Privacidad y protección de datos personales

Quién responde por sus datos

El tratamiento de datos personales descrito en este documento lo realiza:

MADYS SpA

Sociedad por acciones constituida y domiciliada en Chile.

RUT

78.405.282-6

Domicilio

Temuco, Región de La Araucanía, Chile.

Correo para materias de datos personales

privacidad@madys.cl

Toda solicitud, consulta o reclamo sobre datos personales debe dirigirse a ese correo. Escribir a otra dirección de la empresa no invalida su solicitud, pero la atrasa: internamente se deriva a la misma casilla.

Responsables de unos datos, encargados de otros

La distinción parece formal y no lo es: determina a quién puede exigirle usted sus derechos y quién decide qué se hace con los datos.

• Responsable del tratamiento es quien decide para qué y cómo se tratan los datos. Cuando MADYS es responsable, la decisión es nuestra y usted nos la reclama a nosotros.
• Encargado del tratamiento es quien trata datos por cuenta de otro y siguiendo sus instrucciones. Cuando operamos un sistema para una planta o una municipalidad, los datos son de ese cliente: nosotros solo los procesamos, y no podemos usarlos para nada que el cliente no haya instruido.

Cuando actuamos como encargados, el encargo consta siempre por escrito en el contrato con el cliente, con el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y las obligaciones de cada parte, según exige la Ley N° 21.719.

Qué ley se aplica y desde cuándo

En Chile la protección de datos personales está regulada por la Ley N° 19.628, sobre protección de la vida privada, y por la Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, que la reemplaza en lo sustantivo y crea la Agencia de Protección de Datos Personales.

La Ley N° 21.719 entra en plena vigencia el 1 de diciembre de 2026. Hasta ese día rige la Ley N° 19.628; desde ese día son exigibles el nuevo catálogo de derechos, las obligaciones de seguridad y notificación, y el régimen de sanciones que administra la Agencia.

Este sitio web

El sitio madys.cl es informativo. Navegarlo no requiere identificarse y no queda registro asociado a usted:

• No usa cookies ni almacenamiento local de ningún tipo. Por eso no verá un banner de consentimiento: no hay nada que consentir.
• No tiene analítica ni píxeles de seguimiento, ni de terceros ni propios.
• No tiene formularios. El único modo de contactarnos desde aquí es un enlace de correo, que abre su propio programa de correo.
• No carga recursos de terceros. Las tipografías, imágenes y estilos se sirven desde este mismo dominio. Cargar tipografías desde un servicio externo habría enviado su dirección IP a ese servicio en cada visita, y por eso no se hace.

Lo que sí ocurre, y corresponde declararlo: el servidor que entrega estas páginas —Firebase Hosting, de Google— registra las solicitudes que recibe, incluida la dirección IP de origen, la fecha y la página pedida. Ese registro es técnico, se usa para operar y proteger el sitio, y no lo cruzamos con ninguna otra información ni construimos perfiles con él.

Datos que tratamos como responsables

No vendemos datos personales, no los cedemos a terceros con fines comerciales y no hacemos publicidad dirigida con ellos.

Datos que tratamos por cuenta de un cliente

Cuando una planta, una veterinaria o una municipalidad opera un sistema nuestro, los datos que entran a ese sistema son suyos. Pueden incluir datos de trabajadores, de pacientes y de tenedores de animales, según el sistema de que se trate. Nosotros los tratamos únicamente para operar el servicio contratado.

Lo anterior no es una declaración de intenciones: son cláusulas del contrato de encargo y están sujetas a la responsabilidad que la ley impone al encargado.

Datos sensibles, y una precisión sobre PetRecord

Conviene decir con precisión qué es y qué no es dato personal en nuestros sistemas, porque se confunde a menudo.

La ficha clínica que guarda PetRecord es de un animal. Los datos de salud de un animal no son datos personales, porque no hay una persona natural identificada detrás de ellos. El dato personal es el del dueño o tenedor: su nombre, su correo, su teléfono y, en la línea municipal, su RUT y su domicilio, porque el programa necesita saber a quién pertenece el animal atendido.

Que la ficha del animal no sea un dato personal no significa que la tratemos con menos cuidado. Va cifrada y su acceso queda registrado igual que el resto, por dos razones: es información de valor para el cliente, y en la práctica queda unida al registro del tenedor, que sí es personal.

Los sistemas de planta tratan datos de trabajadores —quién registró un conteo, quién produjo un turno— con la finalidad de trazabilidad de la operación. No tratamos datos sensibles de trabajadores: ni salud, ni afiliación sindical, ni datos biométricos.

Quién más interviene

No operamos infraestructura propia. Para prestar el servicio usamos proveedores que, respecto de los datos, actúan como subencargados nuestros y están sujetos a sus propias obligaciones contractuales de confidencialidad y seguridad.

Esta nómina cambia cuando cambia la infraestructura. A los clientes para los que actuamos como encargados se les informa antes de incorporar un subencargado nuevo, y pueden objetarlo conforme al contrato. Cualquier persona puede pedir la nómina actualizada a privacidad@madys.cl.

Datos que salen de Chile

Como se ve en la nómina anterior, la mayor parte de la infraestructura está alojada en Estados Unidos. Eso significa que hay una transferencia internacional de datos, y corresponde decirlo antes de que alguien lo descubra leyendo un dominio.

La Ley N° 21.719 permite estas transferencias cuando existen garantías adecuadas, entre ellas cláusulas contractuales que impongan al destinatario obligaciones equivalentes a las de la ley chilena. Nuestros contratos con estos proveedores incorporan compromisos de confidencialidad, seguridad y limitación de finalidad en ese sentido.

Si un cliente requiere que sus datos se alojen en Chile o en una jurisdicción determinada —lo que ocurre en algunos programas públicos—, es una condición que se conversa antes de firmar, no después: cambia la infraestructura y el precio.

Cuánto tiempo se conservan

• Correspondencia comercial: mientras dure la relación y hasta 2 años después del último contacto.
• Datos de clientes y proveedores con efecto tributario: 6 años, que es el plazo de conservación que exige la legislación tributaria chilena.
• Documentación de procesos de compra pública: el plazo que fijen las bases y la normativa aplicable a cada contrato.
• Cuentas de usuario de PetRecord: mientras la cuenta esté activa. Si el usuario la elimina, sus datos se borran dentro de 30 días, salvo lo que deba conservarse por obligación legal.
• Datos tratados como encargados: los que instruya el cliente. Al terminar el servicio se devuelven o eliminan según él decida.
• Registros de auditoría y de seguridad: se conservan aunque el dato principal se elimine, porque su función es justamente poder reconstruir qué ocurrió.

Sus derechos y cómo ejercerlos

Respecto de los datos en que somos responsables, usted puede ejercer:

Acceso

Saber qué datos suyos tratamos, de dónde salieron, para qué y a quién se comunican.

Rectificación

Corregir datos inexactos, desactualizados o incompletos.

Supresión

Pedir que se eliminen, en los casos en que la ley lo permite.

Oposición

Oponerse a un tratamiento determinado, incluidas las decisiones automatizadas que le afecten.

Portabilidad

Recibir sus datos en un formato estructurado y de uso común, o que se los enviemos a otro proveedor.

Bloqueo

Suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.

Se ejercen escribiendo a privacidad@madys.cl, identificándose e indicando qué derecho ejerce. Para el derecho de acceso basta acreditar identidad; para supresión, conviene señalar el motivo.

Si negamos su solicitud, total o parcialmente, usted puede reclamar. Desde el 1 de diciembre de 2026 el reclamo se presenta ante la Agencia de Protección de Datos Personales, dentro de 30 días hábiles contados desde la respuesta. Hasta esa fecha, la Ley N° 19.628 contempla la reclamación ante los tribunales ordinarios de justicia.

Cómo protegemos los datos

Las medidas dependen del sistema, pero hay un piso que se aplica a todo lo que operamos:

• Cifrado en tránsito: todo el tráfico va por HTTPS. No hay puntos de entrada sin cifrar.
• Cifrado en reposo de los campos sensibles: en PetRecord, el contenido de la ficha clínica —consultas, cirugías, vacunas, desparasitaciones y las atenciones de operativos municipales— se guarda cifrado campo por campo con AES-256-GCM, además del cifrado del disco del proveedor. Quien obtuviera una copia de la base de datos no obtendría el contenido.
• Registro de auditoría inmutable: cada acceso y cada cambio deja una fila con quién lo hizo, con qué rol, sobre qué registro, desde qué dirección IP y cuándo. Ese registro solo admite inserciones: no se modifica ni se borra, tampoco por un administrador.
• Control de acceso por rol y mínimo privilegio: cada usuario ve lo que su rol necesita. El permiso se verifica en cada operación y no solo al iniciar sesión, de modo que revocar un acceso surte efecto de inmediato, incluso sobre una sesión en curso.
• Contraseñas: se almacenan con función de hash de un solo sentido. Nadie en MADYS puede leer la contraseña de un usuario.
• Respaldos: las bases de datos corren en planes con respaldo continuo y recuperación a un punto en el tiempo a cargo del proveedor de infraestructura. La ventana de recuperación disponible depende del plan contratado para cada proyecto y se informa al cliente en el contrato.
• Secretos fuera del código: claves y credenciales viven en variables de entorno, nunca en los repositorios.

Ninguna medida vuelve imposible un incidente, y prometerlo sería faltar a la verdad. Lo que estas medidas aseguran es que un incidente sea acotado, detectable y reconstruible.

Si ocurre una vulneración de seguridad

La Ley N° 21.719 obliga al responsable a informar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones de seguridad que afecten datos personales cuando exista un riesgo razonable para los derechos de los titulares, y a comunicarlo a los titulares afectados cuando corresponda.

Menores de edad

Nuestros servicios están dirigidos a empresas, instituciones y personas mayores de edad. No ofrecemos productos a menores ni recogemos sus datos de manera deliberada. Si detectamos que se registró un menor sin autorización de quien lo tiene a su cuidado, eliminamos la cuenta y sus datos. Si usted cree que esto ocurrió, escriba a privacidad@madys.cl y lo resolvemos.

Cambios a esta política

Esta política puede cambiar cuando cambie la ley, la infraestructura o los servicios. Cada versión lleva número y fecha de vigencia en la cabecera de esta misma página, de modo que se pueda citar una versión determinada en un contrato o en una carpeta de licitación.

Si el cambio afecta de manera sustancial el tratamiento de datos de clientes con contrato vigente, se les informa por escrito antes de que entre en vigor. La próxima revisión programada es el 1 de diciembre de 2026, día en que la Ley N° 21.719 pasa a ser plenamente exigible.