Checklist de seguridad

Antes de confiar los datos de una residencia a un sistema: 10 preguntas sobre seguridad, continuidad y salida

Un checklist para pedir respuestas y evidencia sobre accesos, trazabilidad, recuperación, disponibilidad y portabilidad antes de elegir un sistema.

Qué te llevás: Diez preguntas con evidencia esperada, señales de alerta y espacio para registrar pendientes.
Cuánto tarda: 30–45 minutos
Para quién es: Dueños, Dirección, Administración, Operaciones, Dirección médica

Respuesta directa

Antes de elegir un sistema para una residencia, seguridad no debería resumirse en “está en la nube”. Conviene dejar respondido quién accede, cómo se registra la actividad, cómo se recupera la información y qué ocurre con los datos si el servicio se interrumpe o termina.

Los datos de salud son datos sensibles. Por eso, la conversación de compra necesita bajar de conceptos generales a respuestas comprobables: responsables, controles visibles, documentación, pruebas realizadas y pendientes con fecha.

Usá datos ficticios durante la evaluación. Este checklist no necesita nombres, historias clínicas ni información real de residentes o personal.

Alcance: Esta herramienta es informativa y no constituye una auditoría, certificación ni asesoramiento legal o de seguridad. No determina cumplimiento de un proveedor. Las obligaciones aplicables deben revisarse según la institución, el contrato y la jurisdicción.

Las 10 preguntas que conviene dejar respondidas

Responsabilidades y ubicación de los datos
¿Qué rol asume cada parte sobre los datos, dónde se alojan y qué terceros intervienen para prestar el servicio?
Evidencia a pedir: Contrato o anexo que identifique responsabilidades, ubicación informada e inventario de proveedores relevantes.
Señal para no dejar abierta: La respuesta cambia según quién la explica o no puede quedar por escrito.
Identidad individual
¿Cada persona usa una identidad propia, incluso cuando el equipo comparte una tablet o computadora?
Evidencia a pedir: Demostración de ingreso, cambio de persona, bloqueo de sesión y registro asociado a la identidad activa.
Señal para no dejar abierta: Todo el turno comparte la misma cuenta o contraseña.
Permisos según función
¿Quién define qué puede ver o modificar cada rol y cómo se retira el acceso cuando alguien cambia de función o deja la residencia?
Evidencia a pedir: Matriz de permisos, pantalla de configuración y procedimiento de alta, cambio y baja.
Señal para no dejar abierta: Los permisos dependen de pedidos informales o quedan abiertos por defecto.
Trazabilidad de acciones
¿Qué acciones quedan asociadas a persona, fecha y hora, y durante cuánto tiempo puede consultarse esa evidencia?
Evidencia a pedir: Recorrido de una acción ficticia hasta su historial y explicación escrita de conservación y acceso a registros.
Señal para no dejar abierta: El proveedor muestra el dato final, pero no permite reconstruir quién hizo qué.
Protección durante el uso y almacenamiento
¿Cómo se protege la información cuando viaja y cuando queda almacenada, y cómo se gestionan credenciales y cambios técnicos?
Evidencia a pedir: Descripción técnica vigente, responsables y alcance de los mecanismos declarados.
Señal para no dejar abierta: Sólo aparecen frases como “nivel bancario” sin alcance ni evidencia.
Actualizaciones, vulnerabilidades e incidentes
¿Cómo se detectan y corrigen vulnerabilidades y cómo se comunica un incidente que pueda afectar a la residencia?
Evidencia a pedir: Proceso documentado, responsables, canal de notificación y compromisos contractuales aplicables.
Señal para no dejar abierta: No existe un contacto claro ni un proceso de comunicación acordado.
Backups y recuperación probada
¿Qué se respalda, con qué frecuencia y cuándo se probó por última vez que datos y archivos pueden restaurarse?
Evidencia a pedir: Alcance del respaldo, fecha de una prueba de restauración y resultado o pendiente explícito.
Señal para no dejar abierta: Se afirma que hay backups, pero nunca se probó una restauración completa.
Disponibilidad y contingencia
¿Qué debe hacer la residencia si el sistema o la conectividad no están disponibles y qué tiempo de recuperación se acordó?
Evidencia a pedir: Procedimiento de contingencia, responsables, objetivos de recuperación y forma de regularizar lo pendiente.
Señal para no dejar abierta: La única respuesta es esperar a que vuelva el servicio.
Exportación y portabilidad
¿La residencia puede obtener una copia utilizable de sus datos, incluyendo adjuntos, y en qué formato y plazo?
Evidencia a pedir: Muestra de exportación con datos ficticios y condiciones contractuales sobre alcance, formato, costo y tiempos.
Señal para no dejar abierta: La exportación existe sólo como promesa o deja afuera información necesaria sin explicarlo.
Salida, retención y eliminación
¿Qué sucede con los datos y sus copias cuando termina el servicio, quién confirma la entrega y cómo se documenta la eliminación cuando corresponda?
Evidencia a pedir: Cláusula de salida con responsables, plazos, excepciones de retención y evidencia de cierre.
Señal para no dejar abierta: El contrato explica cómo entrar, pero no cómo recuperar la información y cerrar la relación.

Identidad individual en una tablet compartida

En el modo tablet de Medixa, el dispositivo queda asociado al centro y cada integrante ingresa con su PIN personal. Es una comprobación concreta para revisar durante una demo, dentro de una evaluación de seguridad más amplia.

El dispositivo puede compartirse sin convertir el acceso en una cuenta común para todo el turno.
La identidad activa permite asociar los registros realizados a la persona que ingresó.
Este ejemplo no demuestra por sí solo backups, recuperación, disponibilidad, exportación ni condiciones de salida.

Pantalla real del modo tablet de Medixa para ingresar el PIN personal de acceso — Captura real del entorno de demostración de Medixa. Los nombres y datos son ilustrativos.

Revisar estas preguntas con Medixa

Cómo usar las respuestas para decidir

Separá respuesta de evidencia: Anotá lo que el proveedor declara y, en otra columna, qué documento, prueba o pantalla lo respalda. Si falta evidencia, dejalo como pendiente.
No promedies lo crítico: Una respuesta sólida sobre permisos no compensa una recuperación sin probar o una salida sin condiciones claras. Definí qué puntos son imprescindibles antes de contratar.
Asigná dueño y fecha: Cada pendiente importante necesita una persona que lo confirme, una evidencia esperada y una fecha anterior a la decisión o puesta en marcha.
Incorporalo al acuerdo: Lo que resulte decisivo debe quedar en el contrato, anexo o plan de implementación aplicable; no depender sólo de una conversación comercial.

Preguntas frecuentes

¿Tener backups alcanza para decir que la información está protegida?: No. También importa qué incluyen, con qué frecuencia se realizan y si la restauración fue probada. Un respaldo que no puede recuperarse no resuelve la continuidad.
¿Una tablet compartida obliga a compartir la cuenta?: No. El dispositivo puede ser compartido y la identidad seguir siendo individual. Pedí ver cómo cambia la persona activa y cómo queda atribuida una acción.
¿Una certificación reemplaza estas preguntas?: No necesariamente. Puede aportar evidencia sobre un alcance definido, pero conviene confirmar qué organización, producto, entorno y período cubre, además de revisar continuidad, portabilidad y salida.
¿Podemos usar datos reales para probar el sistema?: No hace falta. Usá información ficticia que represente el proceso sin identificar residentes ni personal. La evaluación de seguridad no debería crear un riesgo nuevo.
¿Este checklist confirma que Medixa o cualquier proveedor cumple la normativa?: No. Sirve para ordenar preguntas y pendientes. El cumplimiento requiere revisar el servicio, la configuración, los acuerdos y las obligaciones concretas de cada institución.

Fuentes y alcance

Revisado el 2026-08-25. Material operativo e informativo; no reemplaza asesoramiento clínico, legal ni regulatorio.

Argentina — Ley 25.326 de Protección de los Datos Personales. La ley considera sensibles los datos de salud y exige medidas técnicas y organizativas para evitar acceso, alteración, pérdida o tratamiento no autorizado. La aplicación concreta debe revisarse para cada institución.
AAIP — Resolución 47/2018, medidas de seguridad recomendadas para datos personales. Incluye recomendaciones sobre control de acceso, cambios, respaldo y recuperación, vulnerabilidades, destrucción e incidentes. El checklist traduce esos temas a preguntas de compra; no certifica cumplimiento.
Argentina — Ley 26.529, derechos del paciente e historia clínica. Aporta el marco nacional de intimidad, confidencialidad y custodia de la documentación clínica. Los requisitos específicos dependen del uso, la institución y la jurisdicción.