1. Quiénes somos
AgendaFast SpA (en formación) opera el servicio de gestión para barberías, peluquerías y salones publicado en agendafast.cl. Esta política describe cómo tratamos los datos personales conforme a la Ley N° 19.628 sobre Protección de la Vida Privada de la República de Chile.
Responsable del tratamiento: AgendaFast SpA, con domicilio en Santiago, Chile.
Contacto de privacidad: [email protected]
2. Datos que recopilamos
2.1 Datos del Cliente (dueño del negocio)
- Identificación: nombre, email, teléfono.
- Cuenta: contraseña cifrada con bcrypt, tokens de sesión.
- Negocio: razón social, tipo, región, dirección, logo, fotos.
- Equipo: profesionales asociados, sus comisiones y horarios.
- Operación: catálogo de servicios, productos, configuración de pagos, horarios de atención.
- Uso: fecha de último login, IP de acceso, navegador (para seguridad).
- Uso del panel por el equipo: los días en que cada persona del equipo usó el panel en ese negocio, su última actividad y quién registró cada cita, cobro y cliente. El dueño del negocio y quienes tengan permiso para ver reportes ven esta actividad de uso de su equipo (último ingreso, días activos y lo que registró cada uno). Las visitas del soporte de AgendaFast no se cuentan como actividad del equipo.
2.2 Datos de los clientes finales (registrados por el Cliente)
- Nombre, teléfono (E.164), email (opcional), fecha de nacimiento (opcional).
- Historial de visitas, transacciones, productos comprados.
- Fotos del cliente subidas por el negocio (galería de cortes).
- Notas, etiquetas (VIP, Frecuente, etc.), preferencias.
- Mensajes intercambiados vía WhatsApp y email a través del Servicio.
2.3 Datos técnicos automáticos
- Logs de acceso al backend (IP, request_id, ruta, latencia, status).
- Errores capturados por Sentry (stack traces, contexto del usuario).
- Métricas de uso agregadas (cantidad de citas, transacciones).
3. Finalidad del tratamiento
Tratamos los datos para:
- Proveer el Servicio: ejecutar las funcionalidades del producto (agenda, caja, WhatsApp, reportes).
- Comunicación operativa: emails transaccionales (verificación, recuperación de contraseña, confirmaciones, recordatorios al cliente final).
- Soporte: atender tickets y consultas del Cliente.
- Mejora del producto: análisis agregado de uso (nunca individual).
- Cumplimiento legal: retención requerida por SII para transacciones, audit log para protección frente a fraudes.
- Seguridad: detección de actividad anómala, prevención de abuso.
NO usamos los datos para: marketing dirigido a clientes finales sin consentimiento, venta a terceros, perfilado fuera del Servicio, entrenamiento de modelos de IA.
4. Base legal y consentimiento
Conforme al Artículo 4 de la Ley 19.628, el tratamiento de datos personales requiere consentimiento expreso del titular. Distinguimos:
- Del Cliente (dueño del negocio): el consentimiento se obtiene al aceptar estos Términos al registrarse.
- De los clientes finales del Cliente: es responsabilidad del Cliente obtener el consentimiento de sus clientes finales antes de registrar sus datos en el Servicio. AgendaFast actúa como encargado del tratamiento, no como responsable.
El Cliente reconoce y se obliga a informar a sus clientes finales sobre el tratamiento de sus datos a través del Servicio, conforme a la normativa aplicable.
5. Almacenamiento y seguridad
5.1 Dónde se almacenan los datos
La infraestructura del Servicio se aloja en servidores administrados por Hetzner Online GmbH en su centro de datos de Helsinki, Finlandia. Cloudflare actúa como red CDN/edge global. MinIO (S3-compatible) auto-hospedado guarda fotos y backups.
La transferencia internacional de datos a Finlandia se hace bajo cláusulas contractuales estándar con el proveedor. La Unión Europea cuenta con un nivel de protección de datos adecuado y reconocido.
5.2 Medidas técnicas y organizacionales
- Cifrado en tránsito: TLS 1.3 para toda comunicación pública.
- Cifrado en reposo: contraseñas con bcrypt, sesiones WhatsApp cifradas.
- Aislamiento multi-tenant: cada query filtra por
business_id; tests automatizados verifican aislamiento entre negocios. - Autenticación de dos factores (2FA) para operadores internos.
- HMAC en comunicación interna entre microservicios.
- Logs estructurados con request_id correlation para auditoría.
- Backups automáticos diarios con retención de 7 días.
- Security headers en nginx (CSP, X-Frame-Options, etc.).
- Auditorías de seguridad internas periódicas (última: 2026-05).
6. Retención de datos
| Tipo de dato | Retención |
|---|---|
| Datos de la cuenta activa | Mientras la cuenta esté activa |
| Datos personales tras cancelación | 90 días (anonimización), salvo requerimientos tributarios |
| Transacciones (SII) | 6 años (Ley N° 18.320, Código Tributario) |
| Logs de seguridad | 90 días |
| Audit log (acciones sensibles) | 2 años |
| Backups de Postgres | 7 días |
| Mensajes WhatsApp + threads | Mientras la cuenta esté activa |
| Snapshots Hetzner (disco completo) | 7 días |
7. Tus derechos (ARCO)
La Ley 19.628 reconoce los siguientes derechos respecto a tus datos personales. Puedes ejercerlos contactando [email protected] o desde el panel del Servicio (sección Mi perfil):
- Acceso: solicitar copia de los datos que tenemos sobre ti.
- Rectificación: corregir datos inexactos o desactualizados.
- Cancelación / Eliminación: solicitar la eliminación o anonimización.
- Oposición: oponerte a un tratamiento específico (ej. emails de marketing).
- Portabilidad: recibir tus datos en formato estructurado (CSV/JSON) para llevarlos a otro servicio.
Tiempo de respuesta: máximo 30 días desde la solicitud. Para eliminación, ver §6 (transacciones SII se conservan 6 años por obligación legal).
8. Compartir datos con terceros
Compartimos datos limitados con proveedores que ejecutan partes del Servicio:
| Proveedor | Finalidad | Datos compartidos |
|---|---|---|
| Hetzner Online GmbH (DE/FI) | Hosting del servidor | Todos los datos del Servicio (cifrados en tránsito y bcrypt en passwords) |
| Cloudflare Inc. (US/global) | CDN, DNS, protección DDoS | IPs de visitantes, metadatos HTTP (no contenido cifrado) |
| Resend (US) | Envío de email transaccional | Email del destinatario + contenido del email |
| Sentry (US) | Error tracking (opt-in) | Stack traces, contexto del request, ID del usuario (no contraseñas ni pagos) |
| WhatsApp / Meta (US) | Mensajería WhatsApp | Mensajes intercambiados con clientes finales |
| releva-dte (CL) | Emisión de documentos tributarios electrónicos ante el SII (boletas y facturas) | Datos tributarios del negocio (RUT, razón social, giro, dirección), detalle de la venta documentada y, si el negocio lo capturó, el correo del cliente final para entregarle su boleta |
| GitHub Inc. (US) | Hosting del código + registro de imágenes Docker | Solo metadatos de despliegue, no datos del Cliente |
No vendemos datos a terceros para fines de marketing. Solo compartimos con autoridades cuando una orden judicial lo requiere expresamente.
9. Menores de edad
El Servicio no está dirigido a menores de 18 años. No registramos cuentas de Clientes menores de edad conscientemente. Si descubrimos que recolectamos datos de un menor sin consentimiento parental, los eliminamos inmediatamente.
Los clientes finales de un negocio pueden ser menores (un niño se corta el pelo). El Cliente es responsable de obtener autorización del adulto responsable antes de registrar datos de menores en el Servicio.
10. Cookies y tracking
Usamos cookies estrictamente necesarias para el funcionamiento del Servicio:
localStorage: tokens de sesión JWT (no cookies HTTP).- Preferencias del usuario (panel, location seleccionada).
No usamos cookies de tracking (Google Analytics, Facebook Pixel, etc.) ni en el panel del negocio ni en este sitio, y hoy este sitio no usa herramientas de analítica. Si creas una cuenta, guardamos el canal por el que llegaste (por ejemplo, un enlace de Instagram), que tu navegador recuerda solo mientras dura la visita.
En la página pública de cada negocio (agendafast.cl/nombre-del-negocio) contamos visitas de forma agregada y sin cookies, para saber cuánta gente ve esa página y de dónde llega (por ejemplo, desde Google, Instagram o un anuncio): cuántas visitas hubo cada día, desde qué tipo de dispositivo, desde qué sitio o campaña, y cuántas terminaron en una reserva. No guardamos tu dirección IP ni nada en tu dispositivo: para no contar dos veces a la misma persona en un mismo día se usa un identificador que cambia todos los días, se calcula en el momento y no se guarda, así que no permite reconocerte después ni seguirte entre sitios. Del sitio desde el que llegaste solo se registra el dominio, no la dirección completa.
Si en el futuro incorporáramos analítica basada en cookies o píxeles publicitarios, se actualizará esta política y se pedirá tu consentimiento.
11. Brechas de seguridad
En caso de detectar una brecha de seguridad que afecte datos personales, AgendaFast se compromete a:
- Investigar y contener el incidente en un máximo de 72 horas.
- Notificar a los Clientes afectados por correo electrónico, describiendo qué datos fueron expuestos, qué medidas tomamos y qué pueden hacer ellos.
- Publicar un postmortem público (con datos sensibles redactados) en status.agendafast.cl.
- Cooperar con autoridades si corresponde.
12. Cambios a esta política
Esta política puede actualizarse para reflejar cambios legales, nuevas funcionalidades o mejoras en transparencia. Las modificaciones materiales se comunicarán por email con 30 días de anticipación. La fecha de última actualización está al inicio del documento.
13. Contacto y reclamos
Para cualquier consulta o ejercicio de derechos: [email protected].
Si consideras que tus derechos no han sido respetados, puedes presentar un reclamo ante la autoridad nacional de protección de datos de Chile (cuando ésta entre en operaciones conforme a la nueva ley en discusión) o ante el Servicio Nacional del Consumidor (SERNAC).