Política de Protección de Datos Personales

1. Identificación del responsable

La presente política de protección de datos personales establece las directrices legales, organizativas y técnicas para el tratamiento de información realizado por Alta Tecnología Médica SpA, sociedad constituida en Chile, dedicada a la importación, comercialización, distribución, venta, arriendo, mantención y servicio técnico de equipos, insumos y tecnología médica, identificada con el Rol Único Tributario (R.U.T.) número 96.705.150-0. La compañía mantiene su domicilio legal e institucional en la comuna de Ñuñoa, Santiago, en Avenida Campo de Deportes N°715, sin perjuicio de las bodegas, instalaciones operativas o dependencias que mantenga para el desarrollo de sus actividades. Su administración y representación legal son ejercidas por don Patricio Alejandro Godoy Rojas.

2. Inventario de tratamiento y arquitectura de datos

• Fidelización y Marketing
  • Categorías de datos tratados: Datos de contacto e historial de compras.
  • Base de licitud (Ley 21.719): Consentimiento expreso, libre, específico e inequívoco del titular (Art. 12 y Art. 13).
• Videovigilancia
  • Categorías de datos tratados: Grabaciones e imágenes de seguridad en la recepción y pasillos de la oficina (CDD) y Centro de Distribución (CDQ).
  • Base de licitud (Ley 21.719): Interés legítimo del responsable (Art. 13 letra d), limitado a la seguridad física de activos, colaboradores y clientes.
• Investigaciones Ley Karin
  • Categorías de datos tratados: Declaraciones testimoniales, identidades de denunciantes/denunciados, medidas de resguardo y actas de fiscalización.
  • Base de licitud (Ley 21.719): Cumplimiento de obligación legal del empleador regulada en la Ley 21.643 (Ley Karin).

Para solicitar información respecto de los sistemas tecnológicos o de soporte, puede escribir al correo datos@atm.cl

3. Protocolo de ejercicio de derechos ARCOP+B

La Ley 21.719 consagra para todos los titulares de datos personales un conjunto de derechos exigibles ante el responsable del tratamiento, denominados derechos ARCOP+B: Acceso, Rectificación, Cancelación/Supresión, Oposición, Portabilidad y Bloqueo Temporal.

Alta Tecnología Médica SpA implementa un procedimiento estructurado para canalizar y resolver estas solicitudes, conforme a los requisitos establecidos en el artículo 11 de la Ley 21.719.

Canal de recepción

Las solicitudes deberán presentarse a través de la plataforma Datta 360, habilitada por Alta Tecnología Médica SpA como canal oficial y centralizado para la gestión de derechos ARCOP+B. Dicha plataforma se encuentra disponible en el sitio web de la empresa y permite al titular o su representante legal debidamente acreditado presentar su solicitud de forma estructurada, adjuntar los antecedentes necesarios y hacer seguimiento de su estado de tramitación.

Toda solicitud deberá contener: (i) individualización precisa del titular; (ii) correo electrónico o domicilio para notificar la respuesta; e (iii) identificación de los datos sobre los cuales se ejerce el derecho, cuando corresponda.

Plazos de respuesta

Recibida la solicitud, Alta Tecnología Médica SpA dispondrá de 30 días corridos para dar respuesta fundada al titular. Dicho plazo podrá prorrogarse por otros 30 días corridos adicionales cuando la complejidad o el volumen de las solicitudes así lo justifique, debiendo notificarse al titular la prórroga y sus motivos dentro del plazo inicial.

Registro de auditoría

La plataforma mantendrá de forma indefinida un registro de auditoría que acredite la recepción de la solicitud, la remisión de la respuesta, la fecha de envío y el contenido íntegro de la misma, constituyendo prueba de cumplimiento ante la Agencia de Protección de Datos Personales.

4. Gestión de brechas de seguridad

El artículo 14 sexies de la Ley 21.719 introduce la obligación de reportar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, cualquier vulneración a las medidas de seguridad que ocasione la destrucción, filtración, pérdida o alteración de los datos personales tratados, siempre que exista un riesgo razonable para los derechos y libertades de los titulares.

Matriz de clasificación de incidentes y flujos de notificación:

• Brecha crítica
  • Criterio técnico de clasificación: Compromiso de bases de datos de clientes personas naturales y leads personas naturales en Salesforce y SAP.
  • Plazo interno de gestión de alerta y análisis: Inmediato (plazo de detección técnica inferior a 2 horas).
  • Notificación obligatoria a la Agencia (APDP): Sí, por canal electrónico seguro, detallando el volumen, categorías de datos, efectos esperados y medidas correctivas.
  • Notificación obligatoria a los titulares afectados: Sí, de forma directa al correo registrado, utilizando lenguaje claro y sencillo, singularizando los datos afectados.
• Brecha alta
  • Criterio técnico de clasificación: Acceso no autorizado a base de datos de clientes personas naturales y leads personas naturales en Salesforce y SAP.
  • Plazo interno de gestión de alerta y análisis: Máximo 6 horas desde la identificación del comportamiento anómalo.
  • Notificación obligatoria a la Agencia (APDP): Sí, informe preliminar y de contingencia.
  • Notificación obligatoria a los titulares afectados: Sí, recomendando el cambio inmediato de contraseñas de acceso y bloqueo preventivo de tarjetas bancarias.
• Brecha baja
  • Criterio técnico de clasificación: Destrucción accidental de datos de clientes personas naturales y leads personas naturales en Salesforce y SAP.
  • Plazo interno de gestión de alerta y análisis: Máximo 24 horas para documentación interna.
  • Notificación obligatoria a la Agencia (APDP): No, se archiva en el registro interno de incidentes de la compañía.
  • Notificación obligatoria a los titulares afectados: No.

5. Relación con terceros mandatarios, transferencias internacionales y convenios

El ecosistema tecnológico de Alta Tecnología Médica SpA requiere interactuar con proveedores y socios externos para la óptima ejecución de sus servicios médicos y comerciales. Estas interacciones quedan sujetas a los artículos 15 bis, 27 y 28 de la Ley 21.719, asegurando que la circulación transfronteriza y local de información mantenga un estándar de cumplimiento equivalente al nacional.

Salesforce Encargado del Tratamiento

El software SaaS Salesforce procesa e integra la información personal de los clientes y leads de Alta Tecnología Médica SpA. Jurídicamente, Salesforce actúa en calidad de encargado del tratamiento, realizando operaciones sobre datos personales estrictamente bajo las instrucciones documentadas impartidas por Alta Tecnología Médica SpA en su calidad de responsable. De conformidad con el artículo 27 de la Ley N° 21.719, la relación con Salesforce se formaliza mediante un Data Processing Addendum (DPA) suscrito con Salesforce, Inc. y sus entidades afiliadas, que regula el objeto y duración del encargo, la naturaleza y finalidad del tratamiento, las categorías de datos personales involucrados, las obligaciones y derechos del responsable, y las medidas de seguridad técnicas y organizativas exigibles al encargado. Dicho contrato prohíbe expresamente a Salesforce tratar los datos para fines distintos a los instruidos por Alta Tecnología Médica SpA, y subordina la incorporación de subencargados a un mecanismo de notificación previa con derecho de objeción por parte del responsable.

Transferencias internacionales de datos

Los servidores de almacenamiento y procesamiento utilizados por Salesforce se ubican físicamente en centros de datos localizados en territorio de los Estados Unidos de América. Esta operación constituye una transferencia internacional de datos personales de carácter transfronterizo, amparada bajo las siguientes garantías:

• Garantías adecuadas de protección: De conformidad con el artículo 27 letra b) de la Ley N° 21.719, las transferencias hacia Salesforce, Inc. son lícitas en razón de las garantías adecuadas de protección que dicho proveedor ofrece, las que incluyen: (i) su adhesión al EU-U.S. Data Privacy Framework (DPF), marco de certificación voluntaria reconocido por la Comisión Europea como equivalente al estándar del RGPD; y (ii) la suscripción de Cláusulas Contractuales Tipo (Standard Contractual Clauses) conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, instrumentos que garantizan un nivel de protección sustancialmente equivalente al exigido por la legislación chilena.
• Subcontratación controlada: Salesforce, Inc. para el ejercicio de sus funciones recurre a subencargados para el procesamiento de datos, informados y actualizados en su Política de Privacidad (https://www.salesforce.com/company/legal/privacy)

Adicionalmente, Alta Tecnología Médica SpA realiza otras transferencias internacionales de datos personales mediante la utilización de plataformas digitales de terceros proveedores. Cada una de estas transferencias ha sido evaluada a través del Análisis de Transferencia Internacional correspondiente (Transfer Impact Assessment / TIA), conforme a los requisitos del artículo 27 de la Ley N° 21.719.

6. Consentimiento y buenas prácticas

6.1. Sistema de Consentimiento Fraccionado

Alta Tecnología Médica SpA implementa un sistema de consentimiento fraccionado, mediante el cual el Cliente/Lead otorga autorizaciones diferenciadas según la finalidad específica de cada tratamiento de datos, en cumplimiento del principio de finalidad establecido en el artículo 3° de la Ley N° 21.719. Cada autorización se presenta de forma visualmente independiente a través de casillas de verificación (checkboxes) individuales, sin preselección, de modo que el titular pueda aceptar o rechazar cada finalidad de forma autónoma y consciente, satisfaciendo el estándar de consentimiento expreso, libre, específico e inequívoco exigido por los artículos 12 y 13 de la misma ley. Este sistema opera a través de los canales digitales habilitados por la empresa para la gestión de sus clientes y leads.

6.2. Autorización para uso comercial de datos

En el mismo acto en que se suscribe el consentimiento indicado en la cláusula 6.1, el Cliente/Lead podrá otorgar una autorización independiente para el uso de sus datos de contacto con fines comerciales, presentada mediante una casilla de verificación diferenciada y no preseleccionada.

Esta autorización habilitará a Alta Tecnología Médica SpA para enviar comunicaciones de carácter comercial, promocional, post venta y de fidelización a través de los canales digitales habilitados para tal efecto.

El Cliente/Lead podrá revocar este consentimiento en cualquier momento y sin expresión de causa, sin que ello afecte la licitud del tratamiento realizado con anterioridad a la revocación. La revocación podrá ejercerse a través del canal informado en cada comunicación comercial o mediante solicitud dirigida a datos@atm.cl.

6.3. Autorización para el Uso de Inteligencia Artificial y Tratamiento Automatizado de Datos

En el mismo acto en que se suscribe el consentimiento indicado en la cláusula 6.1, el Cliente/Lead podrá otorgar una autorización independiente para el uso de sus datos personales mediante herramientas de inteligencia artificial y sistemas de tratamiento automatizado, presentada mediante una casilla de verificación diferenciada y no preseleccionada. Este consentimiento deberá ser expreso, libre, específico e inequívoco.

Esta autorización habilitará a Alta Tecnología Médica SpA para tratar los datos del titular —incluyendo datos de contacto, historial de interacciones y patrones de comportamiento digital— a través de sistemas de inteligencia artificial con fines de personalización comercial, segmentación de audiencias y optimización de comunicaciones. El Cliente/Lead tendrá derecho a solicitar intervención humana respecto de cualquier decisión adoptada de forma exclusivamente automatizada que le afecte.

El Cliente/Lead podrá revocar esta autorización en cualquier momento y sin expresión de causa. La revocación podrá ejercerse a través del canal informado en cada comunicación o mediante solicitud dirigida a datos@atm.cl.

6.4. Confidencialidad en Investigaciones bajo la Ley N° 21.643

Los datos personales surgidos de investigaciones laborales internas se tratarán bajo estricto secreto, restringiendo el acceso a las carpetas de investigación únicamente al Encargado de Prevención y a la Gerencia de Personas, garantizando los principios de imparcialidad y sigilo. Alta Tecnología Médica SpA se reserva el derecho de adoptar las medidas que correspondan respecto de conductas incompatibles con la normativa vigente y el entorno laboral seguro que la empresa está obligada a garantizar.

6.5. Revocación de Autorizaciones

El Cliente/Lead podrá revocar cualquiera de las autorizaciones otorgadas en este capítulo en cualquier momento y sin expresión de causa, sin que ello afecte la licitud del tratamiento realizado con anterioridad. La revocación de una autorización no afectará la vigencia de las restantes. La revocación podrá ejercerse a través del canal informado en cada comunicación o mediante solicitud dirigida a datos@atm.cl, indicando la autorización específica que se desea revocar.

7. Período de conservación

Alta Tecnología Médica SpA conservará los datos personales solamente durante el tiempo que sea necesario para el cumplimiento de sus obligaciones legales y contractuales.

8. Régimen sancionatorio interno y cumplimiento

Cualquier infracción a las disposiciones de la presente política, sea dolosa o por negligencia inexcusable, será considerada un incumplimiento grave a las obligaciones del contrato de trabajo. Las sanciones aplicables se regularán conforme a lo establecido en el Reglamento Interno de Orden, Higiene y Seguridad de la compañía, sin perjuicio de las acciones civiles y penales que correspondan.

9. Vigencia y actualización

Esta política rige desde la fecha de su aprobación por la administración. Se revisará cada dos años, o antes si ocurre alguna de las siguientes situaciones: (i) cambios normativos relevantes; (ii) instrucciones de la Agencia de Protección de Datos Personales. Cada versión tendrá número de versión, fecha de aprobación, responsable de revisión y fecha de próxima revisión.