01 · Paciente
Portal público del consultorio
Cada consultorio en su propio subdominio, con lo que el médico decide mostrar.
La especificación
10 controles, en producción.
- 01 · RLS · doble capa
Aislamiento en la base de datos, no en el código
Cada organización y cada línea de servicio están aisladas por Row-Level Security en PostgreSQL: aunque una capa de aplicación fallara, la base de datos rechaza la lectura ajena. Revocar un acceso cierra; nunca abre.
- 02 · SHA-256 · inmutable
Lo firmado no se puede reescribir
Notas clínicas, recetas y reportes de laboratorio se sellan con hash criptográfico al firmarse. Cualquier alteración posterior es detectable; la edición sobre un documento firmado se rechaza en el camino de escritura.
- 03 · OTP · portal
El expediente nunca viaja por chat
El paciente accede a su información con un código de un solo uso y una sesión acotada y revocable. Por WhatsApp viaja la notificación y el enlace, jamás el contenido clínico.
- 04 · store: false · ZDR
Retención cero en la capa de IA
Toda llamada de IA que toca datos sensibles exige retención cero del proveedor, verificada por un gate automático que revienta el build si alguien la omite.
- 05 · AES-256 · TLS 1.3
Cifrado en reposo y en tránsito
Datos cifrados en la base y en cada conexión; secretos de doble factor cifrados a nivel de aplicación; webhooks verificados por firma HMAC.
- 06 · 2FA · TOTP
La identidad se verifica, no se asume
Doble factor para las cuentas que operan datos sensibles, sesiones validadas contra el servidor de identidad en cada petición de servidor.
- 07 · Append-only
El consentimiento tiene bitácora
Cada consentimiento queda en un registro que no admite edición ni borrado: revocar es insertar una nueva fila, con IP y agente. La historia completa es auditable.
- 08 · Integridad diaria
Los invariantes se vigilan solos
Un verificador de integridad corre a diario contra la base de producción: decenas de invariantes estructurales que detectan cualquier deriva antes de que sea un incidente.
- 09 · Salida limpia
Irse es un derecho, no una negociación
Al cancelar, el cliente exporta todo en formatos abiertos y puede pedir eliminación permanente; se conserva únicamente lo que la ley fiscal exige, y también eso expira. La retención está documentada y se ejecuta en código.
- 10 · Incidentes · <24 h
Si algo pasa, el afectado se entera primero
Ante un incidente que pueda afectar datos, el cliente es notificado en menos de 24 horas con alcance y acciones tomadas, y se da aviso a la autoridad garante cuando la ley lo exige. Sin letra chica.
En pantalla
Donde se ven estos controles.
El portal que exige un código, el reporte que ya no se edita, la nota que se firma y la conversación donde nunca viaja un dato clínico. Capturas reales de una cuenta de demostración.
4 pantallas · desliza o usa las flechas
02 · Laboratorio · NOM-007
Reporte firmado con banderas
Valor, unidad y rango del catálogo; la bandera la calcula el motor y la firma la congela.
03 · Expediente · NOM-004
Historia clínica
Identificación, antecedentes, padecimiento actual, exploración, diagnóstico, tratamiento y pronóstico.
04 · WhatsApp
El recepcionista de IA, en la conversación
Agenda, confirma y cotiza dentro del chat; el humano toma la conversación cuando quiere.
Marco
El cumplimiento es producto, no anexo.
LFPDPPP. Aviso de privacidad propio del holding, derechos ARCO operables por correo y bitácora de consentimientos append-only. Las políticas completas están publicadas: privacidad, términos, cookies y política de IA.
Normas de salud. El expediente clínico se construye contra NOM-004 (notas firmadas e inmutables) y el modelo de datos contra NOM-024 (interoperabilidad); el detalle vive en la documentación de Auctorum Med.
Lo que NO afirmamos. Auctorum no es un dispositivo médico y la IA no emite diagnósticos. Donde una certificación está en proceso, se declara en proceso: el estado honesto es parte de la especificación.
Aislamiento.
Cada organización en su celda, cada línea de servicio en la suya, y la base de datos rechazando lo ajeno aunque la aplicación se equivoque.