Conformidad europea
Nueve garantías, y al lado de cada una cómo se verifica
Dónde están los datos y quién los controla
Datos en Italia
Verificable ahora
La historia clínica, las fotografías y las copias de seguridad están en infraestructura italiana, dentro de la Unión Europea. No en clouds estadounidenses, y sin réplicas fuera de la Unión.
La prueba Consulta tú el registro: «whois» en la dirección del sitio devuelve ARUBA-NET, Aruba S.p.A., país IT. La cadena completa está en la lista de subencargados.
CompruebaSin intermediarios
Verificable ahora
Entre tu navegador y nuestro servidor no hay nadie: ni red de distribución, ni proxy de terceros, ni firewall aplicativo gestionado por otros. Ningún sujeto extraeuropeo en el recorrido de los datos.
La prueba El dominio resuelve directamente en la dirección de la infraestructura: lo dice una consulta DNS, que cualquiera puede hacer incluso contra nosotros.
CompruebaEl titular eres tú
Verificable ahora
Los pacientes son tuyos, la historia clínica es tuya, las decisiones sobre el tratamiento las tomas tú. Nosotros somos responsables y actuamos según tus instrucciones escritas.
La prueba Acuerdo ex art. 28 GDPR, publicado íntegramente y sin módulo para rellenar. Lo firmas antes de empezar, y tu asesor puede leerlo ahora.
Comprueba
Qué puedes hacer con esto
Código de conducta europeo
Verificable ahora
El proveedor que aloja los datos adhiere al código de conducta CISPE para servicios en la nube, aprobado por la CNIL en 2021 según el art. 40 del GDPR.
La prueba La inscripción está en el registro público CISPE, que no gestionamos ni nosotros ni el proveedor.
Comprueba en la fuenteCada acceso queda registrado
Verificable ahora
Quien abre una historia clínica deja un registro: quién, cuándo, qué recurso, con qué resultado. Los registros están vinculados por una cadena de huellas, por lo que no se pueden reescribir a posteriori sin que se note.
La prueba El registro lo consultas tú, no solo nosotros, y es la medida que el art. 32 GDPR menciona explícitamente. La cadena la verifica una página pública, sin registro.
CompruebaSalir es una función
Verificable ahora
Exportas todo en FHIR R4, un estándar sanitario internacional, en cualquier momento y sin pedirnos permiso. Si cambias de proveedor, los datos se van contigo.
La prueba Art. 20 GDPR sobre portabilidad, prescripción 2.6 del Anexo II del reglamento EHDS, y las directrices aplicativas del art. 78 del código deontológico médico, que piden al médico priorizar servicios con un formato independiente de la plataforma.
Comprueba
Lo que no hacemos, y lo que no tenemos
Una lista de solo victorias no es un documento, es un manifiesto publicitario
Ningún entrenamiento con tus datos
Verificable ahora
Los proveedores de los modelos que usamos están excluidos por contrato de entrenar con los datos que pasan por nuestras llamadas. El dictado lo transcribe un proveedor europeo, y el audio no se guarda.
La prueba Cada proveedor está nombrado en el listado de subencargados, con sede, servicio, categoría de datos y base jurídica.
CompruebaISO 27001: el centro de datos sí, nosotros no
No la tenemos
La certificación pertenece a quien aloja la infraestructura y se refiere a la sala de servidores. No dice nada sobre nuestro código, el control de accesos o la gestión de claves, y no la exhibimos como si lo dijera.
La prueba Adoptamos los controles del Anexo A como referencia, sin certificación de terceros. Está escrito en el apartado 12 de la ficha de medidas de seguridad.
CompruebaMarcado CE: desde 2029, y aún no lo tiene nadie
No exigible aún
El reglamento sobre el espacio europeo de datos sanitarios hará obligatorio el marcado CE para las historias clínicas electrónicas. Hoy no es aplicable: faltan los actos de ejecución de la Comisión.
La prueba Reg. (UE) 2025/327, arts. 39 y 41, aplicable desde el 26 de marzo de 2027 y desde el 26 de marzo de 2029 para las categorías prioritarias. Desconfía de quien lo declare ya hoy.
Comprueba
El reglamento que cambia las reglas
Desde 2029 una historia clínica deberá llevar el marcado CE
El Reglamento (UE) 2025/327 establece el espacio europeo de datos sanitarios y define un marco armonizado para los sistemas de historias clínicas electrónicas. Se aplica a partir del 26 de marzo de 2027, y desde el 26 de marzo de 2029 para los sistemas destinados a las categorías prioritarias de datos sanitarios.
No es un trámite de oficina de compras: es un requisito de producto. Quien vende una historia clínica deberá demostrar que hace ciertas cosas, y quien no las haga saldrá del mercado europeo.
Hoy el marcado no puede ser aplicado por nadie: faltan los actos de ejecución de la Comisión sobre el entorno de prueba y el formato europeo de intercambio. Si un proveedor te lo declara ahora, te está diciendo algo sobre sí mismo.
REGL. (UE) 2025/327 · CAPÍTULO III
- Art. 37
- Documentación técnicaEl fabricante la redacta antes de introducir el sistema en el mercado y la mantiene actualizada. Demuestra la conformidad con los requisitos esenciales del Anexo II.
- Art. 39
- Declaración de conformidad UEAtestigua el cumplimiento de los requisitos esenciales. Debe permanecer accesible durante al menos diez años desde su introducción en el mercado.
- Art. 40
- Entorno digital europeo de pruebaLos componentes de software armonizados deben evaluarse allí antes de su introducción en el mercado. Las especificaciones comunes se delegan en actos de ejecución de la Comisión.
- Art. 41
- Marcado CE de conformidadAplicada de forma visible, legible e indeleble en los documentos que acompañan al sistema, antes de su introducción en el mercado.
Medido, no prometido
Los requisitos sobre los que ya es posible dar una respuesta
Cuatro requisitos del Anexo II no dependen de los actos de ejecución que faltan. Sobre esos se puede dar una respuesta ahora, incluido el punto en el que estamos a medias.
- 2.6
- Salir no debe ser gravosoSoddisfatta
Ninguna característica que dificulte la exportación autorizada para sustituir el sistema por otro producto. Cómo la exportación completa en FHIR R4 es una función disponible sin necesidad de pedirnos permiso.
- 3.1
- Identificar quién accedeSoddisfatta
Mecanismos fiables de identificación y autenticación de los profesionales sanitarios. Cómo segundo factor, sesión reforzada, roles separados, compartimentos por consulta.
- 3.2 e 3.3
- Registrar los accesos y poder examinarlosSoddisfatta
Registro de cada evento de acceso y herramientas para analizar sus datos. Cómo Registro FHIR AuditEvent vinculado por una cadena de huellas, que consultas tú.
- 3.4
- Conservaciones y accesos diferenciadosParziale
Plazos de conservación y derechos de acceso distintos según el origen y la categoría del dato. Cómo la conservación diferenciada está activa, la granularidad por origen no. Lo decimos ahora, no cuando nos lo pidan.
No es un gesto de buena voluntad nuestro
Poder llevarte los datos es un deber tuyo, no un favor nuestro
Gli indirizzi applicativi allegati all’art. 78 del codice di deontologia medica chiedono al medico di usare sistemi affidabili e di privilegiare i servizi che consentano la creazione di un formato indipendente rispetto alla piattaforma, senza che sia impedito il riuso dell’informazione, assicurandone disponibilità, riservatezza e modalità di conservazione.
Dicho de otro modo: elegir un software de gestión del que no se pueda salir no es solo un riesgo comercial, es un problema deontológico tuyo. Lo mismo exigen el art. 20 del GDPR sobre la portabilidad y la prescripción 2.6 del Anexo II del reglamento europeo.
Por eso la exportación aquí es una función, no un trámite que abrir: FHIR R4, íntegro, cuando quieras, sin pasar por nosotros. También es el motivo por el que no nos conviene retenerte con un formato cerrado, y preferimos decírtelo antes que después.
Para enviar al consultor
Todo público, sin un formulario que rellenar
Un proveedor que esconde el contrato tras un formulario de solicitud ya te está diciendo algo. Estos se leen ahora, incluso antes de hablar con ellos.
- Acuerdo sobre el tratamiento de datosEl art. 28 entre tú, como responsable del tratamiento, y nosotros, como encargados.
- SubencargadosQuién accede a los datos además de nosotros, con sede, servicio y base jurídica.
- Medidas de seguridadLa ficha ex art. 32, incluidos los límites declarados.
- Las ocho preguntasRespuestas breves, sin garantías genéricas.