Seguridad de la información

Medidas técnicas

• Conexión cifrada: todos nuestros sitios funcionan solo con HTTPS (TLS). Nadie en tu red puede leer lo que envías.
• Base de datos cifrada: la información se guarda cifrada en los servidores de nuestro proveedor (Supabase, São Paulo), que cuenta con certificación de seguridad SOC 2.
• Acceso mínimo: el sitio público no puede leer la base de datos. Solo puede consultar horas libres y crear o gestionar su propia reserva mediante funciones controladas.
• Enlaces secretos: cada reserva tiene un enlace único y aleatorio imposible de adivinar. Quien no lo tenga no puede ver ni cambiar tu reserva.
• Permisos por rol: el sistema separa al administrador, al encargado de turno y al encargado de cada empresa. Cada uno ve solo lo que necesita: una empresa nunca ve clientes de otra ni datos de salud.
• Contraseñas protegidas: se guardan cifradas con algoritmos de una sola vía; ni siquiera nuestro equipo puede verlas. Las contraseñas temporales deben cambiarse en el primer ingreso.
• Sin datos de tarjetas: los pagos se hacen en el centro; no almacenamos datos de tarjetas ni cuentas bancarias.
• Protección del navegador: cabeceras de seguridad que impiden que nuestros sitios se incrusten en páginas ajenas y limitan desde dónde se pueden cargar contenidos.
• Validación en el servidor: todas las reglas (horarios, cupos, plazos de cambio) se verifican en la base de datos, no solo en la página, para que no puedan saltarse.
• Credenciales fuera del código: las claves de servicios (correo, etc.) se guardan como secretos del servidor, nunca en las páginas ni en el código fuente.

Medidas organizativas

• Minimización: pedimos solo los datos necesarios para reservar y atenderte.
• Confidencialidad: el equipo con acceso al sistema está obligado a guardar reserva sobre la información de clientes.
• Accesos personales: cada integrante del equipo tiene su propio usuario; cuando alguien deja de trabajar con nosotros, se le quita el acceso de inmediato.
• Conservación limitada: los datos de quien no nos visita hace 5 años se anonimizan automáticamente cada mes.
• Registro de acciones: quedan registradas las exportaciones y eliminaciones de datos personales y las respuestas a solicitudes de derechos.
• Proveedores evaluados: trabajamos con proveedores que ofrecen garantías contractuales y técnicas de protección de datos.
• Protocolo de incidentes: ante una vulneración, contenemos el problema, evaluamos su alcance y notificamos a la Agencia de Protección de Datos Personales y, cuando corresponda, a las personas afectadas.

Cómo puedes ayudar

• No reenvíes el correo de tu reserva: el enlace permite cambiarla o cancelarla.
• Nunca te pediremos contraseñas ni datos bancarios por correo o WhatsApp. Si recibes un mensaje así a nombre de Vitality Lab, no respondas y avísanos.
• Si eres encargado de una empresa o parte del equipo: usa una contraseña única y no la compartas.

Reportar un problema de seguridad

Si detectas una vulnerabilidad o un posible uso indebido de datos, escríbenos a contacto@vitalitylab.cl con el asunto «Seguridad». Agradecemos los reportes responsables: no accedas a datos de otras personas ni afectes el servicio al investigar.

Más información sobre cómo tratamos tus datos en la Política de Privacidad.