Política de privacidad

Yachana es una plataforma educativa multi-institución (colegios, academias y otras organizaciones) que ofrece agenda, reservas, clases en vivo, créditos y bolsas de clases, pagos, chat, foros, pizarra y reportes. Se usa en yachana.app y en subdominios por institución (nombre.yachana.app).

Titular de la plataforma: [POR COMPLETAR: razón social, RUT, domicilio y representante legal de Yachana]. Contacto de privacidad y soporte: soporte@yachana.app.

Papeles en el tratamiento. Cada institución es quien decide para qué y con qué personas usa Yachana, y por eso actúa como responsable de los datos de sus estudiantes, apoderados, profesores y personal. Yachana actúa como encargado: trata esos datos por cuenta de la institución, para prestarle el servicio y siguiendo sus instrucciones. Yachana es responsable de los datos que trata para sus propios fines: el contacto comercial (por ejemplo, quienes piden una demo), el registro de nuevas instituciones, la seguridad y los registros técnicos de la plataforma, y la facturación a las instituciones. [VALIDAR CON ABOGADO: calificación de responsable y encargado, y contrato de encargo con cada institución]

Esta política se redacta conforme a la Ley N° 19.628, sobre protección de la vida privada, vigente hoy, y considera la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales, publicada en diciembre de 2024 y que entra en vigencia el 1 de diciembre de 2026. Mientras no entre en vigencia, se aplica la normativa vigente. [VALIDAR CON ABOGADO: fecha exacta de vigencia, régimen transitorio y obligaciones específicas aplicables a Yachana]

Solo tratamos los datos necesarios para operar la plataforma. Los aporta cada persona, su institución o se generan al usar el servicio.

El modelo de datos de la plataforma no incluye campos de RUT, fecha de nacimiento ni domicilio de estudiantes. Sin embargo, quienes usan chat, foros, pizarra o el asistente de IA pueden escribir datos personales por su cuenta; por eso pedimos no compartir información sensible en esos espacios. [VALIDAR CON ABOGADO: si algún dato tratado califica como sensible según la Ley 21.719]

No usamos tus datos para publicidad ni para elaborar perfiles comerciales, y no los vendemos. [VALIDAR CON ABOGADO: base de licitud definitiva de cada finalidad, bajo ambas leyes]

Solo usamos cookies y almacenamiento estrictamente necesarios para que el servicio funcione o para recordar tus preferencias. No usamos cookies de publicidad ni herramientas de analítica de terceros.

Además, tu navegador mantiene el token de acceso en la memoria de la pestaña mientras la usas; no se guarda en el almacenamiento local. Las fuentes tipográficas se sirven desde nuestro propio dominio. Cuando abres una clase en vivo o pagas en línea, esos proveedores (sección 7) pueden usar sus propias cookies o almacenamiento bajo sus políticas. [POR COMPLETAR: confirmar con cada proveedor si instala cookies propias]

Para medir el rendimiento enviamos, al cerrar o abandonar una página, un aviso a nuestra propia API (/api/v1/metrics/web-vitals) con los tiempos de carga (LCP, INP, CLS, TTFB y FCP) y la ruta normalizada, sin identificadores ni datos de usuario. No se envía a terceros.

Para proteger a las personas y poder reconstruir lo ocurrido, la plataforma registra eventos importantes con la fecha, la institución, quién los realizó y datos del evento (por ejemplo, el correo en un intento de ingreso). Se registran, entre otros:

• Acceso: inicios de sesión exitosos y fallidos, cierres de sesión, cambios y restablecimientos de contraseña, cambio de institución.
• Cuentas: creación, invitaciones, activaciones, cambios de estado o rol, actualizaciones de perfil y exportaciones del listado de usuarios.
• Actividad académica: reservas, asistencia, cancelaciones, reprogramaciones, clases grupales y pizarra.
• Comunicación: creación de conversaciones, mensajes enviados y leídos, hilos, respuestas y moderación en foros, avisos y envío de notificaciones.
• Créditos, bolsas y pagos: movimientos de créditos, asignación y confirmación de bolsas, pagos en línea, reversos y liquidaciones.
• Administración: cambios de configuración e imagen de la institución y acciones del equipo de plataforma, incluidas las sesiones de soporte en nombre de un usuario (duran 15 minutos y quedan registradas).

Los administradores y coordinadores de una institución pueden consultar los eventos de su propia institución. Los registros técnicos de la infraestructura (solicitudes a la API y errores) pueden incluir la dirección IP y el agente de usuario; se ocultan las cabeceras de autorización y las cookies, y se conservan 14 días en la configuración actual. [POR COMPLETAR: plazo de conservación del registro de auditoría: hoy el código no define purga]

Para operar usamos los siguientes proveedores, que tratan datos por encargo nuestro o de la institución:

Estos proveedores están ubicados o pueden tratar datos fuera de Chile, principalmente en Estados Unidos, lo que constituye una transferencia internacional de datos. Corresponde documentar las garantías contractuales con cada proveedor. [POR COMPLETAR: instrumento de transferencia internacional y contratos de encargo (DPA) firmados con cada proveedor] [POR COMPLETAR: ubicación efectiva de los servidores de la videollamada y de la pizarra] [VALIDAR CON ABOGADO: requisitos de transferencia internacional bajo la Ley 21.719]

• Separación entre instituciones: cada registro lleva el identificador de su institución y la API filtra siempre por él; además, la plataforma crea un esquema de base de datos por institución. Una persona solo accede a los datos de su institución. [VALIDAR CON ABOGADO: descripción técnica exacta del aislamiento]
• Contraseñas: se guardan solo como hash bcrypt (costo 12) y deben tener al menos 8 caracteres, una mayúscula, un número y un carácter especial.
• Sesiones: el token de renovación se guarda como hash SHA-256, rota en cada uso y se revoca al cerrar sesión, al cambiar la contraseña y al suspender o desactivar la cuenta. Las cookies son httpOnly, Secure y SameSite=Strict.
• Cifrado en tránsito: la web y la API se sirven por HTTPS (TLS); la API solo acepta tráfico que pasa por nuestra red de distribución (CloudFront); la conexión a la base de datos usa TLS.
• Protección contra abuso: límite de solicitudes por minuto (por ejemplo, 5 intentos de ingreso por minuto) y bloqueo temporal de 15 minutos tras 5 intentos fallidos de contraseña.
• Anti-enumeración: al recuperar la contraseña respondemos siempre lo mismo, exista o no el correo, y, en general, los errores de ingreso no revelan qué dato falló.
• Enlaces de un solo propósito: las invitaciones duran 7 días y los enlaces de recuperación de contraseña 15 minutos y sirven una sola vez.
• Mínimo privilegio: los permisos dependen del rol (administrador, coordinador, profesor, estudiante, apoderado). El apoderado solo ve a los estudiantes vinculados y nunca dibuja en la pizarra.
• Archivos: bucket privado con acceso público bloqueado y cifrado en reposo (SSE-S3); subidas y descargas con enlaces temporales prefirmados; solo los logos se publican.
• Pagos: los avisos de Flow se verifican con una consulta firmada, el monto confirmado debe coincidir con el registrado y la acreditación es idempotente.
• Registros: se ocultan las cabeceras de autorización y las cookies en los registros de la API.
• Copias de seguridad: la base de datos tiene copias automáticas con retención de 3 días en la configuración actual. [POR COMPLETAR: confirmar cifrado en reposo de la base de datos y política de respaldos definitiva]

Conservamos los datos mientras la cuenta esté activa y la institución mantenga su relación con Yachana. Hoy el servicio funciona así:

• Suspender o desactivar una cuenta (lo hace el administrador o coordinador de la institución) bloquea el ingreso y revoca las sesiones, pero no borra los datos.
• Los registros de la base de datos tienen marca de borrado lógico, pero hoy no existe un proceso automatizado ni de autoservicio de eliminación definitiva: las solicitudes de supresión se atienden de forma manual, a través de la institución y de soporte.
• Plazos técnicos vigentes: sesión de acceso 15 minutos, sesión de renovación 7 días, invitaciones 7 días, enlace de recuperación 15 minutos, enlaces de subida de archivos 15 minutos, registros técnicos 14 días y copias de seguridad 3 días.

[POR COMPLETAR: plazos de conservación por categoría (cuentas, actividad académica, mensajes, auditoría)] [POR COMPLETAR: plazo legal de conservación de documentos tributarios y de pago] [POR COMPLETAR: qué ocurre con los datos al terminar el contrato con una institución (devolución, eliminación y plazo)] [VALIDAR CON ABOGADO: plazos mínimos y máximos exigibles]

Puedes pedir el acceso a tus datos, su rectificación, su supresión, la oposición a ciertos tratamientos y su portabilidad, según lo que establezcan la Ley 19.628 y, desde su entrada en vigencia, la Ley 21.719. [VALIDAR CON ABOGADO: catálogo definitivo de derechos, plazos de respuesta y excepciones]

• Primero, escríbele a tu institución, que es la responsable de tus datos. Si eres apoderado, puedes ejercer estos derechos respecto de los datos de tu estudiante.
• También puedes escribirnos a soporte@yachana.app. Si tu solicitud corresponde a la institución, la derivaremos y te avisaremos.
• Dentro de la plataforma puedes actualizar tu perfil y cambiar tu contraseña. Los administradores de la institución pueden exportar el listado de usuarios.

Para proteger tu información, podemos pedirte que acredites tu identidad antes de responder. [POR COMPLETAR: plazo de respuesta comprometido y procedimiento formal de solicitudes] Si crees que no respetamos tus derechos, podrás reclamar ante la autoridad de protección de datos que establezca la ley. [VALIDAR CON ABOGADO: autoridad competente y vía de reclamo]

Las cuentas de estudiantes las crea o invita la institución, que es quien decide quiénes participan y obtiene la autorización de sus apoderados. Yachana no ofrece registro público para estudiantes. [VALIDAR CON ABOGADO: edad umbral, forma de consentimiento y rol de los apoderados bajo la normativa aplicable]

• Recolectamos lo mínimo: no pedimos RUT, fecha de nacimiento ni domicilio del estudiante.
• El acceso depende del rol y de la institución; los apoderados ven solo a los estudiantes que tienen vinculados.
• Yachana no graba las clases: la videollamada se emite con la grabación, la transmisión en vivo y la transcripción desactivadas.
• No hay publicidad ni perfilamiento comercial de menores.
• Un apoderado puede pedir acceso, rectificación o supresión de los datos de su estudiante, a través de la institución o de soporte.

Si ocurre un incidente que afecte datos personales, lo investigaremos con apoyo del registro de auditoría y de los registros técnicos, tomaremos medidas para contenerlo y avisaremos a las instituciones afectadas, que como responsables informarán a las personas y a la autoridad cuando la ley lo exija. [POR COMPLETAR: procedimiento formal de respuesta a incidentes y plazo máximo para avisar a las instituciones] [VALIDAR CON ABOGADO: obligaciones de notificación de brechas de seguridad]

Podemos actualizar esta política, por ejemplo cuando entre en vigencia la Ley 21.719 o cambien los proveedores o las funciones de la plataforma. Publicaremos la versión vigente en esta página con su fecha de última actualización: 9 de octubre de 2026 (borrador). Si el cambio es relevante, lo comunicaremos también a las instituciones.

Para consultas sobre privacidad escríbenos a soporte@yachana.app.