Tratamiento de datos de pacientes

01 · Roles de las partes

Usted es el responsable del tratamiento. Decide a quién evalúa, con qué finalidad, qué registra y cuánto tiempo lo conserva, y mantiene la relación profesional con el paciente.

Kinetic Stability es el encargado. Trata los datos únicamente por cuenta suya, siguiendo sus instrucciones documentadas, y no los usa para finalidades propias. No vendemos, cedemos ni compartimos datos identificables de pacientes, y no los empleamos para entrenar modelos ni con fines publicitarios.

Si usted forma parte de un centro, el responsable es la institución y usted actúa dentro de su organización.

02 · Objeto, duración y naturaleza del tratamiento

Recomendamos registrar a los pacientes con un código interno en lugar de su nombre completo cuando ello sea suficiente para su práctica.

03 · Sus obligaciones como responsable

• Obtener y conservar el consentimiento previo, expreso, informado y documentado de cada persona evaluada, o acreditar otra base de licitud válida, incluida la del artículo 9.2.h del RGPD cuando el tratamiento sea necesario para la asistencia sanitaria prestada por un profesional sujeto a secreto.
• Informar al paciente sobre la finalidad del registro, el uso de un teléfono como instrumento de medición y sus derechos.
• Recabar la autorización del representante legal cuando evalúe a menores de edad o a personas con su capacidad modificada.
• Registrar únicamente los datos necesarios y mantenerlos exactos.
• Atender las solicitudes de derechos que le dirijan sus pacientes; nosotros le asistiremos técnicamente.
• Custodiar sus credenciales y revocar los accesos del personal que deje de necesitarlos.

04 · Nuestras obligaciones como encargado

• Tratar los datos solo conforme a sus instrucciones documentadas, salvo obligación legal, en cuyo caso se lo informaremos antes si la ley lo permite.
• Garantizar que el personal con acceso esté sujeto a confidencialidad, con obligación que subsiste tras el término de su relación laboral.
• Aplicar y mantener las medidas técnicas y organizativas descritas más abajo.
• Asistirle en la atención de derechos de los titulares, en las evaluaciones de impacto y en las consultas a la autoridad.
• Notificarle sin dilación indebida cualquier vulneración de seguridad que afecte a datos de sus pacientes, con la información necesaria para que usted cumpla sus propias obligaciones de notificación.
• Poner a su disposición la información necesaria para demostrar el cumplimiento de estas obligaciones.

05 · Medidas de seguridad

• Cifrado en tránsito con TLS y cifrado en reposo de la base de datos.
• Cifrado por-registro (envelope): cada registro sensible se cifra con su propia clave, lo que permite además la destrucción selectiva e irreversible de un registro destruyendo su clave (crypto-shred).
• Control de acceso por rol y aislamiento por cuenta: cada profesional accede solo a los pacientes que le corresponden; los datos de una cuenta quedan aislados de las demás.
• Registro de auditoría de las operaciones sensibles, de solo anexado (append-only), inmutable y encadenado mediante hash.
• Separación de ambientes de desarrollo y producción; los datos reales no se usan en pruebas.
• Gestión de vulnerabilidades, actualización de dependencias y revisión de proveedores.
• Procedimiento documentado de respuesta a incidentes.
• [Previsto: autenticación reforzada (segundo factor) para el acceso administrativo y respaldos periódicos con prueba de restauración y plan de continuidad, a habilitar junto con la infraestructura de producción.]

06 · Subencargados

Usted autoriza de forma general el recurso a subencargados para infraestructura en la nube, respaldos, correo transaccional y soporte. Cada uno queda vinculado por contrato a obligaciones equivalentes a las de este documento, y Kinetic Stability responde por su actuación.

Comunicaremos la incorporación o sustitución de un subencargado con la debida antelación, por los medios de que dispongamos. Si usted se opone por motivos razonables y fundados en protección de datos, podrá terminar la suscripción sin penalización y exportando su información. [Previsto: aviso por correo con antelación definida cuando el envío de correo transaccional esté disponible.]

07 · Transferencias internacionales

Los datos pueden alojarse o procesarse fuera de Chile. En ese caso aplicamos cláusulas contractuales tipo, evaluaciones de transferencia y medidas complementarias como el cifrado, de modo que el nivel de protección no se vea menoscabado.

08 · Usuarios de Estados Unidos: HIPAA

Kinetic Stability no está diseñado ni ofrecido como servicio para covered entities ni business associates sujetos a HIPAA, y no celebra Business Associate Agreements de forma estándar. Si usted está sujeto a HIPAA, no debe registrar información de salud protegida en el servicio sin haber suscrito previamente un acuerdo escrito con nosotros que lo permita.

Con independencia de HIPAA, aplicamos a todos los usuarios las medidas de seguridad y confidencialidad descritas en este documento.

09 · Derechos de los pacientes

Los pacientes ejercen sus derechos ante usted, que es su interlocutor. Desde su cuenta puede acceder, rectificar, exportar y eliminar los datos de cualquier paciente, sin necesidad de solicitárnoslo. Si necesita asistencia técnica para una solicitud, escríbanos y le ayudaremos dentro de plazos que le permitan responder a tiempo.

El sistema registra y da seguimiento a las solicitudes de derechos —acceso, rectificación, supresión, portabilidad y oposición— con un plazo de referencia de 30 días para su atención, dejando constancia del estado de cada solicitud.

A pedido del titular, puede activarse el bloqueo o suspensión del tratamiento: un estado que impide procesar nuevos datos del paciente o de la cuenta afectada mientras se resuelve una solicitud u oposición, sin eliminar la información existente.

10 · Exportación, devolución y eliminación

Puede exportar en todo momento la información de sus pacientes. La exportación de portabilidad entrega un archivo JSON estructurado y firmado (HMAC) dentro de un contenedor ZIP cifrado con AES-256 y protegido con una contraseña de un solo uso, además del informe en PDF. La firma permite verificar la integridad y la procedencia del archivo.

Importación entrante (portabilidad). El sistema permite importar la ficha de un paciente desde un archivo firmado proveniente de otra cuenta, previa autorización del titular, dejando constancia de la procedencia del registro.

Conservación por tipo de dato

• Señal de aceleración cruda (la traza que respalda el cálculo): se conserva por 15 años, en línea con la conservación de la ficha clínica exigida por la Ley 20.584. Cumplido el plazo, se destruye de forma irreversible mediante crypto-shred (destrucción de la clave de cifrado del registro).
• Métricas calculadas e informes: se conservan mientras usted mantenga el registro del paciente y por el período que su práctica y la normativa clínica requieran.

Le entregaremos constancia escrita de la eliminación si la solicita.

[Previsto: al terminar la suscripción, un período de gracia en solo lectura para completar la exportación y plazos concretos de eliminación en producción y en respaldos. Estos plazos se definirán y publicarán cuando la funcionalidad de facturación y la infraestructura de respaldos estén disponibles. Hoy, si el pago no se realiza, la cuenta se archiva y el producto se bloquea, pero usted conserva la posibilidad de ejercer sus derechos, incluida la exportación de su información.]

11 · Tratamiento con fines estadísticos y anonimización

Además del tratamiento que realizamos como encargado por cuenta suya, Kinetic Stability construye estadísticas agregadas a partir de las mediciones, con fines de investigación, construcción de rangos de referencia propios y divulgación. Este tratamiento se efectúa exclusivamente sobre datos anonimizados de forma irreversible.

Anonimización irreversible. Los agregados se construyen sobre un conjunto de datos del que se ha eliminado de forma irreversible el vínculo con la persona. No se trata de una consulta con el nombre oculto ni de una seudonimización reversible, sino de un conjunto del que no es posible volver a identificar al paciente. Una vez anonimizado, el dato deja de ser un dato personal.

Dimensiones que se conservan de forma anonimizada. Del registro solo se conservan, sin ningún identificador directo:

• Rango etario (no la fecha de nacimiento ni la edad exacta).
• Sexo.
• Tipo de prueba.
• Versión del protocolo.
• Contexto: clínico o deportivo.
• Deporte, cuando corresponda.
• Clasificación del resultado.
• Fecha de la medición.

No se conserva ningún identificador directo: ni nombre, ni documento de identidad, ni datos de contacto, ni la señal de aceleración cruda, ni las notas del profesional. Como estos agregados ya no constituyen datos personales, pueden conservarse sin sujeción a los plazos de la sección 10.

Umbral mínimo de celda. No se reporta ni se difunde ningún grupo con menos de 20 personas. Esta regla evita la reidentificación de una persona por la combinación de sus atributos.

Estos agregados no permiten identificar a un paciente individual. Por esta vía, el operador de Kinetic Stability solo accede a resultados agregados y nunca a fichas individuales.

[Revisión legal: el tratamiento estadístico que Kinetic Stability efectúa para fines propios (investigación, rangos de referencia y divulgación) puede configurar a Kinetic Stability como responsable —y no como encargado— respecto de la operación de anonimización de los datos de pacientes. Confirmar con abogado, antes de publicar esta versión y antes de acumular cualquier agregado: (i) la base de licitud de la anonimización de datos sensibles conforme a la Ley 21.719, la Ley 20.584 y el art. 9 del RGPD; y (ii) si el profesional, como responsable, debe informar expresamente este uso secundario al titular al obtener el consentimiento en la creación del paciente, y cómo debe quedar reflejado en el texto de consentimiento.]

12 · Auditoría

Pondremos a su disposición la documentación de seguridad y las certificaciones o informes de terceros de que dispongamos. Cuando esa documentación resulte insuficiente, usted o un auditor independiente sujeto a confidencialidad podrán realizar una auditoría al año, con aviso previo de 30 días, en horario hábil y sin afectar la operación ni la información de otros clientes.

13 · Responsabilidad

Cada parte responde por el incumplimiento de sus propias obligaciones. Usted responde en particular por la licitud de la recolección y por el consentimiento de las personas evaluadas; nosotros, por el tratamiento realizado en infracción de sus instrucciones o de las obligaciones que la normativa impone al encargado.

14 · Contacto

Kinetic Stability SpA, RUT 00.000.000-0, domicilio en Santiago, Chile.

• Consultas generales y contractuales: legal@kineticstability.cl
• Privacidad y ejercicio de derechos: privacidad@kineticstability.cl
• Incidentes de seguridad: seguridad@kineticstability.cl