Política de Privacidad

0. Alcance de esta política

Esta política cubre la plataforma Tommi.AI: la aplicación móvil para Android e iOS, la aplicación web del cuidador y el servicio (backend) que las atiende.

Cuando esta política describe permisos del teléfono y comportamiento en el dispositivo (sección 2.3), se refiere a la aplicación móvil publicada en Google Play y App Store. La aplicación web no pide permisos del sistema operativo y se comporta como cualquier sitio en tu navegador.

Esta política describe lo que la plataforma hace hoy, no lo que pensamos construir. Cuando una funcionalidad existe en el código pero está apagada en la versión publicada, lo decimos de forma explícita en vez de callarlo o de presentarlo como activo.

1. Identificación del responsable de datos

El responsable del tratamiento de los datos personales recolectados a través de la plataforma Tommi.AI, en cumplimiento del artículo 2 letra v) de la Ley N° 21.719, es:

Delegado de Protección de Datos (DPO)

A la fecha de esta versión, Tommi.AI no ha designado formalmente un Delegado de Protección de Datos. No queremos presentarlo como resuelto cuando no lo está.

Mientras la designación se formaliza, el punto único de contacto para cualquier asunto de privacidad es soporte@tommiai.com, y la responsable de responder es la representante legal indicada arriba. La designación formal debe estar hecha antes del 1 de diciembre de 2026, fecha de entrada en vigencia plena de la Ley N° 21.719.

2. Datos personales que recolectamos

Tommi.AI clasifica internamente los datos en cuatro niveles de sensibilidad (Tier 1 público, Tier 2 interno, Tier 3 confidencial o datos personales, Tier 4 restringido o salud de menores). Esta política se enfoca en Tier 3 y Tier 4.

2.1 Datos del cuidador y del especialista (Tier 3)

2.2 Datos del menor bajo cuidado (Tier 4, datos sensibles de salud)

Estos datos se tratan con el máximo nivel de protección y requieren consentimiento parental explícito antes de ser recolectados (ver sección 5).

Sobre el RUT del menor. El modelo de datos del servicio tiene una columna para el RUT del menor, pensada para interoperabilidad clínica futura. Ninguna pantalla de la aplicación móvil ni de la aplicación web pide hoy el RUT del menor, y por lo tanto hoy no lo recolectamos. Si en el futuro lo pedimos, actualizaremos esta política y te lo informaremos antes, conforme a la sección 15.

Sobre sensores y dispositivos vestibles. El servicio tiene un modelo de datos para registros de sensores (frecuencia cardíaca, pasos, sueño y otros) y un punto de entrada para recibirlos. La aplicación publicada no lee Health Connect en Android ni HealthKit en iOS: los permisos de salud están bloqueados en el binario y no existe ninguna pantalla desde la que puedas llegar a esa función. Es decir: la capacidad existe en el código, pero está apagada en la versión que tú usas. Si la activamos, requerirá un consentimiento específico y una actualización de esta política.

Sobre la búsqueda por vectores. Para encontrar material de referencia pertinente, el servicio convierte textos en listas de números, lo que técnicamente se llama vectores o embeddings. Queremos ser precisos sobre a qué se le aplica eso y a qué no.

Hoy se aplica a nuestra base de referencias biomédicas públicas: artículos de PubMed, ensayos de ClinicalTrials.gov, información de medicamentos de DailyMed, openFDA y RxNorm, y catálogos públicos de DATASUS. Son documentos públicos y no contienen ningún dato de tu hijo o hija.

Las notas clínicas de tu hijo o hija no se convierten en vectores. Su ficha no tiene ningún campo donde se pueda guardar un vector, y no existe ningún proceso que tome una nota clínica y la vectorice. La versión 1.1 de esta política, vigente desde el 12 de mayo de 2026, decía que de las notas clínicas podían derivarse vectores para búsqueda semántica. Lo revisamos contra el código: no ocurría. Lo corregimos acá.

2.3 Permisos del teléfono que usa la aplicación

Esta sección reemplaza a una versión anterior de esta política que afirmaba, de forma incorrecta, que no accedíamos al micrófono ni a los contactos y que no usábamos reconocimiento de voz ni biometría. Las cuatro afirmaciones eran falsas. Acá está lo que realmente ocurre.

Micrófono y dictado por voz

• Cuándo se usa. Solo cuando tocas el botón de micrófono, en dos lugares: la nota del diario emocional y el chat con Tommi. No hay escucha continua, no hay palabra de activación y la sesión de dictado se corta sola al terminar de hablar o al salir de la pantalla.
• Quién transcribe. La transcripción la hace el servicio de reconocimiento de voz de tu propio teléfono, el mismo que usa el dictado del teclado: Google en Android, Apple en iOS.
• A dónde puede ir el audio. Ese servicio del teléfono puede enviar el audio a los servidores de Google o de Apple para transcribirlo. No es procesamiento garantizado dentro del dispositivo. Este envío lo hace el sistema operativo, no Tommi.AI, y ocurre fuera de nuestro control.
• Qué hace Tommi.AI con el audio. Nada. Tommi.AI nunca recibe el audio, nunca lo guarda y nunca lo transmite a sus servidores. Lo único que sale de tu teléfono hacia nosotros es el texto que tú revisas y confirmas, guardado como la nota del registro.
• Qué no hacemos con la voz. No identificamos quién habla, no generamos huellas de voz, no separamos voces y no inferimos emociones a partir del audio. De la transcripción solo leemos el texto.
• Tu control. El dictado es opcional. Puedes escribir siempre. Si niegas el permiso de micrófono, la aplicación sigue funcionando completa, solo sin dictado.

Sobre el aviso que ves dentro de la aplicación, y sobre la versión que tienes instalada. En el diario emocional, el aviso de dictado te dice las dos cosas esenciales de esta sección: que TommiAI no guarda el audio y que el reconocedor de voz de tu teléfono puede enviarlo a su proveedor, Google o Apple. En el chat con Tommi ese aviso estaba incompleto, porque solo mencionaba que el audio no se guarda. Ya lo corregimos y los dos avisos dicen ahora exactamente lo mismo, pero esa corrección todavía no llegó a las versiones publicadas en las tiendas: llega con la próxima actualización de la aplicación. Si hoy dictas en el chat desde la versión que tienes instalada, es probable que sigas viendo el aviso incompleto. Lo mismo vale para el texto del permiso de micrófono que muestra iOS al instalar. En los dos lugares, y desde ya, lo que rige es lo descrito en esta sección.

Contactos

• Cuándo se usa. Solo dentro de Modo crisis, y solo si tocas la opción para elegir una persona de confianza a quien llamar o escribir.
• Qué leemos. Se abre el selector de contactos de tu teléfono y tú eliges una persona. De esa persona guardamos el nombre y un número de teléfono. Nada más.
• Qué no hacemos. No leemos tu agenda completa, no la copiamos, no la subimos a ningún servidor y no escribimos ni modificamos contactos (el permiso de escritura está bloqueado en la aplicación).
• Dónde queda. El contacto de confianza se guarda cifrado y solo en ese teléfono, atado a ese dispositivo: no viaja en los respaldos de iCloud ni en el respaldo automático de Android, y nunca llega a los servidores de Tommi.AI.
• Tu control. Es opcional. Puedes usar Modo crisis sin elegir a nadie y llamar directo a los servicios de emergencia.

Desbloqueo con huella o rostro (biometría)

Acá hay dos cosas distintas que conviene no confundir:

• Lo que sí ocurre. Puedes proteger la aplicación con un PIN de 6 dígitos y, si tu teléfono lo permite, desbloquearla con huella o reconocimiento facial. Esa verificación la hace el sistema operativo de tu teléfono, no Tommi.AI. El teléfono nos responde únicamente si la verificación fue exitosa y, con eso, libera la llave que abre la sesión guardada.
• Lo que no ocurre. Tommi.AI no recolecta datos biométricos. No leemos, no guardamos y no transmitimos tu huella, tu rostro ni ninguna plantilla biométrica. Esos datos nunca salen del área segura de tu teléfono y nosotros no tenemos forma de verlos. Lo único que la aplicación consulta es si tu teléfono tiene sensor biométrico y si tienes una biometría registrada, para mostrarte el texto correcto.
• Sobre el PIN. Tu PIN tampoco se guarda. Se usa para derivar una llave de cifrado y solo se guarda el resultado cifrado. Tras 5 intentos fallidos, la aplicación borra esa bóveda local y te pide iniciar sesión de nuevo.

Otros permisos

2.4 Datos técnicos y de uso

La telemetría nunca lleva datos del menor. No incluye identificador del menor, ni nombre, ni emoción, ni intensidad, ni el texto de las notas. La lista de eventos y de datos auxiliares es cerrada y se verifica dos veces: al compilar la aplicación y de nuevo antes de que algo salga del teléfono.

No usamos ninguna herramienta de analítica de terceros. La telemetría va únicamente a nuestro propio servicio.

2.5 Otras cosas que la aplicación hace y que conviene que sepas

• Bloqueo de capturas de pantalla. En la aplicación móvil, las capturas y la grabación de pantalla están bloqueadas, y las pantallas con datos del menor se cubren en el conmutador de aplicaciones. Si intentas capturar la pantalla y no puedes, no es una falla: es una protección deliberada. Solo se puede desactivar en versiones internas de desarrollo, nunca en la aplicación publicada.
• Exportar tus datos. Puedes pedir una copia cuando quieras. En la aplicación del teléfono la copia se arma en tu propio teléfono, en dos formatos: un PDF para leer o imprimir, y un archivo de datos (JSON) pensado para llevarlo a otro sistema o entregárselo a otro profesional. Tu aplicación le pide los datos a nuestro servicio y el archivo se arma ahí mismo, en tu teléfono, sin pasar por ningún tercero.

Para entregártelo, la aplicación guarda el archivo unos segundos en su propio espacio dentro del teléfono y abre el menú de compartir del sistema, donde tú eliges el destino. Apenas terminas de compartir —o si tu teléfono no puede abrir ese menú— ese archivo temporal se borra, y esto vale igual para el PDF y para el archivo de datos.

Hay un caso en que ese borrado no alcanza a ocurrir: si eliges una aplicación de destino y después cancelas dentro de ella, la entrega queda a medio camino y el archivo puede seguir guardado en el espacio de la aplicación hasta que tu teléfono lo libere. Lo estamos corrigiendo. Mientras tanto, puedes borrar los datos de la aplicación desde los ajustes de tu teléfono.

Desde que eliges un destino, la copia sale del control de Tommi.AI y queda bajo tu responsabilidad y la de la aplicación que elijas.

• Actualizaciones de la aplicación. Cada vez que abres la aplicación móvil, consulta si hay una actualización disponible en el servicio de distribución de Expo. En esa consulta viajan datos técnicos de la aplicación (plataforma, versión y canal), no datos personales tuyos ni del menor.

2.6 Datos que no recolectamos

Cada una de estas negativas se puede verificar en el código de la aplicación:

• No accedemos a la cámara. La aplicación móvil no incluye ninguna función de cámara.
• No accedemos a tu galería de fotos ni a tus archivos. La aplicación móvil no tiene selector de imágenes ni de documentos —ese componente no está instalado— y los permisos de acceso a fotos, video, audio y almacenamiento están bloqueados en la versión publicada. En la pantalla de Terapias verás un bloque que dice "Agregar foto o informe de una sesión": está anunciado pero no abre ningún selector, y la propia pantalla te lo advierte. Hoy no existe ninguna forma de que una foto o un archivo tuyo llegue a Tommi.AI. El detalle está en la sección 2.7.
• No recolectamos ubicación. La aplicación no pide permiso de ubicación, ni en primer plano ni en segundo plano, y no registra dónde estás tú ni dónde está el menor.
• No usamos identificadores publicitarios (IDFA en iOS, AAID en Android) ni te rastreamos entre aplicaciones. No hay ningún componente de publicidad en la aplicación.
• No guardamos audio. Ni en tu teléfono ni en nuestros servidores. Ver 2.3.
• No recolectamos datos biométricos. Ver 2.3.
• No vendemos datos ni los compartimos con anunciantes.

2.7 Funciones escritas en el código que no están en servicio

Preferimos que esto lo sepas por nosotros y no que lo descubras.

Hay partes del servicio que están programadas pero apagadas. No es un descuido que estemos ocultando: es el estado real, y declararlo es más honesto que negar una capacidad que existe en el código o que prometer una función que no funciona.

Adjuntar una foto o un informe a una sesión de terapia. En la pantalla de Terapias aparece un bloque que dice "Agregar foto o informe de una sesión". No está en servicio. El programa que recibiría esos archivos está escrito, pero el espacio donde se guardarían nunca se creó: no existe en ninguno de nuestros servidores. Si alguien intentara enviar un archivo hoy, el sistema responde con un error y no guarda nada. Sumado a que la aplicación móvil no tiene cómo elegir un archivo, el resultado es simple: Tommi.AI no tiene ninguna foto ni ningún informe clínico de tu hijo o hija, y hoy no hay forma de que llegue a tenerlos.

Si algún día encendemos esta función, lo vas a saber antes: actualizamos esta política y te pedimos el consentimiento correspondiente.

Lectura de sensores y dispositivos vestibles. El servicio tiene el modelo de datos y las pantallas, pero los permisos de salud están bloqueados en la aplicación publicada y esas pantallas no tienen ningún punto de entrada: no hay forma de llegar a ellas. Está explicado en la sección 2.2.

Borrado automático por vencimiento de plazo. El proceso que ejecuta los plazos de la sección 9.1 está construido y probado, y hoy corre en modo simulación en nuestro ambiente de pruebas: recorre los datos, informa cuántos borraría y no borra nada. Todavía no está encendido en el servicio real. Lo decimos acá y lo repetimos en la sección 9.2, porque es la diferencia entre prometerte un borrado y ejecutarlo.

Por qué te contamos esto. Una política de privacidad que solo describe lo que funciona bien deja fuera justo lo que más te conviene saber. Si una capacidad está escrita en el sistema, en algún momento puede encenderse, y tenés derecho a saber qué hay ahí antes de que eso pase.

3. Finalidades del tratamiento

Tratamos los datos exclusivamente para estas finalidades, declaradas conforme al artículo 12 de la Ley N° 21.719:

1. Monitoreo emocional, sensorial y conductual del menor. Permitirte registrar emociones, episodios de desregulación y eventos relevantes, y ver tendencias a lo largo del tiempo.
2. Generación del perfil integrado del menor. Sintetizar con inteligencia artificial los datos ingresados en un panorama estructurado que apoye tus decisiones y las del especialista.
3. Acompañamiento conversacional. Responder tus consultas en el chat con Tommi con orientación general, sin diagnosticar ni indicar tratamientos.
4. Apoyo a especialistas mediante consultas con IA contextualizada. Permitir a profesionales habilitados consultar al modelo con el contexto del menor bajo su cuidado.
5. Soporte al usuario y mejora del servicio. Atender consultas, diagnosticar fallas y mejorar la usabilidad.
6. Cumplimiento de obligaciones legales. Responder a requerimientos de autoridades competentes en los términos que la ley establece.
7. Seguridad de la plataforma. Detectar y prevenir accesos no autorizados, fraude, abuso o ataques.

No usamos los datos con fines publicitarios, de marketing dirigido ni para elaborar perfiles para terceros.

4. Base legal del tratamiento

El consentimiento para datos sensibles es explícito, específico, informado y revocable. Se solicita dentro de la aplicación al crear el perfil del menor, y las condiciones de salud y áreas de apoyo del menor solo se guardan después de que ese consentimiento quedó registrado, nunca antes.

5. Tratamiento de datos de menores

Tommi.AI trata, por diseño, datos de menores. Aplicamos los principios de la Ley N° 21.719 (art. 16), la Ley N° 21.430 sobre garantías y protección integral de los derechos de la niñez y la adolescencia, y la Convención sobre los Derechos del Niño.

5.1 Consentimiento y edad del menor

Lo que exige la ley

El artículo 16 quáter de la Ley N° 21.719 no trata igual a todos los menores. Distingue tres situaciones:

La consecuencia directa, escrita sin suavizarla: para un adolescente de 16 o 17 años, el consentimiento del cuidador no es base válida para tratar sus datos sensibles de salud. En ese tramo el consentimiento tiene que darlo el propio adolescente.

Tommi.AI trata datos sensibles de salud en todos sus perfiles, así que este punto no es marginal: define quién puede autorizar legítimamente el tratamiento.

Lo que la aplicación hace hoy

Hoy la aplicación no distingue estos tramos. Pide el consentimiento al cuidador al crear el perfil del menor y lo registra igual cualquiera sea la edad. La pantalla de consentimiento no consulta la edad del menor y el servicio no tiene ninguna regla que se ramifique por edad, aunque el año de nacimiento del menor sí está registrado en el sistema.

Eso significa que, si hoy creas en Tommi.AI el perfil de un adolescente de 16 o 17 años, el consentimiento que otorgas no es la base de licitud que la ley exige para sus datos sensibles. No lo escondemos: es una brecha abierta entre lo que la ley pide y lo que el producto implementa, y su resolución exige una decisión de producto que está declarada en el Anexo B, decisión D4.

La verificación del vínculo

El artículo 16 exige que el consentimiento de quien representa al menor sea verificable. Tommi.AI no verifica hoy el vínculo legal entre el cuidador y el menor. No pedimos documentación, no validamos identidad contra ningún registro y no existe ningún control técnico que confirme esa relación: la declaración del cuidador se toma por buena. Lo que sí guardamos es la evidencia de que el consentimiento se otorgó (quién, cuándo, qué versión del texto, con qué IP y user-agent, y el hash del texto exacto aceptado), que es una cosa distinta de verificar el vínculo. Ver Anexo B, decisión D10.

5.2 Rol del cuidador

El cuidador actúa como representante del menor frente a la plataforma y asume estas responsabilidades:

• Acreditar su vínculo legal con el menor cuando se le requiera. La plataforma no comprueba hoy ese vínculo por medios técnicos (ver sección 5.1), de modo que esta responsabilidad recae íntegramente en quien declara ser el cuidador.
• Otorgar y revocar el consentimiento en nombre del menor.
• Decidir qué especialistas acceden al perfil del menor.
• Recibir notificaciones de incidentes de seguridad que afecten al menor.
• Ejercer los derechos del titular en nombre del menor.

5.3 Acceso por especialistas

Los especialistas solo acceden a datos del menor si el cuidador autoriza expresamente esa vinculación dentro de la aplicación. La autorización es revocable en cualquier momento y corta de inmediato el acceso del especialista a nuevos datos.

5.4 Advertencia clínica

Los análisis y sugerencias que genera la plataforma, incluido el perfil integrado, el chat con Tommi y las respuestas del asistente de especialistas, son herramientas de apoyo. No constituyen diagnóstico médico, no reemplazan la evaluación de profesionales habilitados y no sustituyen tratamientos prescritos. Ante cualquier duda clínica, contacta a tu equipo de salud tratante.

En una emergencia, llama a SAMU 131, a Salud Responde 600 360 7777, o acude al servicio de urgencias más cercano. Tommi.AI no es un canal de emergencia y no monitorea en tiempo real.

6. Compartir datos con terceros

Tommi.AI no vende datos personales y no los comparte con anunciantes bajo ninguna circunstancia. Solo recurrimos a los proveedores estrictamente necesarios para operar el servicio.

6.1 Proveedores que tratan datos por encargo nuestro

6.2 Servicios del propio teléfono que reciben datos

Estos no son proveedores contratados por nosotros: son servicios del sistema operativo de tu teléfono que actúan cuando tú usas una función.

Importante y declarado sin adornos. Tommi.AI no tiene un contrato de tratamiento de datos firmado con Google ni con Apple por el reconocimiento de voz. Ese tratamiento lo hace el servicio del sistema operativo bajo las condiciones del fabricante de tu teléfono, que puedes revisar en sus propias políticas. Te informamos el hecho porque tienes derecho a saberlo antes de tocar el botón de dictar. Si prefieres que tu voz no salga de tu teléfono, escribe en vez de dictar. El tratamiento completo de este punto, incluida su situación legal sin resolver, está en la sección 7.2 y en el Anexo B, decisión D2.

6.3 Enlaces a sitios externos

Desde la pantalla de información sobre inteligencia artificial, la aplicación puede abrir en tu navegador sitios de terceros con información de referencia (Organización Mundial de la Salud, Ministerio de Salud de Chile, CDC, HealthyChildren y SENADIS). Al salir de la aplicación se aplican las políticas de privacidad de esos sitios, no la nuestra.

6.4 Otros casos

También podemos compartir datos cuando:

• Lo exija una autoridad competente mediante orden judicial o requerimiento legal válido.
• Sea estrictamente necesario para proteger la vida o integridad del menor en una emergencia.
• Tú lo autorices expresamente, para compartir con un especialista u otro tercero específico.

7. Transferencias internacionales de datos

Conforme a la Ley N° 21.719, declaramos expresamente que la operación de Tommi.AI involucra transferencias internacionales de datos personales fuera de Chile, principalmente hacia Estados Unidos.

Estas transferencias no son todas iguales ni se amparan en la misma base, así que las separamos. Meterlas en un solo párrafo sería cómodo para nosotros y engañoso para ti.

7.1 Transferencias a nuestros proveedores contratados

• Los datos se almacenan en AWS, región us-east-1 (Virginia, Estados Unidos).
• El procesamiento con inteligencia artificial puede ejecutarse en tres regiones de AWS en Estados Unidos: us-east-1, us-east-2 y us-west-2. Usamos un perfil de inferencia que reparte la carga entre esas regiones, así que no podemos garantizar que una consulta concreta se procese en una sola de ellas. Todas están en territorio de Estados Unidos.
• Servicios auxiliares (Expo, Microsoft 365) operan desde Estados Unidos y la Unión Europea.

Estas son transferencias hacia proveedores que tratan los datos por encargo nuestro, bajo las condiciones de tratamiento de datos que cada uno ofrece a sus clientes y con las salvaguardas técnicas descritas más abajo.

7.2 El dictado por voz: una transferencia que hoy no tiene instrumento

Este caso merece su propio bloque porque es el más incómodo de los que declaramos, y porque una versión anterior de este texto lo dejaba caer dentro de la misma cláusula de consentimiento que cubre a AWS. Ahí se rompía.

Qué ocurre. Cuando dictas una nota del diario o un mensaje del chat, el audio lo transcribe el servicio de reconocimiento de voz de tu propio teléfono, y ese servicio puede enviar el audio a los servidores de Google (Android) o de Apple (iOS), en la infraestructura que ese proveedor determine. Tommi.AI no recibe ese audio y no lo guarda, pero el audio sí sale de tu teléfono hacia un tercero fuera de Chile. Ver sección 6.2.

Por qué no basta con que tú lo autorices. El artículo 27 de la Ley N° 21.719 admite la transferencia internacional por alguna de estas vías: que el país de destino tenga un nivel adecuado de protección; que exista un instrumento con garantías apropiadas entre las partes, como cláusulas contractuales; o que opere un modelo de cumplimiento reconocido. Su inciso segundo permite además apoyarse en el consentimiento del titular, pero solo para transferencias específicas y no habituales.

El dictado no es específico ni ocasional: es una función de uso diario. Por eso la vía del consentimiento del inciso segundo no la cubre, y no vamos a invocarla como si la cubriera.

Cuál es la situación real, con todas las letras. Tommi.AI no ha firmado ningún instrumento de transferencia internacional ni ningún contrato de tratamiento de datos con Google ni con Apple por el reconocimiento de voz. Ese tratamiento ocurre bajo las condiciones que el fabricante de tu teléfono fija en sus propias políticas, sobre las que no tenemos control ni poder de negociación. La base de licitud de esta transferencia está pendiente de resolución, y hasta que se resuelva no vamos a presentarla como amparada. Ver Anexo B, decisión D2.

El control que sí tienes hoy, y es real. Puedes evitar esta transferencia por completo: escribe en vez de dictar. No es un consejo formal, es el mecanismo efectivo. Si nunca tocas el botón de micrófono, ningún audio tuyo sale hacia Google ni hacia Apple por causa de Tommi.AI. La aplicación funciona entera sin dictado, y puedes además negar el permiso de micrófono en los ajustes de tu teléfono.

7.3 Salvaguardas adoptadas

• Cifrado en tránsito. Toda comunicación entre la aplicación y nuestra infraestructura usa TLS 1.2 o superior.
• Cifrado en reposo. Los datos se cifran con llaves administradas por AWS KMS.
• Compromisos contractuales. AWS, incluido Amazon Bedrock, y Microsoft 365 declaran adherencia a estándares internacionales de seguridad (ISO 27001, SOC 2, ISO 27018). Tommi.AI opera bajo las condiciones de tratamiento de datos que estos proveedores ofrecen a todos sus clientes.
• Sin entrenamiento de modelos. Amazon Bedrock declara que los datos que le enviamos no se usan para entrenar modelos ni se comparten con los proveedores de los modelos.

7.4 Alcance exacto de tu consentimiento

Al aceptar esta política y al activar las funcionalidades correspondientes dentro de la aplicación, autorizas expresamente las transferencias descritas en la sección 7.1, es decir, las que van a nuestros proveedores contratados. Esta autorización es revocable, con las consecuencias descritas en la sección 11.

Ese consentimiento no se extiende a la transferencia del dictado por voz descrita en la sección 7.2, por la razón que ahí se explica: la ley no admite el consentimiento como base para una transferencia habitual. Te informamos de esa transferencia porque tienes derecho a saberla antes de tocar el botón de dictar, no porque tu aceptación la legitime.

7.5 Plan de migración

Tommi.AI tiene la intención de migrar los datos a la región AWS de Chile tan pronto esté operativa, para reducir las transferencias internacionales y alojar los datos sensibles en territorio nacional.

8. Seguridad de los datos

Implementamos controles técnicos y organizativos proporcionales a la sensibilidad de los datos que tratamos, alineados con ISO/IEC 27001 y ISO/IEC 27018.

8.1 Controles técnicos

• Cifrado en tránsito: TLS 1.2 o superior en toda comunicación.
• Cifrado en reposo: base de datos y almacenamiento cifrados con AWS KMS.
• Autenticación: tokens JWT emitidos por nuestro servicio, con contraseñas guardadas como hash Argon2. Tras 5 intentos fallidos de inicio de sesión en 15 minutos, la cuenta se bloquea temporalmente.
• Control de acceso basado en roles: tres roles diferenciados (cuidador, especialista, administrador) con la autorización aplicada en el servidor, no solo en la interfaz.
• Almacenamiento seguro en el teléfono: el token de sesión, el token de refresco, la bóveda del PIN y el contacto de confianza se guardan cifrados y atados a ese dispositivo, fuera de los respaldos de iCloud y del respaldo automático de Android.
• Almacenamiento no cifrado en el teléfono: para que la aplicación funcione sin conexión, algunos datos quedan en el almacenamiento local sin cifrar. Esto incluye el perfil del menor activo (nombre, año de nacimiento y condiciones declaradas), además de preferencias como el tema visual y el modo de bloqueo. No decimos que todo esté cifrado en tu teléfono, porque no lo está. Por eso recomendamos activar el PIN y mantener el bloqueo de pantalla del teléfono.
• Bloqueo de capturas de pantalla en la aplicación móvil, activo por defecto y con cobertura del conmutador de aplicaciones en las pantallas con datos del menor. Solo se puede desactivar en versiones internas apuntando a entornos que no son de producción.
• Registro de auditoría a prueba de manipulación: los accesos a datos del menor, los cambios de consentimiento, las exportaciones y las acciones administrativas se registran, y esos registros se copian a un almacenamiento con bloqueo de objetos en modo de cumplimiento por 7 años, donde ni siquiera la cuenta administradora puede borrarlos antes de ese plazo.
• Hardening del servicio: validación de entrada, manejo de errores sin filtrar información interna y dependencias auditadas.

8.2 Controles organizativos

• Compromiso de adherencia a ISO/IEC 27001 y 27018. No contamos con certificación vigente a la fecha de publicación de esta versión.
• Principio de mínimo privilegio en el acceso a la infraestructura de producción.
• Separación de ambientes: desarrollo, staging y producción están aislados, y los datos de producción no se replican a desarrollo.
• Política de no exponer datos reales en repositorios, documentación ni sistemas no productivos.

8.3 Limitaciones

Ningún sistema es totalmente inmune a riesgos de seguridad. A pesar de los controles descritos, no podemos garantizar de forma absoluta que un incidente no ocurrirá. Por eso mantenemos un plan de respuesta a incidentes (ver sección 12).

A la fecha de esta versión, Tommi.AI no ha realizado una prueba de penetración externa de la plataforma. Está planificada, pero no la damos por hecha mientras no exista.

9. Retención de datos

Esta sección describe lo que el sistema hace hoy, no un plazo ideal. Versiones anteriores de esta política prometían plazos que se contradecían entre sí. Acá está el estado real.

9.1 Datos que se borran solos al cumplir un plazo

Estos plazos sí están en funcionamiento: los aplica la propia base de datos, que elimina el registro cuando vence su marca de expiración, sin que intervenga ningún proceso nuestro. Es la diferencia con lo descrito en la sección 9.2, donde el borrado depende de un proceso que todavía no está desplegado.

Una precisión sobre las copias de seguridad, que esta política no decía. Guardamos copias de la base de datos para poder recuperar el servicio si algo falla o si sufrimos un ataque: una copia diaria que se conserva 90 días y una copia semanal que se conserva 2 años, cifradas y replicadas en una segunda ubicación por si la primera se cae.

Esas copias son fotografías de la base completa, así que un dato ya borrado según los plazos de esta tabla puede seguir existiendo dentro de una copia hasta que esa copia venza. Y hay algo que queremos decir con todas las letras: esas copias están protegidas de forma que no se pueden borrar antes de su plazo, ni siquiera por nosotros. Esa protección es justamente lo que impide que un atacante que obtenga el control de nuestra cuenta las destruya o las altere.

Nadie consulta esas copias para operar el servicio ni para analizar datos: solo se usan para restaurar el sistema después de un incidente, y se destruyen solas al cumplirse el plazo. Lo decimos porque "borrado" y "ya no existe en ninguna parte" no son lo mismo, y preferimos que lo sepas a que lo descubras.

Estas copias cubren la base de datos. Los archivos adjuntos no están cubiertos, por la razón que se explica en la sección 2.7.

9.2 Qué pasa cuando cierras tu cuenta o revocas el consentimiento

Acá hay que ser exactos, porque una versión anterior de esta política prometía un período de gracia de 30 días seguido de un borrado definitivo que hoy no ocurre. Esto es lo que realmente pasa.

Lo que ocurre de inmediato, y sí está en funcionamiento

Cuando eliminas tu cuenta desde la aplicación, o cuando nos pides la revocación por correo:

• Tu cuenta queda marcada como revocada y no puedes volver a iniciar sesión con ella.
• Los perfiles de los menores a tu cargo quedan marcados como revocados y dejan de aparecer y de ser accesibles: los controles de acceso del servicio los rechazan, y lo mismo ocurre en cascada con sus registros del diario, sensores, notas y diagnósticos.
• Se cierran todas tus sesiones y se invalidan los tokens vigentes, de modo que ningún dispositivo con sesión abierta pueda seguir operando.
• Cesa el tratamiento activo de esos datos: no se generan nuevos análisis, no se envía nada más a la inteligencia artificial y no se producen perfiles nuevos.
• La operación queda registrada en el registro de auditoría.

Lo que todavía no ocurre, y no vamos a presentarlo como si ocurriera

El borrado definitivo automático no está en funcionamiento. El componente que ejecuta esa purga existe en nuestro código, pero no está desplegado en ningún ambiente, y aun estando desplegado arrancaría en modo de simulación hasta que se lo habilite de forma expresa.

Dicho sin rodeos: hoy, al cerrar tu cuenta, tus datos y los del menor quedan marcados como revocados y fuera de uso, pero no se eliminan solos ni a los 30 días ni en ningún otro plazo automático. No existe ese temporizador. Prometértelo sería inventar un plazo.

Qué puedes hacer con eso:

• Puedes pedir la supresión y la ejecutamos. Escríbenos a soporte@tommiai.com con el asunto "Derechos ARCO" pidiendo la eliminación. El borrado se ejecuta de forma manual y te respondemos dentro del plazo comprometido en la sección 10 (20 días hábiles desde la recepción de la solicitud). Ese plazo de respuesta sí es exigible y lo sostenemos.
• Puedes pedir la reactivación. Como los datos no se eliminan solos, si cerraste la cuenta por error podemos reactivarla a tu pedido, escribiéndonos al mismo correo. No es una recuperación automática desde la aplicación: la hacemos nosotros.

En implementación. El borrado definitivo automático está construido y pendiente de despliegue y habilitación, con fecha objetivo antes del 1 de diciembre de 2026, cuando la Ley N° 21.719 entra en plena vigencia. Actualizaremos esta sección cuando esté operando, y hasta entonces se lee como lo que es: una función que todavía no corre. Ver Anexo B, decisión D11.

Qué se eliminará y qué se conservará cuando ese borrado opere

Cuando el borrado definitivo entre en funcionamiento, y también cuando ejecutamos hoy una supresión manual a pedido tuyo, el reparto es el siguiente.

Se eliminan: perfil sensorial, perfil conductual generado por IA y sus anexos, análisis derivados, registros de sensores, conversaciones y mensajes del chat, avisos y preferencias de notificación, tokens de envío, sesiones, enlaces de recuperación de contraseña, eventos de telemetría, los datos de contacto de invitaciones y solicitudes de acceso, y las terapias que hayas registrado junto con sus tareas para la casa.

Se conservan porque la ley obliga a conservarlos (ficha clínica, artículo 13 de la Ley N° 20.584): notas clínicas, evaluaciones clínicas, códigos de diagnóstico, registros de medicación y registros de adherencia a la medicación.

Se conservan como prueba de que el tratamiento fue lícito o como traza de acceso: los registros de consentimiento, las asignaciones de especialista, los registros de exportación clínica y los perfiles de especialista con sus documentos adjuntos.

Y hay algo que ese proceso no elimina, aun cuando esté operando. Los registros del diario emocional, los registros de sueño, los registros de alimentación, las notas de las sesiones de terapia y los archivos que hayas adjuntado a esas sesiones no están incluidos en la eliminación. La razón es que todavía no está resuelto si estos registros, que escribe el cuidador y no un prestador de salud, quedan cubiertos por la obligación de conservar la ficha clínica de la Ley N° 20.584 o si deben eliminarse como todo lo demás. En el caso de las sesiones de terapia el punto es todavía más delicado, porque su nota transcribe lo que dijo el especialista y un informe adjunto puede ser un documento clínico emitido por él. Mientras esa decisión legal esté pendiente, se conservan. No vamos a prometerte un plazo de borrado que el sistema no cumple. Ver Anexo B, decisión D3. Si necesitas la supresión de estos registros en particular, pídela a soporte@tommiai.com y la gestionamos de forma manual.

9.3 Qué pasa con el perfil del menor cuando hay datos retenidos

Lo que sigue describe cómo está construido el proceso de eliminación, y rige tanto para las supresiones manuales que hacemos hoy a pedido tuyo como para el borrado automático cuando entre en funcionamiento.

Si después de eliminar queda algún registro que la ley obliga a conservar, el perfil del menor no se puede eliminar por completo, porque una ficha clínica sin sujeto no tiene sentido. En ese caso sobrescribimos de forma irreversible el nombre, el RUT si lo hubiera, el mes de nacimiento, el especialista tratante, el vínculo con el cuidador y los datos de salud de ese perfil. Solo sobrevive el año de nacimiento, porque la ficha retenida necesita el contexto de edad y el año por sí solo, sin nombre ni condición, identifica muy poco.

Si no queda nada retenido, el perfil del menor se elimina entero.

9.4 Excepciones

Los plazos descritos pueden extenderse cuando lo exija una orden judicial o un requerimiento de autoridad competente, cuando sea necesario para el ejercicio o la defensa de acciones legales, o cuando exista una obligación legal específica de conservación.

10. Derechos del titular (ARCO y portabilidad)

Conforme a la Ley N° 21.719, todo titular de datos personales tiene derecho a:

Cómo ejercerlos

• Desde la aplicación. Puedes descargar una copia de tus datos y eliminar tu cuenta directamente desde la aplicación móvil y desde la aplicación web, sin escribirnos. La eliminación desde la aplicación revoca la cuenta y los perfiles a tu cargo y detiene el tratamiento; para la supresión definitiva de los datos, pídela por correo como se indica abajo.
• Por correo. Escribe a soporte@tommiai.com con el asunto "Derechos ARCO", indicando tu identidad, qué derecho ejerces y sobre qué datos. Por este canal gestionamos la supresión definitiva, la copia completa de datos y la reactivación de una cuenta cerrada por error.
• En el caso de datos del menor, el cuidador actúa en su representación.

Alcance actual de la copia automática

La copia que descargas desde la aplicación incluye el perfil, los registros del diario, los registros de sensores y las notas. Todavía no incluye la totalidad de los datos que tratamos. Si necesitas una copia completa, pídela por correo y te la entregamos.

Plazos y costo

Respondemos dentro de 20 días hábiles desde la recepción de la solicitud. En casos complejos podemos extender este plazo, comunicándotelo por escrito. El ejercicio de estos derechos es gratuito.

11. Revocación de consentimiento

Puedes revocar el consentimiento parental en cualquier momento, sin justificar tu decisión y sin que esto afecte la licitud del tratamiento anterior.

Cómo revocar

• Desde la aplicación, en la opción de eliminación de cuenta.
• Escribiendo a soporte@tommiai.com con el asunto "Revocación de consentimiento".

Consecuencias

• Cesa el tratamiento de los datos del menor para las finalidades cubiertas por el consentimiento revocado. El bloqueo es inmediato: el servicio rechaza las operaciones sobre esos datos apenas queda revocado el consentimiento.
• Si la revocación abarca la totalidad del consentimiento, la cuenta y los perfiles a tu cargo quedan revocados y se cierran todas las sesiones. La supresión definitiva de los datos no es automática hoy: se ejecuta de forma manual a tu pedido, con las conservaciones legales que se declaran en la sección 9.2. Ahí está explicado sin adornos, incluido lo que todavía no está en funcionamiento.
• El registro de que otorgaste el consentimiento se conserva como prueba de licitud, incluso después de revocarlo.

12. Notificación de incidentes de seguridad

Conforme a la Ley N° 21.719, Tommi.AI se compromete a notificar los incidentes de seguridad que comprometan datos personales.

A la Agencia de Protección de Datos Personales, cuando esté operativa: sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a tomar conocimiento del incidente.

A los titulares afectados (cuidadores, especialistas y, a través de los cuidadores, los menores): el artículo 14 sexies obliga a comunicar la vulneración a los titulares cuando afecta datos sensibles, datos de niños y niñas menores de catorce años o datos económicos. Esa obligación no está condicionada a que nosotros evaluemos el riesgo: no depende de nuestro juicio sobre qué tan grave nos parece el incidente.

Lo que eso significa acá, en concreto. Tommi.AI trata datos sensibles de salud de menores. Por lo tanto, en esta plataforma la comunicación a los titulares es el caso normal, no la excepción. Una versión anterior de este texto prometía avisarte solo "cuando el incidente represente un riesgo alto para tus derechos". Ese es el estándar de otra legislación y prometía menos de lo que la ley chilena nos obliga. Lo corregimos: si una vulneración de seguridad afecta los datos que tratamos acá, te lo comunicamos, sin someterlo a una evaluación de riesgo propia que nos permita callarlo.

La comunicación incluirá: naturaleza del incidente, datos posiblemente afectados, medidas adoptadas, recomendaciones y canales de contacto.

Mantenemos un plan de respuesta a incidentes con fases de detección, triage, contención, notificación y recuperación.

13. Inteligencia artificial: cómo y por qué la usamos

Tommi.AI usa inteligencia artificial en tres funcionalidades:

1. Perfil integrado del menor. A partir de los datos que ingresan el cuidador y el especialista, un modelo de lenguaje sintetiza un panorama estructurado: regulación basal, patrones de desregulación, mapa de detonantes, respuesta a medicación, estrategias efectivas y señales que conviene revisar con el especialista.
2. Chat con Tommi. Acompañamiento conversacional para el cuidador, con orientación general.
3. Asistente de especialistas. Profesionales habilitados pueden consultar al modelo con el contexto del menor bajo su cuidado y recibir orientación referencial con referencias a literatura científica curada.

Cómo lo hacemos

• Usamos modelos disponibles a través de Amazon Bedrock, dentro de nuestra propia cuenta de AWS:
• us.anthropic.claude-haiku-4-5-20251001-v1:0 para razonamiento y generación de texto.
• amazon.titan-embed-text-v2:0 para vectores de búsqueda semántica en literatura científica.
• El servicio se autentica con un rol de AWS, no con una clave de API. No existe una clave de IA circulando por la red ni almacenada en la aplicación.
• Las respuestas del modelo se guardan asociadas al contexto del menor, para trazabilidad.

Qué datos le enviamos al modelo, sin adornos

Esto no es uniforme entre las tres funcionalidades, y versiones anteriores de esta política lo presentaban como si lo fuera:

• Perfil integrado del menor: los datos se envían pseudonimizados. No viaja el nombre ni el RUT del menor, y la edad se envía por rangos.
• Chat con Tommi y asistente de especialistas: se envía el texto libre tal como lo escribiste, junto con el historial de la conversación y, en el caso del asistente, las notas clínicas. Ese texto no se pseudonimiza. Si escribes el nombre del menor en el chat, ese nombre viaja al modelo.

Y hay algo más que viaja aunque tú no lo escribas, y preferimos decirlo: al chat le adjuntamos un bloque breve con el perfil del niño o la niña —su nombre de pila, el vínculo contigo, su edad aproximada, las condiciones que informaste y las áreas de apoyo que priorizaste—. Está ahí por una razón concreta: sin ese bloque el modelo vuelve a preguntarte quién es, y tú tendrías que repetir en cada conversación lo que ya registraste.

Enviamos solo el nombre de pila, nunca el nombre completo, y nunca el RUT. Aun así, es información del menor que sale hacia el modelo sin que tú la escribas, y por eso queda declarada acá. Si prefieres que no ocurra, puedes retirar el consentimiento de inteligencia artificial desde Perfil: el chat deja de funcionar y nada de esto se envía.

No afirmamos que todo lo que enviamos a la IA esté pseudonimizado, porque no lo está. Si prefieres que no viaje información identificable, evita escribir nombres propios en el chat.

Lo que la IA no es

• No es diagnóstico. Las salidas del modelo no constituyen diagnóstico médico ni reemplazan el criterio de profesionales habilitados.
• No es una decisión vinculante. Toda decisión clínica corresponde al especialista tratante y a ti.
• No es infalible. Los modelos pueden equivocarse. La aplicación muestra la advertencia correspondiente de forma visible.

Tu control

• Antes de que cualquier dato se envíe al modelo, la aplicación te pide un consentimiento específico para el procesamiento con inteligencia artificial, separado del consentimiento general. Puedes gestionarlo en Perfil, sección Privacidad y datos.
• Puedes pedir la exclusión del procesamiento por IA para el perfil del menor escribiendo a soporte@tommiai.com. La plataforma seguirá funcionando para registrar y visualizar datos, pero no generará el perfil integrado ni habilitará el asistente de IA para ese menor.
• Puedes pedir revisión humana de cualquier salida automatizada que consideres incorrecta.

14. Cookies y tecnologías similares

Aplicación web del cuidador

Usamos almacenamiento local del navegador estrictamente necesario para:

• Mantener la sesión iniciada. El token de sesión se guarda en el localStorage del navegador.
• Guardar preferencias de interfaz (por ejemplo, el menor activo seleccionado).

No usamos cookies de publicidad, ni cookies de redes sociales con seguimiento, ni herramientas de analítica de terceros que te perfilen fuera de la plataforma.

Sitio público tommiai.com

El sitio público usa servicios externos propios de un sitio web (medición de tráfico, tipografías y video incrustado) y un formulario de contacto que envía tu mensaje a nuestra infraestructura. El detalle vigente de esos servicios se publica en la propia página de privacidad del sitio, que es más específica que este documento en ese punto. Ver Anexo B, decisión D5.

Aplicación móvil

• No integramos componentes de publicidad ni de rastreo de terceros.
• No usamos identificadores publicitarios (IDFA en iOS, AAID en Android).
• Los tokens de sesión se guardan en el almacenamiento seguro del sistema (Keychain en iOS, Keystore en Android).

15. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales, técnicos u operacionales. Cuando lo hagamos:

• Actualizaremos la fecha de última actualización y el número de versión al inicio del documento.
• Notificaremos los cambios sustantivos por correo al cuidador registrado y publicaremos la nueva versión en https://tommiai.com/privacy con al menos 30 días de anticipación a su entrada en vigencia.
• Conservaremos las versiones históricas, accesibles a pedido en soporte@tommiai.com.

Tu silencio no es un sí

Seguir usando la aplicación no equivale a aceptar una nueva versión de esta política. Una versión anterior de este texto decía que el uso continuo implicaba la aceptación de los términos actualizados. Esa cláusula fabricaba consentimiento a partir de la inacción, y la eliminamos.

La Ley N° 21.719 exige que el consentimiento sea libre, informado, específico, previo e inequívoco, y descarta el consentimiento implícito. Además, el consentimiento es la única base de licitud que ampara el tratamiento de los datos sensibles de salud del menor, según la propia tabla de la sección 4. No podemos construirlo sobre tu silencio.

Lo que hacemos en cambio. Cuando cambia de forma sustantiva el texto legal que aceptaste, subimos la versión exigida de ese consentimiento. Desde ese momento el consentimiento anterior deja de contar como vigente, la aplicación te lleva a otorgarlo de nuevo de forma expresa y sobre el texto nuevo, y mientras no lo hagas, el servicio no sigue tratando los datos del menor.

Qué queda bloqueado. Mientras no aceptes la versión nueva, la aplicación no guarda, no modifica y no genera nada en:

• el diario y la reflexión que Tommi escribe sobre cada registro;
• los datos del perfil del niño o la niña;
• el perfil sensorial y su comparación en el tiempo;
• el perfil conductual y las anotaciones sobre él;
• las notas clínicas, los diagnósticos y las evaluaciones;
• la medicación y el seguimiento de su cumplimiento;
• los registros de sueño y los de alimentación;
• las terapias, con sus sesiones, sus tareas para la casa y sus archivos adjuntos;
• los patrones, el resumen de la semana, el progreso y los informes;
• la exportación de la ficha en formato clínico (FHIR);
• los datos que llegarían de dispositivos y sensores;
• el chat con Tommi y el asistente para especialistas.

En todos esos casos la aplicación te responde que falta el consentimiento y te ofrece otorgarlo ahí mismo. Esta lista describe el servicio tal como está hoy; si agregamos una función nueva que trate datos del menor, la incorporamos acá al publicar la versión siguiente de esta política.

Cada otorgamiento queda registrado con su versión, su fecha y el hash del texto exacto que aceptaste, de modo que siempre se puede establecer a qué versión dijiste que sí.

Si no estás de acuerdo con la nueva versión, simplemente no la aceptas: el tratamiento de los datos sensibles no continúa. Puedes además revocar tu consentimiento y cerrar la cuenta conforme a la sección 11.

Alcance honesto de esta sección. El bloqueo por versión descrito arriba está implementado y activo en el servicio: no es un compromiso de buena voluntad, es el comportamiento del sistema. Hay dos cosas que sí conviene que sepas. Primero, el aviso anticipado dentro de la aplicación todavía no existe: hoy el aviso previo de un cambio sustantivo se envía por correo al cuidador registrado, y lo que la aplicación hace al entrar en vigencia es bloquear y volver a pedir el consentimiento. Segundo, el texto del consentimiento viaja dentro de la aplicación, así que mostrarte una versión nueva requiere publicar una actualización en las tiendas. Ver Anexo B, decisión D12.

16. Contacto y reclamos

• Correo electrónico: soporte@tommiai.com
• Sitio web: https://tommiai.com
• Plazo máximo de respuesta: 20 días hábiles desde la recepción de la solicitud.

Para consultas de privacidad, indica en el asunto: "Privacidad", "Derechos ARCO", "Revocación de consentimiento" o "Incidente de seguridad", según corresponda.

Reclamo ante la autoridad

Sin perjuicio de tu derecho a contactarnos directamente, puedes presentar reclamos ante la Agencia de Protección de Datos Personales de Chile, creada por la Ley N° 21.719, una vez que se encuentre operativa y conforme al procedimiento que dicha autoridad establezca.

17. Jurisdicción y ley aplicable

Esta política se rige por las leyes de la República de Chile, en particular:

• Ley N° 21.719 sobre protección y tratamiento de datos personales.
• Ley N° 20.584 sobre derechos y deberes de las personas en relación con su atención en salud.
• Ley N° 21.430 sobre garantías y protección integral de los derechos de la niñez y la adolescencia.

Cualquier controversia derivada de la interpretación o aplicación de esta política será sometida a la jurisdicción de los tribunales ordinarios de justicia con asiento en la comuna de Santiago, Chile, sin perjuicio de tus derechos ante la autoridad administrativa competente.

Anexo A. Registro de cambios de la versión 2.0

Esta versión se escribió con una regla: cada afirmación tiene que poder respaldarse con una línea concreta del código o de la infraestructura de Tommi.AI. Lo que no se pudo respaldar, salió del texto. Lo que el código hace y el texto callaba, entró.

A.1 Afirmaciones falsas corregidas

A.2 Afirmaciones sin respaldo, eliminadas

Estas estaban declaradas como datos que recolectábamos, y no se encontró código que los recolecte. Por la regla de respaldo, salieron del texto:

• Identificador del dispositivo anonimizado.
• Versión de la aplicación, sistema operativo, idioma y zona horaria como datos enviados al servicio.
• "Prueba de penetración anual" (aparecía en la política de la aplicación web): no se ha realizado ninguna. Ahora se declara su ausencia.
• Número de teléfono del cuidador como dato recolectado en el registro.
• Referencia a Ollama como proveedor: se removió del texto por no estar en uso en la plataforma publicada.

A.3 Capacidades que el código tiene y la política callaba, ahora declaradas

A.4 Retención: cuatro plazos contradictorios reemplazados por lo que el sistema hace

La versión anterior prometía, sobre datos que se solapan, "mientras la cuenta esté activa", "30 días y luego borrado permanente", "7 años" y "hasta 15 años". La sección 9 ahora separa tres cosas distintas y declara cada una con su plazo real:

• Borrado automático por vencimiento, con los plazos que el sistema efectivamente aplica: auditoría 7 años, conversaciones 365 días, mensajes 90 días, telemetría 400 días, sesiones tope absoluto más 7 días, recuperación de contraseña 24 horas. Respaldo: backend/app/services/audit_log.py:55; backend/app/services/ddb_store.py:130, 175, 975, 1062, 1492.
• Cierre de cuenta, con la lista explícita de qué se elimina, qué se conserva por la Ley N° 20.584 y qué se conserva como prueba de licitud. Respaldo: backend/app/services/purge_service.py:113, 169-205. Corregido en la segunda ronda: este proceso está construido pero no desplegado, así que la sección 9.2 ya no lo presenta como un borrado que ocurre a los 30 días. Ver A.6.
• Lo que hoy no se borra nunca: diario emocional, registros de sueño y registros de alimentación, declarado como tal y con la razón. Respaldo: backend/app/services/purge_service.py:203-205.

El plazo de "15 años" desapareció del texto. El sistema no implementa un temporizador de 15 años: simplemente no purga la ficha clínica. Decir "15 años" era inventar un plazo. Ahora se dice lo que ocurre: esos registros se conservan.

También se declara qué pasa con el perfil del menor cuando queda ficha retenida: se sobrescriben de forma irreversible nombre, RUT, mes de nacimiento, especialista tratante, vínculo y datos de salud del perfil, y solo sobrevive el año de nacimiento. Respaldo: backend/app/services/purge_service.py:60-90.

A.5 Otros cambios

• Se agregó la sección 0 para dejar claro qué cubre esta política y que las descripciones de permisos se refieren a la aplicación móvil publicada.
• Se eliminó la mención a "cargar una foto o documento" desde la aplicación móvil, que no existe: no hay cámara, ni galería, ni selector de documentos.
• Aviso para quien actualice esta política (2026-09-18). El dominio Terapias incorporó en el servidor la capacidad de adjuntar una foto o un informe a una sesión, pero la aplicación móvil todavía no puede subir archivos: no tiene selector de documentos ni de galería instalado, el bloque se anuncia y no funciona. Por eso la afirmación de arriba sigue siendo cierta hoy. El día que se instale un selector, esta línea queda falsa y hay que reescribir este punto, la sección 2.3 de permisos y la tabla de datos del menor, además de declararlo en las fichas de App Store y Play. Es el mismo error que esta versión corrigió con el micrófono: una capacidad nueva que la política sigue negando.
• Se eliminó la fila "Documentos clínicos cargados" de la tabla de datos del menor, porque no se pudo respaldar como capacidad de la aplicación móvil. Los documentos adjuntos que sí existen son los del perfil del especialista, declarados en la sección 9.2.
• Se corrigió el estado del DPO: se declara que no hay designación formal, en vez de presentarlo como contacto provisorio resuelto.
• Se corrigió el rol de Expo: antes se decía que solo accedía al paquete de la aplicación. Ahora se declara la consulta de actualizaciones en cada arranque.
• Se agregó una advertencia explícita de que no existe prueba de penetración externa.
• Se agregó la declaración de que la copia automática de datos no es todavía completa.
• Se eliminó la frase "certificación en plan dentro de los 12 meses siguientes", que no se puede sostener con evidencia.
• Se unificó el pie del documento con la versión y fecha de la cabecera. La versión anterior mostraba "1.2" arriba y "1.1" abajo.

A.6 Segunda ronda de corrección: promesas que el sistema no cumplía

La primera corrección sacó afirmaciones falsas sobre lo que la aplicación hace (micrófono, contactos, biometría, modelo de IA, regiones). Dos revisiones independientes encontraron después un problema distinto y más difícil de ver: el texto corregido seguía prometiendo cosas que el sistema no cumple. Prometer de más es tan inexacto como negar de más. Esto es lo que cambió.

Lo que esta ronda no tocó, y conviene saberlo. Este documento es solo uno de los textos de privacidad de Tommi.AI. La política que leen los usuarios en la landing, la de la aplicación web del cuidador y las páginas de DPO y subprocesadores no se corrigieron acá y pueden seguir afirmando cosas que este documento ya descartó. Sincronizarlas es trabajo aparte, y hasta que ocurra el usuario lee otra cosa.

Anexo B. Decisiones pendientes declaradas

Estas decisiones exceden la redacción del texto y requieren una definición del responsable o de asesoría legal. Se declaran acá para que quien audite esta política sepa qué está abierto y no lo descubra como una omisión.

Tommi.AI. Ecosistema inteligente para acompañar a niños, niñas y adolescentes en el espectro autista y con TDAH. Versión 2.0 · Última actualización 20 de septiembre de 2026 · soporte@tommiai.com