Seguridad y Cumplimiento
Trabajamos con la información más sensible que existe. Esta página explica, sin rodeos, cómo la protegemos y qué puede exigirnos una institución de salud o un socio tecnológico.
Transparencia ante todo. En este documento separamos con claridad lo que ya está implementado de lo que forma parte de nuestra hoja de ruta. No declaramos certificaciones que no poseemos. Si tu organización necesita evidencia formal de algún control, escríbenos y la entregamos bajo acuerdo de confidencialidad.
1. Principios de diseño
- Privacidad desde el diseño. Cada funcionalidad se define considerando primero qué datos son estrictamente necesarios.
- Minimización. No recopilamos información que el flujo clínico no requiera.
- Mínimo privilegio. Cada usuario accede sólo a lo que su rol exige.
- Trazabilidad. Toda acción sobre datos clínicos queda registrada y es atribuible a un usuario.
- El dato es del paciente y de la institución. Andex es un procesador, nunca el dueño de la información clínica.
2. Controles implementados
| Ámbito | Control |
|---|---|
| Cifrado en tránsito | TLS en todas las comunicaciones entre cliente, aplicación y base de datos. Redirección forzada a HTTPS y HSTS. |
| Cifrado en reposo | Cifrado del almacenamiento de bases de datos y de los repositorios de imágenes clínicas. |
| Autenticación | Credenciales individuales por usuario, contraseñas almacenadas con funciones de derivación de clave. Sin cuentas compartidas. |
| Autorización | Control de acceso basado en roles, aplicado en el servidor y reforzado a nivel de base de datos. |
| Auditoría | Registro de creación, lectura, modificación y eliminación sobre registros clínicos, con usuario, fecha y origen. |
| Respaldos | Copias automáticas periódicas con retención definida y pruebas de restauración. |
| Segregación | Separación lógica de los datos de cada institución cliente. |
| Seguridad del sitio web | Content Security Policy, X-Content-Type-Options, Referrer-Policy, Permissions-Policy y protección anti-spam en formularios. |
| Personal | Acuerdos de confidencialidad para todo quien acceda a información clínica, vigentes tras el término de la relación. |
3. Cumplimiento normativo
Nuestras soluciones se diseñan para permitir que las instituciones cumplan con:
- Ley N.º 21.719 — Protección y tratamiento de datos personales.
- Ley N.º 20.584 — Derechos y deberes del paciente, incluida la reserva de la ficha clínica.
- Ley N.º 21.663 — Ley Marco de Ciberseguridad, en lo aplicable a proveedores de servicios esenciales.
- Ley N.º 19.799 — Documentos y firma electrónica, para la suscripción de informes clínicos.
Firmamos acuerdos de confidencialidad (NDA) y contratos de encargo de tratamiento de datos con cada institución cliente, definiendo finalidades, plazos, subencargados y condiciones de devolución o supresión de la información al término del contrato.
4. Interoperabilidad
Trabajamos con estándares abiertos para no generar dependencia tecnológica ni retener información:
- HL7 para el intercambio de mensajería clínica con sistemas HIS.
- DICOM para imágenes médicas y su integración con PACS.
- Exportación de datos en formatos estándar, disponible para la institución en cualquier momento.
Sin secuestro de datos. Si una institución decide terminar el servicio, entregamos la totalidad de su información en formatos utilizables y procedemos a la supresión segura según lo pactado.
5. Gestión de incidentes
- Detección y contención. Aislamos el incidente y limitamos su alcance.
- Evaluación. Determinamos qué datos y qué instituciones se ven afectados.
- Notificación. Comunicamos a las instituciones afectadas sin dilación indebida, con la información necesaria para que cumplan sus propios deberes de notificación ante la autoridad.
- Remediación. Corregimos la causa raíz y verificamos la solución.
- Informe posterior. Entregamos un reporte con las medidas adoptadas para evitar la recurrencia.
Para reportar una vulnerabilidad o un incidente de seguridad escríbenos a contacto@andexmedical.cl con el asunto «Reporte de seguridad». Si involucra datos personales, incluye también a nuestro Delegado de Protección de Datos, José Palma G. (jpalmag@andexmedical.cl). Agradecemos la divulgación responsable y nos comprometemos a no emprender acciones contra quien reporte de buena fe.
6. Continuidad operacional
- Infraestructura sobre proveedores cloud con redundancia y alta disponibilidad.
- Respaldos con retención que permite recuperación ante corrupción o borrado accidental.
- Procedimientos de restauración documentados y probados.
- Modalidades de despliegue alternativas para instituciones con requisitos particulares de disponibilidad.
7. Hoja de ruta
Estos elementos aún no están implementados o certificados y forman parte de nuestro plan de maduración. Los declaramos abiertamente porque preferimos ser precisos:
- Certificación ISO/IEC 27001 del sistema de gestión de seguridad de la información.
- Certificación ISO 13485 para el ciclo de vida de software y dispositivos médicos, cuando el alcance regulatorio lo requiera.
- Auditorías externas de seguridad y pruebas de penetración periódicas por terceros independientes.
- Autenticación multifactor obligatoria para todos los perfiles de usuario.
- Alojamiento en territorio nacional como opción contractual estándar.
8. Documentación para evaluaciones de proveedor
Si tu organización necesita evaluarnos formalmente, podemos entregar bajo acuerdo de confidencialidad:
- Ficha técnica de arquitectura y flujos de datos.
- Respuestas a cuestionarios de seguridad de proveedores.
- Modelo de contrato de encargo de tratamiento de datos.
- Antecedentes legales y tributarios de la sociedad.
- Detalle de subencargados y ubicación del procesamiento.
Solicítalo a contacto@andexmedical.cl.
9. Contacto
- Correo: contacto@andexmedical.cl
- Teléfono: +56 9 7559 1072
- Dirección: Zenón Urrutia 2737, Lote 111 A-D 2, Chiguayante, Región del Biobío, Chile