Borrador pendiente de revisión por abogado. Este texto describe lo que el producto hace hoy; no es asesoría legal y puede cambiar antes de su publicación definitiva.
Qué medidas de seguridad usamos hoy para proteger los datos de tu clínica y de tus pacientes, qué le toca a la clínica y qué todavía no hacemos.
1 · Qué cubre este documento
Este documento resume las medidas de seguridad que Tsunami Automation Global LLC usa hoy en Soluciones para Doctores. Dice lo que existe. No es un certificado y no promete que nunca habrá un incidente.
La clínica es la responsable de los datos de sus pacientes. Tsunami Automation Global LLC es la encargada: los trata siguiendo las instrucciones de la clínica. Tsunami Automation Global LLC es responsable solo de sus propios datos (usuarios de clínicas, visitantes, prospectos, directorio y contactos de facturación). Las medidas de abajo protegen los dos tipos de datos.
La ley pide medidas de seguridad administrativas, técnicas y físicas, y que sean al menos tan fuertes como las que usamos para nuestra propia información. Este texto explica cómo lo hacemos y dónde todavía no llegamos.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 2, fracs. XII y XIV; LFPDPPP (DOF 20-mar-2025), art. 18
2 · Dónde están los datos
La aplicación y la base de datos están alojadas con un proveedor de infraestructura en la nube de la Unión Europea, en Alemania (Núremberg). Eso es fuera de México. Las copias de seguridad están en un almacenamiento aparte del mismo proveedor de hospedaje. La lista completa de proveedores que reciben datos está en el documento de subencargados.
No guardamos números de tarjeta. Cuando una clínica activa pagos en línea, el número de la tarjeta lo recibe el procesador de pagos (Stripe o Mercado Pago), no nosotros.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
3 · Cifrado
- Cifrado por campo con AES-256-GCM para el nombre, el correo, el teléfono y las notas del paciente, para el texto de los mensajes, para las notas de las citas y para las transcripciones de llamadas de voz que guardamos. Si alguien obtiene una copia de la base de datos, esos campos se ven como texto cifrado.
- Para buscar a un paciente por correo o teléfono usamos un índice con clave (HMAC). No hace falta guardar ese dato en claro para buscarlo.
- El secreto de la verificación en dos pasos también se guarda cifrado.
- La conexión entre tu navegador y la plataforma usa HTTPS, con HSTS de un año para que el navegador no use una conexión sin cifrar.
El cifrado por campo cubre los datos de la lista de arriba. No todos los campos de la base de datos se protegen de esta forma. Los demás se protegen con el control de acceso y el aislamiento por clínica que se describen más abajo.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; Reglamento de la LFPDPPP (2011), arts. 57-62
4 · Cuentas, contraseñas y sesiones
- Las contraseñas se guardan con un hash scrypt con sal propia. Nunca guardamos la contraseña en claro. Pedimos al menos 10 caracteres con una letra y un número.
- Las sesiones usan un código aleatorio. En la base de datos guardamos solo su hash. La cookie es HttpOnly, Secure y SameSite. Una sesión de clínica se cierra tras 7 días sin actividad y, como máximo, a los 30 días.
- Los enlaces de acceso por correo duran 20 minutos y los de restablecer contraseña 30 minutos. Las invitaciones al equipo duran 7 días.
- Después de 5 intentos fallidos de inicio de sesión, la cuenta se bloquea por 15 minutos. Los intentos de verificación en dos pasos cuentan para el mismo bloqueo.
- Los puntos públicos (inicio de sesión, registro, restablecer contraseña, formularios de contacto, derechos ARCO y de admisión) tienen límites de frecuencia por dirección IP.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; Reglamento de la LFPDPPP (2011), arts. 57-62
5 · Verificación en dos pasos
Todos los usuarios pueden activar la verificación en dos pasos con una app de autenticación (códigos TOTP) y reciben códigos de recuperación.
Todavía no es obligatoria. Podemos exigirla a los roles de dueño y administrador, pero ese modo de exigencia se está activando por etapas y hoy no está activo para todos. Te recomendamos activarla en tu cuenta desde ahora.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
6 · Aislamiento entre clínicas y roles
Cada clínica es un espacio separado. La base de datos aplica seguridad a nivel de fila (row-level security): en la gran mayoría de las tablas, una consulta solo ve las filas de la clínica que inició la sesión. La aplicación se conecta con un usuario de base de datos de privilegios limitados, no con un administrador.
Dentro de una clínica, los permisos dependen del rol (dueño, administrador, profesional, recepción, facturación y otros). Cada persona del equipo ve solo lo que su rol permite.
La ley exige confidencialidad a todas las personas que participan en el tratamiento de datos. Nuestro equipo trata los datos de clínicas solo para operar y dar soporte al servicio.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; LFPDPPP (DOF 20-mar-2025), art. 20
7 · Registro de acciones (auditoría)
Guardamos un registro de las acciones sensibles: quién las hizo, en qué clínica, qué tipo de acción, cuándo, y la dirección IP y el navegador. El registro no copia el contenido clínico; guarda datos mínimos. Sirve para investigar un incidente o una duda.
El registro cubre acciones sensibles, no cada lectura de cada pantalla.
Fundamento: Reglamento de la LFPDPPP (2011), arts. 57-62
8 · Protección de la aplicación
- Encabezados de seguridad en todas las respuestas: HSTS, política de seguridad de contenido (CSP) con nonce por solicitud, protección contra clickjacking (X-Frame-Options DENY y frame-ancestors none), X-Content-Type-Options nosniff y política de referente restrictiva.
- Revisión de origen en las acciones que cambian datos desde el navegador, contra solicitudes falsificadas (CSRF).
- Verificación de firma en los webhooks de WhatsApp (Meta), el proveedor de telefonía y los procesadores de pagos. Una llamada sin firma válida se rechaza.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
9 · Registro de errores
Los errores técnicos se registran en un servicio que operamos en nuestros propios servidores en Alemania. No se envían a un tercero. La configuración desactiva el envío de datos personales por defecto, y nuestros registros ocultan campos sensibles por nombre (contraseña, token, teléfono, correo, nombre, notas y similares).
Ocultar por nombre de campo reduce el riesgo, pero no garantiza que un mensaje de error libre nunca contenga un dato personal.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
10 · Respaldos y recuperación
- Una copia diaria de la base de datos. Conservamos 31 copias.
- Una copia en otro almacenamiento, separado del servidor de la aplicación, cada 6 horas. Conservamos 14 generaciones.
- Hemos hecho y documentado una prueba de restauración. Todavía no es una prueba automática ni periódica.
- Los campos sensibles ya van cifrados dentro de la copia (ver Cifrado). No afirmamos un cifrado adicional del disco ni de los archivos de copia.
Si se elimina un dato por una solicitud de cancelación, puede permanecer en las copias hasta que estas se renueven (hasta 31 días en la copia diaria).
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
11 · Proveedores, inteligencia artificial y voz
Para dar el servicio usamos proveedores internacionales (modelos de lenguaje, voz, WhatsApp, llamadas, correo). Cada uno recibe solo los datos que necesita para su función. El documento de subencargados dice cuáles son, qué reciben y en qué país.
- La recepcionista con IA envía el mensaje del paciente y hasta 12 turnos anteriores de la conversación al modelo de lenguaje. Las reglas de seguridad de la respuesta (por ejemplo, urgencias) se aplican después de que el modelo recibe el texto. Si un paciente escribe síntomas, ese texto llega al proveedor del modelo.
- Las llamadas con el agente de voz las graba y las guarda el proveedor de voz hasta que se eliminen. Nosotros guardamos nuestra propia copia cifrada de la transcripción.
Si necesitas que eliminemos una llamada o un mensaje, escribe a privacy@tsunamiautomation.com.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; LFPDPPP (DOF 20-mar-2025), art. 13
12 · Lo que todavía no hacemos / límites
Preferimos decirte esto claro:
- No tenemos una certificación de seguridad de un tercero (como SOC 2 o ISO 27001).
- No hemos publicado una prueba de penetración independiente.
- Las llaves de cifrado no se rotan automáticamente.
- No afirmamos cifrado del disco del servidor ni de los archivos de respaldo. Los campos sensibles sí están cifrados por campo.
- La verificación en dos pasos está disponible, pero todavía no es obligatoria para nadie.
- Las grabaciones de voz permanecen en el proveedor de voz hasta que se eliminan.
- No eliminamos automáticamente los mensajes ni otros datos antiguos. La eliminación y la cancelación ARCO son un procedimiento manual que cumplimos dentro del plazo legal.
- No somos una entidad cubierta ni afirmamos cumplimiento de HIPAA. Ver el resumen del sector salud.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18
13 · Lo que le toca a tu clínica
La seguridad es de los dos. La plataforma no puede proteger lo que sale de ella por otros medios. Pedimos a cada clínica:
- Usar contraseñas fuertes y únicas, no compartir cuentas y activar la verificación en dos pasos.
- Dar de baja de inmediato a las personas que dejan el equipo y revisar los permisos de cada rol.
- Mantener seguros los dispositivos que entran a la plataforma (bloqueo de pantalla, actualizaciones, sin software dudoso) y no iniciar sesión en equipos públicos.
- No copiar datos de pacientes a lugares fuera de la plataforma (chats personales, correos sin protección, hojas de cálculo compartidas).
- Avisarnos sin demora si sospechas un acceso no autorizado, una cuenta comprometida o un dispositivo perdido, en support@tsunamiautomation.com.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; LFPDPPP (DOF 20-mar-2025), art. 20
14 · Cómo reportar una vulnerabilidad
Si encontraste una falla de seguridad, escribe a support@tsunamiautomation.com con el asunto «Seguridad». Describe qué viste, cómo repetirlo y qué página o función afecta.
- No accedas a datos de otras personas más allá de lo mínimo para demostrar la falla.
- No interrumpas el servicio ni hagas pruebas de carga.
- No publiques la falla hasta que la hayamos podido corregir.
15 · Si ocurre una vulneración de seguridad
- Evaluamos qué pasó, qué datos y qué clínicas están afectados.
- Contenemos el problema: cerramos accesos, cambiamos credenciales y conservamos la evidencia.
- Avisamos a las clínicas afectadas sin demora indebida y dentro de las 72 horas siguientes a que confirmamos la vulneración. Les damos la información que necesitan para actuar.
- La clínica, como responsable, avisa de forma inmediata a los pacientes cuando la vulneración afecta de forma significativa sus derechos patrimoniales o morales.
- Registramos el incidente, corregimos la causa y revisamos lo aprendido.
La ley no fija un número de horas. El plazo de 72 horas es nuestro compromiso con las clínicas. Los detalles de la colaboración entre la clínica y nosotros están en el contrato de encargo (/legal/contrato-encargo).
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 19; Reglamento de la LFPDPPP (2011), arts. 63-66