Cómo auditar al proveedor de software de tu clínica: 12 preguntas

Auditar a tu proveedor de software no es desconfianza: es tu obligación. Ante la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la clínica es la responsable del tratamiento de los datos de sus pacientes y el proveedor es un encargado que los trata por cuenta de ella. Si mañana hay una fuga o un paciente ejerce sus derechos, quien responde eres tú. Por eso hay doce preguntas que conviene hacer, y anotar la respuesta.

Estas preguntas funcionan por correo. No necesitas ser técnico para auditar a un proveedor de software: necesitas comparar lo que te contestan contra lo que debería contestarse.

Respaldos

1. ¿Cada cuánto respaldan la base de datos? Sana: diario, como mínimo. Alarma: cuando la respuesta es periódicamente, sin número.

2. ¿Cuánto tiempo conservan cada respaldo? Sana: al menos 30 días de historial, para poder volver atrás si un error se detecta tarde. Alarma: solo el último, porque un dato borrado hace una semana ya no se recupera.

3. ¿Cuándo fue la última vez que probaron restaurar un respaldo? Es la pregunta más útil de la lista. Un respaldo que nunca se ha restaurado es una suposición. Sana: una fecha concreta de los últimos meses. Alarma: silencio o un se hace automáticamente.

4. ¿Puedo tener yo mi propia copia? Sana: sí, exportable cuando quieras. Alarma: solo el proveedor tiene acceso a las copias.

Cifrado y accesos

5. ¿La conexión va cifrada? Sana: sí, con certificado válido; se comprueba solo, mirando el candado del navegador.

6. ¿La información está cifrada también cuando está guardada? Sana: sí, cifrado en reposo. Alarma: no entender la pregunta.

7. ¿Quién del proveedor puede abrir el expediente de un paciente mío? Sana: un grupo reducido, solo para soporte y con registro. Alarma: cualquier persona del equipo técnico.

8. ¿Ese acceso queda registrado y me lo pueden mostrar? Sana: sí, hay bitácora. Alarma: no se registra.

Dónde viven los datos y qué pasa si algo falla

9. ¿En qué país están alojados los servidores? No hay una respuesta correcta única: México, Estados Unidos o Europa son destinos habituales. Lo que importa es que lo sepas y que esté declarado en tu aviso de privacidad, porque una transferencia internacional de datos se informa al paciente.

10. ¿Cómo me entero de una caída o de un incidente de seguridad? Sana: aviso proactivo por correo y una página donde se publica el estado del servicio. Alarma: te enteras porque no funciona.

11. ¿Qué pasa si el proveedor de software cierra o es adquirido? Sana: existe una ventana para exportar y el contrato lo contempla. Alarma: nunca lo han pensado.

12. ¿Firman un convenio de confidencialidad y de tratamiento de datos? Sana: sí, y te mandan el formato. Es lo que ordena tu relación como responsable y encargado.

Tabla rápida para tu evaluación

Lo que te toca a ti, no al proveedor de software

Auditar hacia afuera sirve poco si dentro de la clínica la puerta está abierta. Hay cuatro cosas que no dependen de ningún proveedor de software y que suelen ser el eslabón más débil.

Contraseñas compartidas. Una sola cuenta para todo el equipo anula cualquier control de accesos que traiga el sistema.

La computadora de recepción sin bloqueo. Si la pantalla queda abierta con un expediente mientras la persona sale a comer, ese expediente está a la vista de la sala de espera.

El correo personal como archivo clínico. Mandar una radiografía por correo desde la cuenta personal de alguien saca esa imagen de todo control y la deja fuera de tu aviso de privacidad.

Salidas de personal sin desactivar accesos. Es el descuido más común y el más fácil de corregir: cuando alguien deja la clínica, se desactiva su usuario ese mismo día.

Ninguna de estas cuatro cuesta dinero. Todas cuestan disciplina, y son las que se revisan primero cuando algo pasa.

Una advertencia sobre certificaciones

Cuidado con quien te venda un certificado de cumplimiento normativo que no existe. En México se puede hablar de las normas de expediente clínico y de registros electrónicos en salud, y un buen sistema se diseña con ellas en mente, pero eso no es lo mismo que estar certificado, y nadie debería presentarlo así. Tampoco tiene sentido que un proveedor mexicano invoque normativas de otros países que no aplican aquí.

Lo que sí puedes exigir es concreto: respaldos con frecuencia declarada, cifrado, control de accesos, convenio de confidencialidad y exportación libre. Eso se verifica; un sello no.

Qué puedes revisar en DaleControl

En DaleControl, cada movimiento sobre el expediente queda con su autor y su fecha en el registro de auditoría, y los permisos se reparten por rol, así que la primera capa de control es tuya: tú decides quién de tu equipo ve qué. El expediente clínico concentra historia, odontograma, notas, imágenes y consentimientos firmados en un solo lugar, lo que hace posible responder rápido cuando un paciente ejerce sus derechos de acceso o cancelación.

Sobre lo demás, la respuesta honesta es la que deberías pedirle a cualquier proveedor de software: preguntar por escrito la frecuencia de respaldo, la retención y la última restauración probada, y guardar esa respuesta. Los planes están publicados en la página de precios, y conviene revisar en cuál de ellos entran los roles y permisos que tu clínica necesita.

Qué hacer con las respuestas

Guárdalas en un correo o en una carpeta con la fecha. Sirven para tres cosas: alimentar tu aviso de privacidad con información real, sustentar el convenio con el proveedor y, si algún día hay un incidente, demostrar que hiciste tu tarea como responsable del tratamiento.

Repite el ejercicio una vez al año. Los proveedores cambian de infraestructura, de equipo y de dueños, y una auditoría de hace tres años describe una empresa que ya no existe. Si estás evaluando opciones, manda estas doce preguntas a todos por igual: la velocidad y la claridad de las respuestas ya es, por sí sola, una parte del resultado.

Una última recomendación de método: pregunta siempre por escrito, aunque tengas al vendedor enfrente y sea más rápido preguntarle de viva voz. Una respuesta verbal no sirve dentro de un año, cuando la persona que te atendió ya no trabaja ahí y tú necesitas demostrar qué te prometieron. Un correo con doce preguntas y doce respuestas es, en la práctica, tu expediente de cumplimiento como responsable del tratamiento de datos, y se arma en una tarde.