Tratamos los datos como datos clínicos.
Nada de promesas vagas. Aquí te decimos exactamente qué hacemos, cómo lo hacemos y cómo auditarlo.
Controles técnicos
Cifrado en tránsito
TLS 1.3 en todo el tráfico. HSTS forzado en dominios públicos para impedir downgrade a HTTP.
Sesiones con rotación
Access tokens de vida corta (15 min) y refresh tokens rotativos. Puedes cerrar sesión en cualquier dispositivo desde tu cuenta.
Segregación por workspace
Cada consultorio o clínica opera en un espacio lógicamente aislado. Ningún consultorio puede leer datos de otro.
URLs firmadas para archivos
Fotos y documentos clínicos solo accesibles mediante URLs firmadas con TTL corto (5 min).
Auditoría de acciones
Log inmutable de creaciones, modificaciones y eliminaciones sobre datos sensibles. Exportable por usuario administrador.
Backups periódicos
Respaldos automáticos diarios de base de datos y semanales de archivos. Drills de restore ejecutados mensualmente.
Cifrado en reposo
Base de datos y buckets de archivos cifrados con AES-256 en reposo.
Control de acceso por rol
RBAC granular: dueño, nutriólogo, asistente, auditor. Permisos separados por recurso.
Portabilidad de datos
Exportación completa de datos en formatos abiertos (CSV/JSON) en cualquier momento.
Cumplimiento
LFPDPPP (México)
Diseñado alineado con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Aviso de privacidad publicado, procedimientos para derechos ARCO, responsable designado.
NOM-004-SSA3-2012
Nuestro expediente clínico electrónico sigue los criterios de integridad, disponibilidad y confidencialidad. Retención mínima de 5 años como software de apoyo al profesional.
Cláusulas DPA
Ofrecemos Acuerdo de Tratamiento de Datos (DPA) a clínicas que lo requieran, con cláusulas equivalentes al GDPR.
Infraestructura
Hospedado en VPS europeos/USA con cifrado at-rest, backups diarios y restore drills periódicos. No usamos servicios que requieran ceder datos clínicos a terceros para entrenamiento de modelos.
Reporte de incidentes
Si sospechas un incidente de seguridad o encontraste una vulnerabilidad, escríbenos a security@nutriasoft.com. Respondemos en menos de 24 horas hábiles. Agradecemos reportes responsables y podemos coordinar disclosure coordinado.
Rangos de severidad
- Crítico (P0): respuesta inmediata, fix y comunicado en 24–72h.
- Alto (P1): fix en 7 días, disclosure en 14 días.
- Medio/Bajo (P2–P3): atendidos en el siguiente release.
Notificación de brechas
En caso de una brecha que afecte datos personales, notificamos a los usuarios afectados en menos de 72 horas desde la detección, y a la autoridad cuando corresponda, conforme a la LFPDPPP.
¿Tu clínica necesita un DPA?
Firmamos Acuerdos de Tratamiento de Datos para clientes Clinic. Contáctanos.