Política de privacidad de Muveya

Última actualización: 21 de septiembre de 2026.

Esta Política de privacidad explica cómo Woku SpA trata datos personales al prestar Muveya. Muveya es un producto de Woku, operado por Woku SpA, que permite a clínicas y redes dentales gestionar su catálogo de insumos, su stock, sus pedidos internos y aprobaciones, y la custodia de las entregas entre sus sedes, con un registro de quién hizo qué.

1. Quiénes somos y cómo contactarnos

El responsable del tratamiento de Muveya es Woku SpA, sociedad constituida en Chile, con domicilio en Calle 120 39 Dp 14 B, Hualpén, Chile 4600150 (en esta Política, "Woku", "nosotros" o "nuestro"). "Muveya" se refiere al producto y a los servicios descritos en esta Política, no a una sociedad distinta. Términos como Cliente, Organización, Clínica, Bodega, Usuario y Plan se usan aquí con el significado que les dan los Términos de servicio.

• Consultas generales y soporte: [email protected]
• Privacidad, derechos sobre los datos y seguridad: [email protected]

Cuando un Cliente usa Muveya para gestionar su operación, ese Cliente determina los fines para los que se recopilan y usan los datos personales de su Organización, como la atribución de su personal en los registros operativos y las referencias de paciente que ingresa. En ese caso, el Cliente es el responsable y Woku trata esos datos por cuenta del Cliente como encargado, conforme al Acuerdo de tratamiento de datos. Cuando tratamos datos para administrar cuentas, autenticación, seguridad, soporte o nuestro propio sitio, Woku actúa como responsable.

2. A quién y a qué servicios se aplica

Esta Política se aplica a:

• personas que visitan muveya.com;
• propietarios, administradores y miembros de una Organización en Muveya, y personas invitadas a unirse a una;
• personas que solicitan acceso, información, soporte o una demostración;
• personas cuyos datos aparecen en los registros que un Cliente lleva en Muveya, como el personal mencionado en pedidos, aprobaciones, entregas o movimientos de stock.

Las organizaciones que usan Muveya pueden tener sus propias políticas de privacidad. Si usted trabaja para una organización que usa Muveya, o recibe atención en ella, revise también su aviso de privacidad.

3. Datos personales que tratamos

3.1 Cuenta, identidad y membresía en la Organización

Podemos tratar:

• nombre, dirección de correo electrónico e idioma de los correos de la cuenta;
• estado de verificación del correo, método de inicio de sesión (contraseña o Google) y proveedor de identidad;
• membresías, roles, permisos, acceso a Clínicas y Bodegas, invitaciones y Organización activa;
• fecha del último inicio de sesión.

No almacenamos su contraseña ni un hash de ella en Muveya: la autenticación la gestiona nuestro proveedor de identidad, Stytch.

Información que recibimos de Google. Si elige Acceder con Google, recibimos de Google, a través de Stytch, su dirección de correo electrónico, si Google la verificó y su nombre, si su cuenta de Google lo incluye. Muveya solicita solo los permisos básicos openid, email y profile. Usamos esta información solo para autenticar su acceso y para identificar o crear su cuenta de Muveya; si Google no entrega un nombre, usamos como nombre la parte de su correo anterior a la "@". No recibimos ni almacenamos tokens de acceso o de actualización de Google, no llamamos a otras API de Google y no usamos su foto de perfil ni otra información de su cuenta de Google. La sección 7 explica cómo se usa y comparte esta información.

3.2 Datos de seguridad y técnicos

Podemos tratar dirección IP, agente de usuario, identificadores de sesión, marcas de tiempo, registros de acceso, acciones administrativas, errores, solicitudes y señales para prevenir fraude o abuso.

Cada registro de sesión de la consola conserva la dirección IP y el agente de usuario desde los que se inició la sesión, para que las sesiones puedan reconocerse y revocarse, hasta que la sesión expira. Para limitar los intentos de inicio de sesión, almacenamos un hash que combina su correo con el rango de red de su dirección IP, no la dirección misma. Las acciones sensibles dentro de una Organización quedan en registros de auditoría que identifican quién actuó, la acción, el recurso y el resultado.

La dirección IP también puede ser tratada temporalmente por nuestros proveedores de red y alojamiento, en sistemas de seguridad, en registros operativos o en la limitación de solicitudes.

3.3 Datos operativos y Datos del Cliente

Un Cliente y sus Usuarios pueden crear o cargar:

• fotos de envases de insumos que los Usuarios deciden enviar para el alta asistida en el catálogo y los campos propuestos que revisan;
• nombres de la Organización y de sus Clínicas, Bodegas y destinos de consumo;
• artículos del catálogo, presentaciones, códigos comerciales y sus emisores, categorías y costos;
• cajas de stock con su lote, números de serie y fechas de vencimiento;
• movimientos de stock, como recepciones, consumos, transferencias, ajustes y conteos, con el Usuario que los registró y, en las correcciones, el motivo;
• pedidos internos, decisiones de aprobación y sus comentarios;
• confirmaciones de despacho, entrega y recepción y sus notas;
• archivos de catálogo importados en formato CSV.

El Cliente decide qué datos incluir. No debe incluir datos personales o sensibles que no esté autorizado a tratar. Los costos, los valores de los pedidos y las referencias de paciente se eliminan en nuestros servidores antes de que los datos lleguen a Usuarios que no tienen el permiso correspondiente.

3.4 Referencias de paciente y de atención

Un pedido interno puede llevar una referencia de paciente, y una salida de stock puede llevar una referencia de atención. Ambas son códigos opacos que el Cliente toma de sus propios sistemas clínicos o de gestión; Muveya no es una ficha clínica. Las protegemos así:

• se cifran campo por campo (AES-256-GCM) antes de almacenarse;
• solo se muestran a Usuarios con el permiso para leer referencias de paciente;
• se excluyen de los registros de la aplicación, las exportaciones, la API pública y el acceso MCP.

El Cliente no debe ingresar nombres de pacientes, números de identificación nacional (como el RUT chileno), diagnósticos, historias clínicas ni otros datos identificatorios o clínicos en estas referencias ni en ningún campo de texto libre. La justificación de texto libre de un pedido se revisa automáticamente contra patrones comunes de identificadores; los demás campos de texto libre, como comentarios y notas, no se revisan.

3.5 Solicitudes de acceso

Si nos escribe para solicitar acceso a Muveya, información o una demostración, tratamos la información que incluya en su mensaje, como su nombre, dirección de correo electrónico y organización, para responderle y dar seguimiento a su solicitud. muveya.com no tiene formularios de contacto ni de captación de prospectos.

3.6 Sin datos de pago durante el piloto

Durante el piloto, el Servicio es gratuito. Muveya no tiene un proceso de compra, no recopila medios de pago y no recibe datos de tarjetas ni de facturación. Si se introducen Planes pagados, los anunciaremos con anticipación y actualizaremos esta Política antes de recopilar cualquier dato de pago.

3.7 Soporte y comunicaciones

Tratamos el contenido de correos, solicitudes, reuniones, respuestas a encuestas y otros mensajes que nos envíe, junto con los datos necesarios para responder y mantener un registro de la solicitud.

También enviamos los correos de cuenta necesarios para usar el Servicio: verificación de su dirección de correo, incluso al aceptar una invitación, configuración de su primera contraseña e invitaciones para unirse a una Organización. Se envían desde [email protected] mediante Amazon SES, en el idioma de su cuenta, y no incluyen costos ni referencias de paciente.

Estos correos son comunicaciones operativas, no de marketing. Las comunicaciones promocionales no vinculadas a su uso del Servicio requieren una base legal y preferencias separadas.

3.8 Analítica

No usamos analítica de producto, píxeles publicitarios ni herramientas de seguimiento de terceros en la consola de Muveya ni en muveya.com. Si incorporamos analítica, primero actualizaremos esta Política y, cuando la ley lo exija, solo la cargaremos después de su consentimiento.

La app Android usa Google ML Kit para leer códigos de barras en el dispositivo. Google recolecta información técnica del dispositivo, la app, la instalación, los eventos del lector, los errores, la configuración y el rendimiento para diagnóstico y análisis de uso. Las imágenes de la cámara del lector se procesan en el teléfono; las fotos de envases enviadas voluntariamente para el alta asistida siguen la sección 6. Consulte la declaración de datos de ML Kit.

4. De dónde obtenemos los datos

Obtenemos datos:

• directamente de usted o del Cliente que administra la Organización, incluso cuando le envía una invitación;
• de otros Usuarios de la Organización, cuando registran operaciones en las que usted participa;
• automáticamente de navegadores, dispositivos, sistemas de seguridad y registros técnicos;
• de Google, a través de Stytch, cuando elige acceder con Google;
• de los propios sistemas del Cliente, cuando ingresa referencias o importa archivos, y de otras fuentes que un Cliente nos instruya tratar y respecto de las cuales declare contar con autorización.

5. Para qué y por qué tratamos datos

La base legal exacta depende del país y de la relación. Cuando la ley aplicable exige identificarla, usamos las siguientes:

Cuando nos basamos en el consentimiento, puede retirarlo en cualquier momento sin afectar la licitud del tratamiento realizado antes.

6. Inteligencia artificial

Muveya puede leer fotos del envase de un insumo para proponer campos del catálogo, como nombre, marca, presentación, lote y fechas. Cuando elige esta función, enviamos las fotos, el código de barras escaneado si existe y el idioma de su interfaz a OpenAI para generar la propuesta. No agregamos su perfil de cuenta, otros registros de la Organización ni referencias de pacientes a esta solicitud. Fotografíe solo el envase, sin personas, recetas, etiquetas de pacientes ni otra información personal o clínica.

• No usamos Datos del Cliente para entrenar ni ajustar modelos. OpenAI no usa los datos de su API para entrenamiento de forma predeterminada; consulte sus controles de datos de la API.
• La propuesta puede contener errores. Usted revisa y confirma los campos antes de guardar; el modelo no puede aprobar pedidos ni cambiar el stock.
• Guardamos de forma privada las fotos de envases enviadas para trazabilidad, incluidas las enviadas antes de completar la creación del insumo. No se borran automáticamente tras la respuesta ni si cancela. Su conservación y eliminación siguen la sección 10 y el DPA.
• OpenAI puede conservar las entradas y salidas conforme a sus controles estándar de datos de la API. Muveya no promete retención cero ni tratamiento exclusivo en su país.
• Los cambios sustanciales de esta función o sus proveedores siguen el proceso de aviso de la sección 15 y del DPA.

7. Con quién compartimos datos

Solo podemos compartir datos cuando sea necesario con:

1. Proveedores de infraestructura y operación. Incluyen, según el servicio activo y el rol aplicable, Amazon Web Services (incluido Amazon SES para los correos de cuenta), MongoDB Atlas, Cloudflare, Stytch y OpenAI para la función de fotos de la sección 6. El Anexo III del DPA identifica cuáles actúan como subencargados de los Datos del Cliente y sus roles.
2. Acceso con Google y lector Android. Si elige acceder con Google, Google recibe la solicitud de autenticación y comparte con Stytch y Woku los datos descritos en la sección 3.1. Google también recibe los datos de diagnóstico del lector Android descritos en la sección 3.8 cuando la app usa ML Kit.
3. El Cliente y sus Usuarios. Dentro de una Organización, los datos se muestran a sus Usuarios según sus roles, permisos y acceso a Clínicas. Si el Cliente crea claves de API, sus propios sistemas pueden leer los datos de su Organización mediante la API de solo lectura, dentro de los permisos de cada clave.
4. Autoridades y asesores. Cuando sea razonablemente necesario para cumplir una obligación legal, proteger derechos, investigar abusos o establecer, ejercer o defender reclamaciones.
5. Operaciones societarias. En una fusión, adquisición, financiamiento, reorganización o venta, sujeto a confidencialidad y a la ley aplicable.

Woku no vende datos personales ni los usa para publicidad comportamental.

Uso de la información recibida de Google. Usamos la información que recibimos de Google solo para autenticar su acceso y para identificar o crear su cuenta de Muveya. No la usamos para publicidad, no la vendemos y no la transferimos a terceros, salvo a los proveedores que nos ayudan a prestar el Servicio (Stytch y nuestros proveedores de alojamiento y base de datos), cuando sea necesario para cumplir la ley aplicable o como parte de una fusión, adquisición o venta de activos con aviso a usted. Las personas de Woku no la leen, salvo cuando usted nos pide soporte, por motivos de seguridad o para cumplir la ley. La conservamos mientras exista su cuenta, y puede pedirnos que la eliminemos como se describe en la sección 12. El uso y la transferencia que Muveya hace de la información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use).

8. Cookies, almacenamiento local y tecnologías similares

Usamos distintas tecnologías según la superficie:

• Consola: cookies estrictamente necesarias para una sesión opaca (__Host-muveya_session, no legible por JavaScript) y para la protección CSRF (__Host-muveya_csrf), además de una cookie temporal (__Host-muveya_google, hasta 10 minutos) mientras accede con Google. Todas son Secure y SameSite=Strict. La sesión tiene un máximo absoluto de 30 días desde el inicio de sesión y no vence por inactividad. La consola también usa sessionStorage para continuar un inicio de sesión o una invitación y volver a la página que solicitó, y localStorage para recordar el idioma de la interfaz.
• muveya.com: sin cookies de analítica, publicidad ni seguimiento. El sitio puede establecer una cookie funcional NEXT_LOCALE para recordar su idioma.
• Acceder con Google: durante la redirección, nuestro proveedor de identidad y Google pueden establecer sus propias cookies conforme a sus políticas.

Esta sección es nuestra información sobre cookies; no existe una política de cookies separada. Puede eliminar las cookies y los datos del sitio en cualquier momento desde su navegador; sin las cookies estrictamente necesarias no podrá iniciar sesión en la consola.

9. Transferencias internacionales

Woku está ubicada en Chile y usa proveedores que operan en Estados Unidos y en otras jurisdicciones. Por ello, los datos pueden tratarse fuera del país donde usted reside.

Cuando la ley aplicable lo exige, usamos mecanismos reconocidos, como decisiones de adecuación, cláusulas contractuales tipo, adendas de transferencia y medidas complementarias técnicas u organizativas. La lista pública de proveedores del Anexo III del DPA identifica las ubicaciones relevantes de cada servicio; los servicios de red y seguridad pueden tratar tráfico en una red global.

10. Cuánto tiempo conservamos los datos

Conservamos los datos solo durante el tiempo necesario para los fines descritos, para cumplir la ley, resolver disputas y hacer cumplir nuestros acuerdos.

Cuando un dato deba conservarse por una obligación legal o la defensa de reclamaciones, se restringirá a ese fin. Terminar el piloto o dejar de usar el Servicio no elimina por sí solo una Organización ni una cuenta; para solicitarlo, escríbanos como se describe en la sección 12.

11. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo en el servicio de producción en operación. Estas medidas incluyen:

• cifrado en tránsito en las interfaces controladas por Woku y cifrado en reposo gestionado por los proveedores;
• sesiones opacas y revocables almacenadas como hash;
• control de acceso por rol y permiso, con acceso que puede limitarse a Clínicas específicas, y aislamiento entre Organizaciones que deniega el acceso por defecto;
• cifrado a nivel de campo de las referencias de paciente y de atención;
• eliminación en el servidor de costos, valores de pedidos y referencias de paciente para Usuarios sin permiso;
• almacenamiento privado de archivos y enlaces de descarga firmados de corta duración;
• secretos gestionados fuera del código;
• límites a los intentos de inicio de sesión y a la frecuencia de solicitudes a la API pública;
• un segundo factor de autenticación opcional con una aplicación de autenticación;
• registros de la aplicación que ocultan credenciales, cookies, cuerpos de solicitudes, costos y referencias de paciente.

Ningún sistema es infalible. Si detecta una vulnerabilidad o un posible incidente, escriba a [email protected] y evite incluir datos personales innecesarios en el primer mensaje.

Cuando Woku actúa como responsable y una violación de seguridad representa un riesgo que deba comunicarse, notificaremos a las personas afectadas y a las autoridades pertinentes sin dilación indebida y dentro de los plazos de la ley aplicable. La comunicación describirá la naturaleza conocida, las consecuencias probables, las medidas adoptadas y el canal de contacto, y podrá entregarse por fases si la investigación continúa.

12. Sus derechos

Según su jurisdicción, usted puede tener derecho a:

• saber si tratamos sus datos y acceder a ellos;
• rectificar datos inexactos o incompletos;
• solicitar la eliminación, el bloqueo o la limitación;
• oponerse a ciertos tratamientos;
• retirar su consentimiento;
• recibir sus datos en un formato portable cuando corresponda;
• no ser objeto de una decisión basada únicamente en un tratamiento automatizado con efectos jurídicos o similares cuando la ley lo limite;
• presentar un reclamo ante la autoridad competente.

Para ejercer un derecho sobre su cuenta o muveya.com, incluida la eliminación de su cuenta y de la información recibida de Google, escriba a [email protected]. Podemos solicitar información razonable para verificar su identidad y proteger a otras personas. Acusaremos recibo y comunicaremos el plazo esperado sin dilación indebida; responderemos dentro del plazo aplicable en su jurisdicción. Muveya no ofrece exportación ni eliminación de cuentas en autoservicio: una persona de Woku atiende cada solicitud a mano en los sistemas subyacentes, así que cuando una solicitud requiera extraer o quitar registros le explicaremos en qué consiste ese trabajo manual y lo mantendremos informado hasta completarlo.

Si su solicitud se refiere a datos que están en la Organización de un Cliente, como sus registros como parte del personal de una clínica o una referencia de paciente, contacte primero a ese Cliente. Si nos escribe, derivaremos o apoyaremos la solicitud según las instrucciones y obligaciones del Cliente responsable, sin revelar datos de otra Organización.

Actualmente rige en Chile la Ley N.° 19.628. Las modificaciones de la Ley N.° 21.719, incluidos nuevos derechos y reglas, entran en vigor el 1 de diciembre de 2026; hemos redactado esta Política considerando ese marco reforzado.

13. Menores y datos de alto riesgo

Muveya es un servicio para empresas y no está dirigido a menores de 18 años. Los Clientes no deben ingresar datos identificatorios o clínicos de pacientes de ninguna edad más allá de las referencias opacas descritas en la sección 3.4, ni recopilar deliberadamente datos de menores o de categorías sensibles sin una base legal adecuada, controles y un acuerdo específico. Si cree que recibimos datos de un menor sin autorización, escriba a [email protected].

14. Enlaces y servicios de terceros

muveya.com y la consola pueden contener enlaces o integraciones con servicios de terceros, como Acceder con Google. Sus políticas y prácticas pertenecen a esos terceros. Revise su información antes de entregarles datos.

15. Cambios a esta Política

Podemos modificar esta Política para reflejar cambios en el Servicio, los proveedores o la legislación. Publicaremos la versión y la fecha actualizadas. Cuando un cambio material afecte negativamente sus derechos, avisaremos con al menos 30 días de anticipación por correo electrónico o dentro del Servicio, salvo que una obligación legal, de seguridad o de emergencia exija actuar antes. Pediremos un consentimiento adicional cuando la ley lo exija.

16. Contacto y reclamos

• Privacidad y ejercicio de derechos: [email protected]
• Consultas generales: [email protected]
• Correo postal: Woku SpA, Calle 120 39 Dp 14 B, Hualpén, Chile 4600150

Si no está conforme con nuestra respuesta, puede recurrir a la autoridad de protección de datos o al tribunal competente de su jurisdicción.