--- title: "Seguridad y RGPD: datos de pacientes en Alemania — Salisan" description: "Cómo protege Salisan los datos de clínicas y pacientes: dónde se guardan, quién accede, cómo los trata la IA y lo que necesitan TI y protección de datos." url: https://salisan.com/es/security --- # Cómo mantenemos seguros los datos de su clínica Primero la versión corta y después los detalles que pedirá su equipo de TI o su delegado de protección de datos. - ¿Dónde almacena Salisan los datos de los pacientes? En Amazon Web Services, en Fráncfort, Alemania (eu-central-1). La base de datos, los archivos y las copias de seguridad permanecen en esa región, una prueba automatizada bloquea la replicación a otra, y las solicitudes de IA se procesan en la UE. - ¿Se usan nuestros datos para entrenar modelos de IA? No. No usamos sus datos para entrenar modelos de IA, y el contrato con nuestro proveedor de IA tampoco lo permite. - ¿Tiene Salisan ISO 27001 o SOC 2? Todavía no. Estamos trabajando para obtener la certificación ISO 27001 y un informe SOC 2 Type 2, y compartimos nuestro progreso en nuestro portal de confianza. - ¿Puede el personal de Salisan ver los datos de nuestros pacientes? Los roles de plataforma de Salisan no dan acceso a los datos de los pacientes, y nadie en Salisan puede iniciar sesión como uno de sus usuarios. El acceso a nuestra infraestructura requiere inicio de sesión único con autenticación multifactor y credenciales de corta duración. ## Para equipos técnicos Nuestro acuerdo de tratamiento de datos hace vinculante todo lo que sigue. ### Cifrado - TLS 1.2 o superior en todos los endpoints públicos, con HSTS. Las conexiones a la base de datos y a la caché también usan TLS. - Cifrado AES-256 en reposo para la base de datos y sus copias de seguridad, los archivos, la caché, el archivo de auditoría y los registros. ### Inicio de sesión - Verificación del correo electrónico, comprobación frente a contraseñas filtradas conocidas y límites en los intentos de inicio de sesión. - Verificación en dos pasos con una aplicación de autenticación, claves de acceso, inicio de sesión con Google e inicio de sesión único con OpenID Connect en el plan Enterprise. - Su consulta puede exigir la verificación en dos pasos a todos los miembros. - Las sesiones caducan tras 7 días sin uso. Al cambiar su contraseña, se cierra la sesión en sus otros dispositivos. ### Control de acceso - Cada solicitud se comprueba en el servidor para la organización y el paciente, incluidas las que hacen las herramientas de IA y los procesos en segundo plano. - Usted gestiona los miembros, los roles, los equipos y qué pacientes puede ver cada profesional. Los roles personalizados están en el plan Enterprise. ### Registro de auditoría - Cada lectura, búsqueda, cambio, exportación y eliminación de datos de pacientes escribe un registro de auditoría en la misma transacción de la base de datos. Si el registro no se puede escribir, la acción falla. - Una copia firmada va a un archivo de escritura única. Los registros de acceso se conservan al menos 5 años en los Países Bajos y 3 años en Alemania. - El registro de accesos de un paciente se incluye en la exportación de sus datos, y cada cambio en la historia clínica muestra quién lo hizo y cuándo. ### IA - Los modelos de IA funcionan en Melious, dentro de la UE. La transcripción de voz funciona en Amazon Transcribe, en Fráncfort. - Las herramientas de pacientes dan a la IA una edad en lugar de una fecha de nacimiento, y ninguna dirección, dato de contacto ni número de identificación nacional. - Los pacientes que usted excluya, y los menores de 18 años salvo que la consulta lo active en Ajustes, quedan fuera de todas las funciones de IA, incluidas la lectura de documentos y la transcripción. - Los correos, formularios y citas que prepara el Agente esperan su aprobación. Los cambios en la historia clínica llegan como propuesta y solo entran en ella cuando un profesional pulsa Conservar. - La búsqueda web envía solo una pregunta sin datos identificativos y se bloquea si se encuentra algún dato identificativo. ### Copias de seguridad, exportación y eliminación - La recuperación a un momento dado de la base de datos y las versiones anteriores de los archivos se conservan durante 35 días. La base de datos de producción tiene protección contra eliminación. - Exporte un paciente o toda su organización en cualquier momento, como un ZIP con JSON, Markdown y HTML legible. - La supresión de un paciente elimina todas las versiones almacenadas de sus datos y archivos, comprueba que no quede nada y emite un certificado. Las copias de seguridad caducan en un plazo de 35 días, y una restauración vuelve a aplicar cada supresión. - Las historias clínicas nunca se eliminan automáticamente al cumplirse un plazo. Lo decide su consulta, dentro de los mínimos legales de su país. ### Archivos y registros - Solo se pueden subir archivos PDF, JPEG, PNG, WebP y de audio. Un PDF o una imagen debe ser realmente del tipo que dice ser. - Los archivos de los pacientes se almacenan de forma privada. Cada descarga pasa por nuestro servidor, que comprueba el acceso y lo registra. - La IA lee los PDF y las imágenes subidos para que el Agente pueda usarlos. - Los registros de la aplicación guardan solo campos permitidos, con los datos sensibles ocultos, y se conservan 30 días. Las trazas de IA no contienen entradas ni salidas. Los correos a pacientes no incluyen seguimiento de aperturas ni de clics. ## ¿Has encontrado un problema de seguridad? Cuéntanoslo en privado y trabajaremos contigo para corregirlo. Confirmamos cada informe en un plazo de 3 días hábiles y no emprenderemos acciones legales contra la investigación de buena fe que siga nuestra política. - Incluye la URL o función afectada, los pasos para reproducirlo y el impacto. - No envíes datos reales de pacientes. Describe en su lugar qué tipo de datos viste. - Danos un plazo razonable para corregirlo antes de hacerlo público. Informa a [security@salisan.com](mailto:security@salisan.com) [Lee la política de divulgación](https://salisan.com/es/legal/vulnerability-disclosure) ## Documentos - [Acuerdo de tratamiento de datos](https://salisan.com/es/legal/dpa) - [Subencargados del tratamiento](https://salisan.com/es/legal/subprocessors) - [Privacidad](https://salisan.com/es/legal/privacy) - [Términos](https://salisan.com/es/legal/terms) - [Portal de confianza](https://trust.inc/salisan) ## Preguntas Envíe sus preguntas o el cuestionario de seguridad de su consulta a [security@salisan.com](mailto:security@salisan.com)