Política de Privacidad de Oktico

1. Roles Legales: Responsable vs. Encargado del Tratamiento

Para comprender la gestión de la privacidad en Oktico, es indispensable distinguir con claridad jurídica los dos niveles de tratamiento de datos:

• Oktico como Responsable del Tratamiento (Titular del Banco de Datos): Respecto a la información de los usuarios directos de la plataforma (dueños de ópticas, administradores y empleados), Oktico determina las finalidades y medios del tratamiento para gestionar sus cuentas, facturación, autenticación, soporte técnico y seguridad de la infraestructura.
• La Óptica / Cliente como Responsable del Tratamiento: Respecto a los datos personales y datos sensibles de salud de sus pacientes (nombres, DNI, fórmulas refractivas, recetas oftálmicas e imágenes de biomicroscopía), la Óptica es quien decide el registro y recopilación de dicha información. La Óptica es legalmente responsable de recabar el consentimiento informado de sus pacientes.
• Oktico como Encargado del Tratamiento: Oktico únicamente almacena, procesa y realiza copias de seguridad de la base de datos de pacientes bajo estricta instrucción técnica de la Óptica a través del software. Oktico no utiliza, no comercializa, no cede ni monetiza los datos de los pacientes bajo ninguna circunstancia.

2. Categorías de Datos Recopilados

2.1. Datos de los Usuarios (Profesionales y Negocios de Óptica)

• Datos de Identificación y Registro: Nombres, apellidos, dirección de correo electrónico, número de teléfono móvil con código de país y nombre comercial de la óptica.
• Registro mediante Proveedores Externos (Google OAuth): Si optas por registrarte o iniciar sesión con tu cuenta de Google, recibimos tu nombre, dirección de correo electrónico y tu identificador único de usuario de Google para validar tu acceso de forma segura.
• Datos de Configuración y Facturación de la Óptica: Razón social, RUC (Registro Único de Contribuyentes), dirección fiscal y sedes. Estos datos son ingresados voluntariamente por el usuario en la sección de Configuración para fines de personalización y cobros.
• Datos de Colaboradores / Empleados: En caso de que invites colaboradores a tu equipo o estos se unan mediante tu Código de Óptica o enlace de invitación, recopilamos su nombre, correo y los roles o permisos específicos asignados.
• Logotipos y Fotografías de Perfil: Imágenes que el usuario cargue y recorte para personalizar el perfil de su óptica o su avatar de usuario.
• Datos Técnicos y de Navegación: Dirección IP, tipo de navegador, sistema operativo, zona horaria y registros técnicos de actividad para auditoría de seguridad interna y prevención de accesos indebidos.

2.2. Datos de los Pacientes (Cargados por la Óptica)

• Datos de Contacto y Filiación: Nombres, apellidos, número de documento de identidad (DNI u otro), edad, fecha de nacimiento, teléfono, correo electrónico y domicilio.
• Datos Clínicos Optométricos: Agudeza visual, prescripciones ópticas, medidas de refracción (esfera, cilindro, eje, adición, distancia pupilar), adaptación de lentes de contacto y antecedentes visuales.
• Datos e Imágenes de Lámpara de Hendidura: Documentación fotográfica digital y descripciones clínicas del examen biomicroscópico de párpados, conjuntiva, córnea, cámara anterior, iris y cristalino.
• Historial Comercial y Órdenes: Cotizaciones previas, compras de monturas, lunas solicitadas, adelantos, saldos y órdenes de trabajo enviadas a laboratorio.

2.3. Datos Vinculados al Servicio de Migración de Datos

Cuando un cliente contrata el servicio de migración de datos, Oktico recibe de forma temporal archivos de hojas de cálculo (Excel/CSV) o fotografías/escaneos de cuadernos o fichas clínicas físicas. Estos archivos se utilizan única y exclusivamente para estructurar, validar e inyectar la información en la cuenta del cliente contratante.

3. Finalidad del Tratamiento de los Datos

La información recopilada se utiliza estrictamente para:

• Habilitar el funcionamiento de los módulos de la plataforma (CRM de pacientes, órdenes de laboratorio, cotizador, lámpara de hendidura, calendario de citas e inventario).
• Autenticar y validar la identidad de los usuarios, incluyendo el envío de códigos de verificación por correo electrónico para garantizar cuentas legítimas y libres de spam.
• Procesar cobros de suscripciones y emitir los comprobantes correspondientes.
• Brindar soporte técnico y atención a incidencias a través de nuestros canales oficiales (correo electrónico y WhatsApp).
• Detectar, investigar y mitigar intentos de intrusión, accesos no autorizados o usos fraudulentos de la plataforma.
• Realizar copias de seguridad periódicas y asegurar la integridad de la base de datos.

4. Destinatarios y Subencargados del Tratamiento

Para prestar una plataforma con disponibilidad de nivel internacional, Oktico comparte datos técnicos estrictamente indispensables con proveedores tecnológicos de primer orden bajo acuerdos de confidencialidad y tratamiento de datos:

• Supabase Inc. (AWS us-west-2, EE.UU.): Infraestructura de base de datos PostgreSQL y almacenamiento seguro de archivos en la nube, certificada con los estándares SOC 2 Type 2 e ISO/IEC 27001:2022.
• Lemon Squeezy (EE.UU.): Procesamiento de pagos con tarjeta de crédito/débito y gestión de suscripciones recurrentes actuando como Merchant of Record. Oktico nunca accede ni guarda números de tarjetas bancarias.
• Decolecta (Perú): Proveedor técnico de API para la consulta y autocompletado automatizado de datos de identificación civil (DNI ante RENIEC y RUC ante SUNAT) para optimizar el registro en mostradores ópticos.
• PostHog Inc. (EE.UU.): Analítica de uso e interacciones dentro de la plataforma (captura de clics y navegación). Declaración de Privacidad: PostHog tiene deshabilitada por configuración cualquier grabación de pantalla, video de sesiones o captura de expedientes clínicos de pacientes.
• Sentry (Functional Software Inc., EE.UU.): Monitoreo de estabilidad y registro de fallos técnicos de software, con reglas de sanitización activas que filtran contraseñas y datos clínicos sensibles antes de emitir cualquier reporte.
• Resend Inc. (EE.UU.): Servicio de infraestructura para el envío de correos electrónicos transaccionales y códigos de verificación de cuenta.
• Google LLC: Proveedor de autenticación federada (Google OAuth) y sincronización opcional con Google Calendar para citas optométricas, ejecutada de manera directa vía API bajo el consentimiento expreso del usuario.
• Requerimientos de Autoridades: Revelación exclusiva ante mandato judicial debidamente motivado u orden fundada de autoridad competente conforme al ordenamiento jurídico peruano.

5. Seguridad y Aislamiento de la Información

Implementamos salvaguardas técnicas y lógicas diseñadas para preservar la confidencialidad de la información clínica y comercial:

• Aislamiento por Óptica (Row Level Security - RLS): La base de datos cuenta con políticas de seguridad por fila (RLS) que aíslan estrictamente el acceso a los datos, garantizando que cada óptica solo puede consultar y modificar sus propios registros.
• Cifrado en Tránsito y Reposo: Todas las comunicaciones viajan protegidas mediante protocolos HTTPS / TLS. Las contraseñas se almacenan mediante funciones criptográficas irreversibles.
• Copias de Seguridad Periódicas: Respaldos periódicos automatizados para asegurar la integridad de la información y la continuidad operativa.
• Control de Acceso por Roles: El sistema permite que el Administrador defina permisos diferenciados para sus colaboradores ópticos.

6. Retención y Ciclo de Vida de los Datos

• Datos de Cuenta y Pacientes: Se conservan durante el período en que la cuenta permanezca activa.
• Período de Gracia de 30 Días tras Baja: Al solicitar la baja definitiva de una cuenta, el acceso se suspende y los datos permanecen bajo resguardo durante un período de gracia de treinta (30) días calendario, tiempo durante el cual el usuario puede solicitar su reactivación o exportación asistida de respaldos. Culminado este plazo, se ejecuta el borrado definitivo e irreversible de la base de datos y buckets de almacenamiento.
• Archivos de Migración: Las hojas de cálculo o imágenes facilitadas para el servicio de digitalización inicial se eliminan de forma segura una vez concluida la carga y verificación por parte del cliente.

7. Ejercicio de Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición)

Conforme a la Ley N° 29733 de Protección de Datos Personales en el Perú:

• Derechos del Usuario de Oktico: Como titular de tu cuenta en Oktico, puedes ejercer tus derechos de acceso, rectificación, cancelación u oposición enviando tu solicitud a soporte@oktico.com acompañada de copia de tu documento de identidad.
• Derechos de los Pacientes de la Óptica: Dado que la Óptica es la Responsable del Tratamiento del banco de datos de sus pacientes, cualquier paciente que desee ejercer sus derechos ARCO respecto a sus prescripciones o fichas clínicas debe solicitarlo directamente ante la óptica donde fue atendido.

8. Modificaciones y Actualizaciones

Esta Política de Privacidad podrá actualizarse para reflejar mejoras operativas, nuevas herramientas o adecuaciones regulatorias. Las modificaciones serán publicadas oportunamente en esta página web con indicación de su fecha de vigencia.