Seguridad del expediente dental: cómo se protegen los datos de sus pacientes
Lo que se registra en un expediente dental acompaña a una persona por años: su salud, su medicación, sus radiografías. Éstas son las medidas que trae el sistema, no promesas: cada una está en el código y se comprueba de forma automática.
Cifrado AES-256
Aislamiento por clínica
Bitácora de lecturas
Lo que está en juego
Por qué la seguridad del expediente dental importa
Un expediente no es un dato de contacto: no se puede cambiar como una contraseña y su filtración no caduca. Estas 3 razones ordenan todo lo que viene después.
La confianza del paciente
Una persona le cuenta a su odontólogo que toma anticoagulantes, que está embarazada o que vive con VIH. Un incidente con esa información no rompe un sistema: rompe la relación, y con ella la reputación de la clínica.
Es un dato sensible
La ley salvadoreña de protección de datos personales trata los datos de salud como sensibles: piden un consentimiento aparte, por escrito, y que se pueda revocar. El expediente dental lo es de punta a punta.
La responsabilidad que usted asume
La clínica responde por los expedientes que guarda, y ese deber no se delega al proveedor del software: se comparte con él. ConsolTech trata los datos por encargo de la clínica, nunca para sí.
En concreto
¿Qué implica en la práctica?
Tres frentes: cómo viaja y se guarda el dato, quién puede llegar a él y qué constancia queda.
Cifrado
Cifrado en el viaje y también en la base de datos
La mayoría de los sistemas cifran el viaje y guardan el dato en claro. Aquí se hacen las dos cosas. Lo que sale de su navegador va cifrado con una clave distinta para cada sesión —negociada con RSA-2048 y usada con AES-256-GCM—, por encima del HTTPS de siempre. Y lo que llega a la base se guarda cifrado campo por campo con AES-256-GCM.
Se cifran el nombre, el DUI, el teléfono, el correo, la fecha de nacimiento, la dirección, el contacto de emergencia y el representante del menor.
También las alergias, la medicación, las alertas médicas, el motivo y la nota de cada visita, los diagnósticos, la anestesia y las indicaciones.
Dos claves separadas: una descifra y otra permite buscar. Filtrar una no entrega lo de la otra.
Acceso
Cada quien ve lo suyo, y nadie de otra clínica ve nada
El aislamiento entre clínicas no depende de que un programador se acuerde de filtrar: vive en la capa de datos, y las pruebas automáticas comprueban que una clínica recibe «no encontrado» al pedir un documento de otra. Dentro de su clínica, cada rol alcanza sólo lo que le corresponde.
Recepción agenda, registra pacientes y cobra, pero no ve la anamnesis ni la historia clínica.
Contraseñas de 10 caracteres o más, y un tope de intentos de inicio de sesión por minuto.
Cambiar la contraseña o «cerrar todas las sesiones» desconecta en el acto cualquier otro equipo; dar de baja a alguien también.
El acceso de cada persona se renueva cada año, y el administrador lo ve vencer antes de que pase.
Trazabilidad
Queda constancia de quién leyó y quién cambió cada expediente
Cada vez que alguien abre, crea, edita, imprime o exporta un expediente, queda una línea en una bitácora que sólo crece: quién, con qué rol, cuándo y desde dónde. La bitácora de cambios guarda qué campos se tocaron, nunca su valor, así que tampoco se convierte en una copia del expediente.
El administrador revisa la bitácora por paciente o por usuario y la exporta.
Lo que la pantalla llama «eliminar» lo retira de la vista, pero se restaura completo, con sus visitas, sus imágenes y su cuenta.
Las firmas de presupuestos y consentimientos guardan su huella SHA-256, la fecha y el equipo desde el que se firmó.
Uno por uno
Los 13 controles que ya están puestos
Ninguno es un plan: todos están en el sistema hoy, y las pruebas automáticas los recorren en cada módulo.
Cifrado de extremo a extremo
Lo que viaja entre su navegador y el servidor va cifrado dos veces: con el candado de siempre (TLS) y, encima, con una clave distinta para cada sesión. Aunque alguien intercepte el tráfico, sólo ve texto ilegible.
Los expedientes se guardan cifrados
No sólo el tránsito: el dato queda cifrado dentro de la base. Quien obtuviera una copia de la base no vería un solo nombre, una sola alergia ni un solo diagnóstico.
Y aun así, buscar sigue siendo instantáneo
Recepción encuentra a un paciente por un trozo del apellido, sin tildes o por el teléfono sin guiones, mientras la base de datos nunca llega a ver el dato: busca sobre huellas, no sobre el texto.
Dos llaves, no una
Una llave descifra la información y otra distinta permite buscarla. Comprometer una no entrega lo de la otra.
Cada clínica, aislada de las demás
Una clínica no puede leer ni escribir un documento de otra, aunque conozca su dirección. Se comprueba de forma automática en cada módulo.
Cada lectura del expediente queda registrada
No sólo los cambios: también quién abrió, imprimió o exportó cada expediente, en una bitácora que no se puede editar.
La bitácora no guarda datos clínicos
El registro de cambios anota qué campos se tocaron, no lo que decían. Las contraseñas y las claves se enmascaran antes de escribirse.
Nada se borra de verdad
Lo que la pantalla llama «eliminar» lo retira de la vista, pero se puede restaurar con todo lo que se llevó por delante: visitas, imágenes, odontograma y cargos.
Sesiones que se pueden cortar
Un cambio de contraseña, «cerrar todas las sesiones» o la baja de un usuario invalidan en el acto las sesiones que quedaran abiertas en otros equipos.
Las radiografías se abren con enlaces de minutos
Cada imagen se pide con una dirección firmada que vence a los cinco minutos, y el navegador no la guarda en su caché.
Las firmas llevan su huella
Cada firma de un presupuesto o de un consentimiento se guarda con su huella SHA-256, la fecha y el equipo: si alguien alterara la imagen, la huella dejaría de coincidir.
Los recordatorios no dicen nada clínico
El mensaje llega a un teléfono que puede ser familiar y se lee en la pantalla bloqueada. Por eso nunca lleva el motivo de la cita ni el tratamiento, y sólo sale por los canales que el paciente autorizó.
Ninguna clave vive en el código
Las claves de cifrado y de las sesiones se leen del entorno del servidor, nunca del repositorio ni de un archivo que viaje con el código.
La ley y su aviso de privacidad
Lo que pide la ley de protección de datos, en el sistema
La clínica es la responsable de los datos de sus pacientes y ConsolTech los trata por su encargo. Lo que se acepta al contratar está publicado: el aviso de privacidad y los términos del servicio. Si tiene una duda, escríbanos por WhatsApp. Los plazos y los textos legales que trae el sistema necesitan la revisión de su asesor.
Un consentimiento de datos aparte del clínico, finalidad por finalidad —datos de salud, cada canal de mensajes, el uso de imágenes—, revocable en cualquier momento.
Las solicitudes de acceso, rectificación, supresión, oposición y portabilidad, con su plazo en días hábiles a la vista y la exportación de los datos del paciente.
El registro de incidentes con su reloj de 72 horas para notificar y los borradores de la notificación.
El aviso de privacidad de cada clínica, por versiones, que el paciente acepta al firmar su consentimiento y que dice dónde se alojan sus datos.
Preferimos describir lo que hace el sistema antes que exhibir un sello: no tenemos certificaciones y no lo insinuamos. Si su clínica necesita el detalle técnico para una auditoría, se lo entregamos por escrito. Lo demás del sistema está en funciones.
