Política de Privacidad y Protección de Datos Personales de Orbyx

Resumen breve

Antes del detalle, lo esencial en pocas líneas:

• Orbyx es una plataforma que los negocios usan para gestionar sus reservas y sus clientes.
• Respecto de los datos de tu negocio, Orbyx es responsable. Respecto de los datos de los clientes de ese negocio, el responsable es el negocio; Orbyx solo provee la tecnología y procesa esos datos siguiendo sus instrucciones.
• Si eres cliente de un negocio que usa Orbyx y quieres ejercer tus derechos, debes dirigirte a ese negocio.
• No vendemos datos personales.
• La plataforma puede almacenar datos de salud cuando el negocio pertenece a un rubro clínico o veterinario. Esos datos reciben protección reforzada.
• Orbyx no utiliza inteligencia artificial para tratar datos personales. Si lo hace en el futuro, actualizará esta política antes de activarla.

Este resumen no reemplaza el texto completo.

1. Identificación del responsable

Todas las solicitudes, consultas y reclamos relacionados con esta política deben dirigirse a contacto@orbyx.cl.

2. Alcance de esta política

2.1 Qué es Orbyx

Orbyx es una plataforma de software como servicio (SaaS) que permite a negocios de servicios gestionar su agenda, sus reservas, sus clientes, sus comunicaciones y su información operacional. Está diseñada para rubros como peluquerías, barberías, centros de estética, veterinarias, clínicas, centros médicos, centros dentales, profesionales de la salud, talleres mecánicos y otros negocios de servicios.

2.2 A quiénes aplica

• Negocios clientes: empresas o profesionales que contratan la plataforma.
• Clientes finales: personas que reservan una hora o son registradas en el sistema por el negocio que las atiende.
• Visitantes del sitio web de Orbyx.

2.3 Arquitectura multi-negocio

Cada negocio que usa Orbyx opera dentro de un entorno separado del de los demás: a través de la plataforma, un negocio no puede acceder a los clientes, reservas ni información de otro negocio. Este aislamiento es un principio central del diseño de Orbyx y una de sus medidas de seguridad fundamentales (ver sección 17).

3. Definiciones

• Dato personal: cualquier información vinculada o referida a una persona natural identificada o identificable.
• Dato personal sensible: aquel que revela, entre otros, datos relativos a la salud, al perfil biológico humano o datos biométricos.
• Titular: la persona natural a quien se refieren los datos.
• Responsable de datos: quien decide sobre los fines y medios del tratamiento.
• Encargado del tratamiento: quien trata datos conforme al encargo y a las instrucciones del responsable, sin decidir las finalidades por su cuenta.
• Tratamiento: cualquier operación realizada sobre datos personales.
• Anonimización: procedimiento irreversible por el cual un dato ya no puede vincularse a una persona determinada.
• Negocio (o tenant): empresa o profesional que contrata Orbyx.
• Cliente final: persona atendida por un negocio que usa Orbyx.

4. ¿Qué datos recopilamos?

Las categorías efectivamente tratadas dependen del rubro del negocio, el plan contratado y las funcionalidades que ese negocio decida utilizar. No todos los datos listados se solicitan siempre.

4.1 Datos de negocios clientes y su personal

Identificación (nombre, RUT, razón social), contacto (correo, teléfono), configuración del negocio (servicios, precios, horarios, sucursales, staff), rol y permisos dentro del panel de administración, datos de suscripción y facturación, y credenciales de acceso almacenadas mediante mecanismos de protección.

4.2 Datos de clientes finales

4.3 Datos técnicos

Dirección IP, tipo de dispositivo y navegador, y registros de acceso necesarios para seguridad, prevención de fraude y diagnóstico técnico.

5. Cómo obtenemos estos datos

Los datos descritos se obtienen directamente de los negocios y de los clientes finales cuando completan formularios en la plataforma (registro, reserva, ficha de cliente, campos personalizados, carga de archivos), o de forma automática cuando usan funcionalidades del sistema (por ejemplo, el registro de una reserva o el envío de un mensaje de WhatsApp asociado a ella).

6. Finalidades del tratamiento

6.1 Como responsable

Crear, administrar y dar soporte a cuentas de negocios; prestar el servicio contratado; gestionar suscripciones, cobros y facturación; mantener la seguridad de la plataforma y prevenir fraude; diagnosticar y resolver errores técnicos; mantener respaldos y continuidad operacional; comunicar información sobre el servicio; mejorar la plataforma; generar estadísticas agregadas o anonimizadas; y cumplir obligaciones legales y contractuales.

6.2 Como encargado, por cuenta del negocio

Gestión de agenda y reservas, gestión de la base de clientes del negocio, administración de staff y servicios, historiales de atención, envío de confirmaciones y recordatorios, comunicación del negocio con sus clientes, campañas de recuperación y comunicaciones comerciales del negocio.

6.3 Lo que Orbyx no hace

No vendemos datos personales. No usamos los datos de clientes finales de un negocio para promocionar Orbyx a esas personas. No usamos datos de un negocio para beneficiar a otro negocio. No usamos información clínica para finalidades ajenas al servicio.

7. Fundamento jurídico

Según el caso, el tratamiento se fundamenta en la ejecución del contrato de servicio (relación con el negocio), el consentimiento del titular cuando la ley lo exija (libre, informado y revocable en cualquier momento), el cumplimiento de obligaciones legales (tributarias, contables), u otras bases de licitud contempladas en la legislación aplicable.

Respecto de los datos de clientes finales, es el negocio quien debe determinar y poder acreditar el fundamento jurídico del tratamiento e informar adecuadamente a sus propios clientes.

8. Rol de Orbyx: responsable vs. encargado del tratamiento

Esta sección determina a quién debes dirigirte para ejercer tus derechos.

Cuando Orbyx es responsable: respecto de los datos de cuenta del negocio, sus comunicaciones con Orbyx, sus datos de suscripción/facturación, y de los visitantes del sitio web de Orbyx, es Orbyx quien decide las finalidades y medios del tratamiento.

Cuando Orbyx es encargado: respecto de los datos que un negocio incorpora sobre sus propios clientes finales, el negocio es el responsable y decide qué datos pide, para qué los usa y con qué fundamento. Orbyx provee la herramienta y procesa esos datos siguiendo ese encargo, sin decidir por el negocio qué clientes debe tener ni qué información debe registrar.

En su rol de encargado, Orbyx: trata los datos únicamente conforme al encargo y las instrucciones del negocio; no los usa para un objeto distinto; no los cede a terceros sin autorización del negocio, salvo mandato legal; mantiene el deber de confidencialidad incluso después de terminada la relación; adopta medidas de seguridad razonables; informa al negocio ante cualquier vulneración que afecte sus datos (sección 19); y, al término del servicio, suprime o devuelve los datos según corresponda.

Si Orbyx tratara los datos con un objeto distinto del encargo o los cediera sin autorización, la ley lo consideraría responsable para todos los efectos legales — por eso limitamos nuestros tratamientos a las finalidades del servicio contratado.

La relación entre Orbyx y cada negocio se complementa con los Términos de Servicio y, cuando corresponda, un Acuerdo de Tratamiento de Datos (DPA), disponible solicitándolo a contacto@orbyx.cl.

9. Datos sensibles y datos relativos a la salud

La plataforma puede almacenar datos personales sensibles, en particular datos de salud, cuando el negocio pertenece a un rubro clínico o veterinario. La ley chilena somete estos datos a un régimen más estricto.

El negocio decide qué información de salud recopila, con qué finalidad y bajo qué fundamento jurídico, y debe cumplir las exigencias reforzadas que le correspondan respecto de sus propios pacientes o clientes.

Orbyx procesa esa información únicamente para las funcionalidades contratadas (fichas, historial de atención, agenda y adjuntos), no la usa para fines incompatibles con el servicio, y no la comercializa ni la cede con fines publicitarios o de perfilamiento.

Un punto que suele pasarse por alto: en rubros de salud, el solo hecho de que una persona tenga una hora agendada con un profesional puede constituir por sí mismo un dato relativo a la salud, aunque no se acceda a ninguna ficha clínica. Por eso las comunicaciones automáticas en estos rubros se manejan con criterio conservador (sección 11), y recomendamos a estos negocios revisar el contenido de los mensajes que envían a sus pacientes.

10. Niños, niñas y adolescentes

Orbyx puede ser utilizado por negocios cuyos clientes finales sean menores de edad. Con transparencia: Orbyx no cuenta con un mecanismo universal que verifique automáticamente la edad de cada persona registrada por un negocio. Corresponde al negocio cliente determinar cuándo trata datos de menores de edad y obtener las autorizaciones de sus padres, madres o representantes legales cuando la ley lo exija.

Cuando Orbyx tenga conocimiento de que trata datos de un menor de edad, aplicará las salvaguardas correspondientes. Los datos sensibles de menores reciben protección especialmente reforzada, y la legislación aplicable contempla obligaciones adicionales de notificación cuando una vulneración de seguridad afecta a niños y niñas menores de catorce años.

11. Comunicaciones por WhatsApp y correo electrónico

Orbyx permite a los negocios enviar a sus clientes confirmaciones de reserva, recordatorios, avisos de cambio de horario, cancelaciones y otras comunicaciones vinculadas al servicio, por correo electrónico y, cuando el negocio lo habilita, por WhatsApp.

Para WhatsApp, Orbyx utiliza la plataforma WhatsApp Business operada por Meta, a través de Twilio como proveedor tecnológico. Estos mensajes se envían mediante plantillas fijas, previamente aprobadas por Meta, completando automáticamente variables como nombre, fecha, hora o negocio.

Un mensaje enviado a un teléfono puede ser visto por quien tenga acceso a ese dispositivo. En rubros de salud, un recordatorio que identifique la especialidad o el motivo de la atención puede revelar información sensible; por eso recomendamos a los negocios de estos rubros usar contenidos genéricos y aplicamos un criterio conservador en las plantillas utilizadas.

Los clientes finales pueden responder a estos mensajes; esas respuestas llegan al canal de WhatsApp del negocio y son gestionadas por él. Orbyx no almacena de forma permanente el contenido de las conversaciones de WhatsApp entre un negocio y sus clientes, y no utiliza inteligencia artificial ni chatbots para generar o responder estas comunicaciones (ver sección 13).

12. Marketing y campañas

Orbyx entrega la herramienta que permite a un negocio enviar campañas, promociones y mensajes de recuperación a sus propios clientes. El negocio es el único responsable de la legitimidad de la campaña, su contenido, la selección de destinatarios, contar con las autorizaciones que la ley exija y respetar las solicitudes de desuscripción. Orbyx no revisa ni aprueba previamente el contenido de las campañas, sin perjuicio de poder actuar frente a usos manifiestamente ilícitos o abusivos de la plataforma.

Orbyx también puede enviar a sus negocios clientes comunicaciones sobre el funcionamiento del servicio, soporte, seguridad, cambios en planes o en esta política, y novedades de producto. Las comunicaciones comerciales incluyen mecanismo de desuscripción; los avisos esenciales de servicio, seguridad o cambios contractuales no son desuscribibles mientras la cuenta esté activa.

13. Automatización e inteligencia artificial

Orbyx no utiliza inteligencia artificial para generar, interpretar o responder comunicaciones con clientes finales, ni para tomar decisiones automatizadas sobre las personas. Las funcionalidades automatizadas actuales (como el envío de recordatorios) se basan en reglas y eventos predefinidos, no en modelos de inteligencia artificial.

Si en el futuro Orbyx incorporara este tipo de tecnología, actualizará esta política de forma previa para informarlo adecuadamente, antes de su implementación.

14. Pagos y comprobantes de depósito

Las suscripciones de los negocios a Orbyx se procesan a través de Flow, nuestra pasarela de pagos. Orbyx no almacena directamente números completos de tarjetas; ese procesamiento lo realiza Flow conforme a sus propias políticas de seguridad.

Algunos negocios pueden solicitar a sus clientes finales el pago de un anticipo o depósito para confirmar una reserva. En esos casos, el cliente final puede cargar en la plataforma un comprobante de la transferencia realizada directamente al negocio, quien lo revisa, aprueba o rechaza. Orbyx no es intermediario financiero de esa transferencia: únicamente facilita la carga y visualización del comprobante entre el cliente final y el negocio.

15. Proveedores y terceros que pueden tratar datos

Estos proveedores pueden actuar como encargados o subencargados tecnológicos. Orbyx procura que queden sujetos a obligaciones apropiadas de confidencialidad, seguridad y tratamiento limitado a las finalidades del servicio.

16. Transferencias internacionales

Varios de estos proveedores operan infraestructura fuera de Chile, por lo que determinados datos pueden ser procesados o almacenados en el extranjero. Orbyx adoptará los mecanismos y garantías que correspondan conforme a la legislación aplicable. Si quieres conocer la ubicación de procesamiento asociada a un proveedor determinado, puedes solicitarla escribiendo a contacto@orbyx.cl.

17. Seguridad de la información

Orbyx aplica medidas razonables para proteger los datos que trata, entre ellas: separación de los datos de cada negocio para que ninguno pueda acceder a la información de otro; autenticación y control de acceso basado en roles y permisos; acceso limitado al mínimo necesario para cada función; protección de credenciales (las contraseñas no se almacenan en texto plano); comunicaciones cifradas (HTTPS/TLS); respaldos periódicos; y actualización continua de componentes para corregir vulnerabilidades.

Somos deliberadamente precisos: Orbyx no declara contar actualmente con certificaciones ISO 27001, SOC 2, auditorías externas periódicas ni autenticación multifactor obligatoria. Nuestros controles son proporcionales al tamaño actual de la empresa, sin perjuicio de las exigencias reforzadas aplicables a los datos sensibles que la plataforma pueda alojar. Ningún sistema puede garantizar seguridad absoluta; trabajamos de forma continua para mantener y mejorar estas medidas.

18. Acceso interno de Orbyx a los datos

El personal de Orbyx no navega libremente los datos de un negocio como si fuera ese negocio. El acceso interno a la información, cuando es necesario, se limita a fines legítimos como soporte técnico, resolución de incidentes, mantenimiento, seguridad o cumplimiento de una obligación legal, y se rige por acceso restringido a personal autorizado, mínimo privilegio, deber de confidencialidad y prohibición de uso para fines ajenos al servicio.

19. Incidentes de seguridad

Orbyx mantiene procedimientos para detectar, contener, investigar, mitigar y documentar incidentes de seguridad.

Respecto de los datos en que Orbyx es responsable (sección 8), reportamos a la autoridad competente en los términos que establezca la legislación aplicable.

Respecto de los datos de clientes finales, en que Orbyx es encargado, notificaremos al negocio cliente afectado sin dilaciones indebidas, para que este cumpla sus propias obligaciones de reporte y de comunicación a sus clientes.

Cuando una vulneración afecte datos sensibles o datos de niños y niñas menores de catorce años, existen obligaciones adicionales de comunicación a los titulares afectados, que nuestros procedimientos consideran expresamente.

20. Conservación de los datos

Orbyx conserva los datos personales durante el tiempo necesario para cumplir las finalidades descritas en esta Política, las obligaciones legales aplicables, y para la seguridad y resolución de eventuales controversias. Cuando un negocio cancela su cuenta, sus datos no se eliminan de inmediato, para permitir una eventual reactivación, exportación de información o resolución de controversias; el plazo exacto de este ciclo de retención está siendo validado internamente y se precisará en una próxima actualización de esta política.

Los datos de facturación y pago se conservan durante los plazos que exige la normativa tributaria y contable chilena. Los respaldos técnicos pueden mantener copias durante un período adicional acotado por razones de seguridad y continuidad.

21. Exportación y portabilidad

Un negocio puede solicitar la exportación de la información asociada a su cuenta, sujeto a factibilidad técnica y a obligaciones legales. Un titular tiene además el derecho legal de portabilidad de sus propios datos personales (ver sección 22). Las solicitudes pueden dirigirse a contacto@orbyx.cl.

22. Derechos de los titulares

Si eres cliente final de un negocio que usa Orbyx (por ejemplo, paciente de una veterinaria o cliente de una peluquería), el responsable de tus datos es ese negocio, no Orbyx: debes dirigir tu solicitud directamente a él. Si nos escribes a nosotros, te orientaremos sobre cómo contactarlo y, cuando sea procedente, canalizaremos tu solicitud. Orbyx no puede eliminar por su cuenta datos que pertenecen a la base de clientes de un negocio, salvo instrucción de este u orden de autoridad competente.

Si eres un negocio cliente de Orbyx, o respecto de los tratamientos en que Orbyx actúa como responsable (sección 8), puedes ejercer tus derechos directamente ante nosotros escribiendo a contacto@orbyx.cl. Si tu solicitud es denegada o no recibes respuesta dentro del plazo legal, puedes reclamar ante la autoridad de control competente.

23. Procedimiento para ejercer derechos

Escríbenos a contacto@orbyx.cl indicando quién eres, qué dato o derecho quieres ejercer, y una descripción clara de tu solicitud. Podremos pedirte información razonable para verificar tu identidad y evitar accesos indebidos a datos de terceros. El ejercicio de estos derechos es gratuito, y responderemos dentro de los plazos que establezca la legislación vigente.

24. Cookies y tecnologías similares

Orbyx utiliza cookies y tecnologías similares con fines estrictamente funcionales: mantener la sesión iniciada y la autenticación de usuarios, recordar preferencias de uso de la plataforma, y fines de seguridad, incluyendo la protección contra bots y abusos mediante Cloudflare Turnstile en determinados formularios. Orbyx no utiliza estas tecnologías con fines de publicidad ni de seguimiento comercial.

25. Datos de terceros ingresados por los usuarios

Los negocios pueden incorporar en la plataforma datos de personas distintas de ellos mismos: clientes, familiares, tutores o responsables de mascotas. En esos casos, el negocio garantiza contar con un fundamento legítimo para tratar esos datos y haber entregado a esas personas la información que corresponda.

26. Mascotas

Orbyx permite registrar información de mascotas (nombre, especie, raza, edad, historial). Esta información suele estar vinculada a una persona identificable (su tutor o responsable), por lo que se trata con las mismas garantías aplicables al resto de los datos. Las fichas clínicas veterinarias reciben el tratamiento reforzado descrito en la sección 9.

27. Responsabilidades del negocio cliente

Los negocios que usan Orbyx son responsables de utilizar la plataforma de forma lícita, recopilar datos de sus clientes de manera legítima y proporcional, informarles adecuadamente, obtener las autorizaciones que la ley exija (especialmente respecto de datos sensibles y de menores de edad), proteger sus credenciales, gestionar correctamente los permisos de su personal, y cumplir la normativa aplicable a su rubro. Estas obligaciones se complementan con los Términos de Servicio de Orbyx.

Cuando Orbyx actúa como encargado, no decide qué clientes debe tener un negocio, qué datos debe recopilar, ni qué información clínica debe registrar — esas decisiones corresponden al negocio dentro de sus propias responsabilidades legales.

28. Cambios en la plataforma y en esta Política

Orbyx podrá incorporar nuevas funcionalidades o integraciones a su plataforma. Cuando un cambio implique una modificación material en el tratamiento de datos, actualizaremos esta Política y recabaremos las autorizaciones que correspondan antes de activarlo. Cada nueva versión indicará su fecha de actualización y se publicará en orbyx.cl/privacidad; cuando los cambios sean relevantes, informaremos a los negocios clientes con antelación razonable.

29. Legislación aplicable

Esta Política se elabora conforme a la Ley N° 19.628 sobre Protección de la Vida Privada, actualmente vigente en Chile, y considerando la Ley N° 21.719 sobre Protección de Datos Personales, publicada el 13 de diciembre de 2024. A la fecha de esta versión, la entrada en vigor de la Ley N° 21.719 está prevista para el 1 de diciembre de 2026, sin perjuicio de eventuales modificaciones legislativas en trámite. Si dicho plazo fuera modificado, esta Política será actualizada oportunamente.

Adicionalmente pueden resultar aplicables la normativa de protección de los derechos de los consumidores y la normativa sectorial correspondiente al rubro de cada negocio; corresponde a cada negocio cliente cumplir las obligaciones sectoriales propias de su actividad.

30. Contacto

Para consultas relacionadas con esta Política de Privacidad, escríbenos a contacto@orbyx.cl.

Orbyx Soluciones Digitales SpA — RUT 78.453.137-6 — Pje. 21 N° 511, Talcahuano, Región del Biobío.

Orbyx Soluciones Digitales SpA