Cumplimiento normativo (Chile)
Nuestro paquete de cumplimiento fue construido para la nueva generación normativa chilena y revisado en rondas legales durante 2026.
Ley 21.719 — Protección de Datos operativoConsentimiento específico para datos de salud, derechos ARCOP en la app (exportar, eliminar, retirar opt-in de IA), DPO designado, RAT y evaluación de impacto (DPIA) mantenidos, procedimiento de brechas de 72 h.
Ficha clínica — Ley 20.584 · D.S. 41 por diseñoEl profesional es responsable y custodio; conservación de 15 años; nota firmada inmutable con hash; eliminación solo con acta notarial; trazabilidad de ficha por todo su ciclo de vida.
Ley 19.799 — Documento electrónico operativoAceptación electrónica versionada e inmutable de contratos y consentimientos (versión, hash, fecha/hora).
Transferencias internacionales con SCCSubencargados bajo acuerdos de tratamiento con cláusulas contractuales tipo; sin uso de datos para entrenamiento de modelos.
Ley 20.120 — Datos genéticos reforzadoConsentimiento específico, cifrado obligatorio, ADN crudo nunca persistido, purga verificada de respaldos, prohibición de usos secundarios.
Dispositivo médico (ISP) en evaluaciónAnálisis interno por función (marco IMDRF) y seguimiento del D.E. 25/2026; supervisión humana obligatoria en todas las funciones clínicas.
Seguridad
Controles alineados a ISO/IEC 27001 (certificación en hoja de ruta). Lo que nos diferencia:
Cifrado por profesionalLas fichas se cifran AES-256-GCM con una clave derivada única por médico (fail-closed). No existe ruta operativa para que el personal de Healthor lea contenido clínico.
El audio nunca se guardaLa consulta se transcribe y el audio se descarta de inmediato. Los archivos de exámenes viven ≤60 segundos.
Auditoría inmutableAccesos y firmas quedan registrados; trazabilidad de ficha conservada 15 años, registros generales 5 años.
Defensas activasTLS 1.3 + HSTS, App Check antifraude, control de acceso deny-by-default, respaldos con verificación de integridad y simulacros de restauración.
Subencargados
Terceros que procesan datos por nuestra cuenta. Las fichas clínicas almacenadas no se comparten con proveedores de IA.
| PROVEEDOR | FUNCIÓN | PAÍS | GARANTÍAS |
|---|---|---|---|
| Google Cloud / Firebase | Infraestructura y almacenamiento cifrado | EE.UU. | Cloud DPA + SCC |
| Anthropic PBC | Estructuración de texto clínico (efímero) | EE.UU. | DPA + SCC · sin entrenamiento con datos |
| Groq Inc. | Transcripción de voz (efímera) | EE.UU. | DPA + SCC · retención cero (ZDR) |
Cambios de subencargados se notifican con 30 días de antelación a los clientes del módulo profesional. Esta lista es además el Anexo I, parte integrante de los Términos del Profesional.
Documentación
Disponible para clientes, prospectos y auditores previa solicitud al DPO (respuesta <48 h hábiles).
Contrato de Encargo de Tratamiento (DPA) v2.0Solicitar
Evaluación de Impacto (DPIA) y Registro de Actividades (RAT)Solicitar
Procedimiento de brechas (72 h) y política de respaldo de fichaSolicitar
Política de seguridad de la información · Política de IA responsableSolicitar
Modelo de consentimiento del paciente (grabación e IA)Solicitar
Certificaciones
Preferimos decir la verdad: hoy no exhibimos sellos que no tenemos.
HoyControles alineados a ISO/IEC 27001 documentados y auditables · cumplimiento nativo Ley 21.719 y D.S. 41 · revisiones legales independientes (2026).
Hoja de rutaCertificación ISO/IEC 27001 y evaluación de ISO/IEC 42001 (gestión de IA) tras la validación legal de Fase 3 · decisión ISP según D.E. 25/2026.