Última actualización: 25 de agosto de 2026 Versión vigente desde: 25 de agosto de 2026
1. Quiénes somos
Krow (www.krow.cl) es una plataforma de software como servicio (SaaS) de apoyo al registro clínico, dirigida a psicólogos y centros de salud en Chile.
Krow es operada por Sebastián Jesús Aguirre Moyano Consultoría en Inteligencia Artificial E.I.R.L., RUT 78.498.529-6, domiciliada en Lago Llanquihue 121, Las Condes, Santiago, Chile (en adelante, “Krow”, “nosotros”).
| Contacto de privacidad | [email protected] |
| Asistencia general | [email protected] |
Tratamos datos personales conforme a la Ley N° 19.628 sobre protección de la vida privada y, a partir del 1 de diciembre de 2026, conforme a la Ley N° 21.719.
2. Lo más importante: Krow trata dos tipos de datos con roles distintos
Esta distinción determina quién responde por qué y a quién debe dirigirse cada persona. Léala antes que el resto.
Capa A — Datos de nuestros usuarios: Krow es responsable
Son los datos de los psicólogos y centros que contratan Krow: cuenta, contacto, facturación, uso de la plataforma. Respecto de ellos, Krow determina las finalidades y responde directamente ante el titular. Las solicitudes sobre estos datos se dirigen a [email protected].
Capa B — Datos clínicos de pacientes: Krow es encargado, no responsable
Son los datos que el profesional o el centro ingresa o genera sobre sus pacientes. Respecto de ellos:
- El responsable es el profesional tratante o el centro de salud, que es el prestador de salud, el titular de la ficha clínica y quien decide para qué se usan los datos.
- Krow actúa exclusivamente como encargado del tratamiento: trata esos datos por cuenta y bajo instrucciones del responsable, conforme al contrato de encargo (Anexo A de los Términos y Condiciones), y no les da uso propio alguno.
- Krow no recopila datos directamente de los pacientes por iniciativa propia, no es prestador de salud, no atiende, no diagnostica y no adopta decisiones clínicas.
Si usted es paciente y desea ejercer sus derechos, debe dirigirse a su profesional tratante o a su centro de salud, que es su responsable. Si nos escribe a nosotros, derivaremos su solicitud al responsable y se lo informaremos; no podemos resolverla directamente porque no somos quienes deciden sobre esos datos.
En la autorización que el paciente firma ante el profesional o el centro, Krow se presenta como la plataforma de uso de esa atención. Eso no cambia el rol de encargado de Krow frente al responsable (el profesional o el centro).
3. Datos que tratamos
3.1 Datos de usuarios (Capa A)
- Cuenta: nombre, apellido, correo electrónico, teléfono, profesión, credenciales de acceso.
- Facturación: datos necesarios para emitir documentos tributarios y procesar suscripciones y pagos.
- Uso y seguridad: dirección IP, tipo de navegador, identificadores de dispositivo, registros de actividad y de errores.
3.2 Datos clínicos de pacientes (Capa B)
Tratados por instrucción del responsable, comprenden datos de identificación y contacto y datos personales sensibles de salud:
- Ficha clínica, notas de sesión y objetivos terapéuticos.
- Audio de sesiones grabado por el profesional o el centro, y su transcripción.
- Análisis de apoyo generado mediante inteligencia artificial.
- Escalas y cuestionarios de apoyo (por ejemplo PHQ-9, GAD-7, C-SSRS).
- Diario y check-ins que el paciente completa entre sesiones desde un enlace personal.
- Señales de apoyo asociadas a riesgo, dirigidas al profesional.
La grabación, el análisis con inteligencia artificial y el uso de diario y check-ins requieren la autorización expresa, libre, informada y específica del paciente —o de su representante legal si es menor de 18 años—, que debe recabar el responsable antes de utilizar estas funcionalidades. Krow pone a disposición del responsable modelos de autorización para ese efecto.
3.3 Datos obtenidos a través de servicios de Google
Cuando el usuario decide conectar su cuenta de Google, accedemos a determinada información mediante las APIs de Google, según los permisos (scopes) que autorice expresamente:
- Autenticación (OAuth): al iniciar sesión accedemos a su correo electrónico, nombre y foto de perfil de Google (openid, email, profile), con el único fin de autenticar su identidad. El inicio de sesión no solicita permisos de Calendar.
- Google Calendar (calendar.events): creamos, actualizamos y, cuando corresponde, eliminamos eventos vinculados a las sesiones que el usuario agenda en Krow —incluyendo enlace de videollamada cuando la sesión es en línea— y leemos los eventos existentes del calendario que el usuario seleccione, para mostrar una agenda unificada.
- Google Calendar (calendar.freebusy): consultamos únicamente franjas de ocupación (ocupado/libre, sin títulos ni asistentes) para calcular disponibilidad y evitar sobreposiciones.
- Google Calendar (calendar.calendarlist.readonly): durante la configuración inicial leemos la lista de calendarios para que el usuario elija en cuál desea que Krow escriba las sesiones.
Krow no solicita los permisos calendar ni calendar.readonly: los anteriores son los mínimos necesarios y no conceden acceso general de lectura al contenido de los calendarios. Krow tampoco accede a correos, contactos ni archivos de Google Drive.
Finalidad: sincronizar la agenda clínica dentro de Krow. La conexión es opcional y se autoriza en un paso distinto del inicio de sesión; puede usarse Krow sin vincular Google Calendar.
Qué almacenamos: tokens OAuth necesarios para la sincronización, identificadores de los calendarios seleccionados e identificadores y enlaces de eventos asociados a sesiones en Krow. No almacenamos una copia completa del contenido del calendario.
Dónde: en nuestra infraestructura en Canadá (OVHcloud), con las mismas garantías descritas en la sección 7.
Cómo se revoca: desde Agenda en línea en Krow, o en los permisos de la cuenta de Google. Al revocar, dejamos de leer y escribir en el calendario y los tokens se invalidan.
3.4 Uso limitado de datos de Google (Limited Use)
El uso que Krow hace de la información recibida de las APIs de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos sus requisitos de Uso Limitado (Limited Use). En particular, Krow no usa estos datos con fines publicitarios; no los vende; no los transfiere ni divulga salvo para prestar o mejorar el servicio, por seguridad, para cumplir la ley, o en una fusión o adquisición con consentimiento del usuario; y no permite que personas los lean, salvo con consentimiento expreso, por seguridad, para cumplir la ley, o cuando estén agregados y anonimizados.
4. Para qué tratamos los datos
Capa A (Krow responsable): crear y administrar la cuenta; prestar el servicio; sincronizar la agenda; autenticar la identidad; procesar pagos y emitir documentos tributarios; brindar soporte; garantizar la seguridad y la continuidad de la plataforma; cumplir obligaciones legales; y, previo consentimiento separado, enviar comunicaciones comerciales.
Capa B (Krow encargado): exclusivamente las finalidades instruidas por el responsable y autorizadas por el paciente: registro clínico, grabación, transcripción, análisis de apoyo seudonimizado, escalas, diario y check-ins, almacenamiento y puesta a disposición del profesional tratante.
5. Base de licitud
Capa A: la ejecución del contrato de servicio; el cumplimiento de obligaciones legales, en especial tributarias; el interés legítimo en la seguridad de la plataforma; y el consentimiento del usuario tratándose de comunicaciones comerciales, revocable en cualquier momento.
Capa B: el responsable trata la ficha clínica en cumplimiento de una obligación legal (Ley N° 20.584 y Decreto N° 41/2012 MINSAL). La grabación, el tratamiento mediante inteligencia artificial, el diario, los check-ins y la transferencia internacional se fundan en el consentimiento expreso del paciente o de su representante legal. Corresponde al responsable —profesional o centro— obtener y conservar ese consentimiento; Krow trata estos datos sobre la base del contrato de encargo suscrito con él.
6. Inteligencia artificial
Las funcionalidades de transcripción, análisis y escalas son herramientas de apoyo al profesional. No sustituyen su criterio, no constituyen diagnóstico y no dan lugar a decisiones automatizadas con efectos jurídicos o significativos sobre los pacientes.
Antes de ser procesada por proveedores de inteligencia artificial, la información clínica se seudonimiza: se sustituyen los datos identificadores, de modo que no pueda atribuirse a una persona sin información adicional que se mantiene separada y protegida.
Los datos clínicos no se utilizan para entrenar, afinar ni mejorar modelos de inteligencia artificial, propios o de terceros. Esta prohibición se traslada por contrato a nuestros proveedores.
Señales de riesgo. La plataforma puede destacar al profesional expresiones o resultados asociados a riesgo, incluida la ideación suicida. Estas señales son un apoyo dirigido exclusivamente al profesional tratante; no constituyen evaluación clínica de riesgo, no operan en tiempo real ni fuera de la sesión, no garantizan la detección de todo riesgo y no constituyen un servicio de monitoreo ni de respuesta de emergencia. Ante una urgencia vital debe llamarse al 131 (SAMU) o comunicarse con Salud Responde, 600 360 7777.
7. Dónde se alojan los datos y transferencias internacionales
La plataforma y su base de datos se alojan en Canadá, con el proveedor OVHcloud. Canadá cuenta con reconocimiento internacional de nivel adecuado de protección de datos personales.
El audio de las sesiones se almacena en Cloudinary, fuera de Chile.
El procesamiento de transcripción y análisis puede realizarse:
- en Estados Unidos, con OpenAI, sobre información seudonimizada; y/o
- en Francia, con el servicio de transcripción WhisperX alojado en OVHcloud AI Deploy (Gravelines), cuando el responsable utiliza ese motor.
En todos los casos las transferencias se realizan bajo contrato escrito con obligaciones de confidencialidad, limitación de finalidad y seguridad, y con las garantías adecuadas exigidas por la legislación chilena.
8. Proveedores que tratan datos por nuestra cuenta
| Proveedor | Servicio | Ubicación |
|---|---|---|
| OVHcloud | Infraestructura, alojamiento y base de datos | Canadá |
| OVHcloud AI Deploy (WhisperX) | Transcripción de audio, cuando se usa ese motor | Francia |
| OpenAI | Transcripción y análisis de texto mediante IA (datos seudonimizados) | Estados Unidos |
| Cloudinary | Almacenamiento y entrega de archivos de audio | Estados Unidos |
| Ventipay | Procesamiento de pagos y suscripciones | Chile |
| Sentry | Monitoreo de errores y disponibilidad (sin datos clínicos ni identificadores de pacientes) | Estados Unidos |
| Autenticación y sincronización de calendario, cuando el usuario lo activa | Estados Unidos |
Todos actúan como encargados o subencargados, bajo contrato escrito, están obligados a tratar los datos solo conforme a nuestras instrucciones y tienen prohibido darles uso propio, venderlos, usarlos con fines publicitarios o emplearlos para entrenar modelos de inteligencia artificial.
La nómina vigente es esta tabla y se publica en www.krow.cl/privacidad. Se actualiza ante cualquier cambio.
9. Cuánto tiempo conservamos los datos
Capa A. Los datos de cuenta se conservan mientras la suscripción esté vigente y hasta 12 meses después de su término, salvo que el usuario solicite antes su eliminación. Los datos de facturación se conservan por los plazos que exige la legislación tributaria. Los registros de seguridad se conservan por 12 meses.
Capa B. Los plazos los determina el responsable. Por defecto aplicamos:
- Audio de sesión: se suprime dentro de 30 días desde generada la transcripción.
- Transcripción, análisis, diario y check-ins: se conservan mientras el responsable mantenga contratado el servicio.
- Al término del contrato: se devuelven o suprimen dentro de 30 días, según instruya el responsable.
- Supresión anticipada: ejecutamos dentro de 15 días hábiles la eliminación que el responsable instruya.
- Ficha clínica: su conservación —al menos quince años desde el último ingreso— es responsabilidad del profesional o centro.
Proveedores. Nuestros proveedores de transcripción y análisis conservan la información por períodos breves y acotados —actualmente hasta 30 días— por razones de seguridad y prevención de uso indebido, y luego la eliminan. Excepcionalmente, la legislación del país del proveedor puede obligarlo a conservarla por más tiempo, circunstancia que escapa a nuestro control.
10. Derechos de las personas
Usuarios de Krow (Capa A). Pueden solicitar acceso, rectificación, copia y, cuando la ley lo permita, cancelación u oposición. A partir del 1 de diciembre de 2026 podrán además ejercer los derechos de supresión, portabilidad y bloqueo que reconoce la Ley N° 21.719. Las solicitudes se dirigen a [email protected] y se responden dentro del plazo legal.
Pacientes (Capa B). Deben dirigir sus solicitudes al profesional tratante o al centro de salud, que es su responsable. Si nos las remiten a nosotros, las derivaremos al responsable e informaremos al solicitante, sin resolverlas directamente.
Toda persona puede reclamar ante la autoridad o el tribunal que la ley determine si estima vulnerados sus derechos.
11. Seguridad
Aplicamos medidas técnicas y organizativas proporcionales a la sensibilidad de los datos: cifrado en tránsito (TLS) y cifrado en reposo del diario; seudonimización previa al procesamiento con inteligencia artificial; control de acceso por profesional y, en centros, por los roles que el centro asigne; enlaces de diario y check-ins con token, de caducidad limitada y revocables; registros de auditoría; respaldos periódicos; y un procedimiento interno de gestión de incidentes.
Ningún sistema es completamente invulnerable. Los usuarios deben custodiar sus credenciales y notificarnos de inmediato cualquier uso no autorizado.
12. Incidentes de seguridad
Si ocurriere una vulneración de seguridad que afecte datos personales, notificaremos:
- al responsable (profesional o centro) dentro de las 24 horas siguientes a que tomemos conocimiento, cuando el incidente afecte datos de pacientes, para que pueda cumplir sus propios deberes de notificación;
- a los usuarios afectados y a la autoridad competente, cuando Krow sea el responsable y la ley lo exija.
13. Menores de edad
Krow está dirigida a profesionales. No admitimos como usuarios a menores de 18 años.
Los datos clínicos de pacientes menores de edad se tratan bajo la responsabilidad del profesional o centro, quien debe contar con la autorización del padre, madre o representante legal conforme al artículo 14 de la Ley N° 20.584, y dejar constancia de que el niño, niña o adolescente fue informado y oído según su edad y madurez.
14. Comunicaciones comerciales
Enviamos comunicaciones comerciales y newsletter solo a quienes lo consienten expresamente. Cada envío incluye un mecanismo de desuscripción y el consentimiento puede revocarse en cualquier momento escribiendo a [email protected]. Nunca utilizamos datos clínicos de pacientes con fines comerciales.
15. Cambios a esta Política
Podemos actualizar esta Política. Publicaremos la versión vigente en esta página con su fecha. Ante cambios sustanciales, notificaremos a los usuarios con al menos 15 días de anticipación.
Versión vigente: 25 de agosto de 2026.
16. Contacto
Consultas sobre privacidad: [email protected] Asistencia general: [email protected] Sebastián Jesús Aguirre Moyano Consultoría en Inteligencia Artificial E.I.R.L., RUT 78.498.529-6, Lago Llanquihue 121, Las Condes, Santiago, Chile.