Contrato de encargo de tratamiento de datos — micentro

Versión: 1.0 Vigente desde: 4 de septiembre de 2026

1. Partes y roles

Centro de Bienestar Integral Miel SpA, nombre de fantasía CBI Miel SpA, RUT 78.383.885-0, domiciliada en Marchant Pereira 367, of. 601, Providencia, Región Metropolitana, que presta el servicio bajo la marca micentro (en adelante, micentro), actúa como ENCARGADO DEL TRATAMIENTO.

El especialista que acepta este contrato actúa como RESPONSABLE DEL TRATAMIENTO de los datos personales de sus pacientes.

micentro provee una herramienta; el especialista decide qué datos registra, con qué finalidad y por cuánto tiempo. micentro no accede a las fichas clínicas para fines propios, no las usa para elaborar perfiles, no las cede a terceros y no las emplea para entrenar sistemas automatizados.

2. Objeto

micentro trata datos personales —incluidos datos sensibles de salud— por cuenta del especialista, con el único fin de prestarle el servicio de micentro: registro de fichas de pacientes, notas clínicas, evaluaciones, tareas, documentos y firma electrónica, y la conservación y respaldo de esa información.

3. Instrucciones

micentro trata los datos únicamente conforme a las instrucciones del especialista, expresadas a través del uso del sistema. No realiza tratamientos adicionales ni con finalidad distinta.

Si micentro estimara que una instrucción infringe la normativa aplicable, lo informará al especialista sin dilación.

4. Confidencialidad

micentro mantiene la confidencialidad de los datos y garantiza que quienes tengan acceso a ellos por razones técnicas estén sujetos a deber de secreto, que subsiste tras el término de la relación.

El acceso del personal de micentro a datos clínicos se limita a lo estrictamente necesario para operar, mantener y respaldar el sistema, y queda registrado en una bitácora inalterable.

5. Medidas de seguridad

micentro aplica, al menos:

• Cifrado del contenido clínico a nivel de campo (AES-256-GCM), con llave administrada fuera de la base de datos. Un volcado de la base no expone notas, antecedentes ni documentos en texto legible.
• Aislamiento por especialista: cada especialista accede exclusivamente a los pacientes que él registró. Ningún otro especialista los ve.
• Acceso reforzado: el ingreso a micentro requiere autenticación mediante código enviado al correo del especialista, además de cierre de sesión por inactividad.
• Bitácora inalterable: creación, edición, consulta y eliminación de datos clínicos quedan registradas en un log que no admite modificación ni borrado, ni siquiera por la administración del sistema.
• Respaldo cifrado con retención de 15 años, almacenado con retención inmutable, en cumplimiento del plazo de conservación de la ficha clínica.
• Entorno de pruebas separado, sin datos reales de pacientes.

6. Subencargados

micentro utiliza los siguientes proveedores de infraestructura, todos con sus propios compromisos de protección de datos:

Fly.io y API Gateway se incorporan con el servicio de cobro de sesiones y emisión de boletas de honorarios. Si el especialista no contrata ese servicio, sus datos no son tratados por ellos.

Oracle Cloud se incorpora con la videollamada incluida en las sesiones online. Aloja el servidor que opera micentro; la sesión no se graba y solo entran el especialista y su paciente, cada uno con un acceso firmado para esa sala. Si el especialista usa otro servicio de videollamada (Google Meet, Zoom u otro), ese servicio lo elige y contrata él, y no es subencargado de micentro.

Meta Platforms se incorporó el 2 de octubre de 2026 para los avisos por WhatsApp. Solo trata datos de los pacientes que aceptaron recibir avisos por ese medio (consentimiento que pueden retirar en cualquier momento respondiendo BAJA o desde su portal) y nunca contenido clínico: el mensaje dice con quién, cuándo y dónde, o que hay un pago pendiente. Esta incorporación se comunica al especialista conforme a esta cláusula; el anexo de subencargados es la única parte del contrato que cambia.

El especialista autoriza esta subcontratación. micentro informará con antelación razonable cualquier incorporación o cambio de subencargado, y el especialista podrá oponerse fundadamente; de hacerlo, micentro podrá poner término al servicio afectado sin costo para él.

Ningún subencargado recibe datos clínicos en claro. Los antecedentes de salud, las notas de sesión, los documentos y los motivos de consulta se cifran con una llave que no reside en la base de datos ni en poder de proveedor alguno.

Certificaciones de los subencargados

Estas certificaciones no reemplazan el cumplimiento de la Ley 21.719, que recae en el especialista como Responsable y en micentro como Encargado. Acreditan que un tercero independiente auditó los controles de seguridad del proveedor, y constituyen respaldo del deber de seguridad que la ley impone: ISO 27001 certifica que existe y se mantiene un sistema de gestión de seguridad de la información; SOC 2 Tipo II, que controles determinados operaron efectivamente durante un período auditado.

Transferencia internacional

Parte del tratamiento ocurre fuera de Chile. micentro mantiene con cada proveedor los acuerdos de tratamiento de datos correspondientes y aplica las salvaguardas que exige la Ley 21.719. El registro actualizado de esos acuerdos, con la copia de cada uno, se conserva en el expediente de cumplimiento y está disponible para el especialista a su solicitud.

7. Deber de asistencia

micentro pone a disposición del especialista las herramientas necesarias para que este atienda las solicitudes de los titulares (acceso, rectificación, supresión, oposición y portabilidad) y para exportar la información en formato estructurado.

Las solicitudes de los pacientes las responde el especialista, en su calidad de Responsable. micentro no atiende directamente solicitudes de titulares sobre fichas clínicas; si recibe una, la derivará al especialista.

8. Notificación de incidentes

Ante una vulneración de seguridad que afecte datos del especialista, micentro se lo notificará sin dilación indebida y a más tardar dentro de 72 horas desde que tome conocimiento, con la información disponible sobre naturaleza, alcance, consecuencias probables y medidas adoptadas.

La notificación a la autoridad y a los titulares, cuando proceda, corresponde al especialista como Responsable, con la colaboración de micentro.

9. Conservación, devolución y supresión

El plazo de conservación de la ficha clínica es de 15 años contados desde la última atención, y se aplica por igual a todas las especialidades que se atiendan a través de micentro, sin distinción entre ellas.

• Mientras el servicio esté activo, los datos se conservan íntegros.
• Al terminar el servicio, el especialista dispone de 30 días de acceso de solo lectura para consultar y exportar su información.
• Transcurrido ese plazo, el acceso se bloquea. Los datos se conservan —no se eliminan— por el plazo legal de conservación de la ficha clínica, y el especialista puede solicitar su exportación en cualquier momento.
• La eliminación anticipada requiere solicitud expresa del especialista y solo procede en lo que no esté sujeto a conservación obligatoria.

10. Naturaleza de la firma electrónica

La firma que ofrece el sistema es firma electrónica simple conforme a la Ley 19.799. Es válida y produce efectos jurídicos, y el sistema acompaña cada firma con evidencia (verificación del RUT contra la ficha, código enviado al correo, fecha y hora, datos de conexión y huella criptográfica del documento).

No es firma electrónica avanzada y no cuenta con certificado de un prestador acreditado. Para actos que requieran firma avanzada, el especialista debe emplear los medios que correspondan.

11. Responsabilidad

El especialista responde por la licitud del tratamiento que instruye, por la obtención de los consentimientos necesarios y por el contenido clínico que registra. micentro responde por el cumplimiento de las obligaciones que este contrato le impone como Encargado.

12. Vigencia

Este contrato rige desde su aceptación y mientras el especialista mantenga activo el servicio de micentro. Las obligaciones de confidencialidad, seguridad y conservación subsisten conforme a lo señalado.

Si micentro publica una versión nueva, se solicitará una nueva aceptación, quedando registro de la versión aceptada en cada oportunidad.

Responsable de protección de datos

micentro designa como responsable de protección de datos a Edgardo Francisco Garai Esparza, RUT 17.812.323-8, a quien pueden dirigirse el especialista y la autoridad para cualquier materia relativa a este contrato, escribiendo a privacidad@micentro.cl.

Aceptación y firma

El especialista acepta este contrato por medios electrónicos en la plataforma, lo que constituye firma electrónica simple conforme a la Ley 19.799. De cada aceptación queda registro de la versión, la fecha, la hora y la dirección IP desde la que se otorgó.

Centro de Bienestar Integral Miel SpA

Rep. Edgardo Garai