Conformidad europea
Nueve garantías, y al lado de cada una cómo se verifica
Dónde están los datos y quién los controla
Datos en Italia
Verificable ahora
La historia clínica, las fotografías y las copias de seguridad están en infraestructura italiana, dentro de la Unión Europea. No en clouds estadounidenses, y sin réplicas fuera de la Unión.
La prueba Consulta tú el registro: «whois» en la dirección del sitio devuelve ARUBA-NET, Aruba S.p.A., país IT. La cadena completa está en la lista de subencargados.
CompruebaSin intermediarios
Verificable ahora
Entre tu navegador y nuestro servidor no hay nadie: ni red de distribución, ni proxy de terceros, ni firewall aplicativo gestionado por otros. Ningún sujeto extraeuropeo en el recorrido de los datos.
La prueba El dominio resuelve directamente en la dirección de la infraestructura, como muestra una consulta DNS.
CompruebaEl titular eres tú
Verificable ahora
Los pacientes son tuyos, la historia clínica es tuya, las decisiones sobre el tratamiento las tomas tú. Nosotros somos responsables y actuamos según tus instrucciones escritas.
La prueba Acuerdo ex art. 28 GDPR, publicado íntegramente y sin módulo para rellenar. Lo firmas antes de empezar, y tu asesor puede leerlo ahora.
Comprueba
Qué puedes hacer con esto
Código de conducta europeo
Verificable ahora
El proveedor que aloja los datos adhiere al código de conducta CISPE para servicios en la nube, aprobado por la CNIL en 2021 según el art. 40 del GDPR.
La prueba La inscripción está en el registro público CISPE, que no gestionamos ni nosotros ni el proveedor.
Comprueba en la fuenteCada acceso queda registrado
Verificable ahora
Quien abre una historia clínica deja un registro: quién, cuándo, qué recurso, con qué resultado. Los registros están vinculados por una cadena de huellas, por lo que no se pueden reescribir a posteriori sin que se note.
La prueba El registro lo consultas tú también, y es la medida que el art. 32 GDPR menciona explícitamente. La cadena la verifica una página pública, sin registro.
CompruebaSalir es una función
Verificable ahora
Exportas todo en FHIR R4, un estándar sanitario internacional, en cualquier momento y sin pedirnos permiso. Si cambias de proveedor, los datos se van contigo.
La prueba Art. 20 GDPR sobre portabilidad, prescripción 2.6 del Anexo II del reglamento EHDS, y las directrices aplicativas del art. 78 del código deontológico médico, que piden al médico priorizar servicios con un formato independiente de la plataforma.
Comprueba
Lo que no hacemos, y lo que no tenemos
Entrenamiento de modelos, ISO 27001 y marcado CE
Ningún entrenamiento con tus datos
Verificable ahora
Los proveedores de los modelos que usamos están excluidos por contrato de entrenar con los datos que pasan por nuestras llamadas. El dictado lo transcribe un proveedor europeo, y el audio no se guarda.
La prueba Cada proveedor está nombrado en el listado de subencargados, con sede, servicio, categoría de datos y base jurídica.
CompruebaISO 27001: el centro de datos sí, nosotros no
No la tenemos
La certificación es de quien aloja la infraestructura y se refiere a la sala de servidores. No cubre nuestro código, el control de accesos ni la gestión de claves.
La prueba Adoptamos los controles del Anexo A como referencia, sin certificación de terceros. Está escrito en el apartado 12 de la ficha de medidas de seguridad.
CompruebaMarcado CE: desde 2029
No exigible aún
El reglamento sobre el espacio europeo de datos sanitarios hará obligatorio el marcado CE para las historias clínicas electrónicas. Hoy no es aplicable: faltan los actos de ejecución de la Comisión.
La prueba Reg. (UE) 2025/327, arts. 39 y 41, aplicable desde el 26 de marzo de 2027 y desde el 26 de marzo de 2029 para las categorías prioritarias.
Comprueba
El reglamento que cambia las reglas
Desde 2029 una historia clínica deberá llevar el marcado CE
El Reglamento (UE) 2025/327 establece el espacio europeo de datos sanitarios y define un marco armonizado para los sistemas de historias clínicas electrónicas. Se aplica a partir del 26 de marzo de 2027, y desde el 26 de marzo de 2029 para los sistemas destinados a las categorías prioritarias de datos sanitarios.
Es un requisito de producto. Quien vende una historia clínica deberá demostrar que hace ciertas cosas, y quien no las haga saldrá del mercado europeo.
Hoy el marcado no puede ser aplicado por nadie: faltan los actos de ejecución de la Comisión sobre el entorno de prueba y el formato europeo de intercambio.
REGL. (UE) 2025/327 · CAPÍTULO III
- Art. 37
- Documentación técnicaEl fabricante la redacta antes de introducir el sistema en el mercado y la mantiene actualizada. Demuestra la conformidad con los requisitos esenciales del Anexo II.
- Art. 39
- Declaración de conformidad UEAtestigua el cumplimiento de los requisitos esenciales. Debe permanecer accesible durante al menos diez años desde su introducción en el mercado.
- Art. 40
- Entorno digital europeo de pruebaLos componentes de software armonizados deben evaluarse allí antes de su introducción en el mercado. Las especificaciones comunes se delegan en actos de ejecución de la Comisión.
- Art. 41
- Marcado CE de conformidadAplicada de forma visible, legible e indeleble en los documentos que acompañan al sistema, antes de su introducción en el mercado.
Dónde estamos ya
Los requisitos sobre los que ya es posible dar una respuesta
Cuatro requisitos del Anexo II no dependen de los actos de ejecución que faltan. Sobre esos se puede dar una respuesta ahora, incluido el punto en el que estamos a medias.
- 2.6
- Salir no debe ser gravosoSoddisfatta
Ninguna característica que dificulte la exportación autorizada para sustituir el sistema por otro producto. Cómo la exportación completa en FHIR R4 es una función disponible sin necesidad de pedirnos permiso.
- 3.1
- Identificar quién accedeSoddisfatta
Mecanismos fiables de identificación y autenticación de los profesionales sanitarios. Cómo segundo factor, sesión reforzada, roles separados, compartimentos por consulta.
- 3.2 e 3.3
- Registrar los accesos y poder examinarlosSoddisfatta
Registro de cada evento de acceso y herramientas para analizar sus datos. Cómo Registro FHIR AuditEvent vinculado por una cadena de huellas, que consultas tú.
- 3.4
- Conservaciones y accesos diferenciadosParziale
Plazos de conservación y derechos de acceso distintos según el origen y la categoría del dato. Cómo la conservación diferenciada está activa, la granularidad por origen todavía no.
Salir del servicio
Poder llevarte los datos es un deber tuyo
Gli indirizzi applicativi allegati all’art. 78 del codice di deontologia medica chiedono al medico di usare sistemi affidabili e di privilegiare i servizi che consentano la creazione di un formato indipendente rispetto alla piattaforma, senza che sia impedito il riuso dell’informazione, assicurandone disponibilità, riservatezza e modalità di conservazione.
Elegir un software de gestión del que no se pueda salir es un problema deontológico tuyo, además de un riesgo comercial. Lo mismo exigen el art. 20 del GDPR sobre la portabilidad y la prescripción 2.6 del Anexo II del reglamento europeo.
Por eso la exportación es una función del producto: FHIR R4, íntegro, cuando quieras, sin pasar por nosotros.
Para enviar al consultor
Todo público, sin un formulario que rellenar
Estos documentos se leen ya, incluso antes de hablar con nosotros.
- Acuerdo sobre el tratamiento de datosEl art. 28 entre tú, como responsable del tratamiento, y nosotros, como encargados.
- SubencargadosQuién accede a los datos además de nosotros, con sede, servicio y base jurídica.
- Medidas de seguridadLa ficha ex art. 32, incluidos los límites declarados.
- Las ocho preguntasPreguntas sobre datos y seguridad, con respuestas breves.