Seguridad y datos
Las preguntas de tu asesor, con respuesta
Las normas que nos aplican, y en qué punto estamos
- Art. 28 GDPREl titular eres tú. Acuerdo de tratamiento público, sin módulo para rellenar.
- Datos en ItaliaInfraestructura italiana, sin intermediarios, sin transferencias fuera de la Unión.
- Medidas de seguridadFicha técnica publicada íntegramente.
- Fotos cifradasCada foto clínica se cifra en el navegador antes de salir.
- Acceso en dos pasosContraseña más una app de autenticación en el teléfono.
- Código de conducta europeoQuien aloja los datos se adhiere a un código de conducta aprobado conforme al art. 40 del RGPD.
- Art. 50 · transparenciaIndicamos cuándo estás hablando con una IA. El marcado legible por máquina aún no está disponible.En curso
- Marcado CE desde 2029Hoy no es aplicable por nadie. Tres de los cuatro requisitos ya los cumplimos.En curso
Son los nombres de las normas, no sellos concedidos por un organismo.
¿Dónde se encuentran físicamente los datos?
En servidores de Aruba S.p.A., en Italia, es decir, dentro de la Unión Europea. No en nubes estadounidenses, y sin réplicas fuera de la Unión: la cadena clínica no sale del territorio europeo en ningún paso. Lo compruebas con un «whois» sobre la dirección del sitio.
¿Quién es el titular del tratamiento?
Tú. Los pacientes son tuyos, la historia clínica es tuya, las decisiones sobre el tratamiento de los datos las tomas tú. Nosotros somos responsables del tratamiento y actuamos según tus instrucciones, con un acuerdo escrito conforme al art. 28 del GDPR que firmas antes de empezar.
¿Cómo están cifrados?
El tráfico viaja por TLS. Las fotografías clínicas se cifran en el navegador antes de subirse, y la clave que protege cada foto permanece en el servidor; las copias de seguridad se cifran antes de escribirse. La base de datos, en cambio, todavía no está cifrada en reposo, ni a nivel de disco ni campo por campo: la protegen el control de acceso a la máquina y la separación entre consultas.
¿Quién, dentro de Fibonacci, puede leer una historia clínica?
El personal técnico que gestiona los servidores tiene acceso a la infraestructura, como en cualquier servicio alojado. Los accesos a los datos quedan registrados en el mismo registro que ves tú. No consultamos historias clínicas por iniciativa propia, y si nos pides asistencia sobre un caso concreto, lo hacemos contigo y queda registrado.
¿Los datos de los pacientes entrenan modelos de inteligencia artificial?
No. Los proveedores de los modelos que utilizamos se han comprometido contractualmente a no entrenar con los datos que pasan por nuestras llamadas. Los contratos están listados en la página de los subencargados.
¿Y las copias de seguridad?
Copias de seguridad cifradas y diarias, con prueba de restauración periódica. El registro histórico permite volver el sistema a un momento exacto, no solo a la última noche.
Si dejo de usar el servicio, ¿qué pasa con los datos?
Exportas todo en un formato estándar legible sin nosotros, en cualquier momento y sin pedir permiso. Al finalizar la relación, los datos se devuelven y luego se eliminan en los plazos que figuran en el contrato.
¿Y si cerráis vosotros?
Lo mismo aplica: la exportación es una función del producto. El formato es FHIR, un estándar sanitario internacional, así que otro proveedor puede leerlo sin tener que reinventarlo.
Los documentos
Envíalos a tu consultor antes de hablar con nosotros
Son públicos, sin formulario que rellenar.
- Acuerdo sobre el tratamiento de datosEl art. 28 entre tú, como titular, y nosotros, como responsables.
- SubencargadosQuién accede a los datos además de nosotros, y para qué.
- Medidas de seguridadLa ficha técnica ex art. 32, en detalle.
- Aviso de privacidadCómo tratamos los datos de quienes visitan el sitio y usan el servicio.
Si encuentras un problema
Reportes de seguridad
Se individui una vulnerabilità, scrivi a info@fibonaccimedica.it. Respondemos y te decimos qué hemos corregido. Solo te pedimos que no toques datos de pacientes reales mientras investigas.