Datos sensibles · artículo 9 del RGPD
Los datos de salud que tus clientes te confían, donde el resto del CRM no puede llegar.
Un gimnasio anota lesiones y medicación. Un fisioterapeuta anota un diagnóstico. Según el RGPD son datos de categoría especial, y un campo del CRM no es su sitio. Datos sensibles es un almacén protegido junto al CRM: cifrado, visible solo para los roles que elijas, firmado por el cliente y registrado cada vez que alguien lo lee.
El problema
Por qué un campo personalizado no es sitio para un diagnóstico.
Todo lo que hace útil un campo del CRM es lo que lo hace inseguro para datos de salud. Por eso estos datos no se guardan en el CRM detrás de una marca que cada funcionalidad tendría que acordarse de respetar: se guardan fuera.
Lo lee cualquiera con acceso al CRM
Un campo personalizado lo ve cualquiera que pueda abrir el contacto. El RGPD pide acceso según necesidad para este tipo de datos, y un campo del CRM no puede darlo.
Se puede buscar
Filtros, vistas guardadas y exportaciones funcionan sobre cualquier campo. Es lo que hace útil un CRM, y es también lo que permite sacar la lista de todos los que tienen un diagnóstico.
Viaja
Asistentes, automatizaciones, importaciones e historiales de chat leen los campos del CRM. Cada herramienta nueva que lee el CRM lee también los datos de salud, salvo que alguien se acuerde de excluirlos.
Nadie sabe quién miró
Un campo guarda su valor, no quién lo leyó. Cuando un cliente pregunta quién ha visto su historial médico, o cuándo se borra, un campo del CRM no tiene respuesta.
Cómo está hecho
Un almacén en el que el resto del sistema no puede mirar.
Cada protección está por debajo de la pantalla, donde también la encuentra una llamada directa a la API. Ocultar un campo en una interfaz no es seguridad.
Vigilado por
Compliance
Un almacén propio
Los datos sensibles viven en tablas aparte que nada más en aicroo puede leer: ni la búsqueda del CRM, ni las vistas, automatizaciones, importaciones o la exportación ordinaria. Ningún usuario ni clave de API puede consultar esas tablas directamente; todo acceso pasa por una función que comprueba antes el permiso.
Cifrado antes de que lo vea la base de datos
Cada valor se cifra en el servidor de aplicación con AES-256-GCM antes de guardarse, y queda atado a su empresa, su cliente y su campo: un valor copiado en la ficha de otra persona no se descifra allí. La clave no está en la base de datos; copias de seguridad, registros y administradores de la base de datos solo ven texto cifrado.
Verlo es un permiso que tú concedes
Leer, escribir y configurar son tres permisos, marcados como peligrosos, que pones en los roles que los necesitan. Quien no los tiene no ve una sección bloqueada: no ve la sección, y no puede saber si un cliente tiene datos sensibles.
Se lee y se escribe desde tus Mini-apps
Los valores se registran y se muestran solo en las Mini-apps que construyes para ello, como una ficha de cliente o un formulario de mediciones, y por la API REST con una clave cuyo rol tenga el permiso. La aplicación gestiona el consentimiento, la exportación, el borrado y el registro de accesos. Nunca muestra un valor.
Cada lectura queda anotada
Cada lectura, escritura, exportación y borrado se anota en la misma transacción que el acceso, en un registro encadenado por hash que puedes verificar desde los ajustes. Registra quién, qué cliente, qué campos y por qué canal. Nunca el valor.
Los accesos inusuales se avisan
Cuando una persona o una clave lee los datos de más de 50 clientes en 24 horas, se avisa a quien configura el almacén, por la bandeja, e-mail, Teams o Slack. Tú fijas el umbral. Los avisos que salen de la aplicación nunca nombran al cliente.
Consentimiento, firmado
No se registra nada hasta que el cliente ha firmado.
El consentimiento explícito es un documento, no una casilla. Va separado del contrato de alta, cada finalidad se marca por separado y el cliente se queda con una copia sellada.
En persona, en una tableta o un ordenador
- El personal abre el cliente e inicia la firma. El dispositivo pasa a modo cliente, y solo una contraseña del personal lo saca de ahí.
- El cliente lee el texto y marca cada finalidad por separado.
- Confirma su e-mail con un código que recibe en él y firma a mano en la pantalla.
- El documento se sella con firma electrónica avanzada, con el empleado que la presencia, el dispositivo y la hora registrados. El cliente recibe copia por e-mail.
A distancia, desde un enlace
- El personal, o una Mini-app, solicita la firma. El cliente recibe un enlace por e-mail.
- Se verifica con un código enviado a su e-mail, lee, marca las finalidades y firma.
- El mismo sello y las mismas evidencias que en persona. El cliente recibe copia.
- Hasta que firma, no se puede registrar nada. Un consentimiento pendiente no cuenta.
Para un fisioterapeuta, una clínica o cualquiera sujeto a secreto profesional, la base puede ser en cambio el profesional sanitario (art. 9.2.h): sin firma del cliente, y con el nombre y el número de colegiado del profesional responsable registrados.
El RGPD, artículo por artículo
Lo que pide el reglamento, y lo que hace el producto al respecto.
No decimos que un software «cumple el RGPD». El cumplimiento es una propiedad de tu tratamiento, no de una herramienta. Lo que sí podemos enseñar es el mecanismo que hay detrás de cada obligación.
Art. 9.2.a
Qué pide: Consentimiento explícito para tratar datos de salud.
Qué hace aicroo: Un documento de consentimiento firmado, con cada finalidad marcada por separado. No se puede escribir ningún valor de un cliente hasta que está firmado.
Art. 9.2.h
Qué pide: O asistencia de un profesional sujeto a secreto.
Qué hace aicroo: La base profesional, con el profesional identificado y su número de colegiado registrado.
Art. 7.1
Qué pide: Poder demostrar que se dio el consentimiento.
Qué hace aicroo: El documento sellado se conserva aunque se borren los datos, como prueba de que el tratamiento fue lícito mientras duró. No contiene datos de salud.
Art. 7.3
Qué pide: Retirar el consentimiento tan fácilmente como se dio.
Qué hace aicroo: La retirada bloquea nuevos registros al instante y lo borra todo 30 días después. Entretanto el cliente puede llevarse una exportación. Un consentimiento nuevo en ese plazo cancela el borrado.
Art. 5.1.c
Qué pide: No más datos de los que exige la finalidad.
Qué hace aicroo: No hay campos de salud predefinidos. Defines cada uno, o lo declara la Mini-app que publicas, y tu evaluación de impacto lo justifica.
Art. 5.1.e
Qué pide: No conservar los datos más de lo necesario.
Qué hace aicroo: Los datos se borran solos 24 meses después del último registro del cliente (eliges entre 1 y 120), aunque el consentimiento no se haya retirado, con un aviso 30 días antes. El propio registro de accesos se guarda 4 años y después se elimina.
Arts. 15, 16 y 20
Qué pide: Acceso, rectificación y portabilidad.
Qué hace aicroo: Una exportación por cliente con los valores descifrados, desde su contacto o por API. Un valor corregido es una edición, y la edición queda registrada.
Art. 17
Qué pide: Supresión a petición.
Qué hace aicroo: Borrar a un cliente elimina de verdad sus valores y registros, no los oculta, tras una confirmación escrita. El acto queda registrado y se notifica.
Art. 25
Qué pide: Protección desde el diseño y por defecto.
Qué hace aicroo: El almacén está apagado hasta que la empresa lo activa, y ningún rol lo ve hasta que añades el permiso. Nada de lo que ya lee el CRM puede alcanzarlo.
Art. 32
Qué pide: Seguridad adecuada al riesgo.
Qué hace aicroo: Cifrado por valor con una clave fuera de la base de datos, comprobación de permiso en la base de datos en cada acceso, un registro de accesos verificable y avisos de accesos inusuales.
Arts. 30 y 35
Qué pide: Un registro de actividades y una evaluación de impacto.
Qué hace aicroo: Con la funcionalidad vienen plantillas de ambos y un texto de consentimiento de partida. Son borradores para tu propio tratamiento, que te corresponde completar.
Quién responde de qué
Tú eres el responsable. Nosotros te damos los medios y las evidencias.
Según el RGPD, tu empresa es la responsable del tratamiento: decides para qué se recogen los datos, qué campos existen, quién puede verlos y con qué base jurídica. aicroo es el encargado, y activar el almacén registra tu aceptación de un anexo de categorías especiales al contrato de encargo. Un software no puede hacer lícito un tratamiento por sí solo. Puede hacer que el camino lícito sea el único disponible, y dejar evidencias que puedas enseñar. Las lecturas jurídicas de esta página, como qué base aplica o si una firma avanzada es prueba suficiente del consentimiento explícito, son aquellas con las que lo construimos. Pide a tu delegado de protección de datos o a tu asesor que las confirme para tu caso.
Lo que no hará
Algunas puertas están cerradas por diseño.
Nunca se envía a un modelo de IA
Ni un valor, ni un recuento, ni una paráfrasis. El asistente y MCP no tienen ninguna función que llegue al almacén, y un test rompe la compilación si alguna aparece.
Nunca se puede buscar
No hay filtro, orden ni búsqueda sobre un valor sensible, por diseño. Nadie puede listar a los clientes que tienen una condición.
Nunca un dato biométrico
De una firma manuscrita se guarda solo la imagen final. No se captan tiempos ni presión del trazo, porque eso sería a su vez un dato de categoría especial.
Vigilado, no archivado
El empleado de IA de Cumplimiento mantiene el almacén en orden.
Ve recuentos, nunca valores, y no redacta nada sobre estos datos. Señala lo que necesita la atención de una persona.
Vigilado por
Compliance
- Clientes que retiraron el consentimiento y cuyos datos esperan su fecha de borrado.
- Consentimientos a distancia solicitados hace más de 7 días y aún sin firmar, así que no se puede registrar nada de esos clientes.
- Clientes cuyo plazo de conservación vence en 30 días, o ya venció sin que corriera el borrado automático.
- Contactos archivados que aún guardan datos sensibles.
- Un registro de accesos cuya cadena ya no verifica. Es un incidente, y se trata como tal.
Mira cómo se firma un consentimiento, se registra un valor y queda su rastro.
Trae a quien lleve la protección de datos. Activaremos el almacén, firmaremos un consentimiento en una tableta, registraremos una medición desde una Mini-app y abriremos juntos el registro de accesos.