Seguridad

1. Cifrado de la información

• En tránsito: todo el tráfico entre tu navegador y nuestros servidores viaja cifrado sobre HTTPS/TLS. No hay comunicación en texto plano.
• En reposo: la base de datos cifra la información almacenada a nivel de disco.
• Contraseñas: nunca se almacenan en texto plano. Se resguardan con un algoritmo de hashing robusto (bcrypt), de modo que ni siquiera nosotros podemos leerlas.

2. Control de acceso y autenticación

• Aislamiento por consultorio: cada consultorio opera en un espacio lógico aislado. Todas las consultas a la base de datos están acotadas por el identificador del consultorio, de manera que la información de un consultorio nunca es accesible desde otro.
• Autenticación: el acceso se gestiona mediante tokens de sesión firmados y con expiración, que se renuevan de forma segura.
• Roles y permisos: cada usuario tiene un rol (administrador, profesional o asistente) que determina a qué información y acciones puede acceder, siguiendo el principio de mínimo privilegio.
• Acceso a producción restringido: el acceso a los sistemas de producción está limitado al personal autorizado y protegido con autenticación por llave.

3. Bitácora de auditoría

Ordexa registra quién abre o modifica un expediente clínico y cuándo lo hace. Esta trazabilidad permite detectar accesos indebidos.

4. Infraestructura y endurecimiento

• Límites de tasa (rate limiting): protegen los puntos de acceso contra abuso y ataques de fuerza bruta.
• Servidor endurecido: firewall activo, protección contra intentos de acceso repetidos, acceso administrativo únicamente por llave y actualizaciones de seguridad al día.
• Proveedores con certificaciones de seguridad: la base de datos, la aplicación web y los archivos del expediente están en Supabase, Vercel y Amazon Web Services, que tienen informes SOC 2 y certificación ISO 27001. Las certificaciones son de cada proveedor.

5. Conservación de los expedientes

Los expedientes clínicos se conservan conforme a los plazos que exige la NOM-004-SSA3-2012 (mínimo 5 años desde el último acto médico).

6. Privacidad y datos sensibles

El profesional de la salud es el Responsable del tratamiento de los datos de sus pacientes; Ordexa actúa como Encargado, procesándolos únicamente para prestar el Servicio. El detalle de este modelo y de tus derechos está en nuestra Política de Privacidad.

Los datos que se envían a nuestros proveedores de inteligencia artificial no se utilizan para entrenar sus modelos, conforme a los acuerdos de uso de sus interfaces de programación (API).

7. Reporte de vulnerabilidades

Ningún sistema es completamente infalible. Trabajamos de forma continua para mejorar nuestras medidas de seguridad y agradecemos la divulgación responsable. Si identificas una posible vulnerabilidad o un incidente de seguridad, escríbenos a [email protected]. En caso de una brecha de seguridad que afecte datos personales, notificaremos a los titulares afectados en los términos que establece la legislación aplicable.