Seguridad y confianza
Manejamos información clínica, que la ley mexicana considera datos personales sensibles. Aquí declaramos, con transparencia, qué medidas de seguridad están activas hoy y cuáles estamos incorporando. Distinguimos ambas cosas a propósito: preferimos ser exactos a prometer de más.
Medidas de protección
Cifrado en tránsito y en reposoActivo y verificado
Todo el tráfico viaja por HTTPS/TLS. La información se almacena en Google Cloud (Firestore/Storage), cifrada en reposo de forma predeterminada.
Control de acceso por rolesActivo y verificado
Permisos por rol (médico, administración, enfermería, recepción, auditor). El rol vive en el servidor; la asistente nunca ve datos clínicos sensibles.
Aislamiento entre consultoriosActivo y verificado
Cada consultorio es un espacio de datos independiente; las reglas impiden el acceso cruzado.
Bitácora inalterable (append-only)Activo y verificado
Registro append-only de quién consultó, creó, firmó, corrigió (adenda), imprimió o exportó cada dato clínico. No se puede editar ni borrar.
Cierre automático de sesión por inactividadActivo y verificado
La sesión se cierra tras inactividad con aviso previo; los borradores se conservan.
Límites de tasa en endpoints sensiblesActivo y verificado
Rate limiting propio (Firestore) en endpoints de IA/soporte/errores para bloquear abuso.
Verificación de origen (App Check)Implementado · verificación pendiente
App Check para bloquear tráfico automatizado. Requiere activar la site key en la consola para verificación completa.
Plan de respuesta a incidentesImplementado · verificación pendiente
Plan documentado (severidad, contención, comunicación, postmortem). Falta un simulacro registrado.
Respaldos + recuperación a un punto en el tiempoEn proceso
Respaldos automáticos y PITR en activación. Objetivos: RPO ≤ 24 h, RTO ≤ 4 h. NO se declara "activo" hasta ejecutar un restore drill en staging.
Autenticación multifactor (MFA)Activo y verificado
TOTP habilitado en el proyecto y con un factor enrolado y en uso (3-sep-2026). Alcance decidido por el dueño ese día y DEFINITIVO: el segundo factor se exige en la consola del dueño y en ningún otro sitio. Es voluntario para todo lo demás —quien no lo enrola entra como siempre, quien lo enrola no puede saltárselo— y el camino clínico no lo comprueba, a propósito: obligar al médico a sacar el teléfono para escribir una nota es fricción que no protege más.
Prueba de penetración externa anualPlaneado
Alcance y reglas de compromiso preparados. Pendiente de contratar a un tercero independiente; las pruebas internas (SAST/dependencias/secretos) NO equivalen a un pentest externo.
Qué recibe la inteligencia artificial
Para redactar y revisar notas, la IA procesa el texto o audio de la consulta que tú dictas. Este procesamiento ocurre en los proveedores listados abajo, bajo sus acuerdos de tratamiento de datos.
- No usamos tus consultas ni los expedientes de tus pacientes para entrenar modelos de IA.
- La IA asiste la documentación; el médico revisa, corrige y confirma antes de firmar. Las decisiones clínicas son siempre del médico.
- Guardamos qué generó la IA y qué corrigió el médico, para trazabilidad.
Proveedores (subencargados)
Empresas que procesan datos para operar el servicio. Cada una bajo su propio acuerdo de tratamiento de datos.
| Proveedor | Uso | Región | Cuánto lo guarda | Política |
|---|---|---|---|---|
| Google Cloud / Firebase | Base de datos, almacenamiento y autenticación | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Microsoft (Graph / OneNote) | Lectura de los blocs de OneNote del médico para importar expedientes, sólo cuando él conecta su cuenta | Estados Unidos / Unión Europea (según la cuenta del médico) | Según su acuerdo de tratamiento | Ver → |
| Servidor FHIR del hospital o laboratorio (SMART on FHIR) | Leer el expediente de un paciente desde el sistema de un hospital o laboratorio, sólo cuando el consultorio conecta ese servidor y busca a ese paciente | La del hospital o laboratorio conectado (lo elige el consultorio) | Según su acuerdo de tratamiento | Ver → |
| Vercel | Hospedaje de la aplicación web | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Anthropic (Claude) | Redacción y revisión clínica asistida por IA | Estados Unidos | Borra lo que se le manda y lo que responde en un máximo de 30 días. Puede guardarlo más si lo exige la ley o para hacer cumplir su política de uso. Fuente (2026-10-12) | Ver → |
| OpenAI | Transcripción de voz, búsqueda por significado en Colegas y apoyo de IA | Estados Unidos | Guarda registros de vigilancia de abuso hasta 30 días; no usa los datos de la API para entrenar sus modelos. Puede guardarlos más si lo exige la ley. Sólo se usan servicios sin estado (completar texto, transcribir audio y convertir a vectores lo publicado en Colegas y la búsqueda del médico): no se guardan conversaciones ni archivos en el proveedor. Fuente (2026-10-12) | Ver → |
| AssemblyAI | Separación de voces del dictado (médico y paciente), cuando está activada | Estados Unidos | Guarda el audio y la transcripción hasta que se pide borrarlos o vence el plazo configurado en la cuenta. Ausculta pide borrar cada transcripción en cuanto la recibe (y también si no pudo asegurarla). Fuente (2026-10-12) | Ver → |
| Daily | Sala de videoconsulta | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| 360dialog | Proveedor autorizado por el que pasan los mensajes de WhatsApp | Alemania / Unión Europea | Según su acuerdo de tratamiento | Ver → |
| Meta / WhatsApp | Mensajes y recordatorios al paciente, y el canal por el que el paciente escribe al consultorio | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Twilio | Envío de mensajes de WhatsApp al paciente cuando los otros proveedores de WhatsApp no están disponibles | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Google Calendar | Sincronizar las citas con el calendario de Google del médico, sólo cuando él conecta su cuenta (el evento lleva las iniciales del paciente, no su nombre) | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Facturama | Emisión de facturas electrónicas (CFDI) de la suscripción al consultorio | México | Según su acuerdo de tratamiento | Ver → |
| Stripe | Procesamiento de pagos de la suscripción | Estados Unidos | Según su acuerdo de tratamiento | Ver → |
| Veriff | Verificación de identidad del médico que cobra una opinión en Colegas (no recibe datos de pacientes) | Unión Europea | Según su acuerdo de tratamiento | Ver → |
Responsable y contacto
Para ejercer tus derechos ARCO (acceso, rectificación, cancelación, oposición) o reportar un incidente de seguridad, escríbenos a docrod29@gmail.com.
Consulta también nuestro aviso de privacidad y términos.