciente menor de edad, el RUT y el nombre de la boleta corresponden al menor y el correo al adulto titular. La base de este tratamiento es el cumplimiento de una obligación legal tributaria y, por tanto, no es revocable.

14. Cookies y alcance de esta política

14.1. Plataforma clínica. La aplicación en la que usted se registra, paga y es atendido no utiliza cookies de análisis, publicidad ni rastreadores de terceros. Solo se emplean cookies estrictamente necesarias para el inicio de sesión y la seguridad de la sesión. Como única excepción, al confirmarse un pago la Plataforma lee el identificador de clic que el sitio informativo guardó con su consentimiento, para el fin descrito en la cláusula 14.3.

14.2. Sitio informativo dermalink.cl. Son las páginas informativas de dermalink.cl, distintas de las secciones de registro, inicio de sesión, pago y atención de la plataforma clínica. El sitio informativo utiliza herramientas de medición y publicidad de Google (Google Analytics y Google Ads) y contenido incrustado de YouTube. Estas herramientas solo se activarán previo consentimiento otorgado mediante un mecanismo que permita aceptar, rechazar y configurar por categoría, con rechazo tan sencillo como la aceptación, y sin activación previa de ninguna etiqueta, y sus destinatarios se individualizarán en el propio aviso.

14.3. Medición de anuncios. Si usted llegó a dermalink.cl desde un anuncio de Google y aceptó las cookies de publicidad del sitio informativo, el sitio guarda un identificador de ese clic. Al confirmarse su pago, la Plataforma comunica a Google Ads únicamente ese identificador, la fecha y hora del pago, el monto, la moneda y un código aleatorio que evita registros duplicados. No se comunican su nombre, RUT, correo electrónico, teléfono ni información de su consulta. Con estos datos, Google podrá saber que la persona que hizo clic en el anuncio contrató una evaluación en Dermalink. Los datos se envían marcados como no autorizados para personalizar anuncios, y su única finalidad es medir la efectividad de los anuncios de Dermalink y optimizar sus campañas. No se envía ningún dato cuando el paciente de la consulta es menor de 18 años.

Este envío se basa en su consentimiento expreso, que usted otorga al activar la categoría de cookies de publicidad, cuya descripción informa este envío. Si no la activa, no se envía ningún dato. Puede retirar ese consentimiento en cualquier momento desde el enlace “Configurar cookies” del sitio informativo; desde entonces no se enviarán nuevos datos y se eliminará el identificador que estuviera pendiente de envío. El identificador de clic se conserva solo hasta su envío, con un máximo de 90 días. Google LLC recibe estos datos como responsable independiente, en Estados Unidos, en los términos de las cláusulas 9 y 11.

15. Sus derechos

Respuesta dentro de los plazos legales y sin costo. Para datos clínicos se verifica previamente la identidad y, tratándose de menores, la calidad de representante.

Reclamación. Puede reclamar ante la Agencia de Protección de Datos Personales desde su entrada en funcionamiento, ante la Superintendencia de Salud en materia de derechos del paciente, y ante los tribunales competentes.

16. Incidentes de seguridad

Ante una vulneración que afecte datos personales, el Responsable la registrará, evaluará su alcance y notificará a la autoridad y a los titulares afectados por el medio más expedito, sin dilaciones indebidas, conforme al artículo 14 sexies. Tratándose de datos sensibles, la comunicación al titular se efectuará en todo caso. El Encargado está obligado contractualmente a reportar toda vulneración al Responsable dentro de las 24 horas siguientes a su conocimiento.

17. Cambios y contacto

Toda modificación se publicará con nueva versión y fecha. Antes de iniciar una nueva consulta se exigirá la aceptación de la versión vigente. Solo cuando la modificación afecte el tratamiento de datos ya entregados —nuevas finalidades, nuevos destinatarios o nuevas transferencias internacionales— se informará además por correo electrónico a los titulares afectados. Las versiones anteriores permanecerán disponibles en dermalink.cl/privacidad/historial.

contacto@dermalink.cl — Los Carrera 200, Of. 602, Los Ángeles — +56 9 8360 8474.

Documento controlado. Versión 3.5.