Política de Privacidad

Esta Política describe cómo Onixa trata los datos personales de sus usuarios y de las personas cuyos datos se registran en la plataforma, conforme a la Ley N° 21.719 sobre protección de datos personales (Chile). Al usar Onixa aceptas las prácticas aquí descritas.

1. Responsable del tratamiento

2. Rol de Onixa: responsable vs. encargado de tratamiento

Bajo la Ley N° 21.719, Onixa cumple dos roles distintos según el tipo de dato:

• Responsable del tratamiento respecto de los datos de cuentas de usuario que administra directamente (nombre, correo, credenciales de acceso, registros de uso de la plataforma).
• Encargado del tratamiento respecto de los datos que la clínica (el Cliente) ingresa sobre sus proveedores, su empresa y su personal — esos datos se tratan por cuenta y bajo instrucciones del Cliente, quien es el responsable de dicho tratamiento frente a los titulares.

Si tus datos fueron registrados por una clínica que usa Onixa (por ejemplo, como contacto de un proveedor), esa clínica es la responsable de esos datos; ver sección 8.

3. Qué datos tratamos

Datos de cuentas de usuario (personal de la clínica)

• Nombre de usuario, nombre para mostrar y correo electrónico.
• Clave de acceso (almacenada de forma cifrada mediante hashing bcrypt; nunca en texto plano).
• Rol y sucursal asignada; registros de actividad y auditoría (quién hizo qué y cuándo).

Datos de proveedores

• Datos de contacto que la clínica registra: nombre de contacto, teléfono, correo y dirección.

Datos de la empresa cliente

• Razón social, RUT, giro, dirección y datos de contacto que se muestran en órdenes de compra y cotizaciones.

Datos sensibles (salud)

• La plataforma no está diseñada para almacenar datos de pacientes. El campo opcional "referencia de paciente" en el registro de consumos indica expresamente usar solo un folio o ficha interno, sin nombre ni RUT. Cualquier dato de salud que un cliente ingrese es tratado bajo el estándar más estricto y puede eliminarse a solicitud.

Datos técnicos y de uso

• Datos necesarios para operar el servicio (identificadores de sesión, registros de errores). No se realiza seguimiento publicitario ni perfilado.

4. Finalidades y base de licitud

Tratamos los datos para: (a) prestar el servicio de gestión de inventario y compras contratado; (b) autenticar usuarios y proteger la seguridad de la información; (c) cumplir obligaciones legales y contractuales. La base de licitud es la ejecución del contrato con la clínica, el consentimiento cuando corresponda, y el interés legítimo en la seguridad del servicio.

5. Encargados de tratamiento y transferencias internacionales

Para prestar el servicio recurrimos a proveedores que tratan datos por cuenta nuestra, bajo contratos de tratamiento de datos (DPA). Algunos operan en Estados Unidos, lo que implica una transferencia internacional amparada en cláusulas contractuales estándar de protección de datos u otro mecanismo equivalente exigido por la ley aplicable, incorporado en el DPA suscrito con cada proveedor:

Proveedor	Finalidad	Ubicación
Supabase	Base de datos y autenticación	EE.UU.
Netlify	Alojamiento de la aplicación	EE.UU.
Anthropic (Claude)	Lectura de facturas/cotizaciones y asistente de compras con IA	EE.UU.
Sentry	Monitoreo de errores	EE.UU.

No vendemos datos personales ni los cedemos a terceros para fines propios de estos. El uso de datos por cada subencargado está además sujeto a sus propios términos y política de privacidad.

6. Conservación

Conservamos los datos mientras la cuenta esté activa y durante los plazos que exijan las obligaciones legales y contables (p. ej. respaldo de transacciones). Los registros transaccionales pueden conservarse anonimizados una vez ejercido el derecho de supresión sobre el dato personal asociado. Plazos concretos:

• Sesiones de acceso: expiran automáticamente 12 horas después del inicio de sesión.
• Intentos de acceso fallidos: se conservan hasta 1 hora (para prevenir ataques de fuerza bruta) y luego se eliminan automáticamente.
• Registros de actividad y auditoría: se conservan mientras la cuenta de la clínica esté activa, con fines de trazabilidad y seguridad.

7. Seguridad

• Cifrado en tránsito (HTTPS/TLS) y en reposo a nivel de la plataforma de base de datos.
• Claves con hashing bcrypt; tokens de sesión almacenados con hash.
• Aislamiento de datos por organización y sucursal, con control de acceso por roles.
• Respaldos cifrados y controles para prevenir accesos y cruces de datos no autorizados.

8. Tus derechos (ARCO)

Puedes ejercer tus derechos de acceso, rectificación, cancelación (supresión) y oposición, así como la portabilidad de tus datos. Para ejercerlos, escribe a contacto@onixa.cl indicando tu solicitud; responderemos en los plazos que establece la ley.

• Exportación de datos: el Cliente puede exportar sus datos (Excel/CSV) directamente desde la plataforma en cualquier momento, sin necesidad de solicitud previa.
• Eliminación o anonimización: a diferencia de la exportación, esto no es autoservicio dentro de la plataforma — se ejecuta manualmente por nuestro equipo técnico ante una solicitud formal del titular o del Cliente, precisamente para evitar que se ejecute por error o sin autorización adecuada.

Si tus datos fueron registrados por una clínica que usa Onixa (ver sección 2), esa clínica es la responsable de esos datos y podemos derivar tu solicitud a ella.

9. Menores de edad

El Servicio está destinado a uso profesional por personal de clínicas y centros médicos, y no está dirigido a menores de edad. No solicitamos ni tratamos intencionalmente datos de menores de edad como titulares de cuentas de usuario.

10. Cookies y almacenamiento local

Onixa usa almacenamiento local del navegador solo para el funcionamiento del servicio (p. ej. guardar borradores de conteos en curso). No utilizamos cookies de seguimiento ni publicitarias.

11. Cambios a esta política

Podemos actualizar esta Política. Publicaremos la versión vigente en esta página con su fecha de actualización.

12. Contacto

Consultas sobre privacidad: contacto@onixa.cl. Ver también nuestros Términos de Servicio.