Política de privacidad

1. Quién es responsable

Esmalia lo opera MAXNOVA & LUCI Global LLC, una LLC constituida en Estados Unidos. Para cualquier consulta de privacidad, escríbenos a maxnovaluciglobal@gmail.com. Ese correo lo lee el equipo que opera Esmalia, no un buzón automático.

Hoy no tenemos un representante legal designado en Chile. Si la ley chilena nos exige designar uno, lo designamos y lo publicamos en esta misma página, con nombre y forma de contacto — no en un anexo aparte.

2. Qué datos recopilamos

Según cómo uses Esmalia, procesamos:

• Datos de tu cuenta de staff: nombre, email, rol dentro de la clínica.
• Datos de pacientes que tu clínica carga: identidad, contacto, fecha de nacimiento, historia clínica y notas, odontograma, presupuestos, plan de tratamiento y pagos.
• Datos del portal de auto-agendamiento: cuando un paciente pide una cita por el link que le comparte la clínica.
• Mensajes de WhatsApp: si tu clínica conecta su número, los mensajes enviados y recibidos por ese canal (incluyendo los de personas que escriben sin ser pacientes todavía, para poder darles seguimiento como contacto nuevo).

Para qué usamos estos datos. No es un uso genérico de "operar el servicio" — son finalidades concretas:

• Darte acceso a tu cuenta de staff y aplicar los permisos de tu rol dentro de la clínica.
• Que tu clínica lleve la ficha, el odontograma, los presupuestos y los pagos de sus pacientes — la razón de ser de la aplicación.
• Procesar las citas que un paciente pide por el link del portal de auto-agendamiento.
• Dar seguimiento por WhatsApp a pacientes y a personas que escriben sin ser pacientes todavía, cuando la clínica conecta su número.
• Generar resúmenes o borradores con IA — por ejemplo de notas clínicas — sólo cuando el profesional lo pide de forma explícita, nunca en automático.
• Enviarle correos de servicio a la clínica, solo a quienes administran la cuenta (propietarios y administradores) y nunca a pacientes: la bienvenida al crear la clínica, el aviso de que termina la prueba gratis, la confirmación de la suscripción, el aviso de un pago que no se pudo cobrar y un resumen semanal opcional con los indicadores de la clínica. El resumen semanal trae en cada envío un enlace para darte de baja con un clic, y también se desactiva desde Preferencias; los avisos sobre la cuenta y los pagos son parte del servicio y no se pueden desactivar.

Con qué base tratamos todo esto. Con los datos de pacientes, Esmalia actúa como encargado: la base de legitimidad la fija tu clínica, que es la responsable — en general, la atención de salud que te está dando y la relación que tienes con ella. Con las cuentas de staff, la base es el contrato de servicio entre Esmalia y la clínica: sin cuenta no hay aplicación que usar. Los datos de quien todavía no es paciente ni cliente van por otro camino, con sus propias finalidades y sus propias bases, y por eso tienen su sección aparte más abajo.

3. Si usaste la calculadora o pediste un material nuestro

Este es el caso distinto a todo lo anterior: alguien que entra al sitio, usa una herramienta gratuita o pide un material, y todavía no es paciente de nadie ni tiene cuenta en Esmalia. Ahí no hay clínica de por medio — el responsable de esos datos somos nosotros, directamente.

Qué te pedimos. Un email o un WhatsApp (al menos uno de los dos, porque sin eso no hay a dónde mandarte lo que pediste) y el país de tu clínica. Tu nombre y el nombre de la clínica son opcionales: si los dejas en blanco, el formulario se envía igual. De la conexión guardamos un hash de tu dirección IP — no la IP — y el navegador con el que enviaste.

Las cifras que escribes en la calculadora no llegan a nuestro servidor. El cálculo ocurre en tu navegador. Lo único que viaja con el formulario es una clasificación por rangos del resultado (por ejemplo margen: bajo, ausencias: alto), y el servidor descarta cualquier valor numérico que llegue en ese campo. Cuánto factura tu clínica no tiene por qué salir de tu pantalla si todavía no eres cliente.

Eso es elaboración de perfiles, y preferimos decirlo con todas las letras. Guardar margen: bajo para decidir a quién contactar primero y con qué mensaje es elaboración de perfiles en los términos de la Ley 21.719, no un detalle técnico. Lo que no hay es una decisión automatizada: nadie queda aprobado, rechazado ni puntuado por un algoritmo — una persona lee el rango y decide si te escribe. Puedes oponerte a esa clasificación escribiéndonos, y no hace falta que expliques por qué.

Para qué usamos esos datos, y con qué base cada cosa. Son finalidades distintas y no vienen en el mismo paquete:

• Enviarte el material que pediste — base: tu consentimiento, el de la casilla que tuviste que marcar tú (no viene marcada de fábrica).
• Escribirte por email para contarte qué es Esmalia — base: ese mismo consentimiento, cuyo texto exacto guardamos junto con la fecha en que lo diste.
• Escribirte por WhatsApp con novedades comerciales — base: un consentimiento aparte, con su propia casilla. Dejar el número para recibir el material no alcanza: si no marcaste esa segunda casilla, por WhatsApp no te escribimos.
• Priorizar a quién contactamos, con los rangos del párrafo anterior — base: nuestro interés legítimo en no mandarle lo mismo a todo el mundo. Es la finalidad a la que te puedes oponer sin que se caiga el resto.
• Frenar bots y envíos repetidos, con el hash de la IP — base: nuestro interés legítimo en que el formulario no se llene de basura. Por eso guardamos el hash y no la dirección: para contar envíos alcanza.
• Poder probar que nos diste el consentimiento, guardando la fecha y el texto literal que aceptaste — base: la propia ley, que pone esa carga de la prueba en nosotros y no en ti. Si el texto del formulario cambia después, seguimos sabiendo cuál aceptaste tú.

El trato es explícito. La calculadora y los materiales son gratis, y lo único que pedimos a cambio son tus datos de contacto. Lo decimos así de directo a propósito: la ley chilena admite ese intercambio cuando está declarado y a la vista — el consentimiento como única contraprestación —, no cuando viene escondido entre la letra chica.

Cuánto tiempo los guardamos. Nuestro compromiso es no quedarnos con tu contacto más de 24 meses desde tu última interacción con nosotros (el último formulario que enviaste o el último mensaje que nos escribiste) si no llegaste a ser cliente: pasado ese plazo, borramos el contacto completo — email, teléfono, nombre y los rangos. Hoy ese borrado no es automático — no hay un proceso que lo ejecute solo cuando se cumple el plazo, lo hacemos a mano. Si quieres asegurarte de que se cumplió, o pedirlo antes de los 24 meses, escríbenos (ver "Cómo te das de baja" abajo) en vez de asumir que ya pasó.

Cómo te das de baja. Cuando quieras, gratis, sin explicar por qué y sin que intentemos convencerte de lo contrario. Hoy el camino es escribirnos a maxnovaluciglobal@gmail.com diciendo que quieres la baja: dejamos de escribirte apenas lo leemos y borramos tu email y tu teléfono dentro de los 30 días. Todavía no existe un enlace de un click para darte de baja solo. Cuando exista, va a estar en cada mensaje que te mandemos y lo vas a leer aquí. Preferimos decirlo así antes que prometer un botón que no está.

A ti no te escribe ningún sistema automático. Los únicos correos automáticos de Esmalia son los de servicio a clínicas que ya tienen cuenta (sección 2). Si dejas tu dirección en la calculadora o al pedir un material, queda guardada para que podamos escribirte a mano, no para que un sistema te empiece a mandar cosas por su cuenta. Si eso cambia, lo vas a leer aquí antes.

4. Dónde se almacenan

Los datos viven en Supabase, en la región sa-east-1 (São Paulo, Brasil). El acceso a los datos de cada clínica está aislado a nivel de base de datos (row-level security): el personal de una clínica no puede ver datos de otra clínica, ni siquiera con un error de código de por medio.

Copia local para consultar. Para que la clínica pueda seguir consultando información durante un corte de internet, el navegador del equipo guarda una copia de parte de los datos. Esa copia se limita a lo necesario para atender: agenda, listado y ficha básica de pacientes, y catálogos de la clínica (sucursales, profesionales, procedimientos). Las notas clínicas, el odontograma y el detalle de pagos no se guardan en esta copia — para consultarlos hace falta conexión. Esta copia queda asociada al usuario que inició sesión, se borra al cerrar sesión y caduca a los 7 días.

Cola temporal para lo que se registra sin conexión. Es un espacio aparte del anterior: cuando el equipo cobra, agenda, edita una nota clínica o marca el odontograma sin internet, esa captura queda guardada en el navegador hasta que pueda subirse — sí, incluyendo el contenido clínico en ese caso puntual. No es una copia adicional de toda la historia del paciente: solo lo que efectivamente se registró estando offline, y desaparece del equipo en cuanto sincroniza. Si el servidor detecta que otra persona cambió lo mismo mientras tanto, ninguna de las dos versiones se pierde: ambas quedan visibles para que el profesional decida cuál vale.

5. Transferencias fuera de Chile

Hay dos, y conviene decirlas sin rodeos. La primera: los datos están alojados en Brasil (São Paulo), no en Chile. La segunda: quien opera Esmalia es una empresa constituida en Estados Unidos, así que el equipo que administra la base accede desde fuera de Chile. Las dos valen tanto para los datos de la clínica y sus pacientes como para los de captación de la sección 3.

No te vamos a decir que existe una declaración de nivel adecuado a favor de Brasil o de Estados Unidos, porque no nos consta. Lo que sí podemos afirmar es lo que hacemos: la comunicación viaja cifrada, el aislamiento entre clínicas está en la base de datos y no en la pantalla (sección 7), y el acceso a producción está limitado a las personas que operan Esmalia. Si tu clínica necesita un contrato de tratamiento de datos firmado para respaldar esa transferencia ante su propio asesor, escríbenos y lo firmamos.

6. Con quién compartimos datos

No vendemos datos a nadie. Usamos estos proveedores para que Esmalia funcione (subencargados del tratamiento):

• Supabase — base de datos, autenticación y almacenamiento de archivos.
• Meta (WhatsApp Cloud API) — solo si tu clínica conecta su número de WhatsApp; procesa los mensajes que se envían y reciben por ese canal.
• Google (Gemini) — es el modelo detrás de Patty, el asistente de IA de Esmalia, y solo procesa datos cuando un profesional se lo pide de forma explícita (por ejemplo, resumir una nota clínica puntual); no se usa para ningún otro procesamiento automático de datos de pacientes.
• Resend — entrega los correos de servicio que Esmalia le envía a la clínica (sección 2): procesa la dirección de quien lo recibe, el asunto y el contenido del correo. No se usa para escribirle a pacientes.
• Stripe — procesa el pago de la suscripción de la clínica a Esmalia. Los datos de la tarjeta los recibe y guarda Stripe; Esmalia no los ve ni los almacena. No procesa pagos de pacientes.

Los datos de captación de la sección 3 no suman ningún destinatario a esta lista: viven en la misma base de Supabase, no pasan por ninguna plataforma de marketing ni por ningún CRM de terceros, y no se los damos a nadie más. Tampoco los vendemos — eso vale para todo lo de esta página, no sólo para los datos clínicos.

7. Seguridad

Toda la comunicación viaja cifrada (HTTPS). El acceso a fichas clínicas está restringido por rol: recepción, por ejemplo, no puede ver notas clínicas. Los registros clínicos y del odontograma quedan versionados — nunca se sobrescriben, así que siempre hay un historial de quién cambió qué.

Algunas cosas concretas que construimos para que esto no quede solo en un párrafo:

• Los datos de cada clínica están separados a nivel de base de datos, no solo de pantalla. No es que la app "oculte" los pacientes de otra clínica en la interfaz: es la base de datos misma la que impide la consulta, así que ni un bug de programación en Esmalia podría hacer que el personal de una clínica termine viendo pacientes de otra.
• Los mensajes de WhatsApp que llegan por la API se verifican criptográficamente antes de procesarse: cada mensaje entrante trae una firma que Esmalia valida contra un secreto compartido con Meta, así que un mensaje no puede hacerse pasar por tráfico legítimo de WhatsApp si no viene realmente de ahí.
• La historia clínica y el odontograma no se pueden "editar por encima". Cada cambio queda como una entrada nueva con quién y cuándo, no como una edición que borra lo anterior — si alguna vez hace falta reconstruir qué pasó con un paciente, la información está.

Esmalia es una empresa chica y todavía no tiene certificaciones formales de seguridad de la información (por ejemplo SOC 2 o ISO 27001) — son procesos costosos que están fuera de alcance en esta etapa. Lo de arriba son controles que sí están construidos y en uso hoy, no una promesa de certificación futura.

8. Cuánto tiempo guardamos los datos

Datos de la clínica y de sus pacientes. Mientras la cuenta de la clínica esté activa. Si una clínica cierra su cuenta, le damos la opción de exportar sus datos antes de que se eliminen de nuestros sistemas. La historia clínica además tiene plazos legales de conservación propios en cada país: esos los define la clínica como responsable, no nosotros.

Datos de captación. Tienen su propio plazo, más corto y con número: 24 meses desde tu última interacción, en la sección 3.

Eventos de medición. No llevan datos de contacto (sección 9). El hash de IP que acompaña al envío del formulario sólo tiene sentido dentro de la hora siguiente, que es la ventana del límite de envíos; pasada esa hora no lo volvemos a consultar.

9. Cookies y medición

Esmalia usa únicamente cookies funcionales, necesarias para que la aplicación funcione: una para recordar el estado de la barra lateral y otra para la sesión del portal de auto-agendamiento del paciente. Hoy no usamos cookies de analítica ni de publicidad.

Cómo medimos las páginas públicas sin cookies. Contamos cuatro cosas — que se vio la calculadora, que se usó, que se envió el formulario y que se hizo click en un botón — con un identificador aleatorio que se genera al abrir la pestaña, vive en memoria y desaparece cuando la cierras. No queda nada guardado en tu equipo, no te seguimos entre visitas y no hay Google Analytics ni PostHog: la política de seguridad del sitio los bloquea directamente en el navegador.

10. Tus derechos

Sobre tus datos puedes pedir acceso (saber qué tenemos), rectificación (corregir lo que está mal), supresión (que lo borremos), oposición (que dejemos de usarlo para algo) y portabilidad (llevarte una copia en un formato que sirva). A quién se lo pides depende de qué relación tengas con nosotros:

• Si eres paciente de una clínica que usa Esmalia: pídeselo a tu clínica, que es la responsable de tus datos. Nosotros ejecutamos a nivel técnico lo que ella nos indique.
• Si eres parte del staff de una clínica: tu clínica administra tu cuenta — pídele a ella la corrección o la baja.
• Si dejaste tus datos en la calculadora o en un material: escríbenos directamente a nosotros, sin intermediarios. Ahí no hay ninguna clínica de por medio: el responsable somos nosotros y te respondemos nosotros.

11. Reclamar ante la Agencia

Si crees que estamos tratando mal tus datos, puedes reclamar ante la Agencia de Protección de Datos Personales, el organismo que crea la misma Ley 21.719 que rige en Chile desde el 1 de diciembre de 2026. Nos gustaría que nos escribas primero para poder arreglarlo, pero no estás obligado: el reclamo no depende de que hables con nosotros antes.

12. Cambios a esta política

Si hacemos un cambio importante en cómo tratamos los datos, lo vamos a reflejar aquí con la versión y la fecha actualizadas y, si corresponde, avisamos por email a las clínicas.

• Versión 2 — 8 de septiembre de 2026. Se agregó la sección de captación (sección 3) con sus finalidades separadas, la declaración de elaboración de perfiles, el plazo de conservación de los leads y cómo pedir la baja; las transferencias fuera de Chile (sección 5); la base de legitimidad de cada tratamiento; y el derecho a reclamar ante la Agencia (sección 11).
• Versión 1 — agosto de 2026. Primera versión, sólo sobre los datos de la clínica y de sus pacientes.

13. Contacto

Para consultas sobre privacidad: maxnovaluciglobal@gmail.com.