Software médico en la nube: qué pedir antes de subir datos de pacientes

Pide evidencia que puedas revisar

En una demo, todos los proveedores pueden decir que cuidan la información. La diferencia aparece cuando pides ver qué ocurre con un enlace vencido, un usuario que dejó la clínica o un documento firmado que alguien intenta modificar.

Usa esta guía para preparar preguntas y pruebas con datos ficticios. Distingue lo que puedes comprobar en pantalla de lo que requiere documentación del proveedor: una demo no prueba por sí sola cómo funcionan los respaldos o quién accede a la infraestructura.

1. Usuarios, permisos y salida del equipo

Pide cuentas separadas para cada integrante y una explicación de los permisos. Comprueba quién administra usuarios, quién puede ver documentos y quién puede firmar.

• Solicita una prueba con dos clínicas ficticias: una cuenta no debe acceder a los registros de la otra.
• Revisa qué sucede cuando se desactiva a un colaborador y si sus sesiones existentes dejan de funcionar.
• Pregunta qué accesos tiene el personal de soporte y cómo se autorizan y registran.

No compartas una contraseña de recepción con todo el equipo. Si todos entran como la misma persona, identificar responsabilidades se vuelve más difícil.

2. Alcance de los enlaces al paciente

Abre un enlace de prueba y revisa exactamente qué expone. Debe corresponder al paciente y paquete seleccionados, sin permitir navegar por documentos internos de la clínica.

• ¿Cuándo vence y cómo se reemplaza si se envió al destinatario equivocado?
• ¿Puede el paciente editar secciones reservadas al personal?
• ¿Qué pasa al completar los documentos o finalizar la visita?
• ¿El enlace permite entrar a quien lo posea o exige otra verificación?

Un enlace privado sigue siendo una vía de acceso. Comprueba el contacto antes de enviarlo y evita compartirlo en grupos.

3. Originales, firmas y cambios posteriores

Pide que firmen un paquete ficticio, intenten editarlo y muestren el mecanismo para añadir una aclaración. El historial debe ayudarte a distinguir el original de los documentos posteriores.

Pregunta qué acredita la firma del sistema, cómo verifica al firmante y qué significa su huella digital. Una imagen de firma, una comprobación de integridad, una e.firma y una certificación son conceptos diferentes; el proveedor debe explicar qué ofrece.

La NOM-004 establece requisitos sobre fecha, hora, autoría y firma de las notas, además de su conservación y confidencialidad. Eso no convierte cualquier PDF firmado en cumplimiento automático. Revisa los numerales 5.4, 5.7, 5.10 y 5.11 en la norma oficial con quien supervise la documentación de tu clínica.

4. Respaldos y recuperación

Pregunta cuándo se hizo la última prueba de restauración, qué información cubre y cuánto podría tardar la recuperación. “Hay respaldos diarios” no explica qué pasa si el sistema falla a media jornada.

• Frecuencia de respaldo y posible intervalo de datos no recuperables.
• Tiempo objetivo de recuperación y limitaciones del compromiso.
• Quién puede acceder a las copias y cuánto tiempo se conservan.
• Evidencia de una restauración con datos de prueba.

Define también cómo trabajará recepción durante una interrupción y quién reconciliará la información cuando vuelva el servicio.

5. Tratamiento de datos e incidentes

Solicita por escrito dónde se almacena la información, qué proveedores la procesan, si algún servicio de IA recibe documentos y bajo qué condiciones. Aclara responsabilidades y el contacto para reportar incidentes.

La LFPDPPP considera sensibles los datos de salud. Sus artículos 18 a 20 abordan medidas de seguridad, notificación de vulneraciones significativas y confidencialidad. Consulta el texto vigente; la clínica debe revisar el aviso, las finalidades y la base aplicable al tratamiento. El consentimiento para tratar datos es distinto del consentimiento informado para un procedimiento médico.

Si el proveedor menciona una certificación, pide el documento, la vigencia y el alcance del producto evaluado. No asumas que un logotipo cubre todas sus funciones.

6. Exportación y fin del servicio

Descarga una visita ficticia completa y ábrela fuera de la aplicación. Revisa todas las páginas, firmas, fechas y archivos adjuntos que el proveedor afirma incluir.

Pregunta cómo obtendrías la información de toda la clínica, en qué formato, con qué coste y dentro de qué plazo. Aclara qué se conserva después de terminar el servicio y cómo se gestionan solicitudes de acceso, corrección o eliminación junto con las obligaciones de conservación.

Exportar un documento no demuestra que exista una exportación masiva. Haz ambas preguntas por separado.

Qué puedes revisar en Sorta

Sorta ofrece cuentas de personal vinculadas a la clínica, paquetes seleccionados, separación de campos del paciente y del equipo, y conservación de originales firmados con notas posteriores. Consulta los detalles en documentos firmados.

En los paquetes de biblioteca, el enlace vence a los siete días; completar las respuestas o cerrar el paquete impide nuevas ediciones del paciente. Reemplazarlo explícitamente invalida el anterior. Revisa el alcance completo en seguridad.

Estos controles no equivalen a una certificación, a la e.firma ni a una garantía de cumplimiento. Pide evidencia del entorno que usará tu clínica antes de incorporar información real.