Seguridad, privacidad y disponibilidad

Ley Federal de Protección de Datos Personales en Posesión de Particulares (México). Aviso de Privacidad publicado y derechos ARCO funcionales (Acceso, Rectificación, Cancelación, Oposición). La revisión legal del cumplimiento está pendiente: hasta tenerla, no lo declaramos cumplido.

Norma Oficial Mexicana del Expediente Clínico. La plataforma está diseñada conforme a ella: retención mínima 5 años, soft-delete con purga programada al cumplir el plazo, versionado de notas SOAP y bitácora de auditoría por expediente que sólo escribe el servidor.

AMIA opera en México y no declara cumplimiento HIPAA. El tratamiento de datos en Google Cloud está amparado por el CDPA; el BAA HIPAA aceptado con Google cubre sólo Workspace, no el expediente en Firestore. Daily.co tiene DPA, no BAA. Un BAA de plataforma se contrataría bajo demanda enterprise — ver tabla de sub-procesadores.

AMIA opera en México bajo la LFPDPPP y no declara cumplimiento del GDPR. Los acuerdos de tratamiento de datos (DPA) con los sub-procesadores se listan abajo.

Roadmap planeado para inicio cuando AMIA alcance 30K MRR o cierre el primer hospital grande.

Encriptación

Cifrado en reposo y en tránsito que aplica Google Cloud, el proveedor de infraestructura, a Firestore y Cloud Storage; los endpoints públicos se sirven sólo por HTTPS. No hay cifrado de extremo a extremo: la videoconsulta de Daily.co va cifrada en tránsito.

Multi-tenancy estricto

Cada práctica/clínica está aislada por `practiceId`. Las reglas de Firestore validan claim del token contra cada lectura/escritura. Auditoría con tests de seguridad ejecutados en CI.

Control de acceso basado en roles

Superadmin / owner / cirujano / doctor / nurse / asistente / receptionista / paciente. Custom claims firmados en backend; al cambiar rol o membresía se revocan las sesiones: el servidor las rechaza de inmediato y las lecturas directas a la base dejan de valer, a más tardar, en una hora.

Bitácora de auditoría

Cada expediente lleva su bitácora: consulta creada, editada o borrada, adendas, expediente y documentos abiertos, recetas, órdenes, interconsultas y registros de enfermería, con quién, cuándo y desde qué consultorio. Sólo la escribe el servidor y sólo agrega; ningún usuario la edita ni la lee desde el navegador. Hoy sólo la consulta la administración de AMIA, y está disponible para una auditoría regulatoria. Los cambios a plantillas quedan en un registro de actividad aparte, sin datos de pacientes.

Backups

Recuperación a un punto en el tiempo de los últimos 7 días, export diario automático de Firestore a las 6 AM CDMX con verificación y alerta si falla, y copia diaria de los archivos de Storage. Las copias pasan a almacenamiento frío y se borran a los 7 años (retención NOM-004: 5 años); el audio de consulta no: se borra a los 60 días, también de las copias (el borrado automático puede tardar uno o dos días más). Todo archivo borrado queda recuperable 7 días más por el soft delete de Google Cloud, sólo para revertir un borrado accidental. La recuperación a un punto en el tiempo y el export diario son de la base de datos, no de los archivos: no guardan audio, pero sí la transcripción en texto, que es parte de la consulta y se conserva con la nota clínica.

Monitoreo y respuesta

Better Stack vigila la disponibilidad de la app, el portal de pacientes, el sitio y el backend, y la publica en el status page; es medición, no un compromiso: no hay SLA de disponibilidad en los planes. Sentry registra los errores técnicos de las apps, el sitio y el backend sin datos de pacientes (se filtran antes de enviarlos). Runbooks documentados para incidentes (Firebase suspendido, rollback Cloud Run, rotación de secretos, etc.).

Política de rotación de credenciales

Secret Manager con rotación trimestral de API keys; detección automática de service-account drift mensual; gitleaks pre-commit en todos los repos.

Protección de endpoints públicos

Límite de peticiones por IP en los endpoints abiertos (registro de paciente, reserva pública) y verificación reCAPTCHA v3 en los formularios que no requieren sesión.