En SONATA respetamos su privacidad y nos comprometemos a proteger los datos personales que nos confía. Esta Política de Privacidad describe cómo recopilamos, usamos, almacenamos y protegemos su información, en cumplimiento con la Ley N.° 81 de 2019 sobre protección de datos personales de la República de Panamá.
1. Responsable del Tratamiento
SONATA es la plataforma operada por BachiSoft, S.A., sociedad debidamente constituida bajo las leyes de la República de Panamá, accesible a través de los dominios oficiales de SONATA.
El rol que asumimos depende de qué datos se traten:
- Como responsable del tratamiento: respecto de los datos de la cuenta, la suscripción y la facturación del Cliente, y de los datos técnicos de uso de la Plataforma. Esos son los datos que tratamos por decisión propia y para prestar y cobrar el Servicio.
- Como encargado del tratamiento: respecto de todos los datos que el Cliente ingresa en la Plataforma sobre sus propios clientes, pacientes, empleados y proveedores. Sobre esos datos el Cliente es el responsable: decide para qué se usan y bajo qué base legal, y nosotros los tratamos siguiendo sus instrucciones (ver el Acuerdo de Procesamiento de Datos).
Para cualquier consulta relacionada con el tratamiento de sus datos personales, puede contactar a nuestro equipo de privacidad en: [email protected].
2. Datos que Recopilamos
Recopilamos diferentes categorías de datos personales según el rol del titular y la naturaleza de la interacción con la Plataforma:
2.1 Datos de registro y cuenta
- Nombre completo del administrador de cuenta.
- Correo electrónico corporativo o personal.
- Nombre, RUC/RUT y datos de la empresa.
- Número de teléfono y WhatsApp de contacto.
- Contraseña (almacenada con cifrado bcrypt; nunca en texto claro).
2.2 Datos de facturación y pago
- Nombre del titular de la tarjeta y últimos 4 dígitos (los datos completos de la tarjeta son procesados directamente por el proveedor de pagos y no son almacenados por SONATA).
- Dirección de facturación.
- Historial de transacciones y facturas emitidas.
2.3 Datos operativos del negocio (Datos del Cliente)
A través del uso de la Plataforma, el Cliente ingresa datos propios de su operación, los cuales pueden incluir datos personales de terceros (clientes, empleados, proveedores del Cliente). SONATA procesa estos datos en calidad de encargado del tratamiento, siguiendo las instrucciones del Cliente como responsable. Estos datos incluyen:
- Nombres, cédulas/pasaportes, RUC, teléfonos y correos electrónicos de los clientes del Cliente.
- Datos de transacciones comerciales: facturas, cotizaciones, pagos, devoluciones.
- Información de productos, precios, inventarios.
- Datos de proveedores y compras.
- Información de citas y agenda.
2.4 Datos de salud (clientes del sector salud)
Cuando el Cliente es un prestador de servicios de salud —consultorio, clínica, laboratorio o centro de terapia— y utiliza los módulos clínicos de la Plataforma, ingresa además datos relativos a la salud de sus pacientes. SONATA los trata igualmente en calidad de encargado del tratamiento, siguiendo las instrucciones del Cliente. Estos datos pueden incluir:
- Datos de identificación del paciente y de sus pólizas de seguro.
- Motivo de consulta, evolución, exploración física, signos vitales y diagnósticos.
- Antecedentes, alergias, medicación habitual, recetas e indicaciones.
- Resultados de laboratorio, vacunas aplicadas, hallazgos odontológicos y valoraciones de fisioterapia.
- Documentos clínicos emitidos (certificados, referencias, órdenes).
Los campos clínicos se almacenan cifrados en la base de datos, con una clave dedicada distinta a la del resto de la aplicación, y el acceso se controla por rol de usuario. El detalle de las obligaciones de ambas partes sobre estos datos está en el Acuerdo de Procesamiento de Datos.
2.5 Datos de uso técnico
- Dirección IP y datos de geolocalización aproximada.
- Tipo de dispositivo, sistema operativo y navegador.
- Páginas visitadas, acciones realizadas y tiempos de sesión (logs de actividad).
- Registros de errores y rendimiento técnico.
2.6 Comunicaciones
- Correos electrónicos y mensajes de WhatsApp intercambiados con soporte.
- Respuestas a encuestas de satisfacción (opcional).
2.7 Asistente de soporte con inteligencia artificial
La Plataforma y nuestra página pública ofrecen un asistente de soporte que responde con el manual de uso de SONATA y, cuando hace falta, pasa el caso a una persona del equipo. El asistente funciona con Claude, un modelo de inteligencia artificial de Anthropic, PBC (ver la sección 6.1). Cuando usted lo usa, tratamos:
- Los mensajes que usted escribe en el chat y la pantalla o página desde la que escribe.
- Si es usuario de la Plataforma: su nombre, el nombre y el plan de su empresa, su rol, sus permisos, los módulos activos y el número de WhatsApp registrado en su perfil. Se usan para que la respuesta corresponda a lo que usted puede ver y hacer.
- Si escribe desde la página pública: el nombre y el número de WhatsApp que decida dejarnos para que le contactemos.
El asistente no tiene acceso a los datos que su empresa guarda en la Plataforma (clientes, pacientes, expedientes, facturas o inventario): solo consulta el manual. Le pedimos no escribir en el chat datos de pacientes ni otros datos personales de terceros. Las conversaciones se guardan cifradas; las lee el equipo de soporte para atenderle y para mejorar el manual. Cuando el caso pasa a una persona, el aviso interno al equipo incluye su nombre, su empresa, un resumen del caso y, si lo dejó, su WhatsApp.
3. Finalidades del Tratamiento
| Finalidad | Datos utilizados |
|---|---|
| Creación y gestión de la cuenta y suscripción | Datos de registro, facturación |
| Prestación del Servicio ERP contratado | Todos los datos del Cliente y operativos |
| Procesamiento de pagos y emisión de facturas | Datos de facturación |
| Integración con el sistema FEL de la DGI | Datos fiscales del Cliente y sus clientes |
| Soporte técnico y resolución de incidencias | Datos de cuenta, uso y comunicaciones |
| Asistente de soporte con inteligencia artificial | Mensajes del chat, datos de cuenta y rol del usuario, contacto que el visitante decida dejar |
| Seguridad, prevención de fraude y cumplimiento legal | Datos técnicos, logs de actividad |
| Mejora del Servicio y análisis de uso (datos anonimizados) | Datos técnicos agregados y anonimizados |
| Comunicaciones de servicio (cambios, mantenimientos, facturas) | Correo electrónico, teléfono |
| Comunicaciones de marketing (opcional, con consentimiento) | Correo electrónico |
SONATA no utilizará los Datos del Cliente para ningún fin distinto a los indicados en esta política sin obtener previamente el consentimiento del responsable del tratamiento.
4. Base Legal del Tratamiento
El tratamiento de datos personales por parte de SONATA se fundamenta en las siguientes bases legales conforme a la Ley N.° 81 de 2019:
- Ejecución de un contrato: el tratamiento es necesario para la prestación del Servicio contratado y la gestión de la relación comercial con el Cliente.
- Obligación legal: el tratamiento es necesario para cumplir con obligaciones establecidas por la legislación panameña, incluyendo la normativa fiscal de la DGI.
- Interés legítimo: para la seguridad de la Plataforma, prevención de fraude y mejora del Servicio (siempre que no prevalezcan los intereses del titular).
- Consentimiento: para comunicaciones de marketing y cualquier tratamiento no cubierto por las bases anteriores. El consentimiento puede retirarse en cualquier momento.
5. Retención de Datos
Conservamos los datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recopilados:
| Tipo de dato | Período de retención |
|---|---|
| Datos de cuenta activa | Durante la vigencia de la suscripción |
| Datos post-cancelación (exportación) | 90 días desde la cancelación |
| Facturas y registros fiscales | 5 años (obligación legal DGI/Código Fiscal) |
| Logs de seguridad y acceso | 12 meses |
| Comunicaciones de soporte, incluidas las conversaciones con el asistente | 24 meses desde el cierre del ticket o de la conversación |
| Datos de marketing (con consentimiento) | Hasta revocación del consentimiento |
Transcurridos los plazos indicados, los datos serán eliminados de forma segura o anonimizados de manera irreversible.
6. Compartir Datos con Terceros
SONATA no vende, alquila ni cede datos personales a terceros con fines comerciales. Los datos pueden ser compartidos únicamente en los siguientes supuestos:
6.1 Subprocesadores
SONATA trabaja con proveedores de servicios tecnológicos ("subprocesadores") que acceden a los datos únicamente en la medida necesaria para prestar sus servicios a SONATA:
| Subprocesador | Finalidad | Ubicación |
|---|---|---|
| Proveedor de infraestructura cloud | Alojamiento y almacenamiento de datos | Estados Unidos / región seleccionada |
| Pasarela de pagos | Procesamiento de cobros con tarjeta | Estados Unidos |
| Proveedor de correo transaccional | Envío de notificaciones y facturas | Estados Unidos |
| Servicio de mensajería WhatsApp | Envío de notificaciones y cupones, y avisos internos al equipo de soporte | Estados Unidos |
| Herramienta de monitoreo de errores | Detección y resolución de fallos técnicos | Unión Europea |
| Anthropic, PBC | Modelo de inteligencia artificial (Claude) del asistente de soporte | Estados Unidos |
Todos los subprocesadores están sujetos a acuerdos de confidencialidad y protección de datos alineados con la Ley N.° 81 de 2019.
Anthropic recibe únicamente lo que se describe en la sección 2.7, a través de su servicio para empresas (API). Según sus términos comerciales, no usa esos datos para entrenar sus modelos y los conserva solo por un período limitado.
6.2 Requerimientos legales
SONATA podrá divulgar datos personales si es requerido por ley, regulación, orden judicial o resolución de autoridad competente de la República de Panamá, incluyendo la DGI, la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) u otras entidades con potestad legal para ello.
6.3 Protección de derechos
SONATA puede divulgar información cuando sea necesario para proteger los derechos, la propiedad o la seguridad de SONATA, sus Clientes o el público, en la medida permitida por la ley.
7. Transferencias Internacionales de Datos
Algunos de nuestros subprocesadores operan fuera de la República de Panamá; por ejemplo, los mensajes del asistente de soporte se procesan en Estados Unidos. En estos casos, SONATA adopta las medidas apropiadas para garantizar que dichas transferencias se realicen con un nivel adecuado de protección, incluyendo:
- Cláusulas contractuales tipo reconocidas internacionalmente.
- Verificación de que el país de destino ofrece un nivel de protección adecuado.
- Implementación de medidas técnicas complementarias (cifrado, seudonimización).
El Cliente puede solicitar información detallada sobre las salvaguardias específicas adoptadas para cada transferencia internacional escribiendo a [email protected].
8. Derechos del Titular de los Datos
Conforme a la Ley N.° 81 de 2019, los titulares de datos personales tienen los siguientes derechos, que pueden ejercer en cualquier momento:
| Derecho | Descripción |
|---|---|
| Acceso | Conocer qué datos personales suyos procesa SONATA y cómo. |
| Rectificación | Solicitar la corrección de datos inexactos o incompletos. |
| Cancelación / Supresión | Solicitar la eliminación de sus datos cuando ya no sean necesarios para las finalidades para las que fueron recopilados. |
| Oposición | Oponerse al tratamiento de sus datos en determinadas circunstancias, incluyendo el marketing directo. |
| Limitación | Solicitar la restricción del tratamiento en casos previstos por la ley. |
| Portabilidad | Recibir sus datos en un formato estructurado y de uso común para transferirlos a otro proveedor. |
| Revocación del consentimiento | Retirar el consentimiento otorgado en cualquier momento, sin que ello afecte la licitud del tratamiento previo. |
8.1 Cómo ejercer sus derechos
Para ejercer cualquiera de estos derechos, envíe una solicitud escrita a [email protected] indicando:
- Nombre completo y datos de contacto.
- Derecho que desea ejercer.
- Descripción clara de la solicitud.
- Documento que acredite su identidad o representación.
SONATA responderá su solicitud en un plazo máximo de 30 días hábiles desde su recepción. Si la solicitud fuera compleja o numerosa, este plazo podrá extenderse otros 30 días hábiles, informando al titular de la causa de la demora.
8.2 Reclamaciones
Si considera que el tratamiento de sus datos no cumple con la normativa vigente, puede presentar una reclamación ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) de la República de Panamá, sin perjuicio de cualquier acción legal que estime pertinente.
9. Medidas de Seguridad
SONATA implementa medidas técnicas y organizativas apropiadas para proteger los datos personales contra acceso no autorizado, pérdida, destrucción o divulgación accidental:
- Cifrado en tránsito: toda comunicación entre el navegador del usuario y la Plataforma utiliza TLS 1.2 o superior.
- Cifrado en reposo: los datos almacenados en bases de datos y almacenamiento de archivos están cifrados.
- Control de acceso: sistema de roles y permisos granulares; principio de mínimo privilegio para el personal de SONATA.
- Autenticación: contraseñas almacenadas con hash bcrypt; opción de autenticación de doble factor (2FA) disponible.
- Aislamiento entre organizaciones: arquitectura multi-tenant con un identificador único de organización, aplicado de forma transversal y obligatoria en el acceso a datos, de modo que ningún usuario puede consultar información perteneciente a otra organización.
- Copias de seguridad: backups automáticos diarios con retención de 30 días, almacenados en ubicación geográficamente separada.
- Monitoreo y detección: sistemas de monitoreo 24/7 para detectar actividades sospechosas o intentos de intrusión.
- Gestión de incidentes: procedimientos documentados de respuesta a brechas de seguridad.
9.1 Notificación de brechas
En caso de una brecha de seguridad que afecte datos personales, SONATA notificará a los Clientes afectados en un plazo no superior a 72 horas desde su detección, incluyendo la naturaleza de la brecha, los datos afectados, las medidas adoptadas y los pasos recomendados al Cliente.
10. Cookies y Tecnologías Similares
La Plataforma utiliza cookies y tecnologías de seguimiento similares para su correcto funcionamiento:
| Tipo | Propósito | ¿Esenciales? |
|---|---|---|
| Cookies de sesión | Mantener la sesión autenticada del usuario | Sí |
| Cookies de preferencias | Recordar configuraciones como idioma o sucursal activa | Sí |
| Cookies CSRF | Protección contra ataques de falsificación de solicitudes | Sí |
Cookie del asistente (sonata_asistente) | En la página pública, recordar su conversación con el asistente durante 30 días. Solo se crea si usted escribe en el chat | Sí, para usar el chat |
| Cookies analíticas | Análisis de uso de la Plataforma (datos anonimizados) | No (opcional) |
Las cookies esenciales no pueden desactivarse pues son necesarias para el funcionamiento del Servicio. Las cookies opcionales pueden configurarse desde el centro de preferencias de privacidad disponible en la Plataforma.
11. Datos de Menores de Edad
SONATA es una plataforma destinada al uso profesional por parte de prestadores de servicios de salud y empresas. Los menores de edad no crean cuentas ni acceden directamente a la Plataforma.
En el contexto de la prestación de servicios de salud, la Plataforma puede almacenar datos personales y de salud de menores de edad, ingresados por el profesional o la institución tratante en su calidad de responsable del tratamiento. BachiSoft, S.A. actúa como encargado del tratamiento de dichos datos, conforme a la Ley N.° 81 de 2019 sobre Protección de Datos Personales de la República de Panamá y su reglamentación.
Corresponde al profesional o institución obtener el consentimiento del padre, madre o tutor legal cuando la normativa aplicable así lo exija, así como determinar las finalidades y el alcance del tratamiento.
Para cualquier consulta sobre el tratamiento de datos de menores puede escribirnos a [email protected].
12. Cambios a Esta Política
SONATA puede actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas, en la legislación aplicable o en el Servicio. Cuando realicemos cambios materiales, notificaremos al administrador de cuenta del Cliente por correo electrónico con al menos 15 días de anticipación a la entrada en vigor de la nueva versión.
Le recomendamos revisar esta política periódicamente. La fecha de "última actualización" al inicio del documento refleja cuándo se realizaron los últimos cambios.
13. Contacto en Materia de Privacidad
Para cualquier consulta, solicitud de ejercicio de derechos o reclamación relacionada con el tratamiento de sus datos personales:
| Canal | Datos |
|---|---|
| Responsable de Privacidad | [email protected] |
| Soporte general | [email protected] |
| Domicilio | República de Panamá |
Si no queda satisfecho con nuestra respuesta, puede acudir ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), ente rector en materia de protección de datos personales en la República de Panamá.
