Seguridad y privacidad - Verificación en dos pasos, cifrado y RGPD

El dato más sensible de un software de consulta no es el tuyo, sino el de tu paciente: historial de salud, mediciones, notas de sesión, datos de contacto. El RGPD los considera datos de categoría especial, es decir, exigen más protección que la ficha de un cliente cualquiera.

Los papeles se reparten así: tú eres el responsable del tratamiento y Vitena es el encargado que actúa siguiendo tus instrucciones. Esta página explica las dos mitades por separado: las medidas de nuestro lado y las que te corresponden a ti. Ninguna sustituye a la otra.

Quien entra en la cuenta de una consulta ve todas las fichas de pacientes que hay dentro. Por eso la puerta de entrada es el punto más valioso de todo el sistema. Una contraseña, por sí sola, es tan fuerte como el sitio más descuidado donde la hayas reutilizado, o como el correo de phishing más convincente que recibas una mañana con prisas.

Vitena ofrece verificación en dos pasos opcional. Cuando la activas, entrar requiere dos cosas: algo que sabes (tu contraseña) y algo que tienes (tu móvil). Los códigos de seis dígitos los genera cualquier aplicación de autenticación estándar: Google Authenticator, Microsoft Authenticator, Authy o 1Password. El código se calcula en el propio móvil a partir de su reloj, así que no necesita conexión a internet ni cobertura.

No usamos SMS a propósito: los ataques de duplicado de SIM han convertido el código por mensaje en un segundo paso poco fiable.

Los datos quedan expuestos en dos momentos: mientras viajan y mientras reposan. Cada uno tiene sus propias medidas.

• Cifrado en tránsito: todo el tráfico entre tu navegador o la app móvil y nuestros servidores va por HTTPS (TLS). Incluso desde la wifi abierta de una cafetería, nadie por el camino puede leerlo.
• Las contraseñas no se pueden revertir: se guardan como hash bcrypt, nunca en claro. Quien lea la base de datos no puede leer tu contraseña, y si la olvidas te enviamos un enlace para restablecerla, nunca la anterior.
• Las claves sensibles llevan una capa más: tu clave secreta de verificación en dos pasos y, si lo has conectado, el token de acceso a Google Calendar se cifran con AES-256-GCM antes de escribirse en la base de datos.
• Archivos subidos: documentos de pacientes, fotos de tratamiento y adjuntos de informes se almacenan cifrados en disco (AES-256). El almacenamiento no está abierto a internet y los archivos se sirven solo mediante enlaces de vida corta emitidos a una sesión autorizada; cuando el enlace caduca, deja de servir.
• Los datos de tarjeta no pasan por nosotros: los pagos de la suscripción se procesan con 3D Secure a través de la pasarela de pago. El número de tarjeta nunca llega a un servidor de Vitena.
• La revocación es inmediata: en el momento en que archivas o suspendes a un usuario, su sesión termina, sin esperar al día siguiente ni al próximo inicio de sesión.

Vitena funciona sobre Amazon Web Services dentro de la Unión Europea, en la región de Fráncfort (eu-central-1). Los servidores de la aplicación, la base de datos, el almacenamiento de archivos, la distribución de contenidos y el correo saliente están ahí. Ahí es donde se guardan las fichas de tus pacientes.

• La base de datos está cerrada a internet: vive en un segmento de red privado sin ruta de entrada desde fuera. Solo la propia aplicación llega hasta ella.
• Copias de seguridad: la base de datos se respalda automáticamente y las copias permanecen en la misma región de la UE.
• Subencargados: publicamos cada servicio en uso y para qué se usa. La lista completa está en vitena.care/data-protection

Las funciones de inteligencia artificial son un caso aparte y son opcionales. El texto llega a un proveedor de modelos solo cuando tú inicias una tarea: un borrador de plan, un borrador de nota, la lectura de un documento. Nada rastrea tus fichas en segundo plano. Esos proveedores están en Estados Unidos y operan bajo cláusulas contractuales tipo; qué envía cada función está detallado en esa misma página de protección de datos.

Cada consulta vive en su propio esquema de base de datos (un esquema por cliente), así que las fichas de dos clínicas nunca se mezclan dentro de las mismas tablas. A qué consulta pertenece cada petición se determina a nivel de conexión y, si no se puede determinar, la petición se rechaza: no existe el camino de "no estamos seguros, muéstralo igual".

La segunda capa de aislamiento está dentro de tu propia consulta:

• Roles y permisos: cada miembro del equipo recibe solo lo que necesita para su trabajo. Recepción puede ver la cita sin ver las notas de sesión.
• Portal del paciente: el paciente solo ve sus propias fichas, su plan y sus citas.
• Pantalla de autorregistro: el kiosco de la entrada no lleva nada sobre los pacientes del día, ni un recuento ni una inicial. Quien encuentre la dirección no averigua nada.
• Personas que se van: al archivarlas, su sesión termina en el acto, incluida la pestaña que dejaron abierta.

La figura legal es esta: tú eres el responsable de los datos de tus pacientes y Vitena los trata siguiendo tus instrucciones. El contrato que lo pone por escrito, el contrato de encargado del art. 28 del RGPD, es gratuito en todos los planes, incluido el gratuito: vitena.care/dpa

El sistema también hace practicable el ejercicio de los derechos de tus pacientes:

• Derecho de información: qué se trata y para qué está explicado en vitena.care/privacy.
• Portabilidad: puedes exportar la ficha de un paciente en un par de clics.
• Derecho de supresión: las solicitudes de borrado se gestionan con verificación de identidad en vitena.care/gdpr-verify.
• Limitación y consentimiento: los registros de consentimiento informado se conservan tal y como se firmaron. Si el texto cambia después, la línea firmada no se toca.

Un sistema es tan fuerte como su eslabón más débil, y ese eslabón suele ser una costumbre diaria más que una línea de código. Esta lista de cinco minutos cierra la mayor parte de lo que de verdad sale mal en las consultas: