Senno gestiona el trabajo diario entre clínicas dentales y laboratorios. Guarda datos de salud de pacientes, así que la seguridad no es una capa añadida: es cómo se construye cada dato, cada clave y cada versión.
RGPD desde el diseño
Senno trata datos de salud para clínicas y laboratorios, que conservan el control de los datos de sus pacientes. Para cada derecho y cada deber del RGPD hay una respuesta que funciona en el producto, lista para mostrarla a un paciente o a una autoridad de control.
Los datos de salud son una categoría especial según el RGPD. Antes de cada interacción con el asistente de IA de Senno se comprueba el consentimiento explícito del paciente. Sin él, el asistente no trata sus datos, y el paciente puede retirar el consentimiento en cualquier momento.
Los pacientes exportan ellos mismos sus datos, en un formato portátil, sin presentar una solicitud ni esperar a la clínica.
Una corrección es una versión nueva, atribuida. El registro queda correcto y el rastro de quién cambió qué, y cuándo, permanece completo.
Destruir la clave personal de un paciente deja sus datos ilegibles en todas partes a la vez, también en las copias de seguridad. La propia supresión queda registrada como prueba.
La IA lee texto con los nombres y los contactos sustituidos por seudónimos. Los mensajes quedan retenidos hasta que una persona autoriza el envío. Cada miembro del equipo ve solo lo que su rol necesita.
Cifrado AES-256-GCM por paciente, aislamiento de cada organización dentro de la base de datos, copias de seguridad cifradas fuera del servidor con restauraciones probadas, y más de 16 500 pruebas automáticas antes de cada versión.
Un registro de auditoría encadenado por huellas muestra quién hizo qué y cuándo, sellado con puntos de control firmados. Las clínicas pueden demostrar su tratamiento ante una autoridad de control.
Las clínicas y los laboratorios deciden; Senno trata los datos por cuenta de ellos. Los datos de cada organización quedan aislados de todas las demás dentro de la propia base de datos.
Cómo se protege la API
Una persona en el navegador, una integración de un socio y el propio asistente de IA de Senno llegan a la misma API. Cada uno demuestra quién es a su manera, y después todas las peticiones pasan por la misma comprobación de capacidades, el mismo ámbito de organización y la misma seguridad a nivel de fila en la base de datos.
Tres llamadores, una sola puerta. Sea cual sea la entrada, una petición termina en la misma comprobación de capacidades, el mismo ámbito de organización y la misma seguridad a nivel de fila.
Una persona de la clínica o del laboratorio inicia sesión una sola vez mediante inicio de sesión único. El acceso dura una hora y se renueva sin molestar; se pueden exigir códigos de doble factor por persona.
Las integraciones usan un token con ámbito limitado, creado para una sola tarea. Senno guarda solo su huella, caduca por sí solo y se puede revocar en cualquier momento.
El asistente actúa por la persona con sesión iniciada mediante herramientas que nunca devuelven nombres ni contactos. Lo que escribe es una propuesta hasta que esa persona firma.
Tokens y credenciales
Cada forma de entrar en Senno tiene su propio tipo de credencial, pensado para una sola tarea. Cada una está ligada a una organización y a capacidades concretas, así que una credencial que se filtra abre una puerta estrecha durante poco tiempo, y se puede cerrar al instante.
Principios de seguridad en uso hoy
Una comprobación automática protege cada principio de abajo. Si un cambio rompe uno, ese cambio no se publica.
Cada tabla impone seguridad a nivel de fila, forzada incluso para el propietario de la tabla. La aplicación se ejecuta con un rol sin derechos de superusuario, y cada transacción declara para qué organización actúa.
Guarda: una tabla nueva sin seguridad a nivel de fila forzada hace fallar la compilación.
Las notas clínicas y los campos de identidad se cifran con AES-256-GCM. Cada paciente tiene su propia clave de datos, envuelta por una clave maestra que se guarda fuera de las copias de seguridad.
Guarda: todo paciente se crea con una clave.
El derecho al olvido es criptográfico: destruir la clave de un paciente deja sus datos ilegibles en la base de datos y en todas las copias de seguridad, mientras el registro de auditoría de la supresión permanece.
Irreversible por diseño, se previsualiza antes de ejecutarse.
Cada registro de auditoría lleva la huella del anterior, sellada con puntos de control firmados. Los historiales no se pueden editar ni borrar: una corrección es un registro nuevo de reversión.
Los disparadores de la base de datos rechazan UPDATE y DELETE en los historiales.
Las personas inician sesión mediante inicio de sesión único, con códigos de doble factor opcionales. Lo que cada persona puede hacer viene de capacidades explícitas por rol, nunca de estar dentro de una red.
Guarda: cada ruta nombra la capacidad que necesita.
La automatización actúa mediante tokens personales que duran como máximo 24 horas, se guardan solo como huella, se pueden revocar al instante y nunca pueden crear más tokens.
Una regla de la base de datos limita la duración a 24 horas.
El asistente lee y sugiere. Las notas, los mensajes y las acciones financieras quedan como propuestas hasta que una persona las acepta. El texto llega al modelo con los nombres y los contactos sustituidos.
Las herramientas del asistente nunca devuelven un nombre, un teléfono ni una dirección.
Los SMS y los correos quedan retenidos hasta que una persona abre la puerta para esa organización. Sin decisión explícita, la puerta está cerrada.
Cerrado por defecto: sin fila, no hay envío.
Más de 16 500 pruebas automáticas se ejecutan en cada lote de versión. Muchas leen el propio código para detectar un ámbito ausente, un secreto filtrado o una ruta sin comprobar. Las comprobaciones nuevas se prueban rompiendo el código a propósito.
Los secretos nunca están en el repositorio, y una prueba lo garantiza.
Las bases de datos y los archivos se copian a diario. Las copias salen del servidor solo cifradas, y los simulacros de restauración se ejecutan según un calendario. La clave maestra nunca está dentro de una copia de seguridad.
Las versiones se verifican en el servicio en producción tras cada despliegue.
Mapa de cumplimiento
Estas tres cosas son distintas. El RGPD es la ley bajo la que trabajamos. SOC 2 es un informe de auditoría sobre los controles de un servicio. ISO/IEC 27001 certifica cómo una organización gestiona la seguridad. Ninguna certifica software. Elija un marco y un principio para ver dónde cae cada control.
Cada tabla impone seguridad a nivel de fila, forzada incluso para el propietario de la tabla. La aplicación se ejecuta con un rol sin derechos de superusuario, y cada transacción declara para qué organización actúa.
Las notas clínicas y los campos de identidad se cifran con AES-256-GCM. Cada paciente tiene su propia clave de datos, envuelta por una clave maestra que se guarda fuera de las copias de seguridad.
El derecho al olvido es criptográfico: destruir la clave de un paciente deja sus datos ilegibles en la base de datos y en todas las copias de seguridad, mientras el registro de auditoría de la supresión permanece.
Cada registro de auditoría lleva la huella del anterior, sellada con puntos de control firmados. Los historiales no se pueden editar ni borrar: una corrección es un registro nuevo de reversión.
Las personas inician sesión mediante inicio de sesión único, con códigos de doble factor opcionales. Lo que cada persona puede hacer viene de capacidades explícitas por rol, nunca de estar dentro de una red.
La automatización actúa mediante tokens personales que duran como máximo 24 horas, se guardan solo como huella, se pueden revocar al instante y nunca pueden crear más tokens.
El asistente lee y sugiere. Las notas, los mensajes y las acciones financieras quedan como propuestas hasta que una persona las acepta. El texto llega al modelo con los nombres y los contactos sustituidos.
Los SMS y los correos quedan retenidos hasta que una persona abre la puerta para esa organización. Sin decisión explícita, la puerta está cerrada.
Más de 16 500 pruebas automáticas se ejecutan en cada lote de versión. Muchas leen el propio código para detectar un ámbito ausente, un secreto filtrado o una ruta sin comprobar. Las comprobaciones nuevas se prueban rompiendo el código a propósito.
Las bases de datos y los archivos se copian a diario. Las copias salen del servidor solo cifradas, y los simulacros de restauración se ejecutan según un calendario. La clave maestra nunca está dentro de una copia de seguridad.
Senno actúa como encargado del tratamiento para clínicas y laboratorios, que siguen siendo responsables del tratamiento de los datos de sus pacientes. Los números de artículo remiten al Reglamento (UE) 2016/679.
SOC 2 es un informe de un auditor independiente sobre los controles de un servicio frente a los Criterios de Servicios de Confianza. Los códigos remiten a los criterios de 2017. Senno todavía no tiene informe SOC 2.
ISO/IEC 27001 certifica la gestión de la seguridad de una organización para un alcance definido, aquí la plataforma Senno. Los códigos remiten al Anexo A de la edición de 2022. Senno todavía no está certificado.
Datos de salud
Las notas clínicas y los campos de identidad se cifran con AES-256-GCM con una clave que pertenece a un solo paciente. Esa clave está, a su vez, cifrada por una clave maestra guardada fuera de las copias de seguridad. Cuando un paciente pide ser olvidado, Senno destruye su clave: los datos quedan ilegibles en todas partes a la vez, incluidas las copias de seguridad antiguas. El registro de auditoría de la supresión permanece.
Datos de demostración. En Senno la supresión se previsualiza primero y no se puede deshacer.Los datos siguen ahí, pero nadie puede leerlos ya, ni en la base de datos ni en ninguna copia de seguridad.
IA con una persona al mando
El asistente de Senno lee y propone. Cada nota clínica, mensaje o acción financiera que sugiere queda como propuesta hasta que una persona la acepta. Los nombres y los contactos del texto se sustituyen por seudónimos antes de que el modelo los lea, y las herramientas del asistente nunca devuelven un nombre, un teléfono ni una dirección.
Antes de cualquier interacción con el asistente, Senno comprueba el consentimiento explícito del paciente. Las notas de voz y los archivos que un paciente decide enviar solo se tratan bajo ese consentimiento.
Auditoría a prueba de manipulación
Cada registro de auditoría lleva la huella del anterior, y puntos de control firmados sellan la cadena. Cambie un byte en el pasado y todos los registros posteriores dejan de coincidir. Los historiales son de solo añadir: una corrección es un registro nuevo que revierte el antiguo.
Dónde estamos, sin rodeos
Senno todavía no ha sido auditado según SOC 2 ni certificado según ISO/IEC 27001. Publicamos lo que está hecho y lo que viene después, y los socios pueden seguir cada punto abierto en el área de socios.
Compartimos el dosier de seguridad, la lista de subencargados y el seguimiento de puntos abiertos con clínicas, laboratorios y socios, bajo NDA.