Centro de confianza
Transparencia para profesionales sanitarios, titulares de clínicas y compradores institucionales. Esta página resume cómo trata Hanah la información sanitaria, qué proveedores de servicios intervienen en el despliegue de producción de y cómo se relaciona cada control de seguridad con la Privacy Act 1988 (Australian Privacy Principles). Los indicadores de estado son una ayuda editorial temporal y se retirarán cuando cada elemento esté verificado en producción.
A quién va dirigido: clínicas, redes sanitarias, responsables de privacidad y equipos de seguridad informática que hacen la diligencia debida sobre Hanah. De un vistazo: este Centro de confianza resume los controles de seguridad de Hanah y los proveedores de servicios que intervienen en el despliegue de producción de . Las historias clínicas se almacenan en . El reconocimiento de voz y la redacción de borradores con IA se realizan con proveedores especializados fuera de la región, principalmente en Estados Unidos, con condiciones que prohíben entrenar con tu contenido. La evidencia más detallada está en nuestro Security & Operations Handbook; la pestaña Controles describe cómo se implementa cada control.
Metodología de validación
Cómo medimos la precisión de la transcripción y las alucinaciones en la documentación: un banco de pruebas, un corpus, dos capas de evaluación (WER + jurado de LLM). Las reglas con las que se califica cada cifra publicada.
Leer la metodología →Transparencia de la validación
Transcripciones por grabación, documentos generados y veredictos de cada jurado LLM frente a un corpus de referencia fiable. Todos los datos, no solo las cifras principales.
Ver informe →Resultados anteriores
Cada prueba comparativa que hemos publicado, con el cambio respecto a la ejecución anterior. Las cifras se mantienen exactamente como se midieron ese día, incluso cuando el propio panel de calificación ha cambiado desde entonces.
Comparar ejecuciones →Cada fila es un control en el sentido habitual de ISO: organizativo (gobernanza y procedimiento documentado), técnico (aplicado mediante sistemas y configuración) o de proveedor (garantía contractual y de subencargados). Las etiquetas muestran el tipo de evidencia predominante; muchas filas combinan más de uno. El detalle remite a nuestro Security & Operations Handbook interno. La línea bajo cada fila cita los Australian Privacy Principles que respalda ese control; es solo orientativa y no sustituye el asesoramiento jurídico.
Base normativa: Privacy Act 1988 (Cth), Schedule 1 (Australian Privacy Principles) y Part IIIC (Notifiable Data Breaches).
Infraestructura y plataforma
Seguridad de la infraestructura
Define dónde se ejecuta Hanah en el despliegue regional, cómo se separa la producción de las operaciones y cómo el cifrado protege los datos de los clientes entre los profesionales sanitarios, nuestra infraestructura y los subencargados de IA. Son sobre todo controles técnicos, respaldados administrativamente en el Manual de seguridad y operaciones.
-
✅
Técnico PolíticaCargas de producción alojadas en la región
Los servidores de aplicación principales, las bases de datos, el almacenamiento de objetos y las copias de seguridad del despliegue se encuentran en la región. Los registros administrativos describen las regiones y la aprobación de cambios; el despliegue técnico fija los recursos al proyecto regional.
Correspondencia con los APP: APP 11.1 (seguridad de la información personal); APP 8: conservar las historias en Australia limita la comunicación al extranjero al tratamiento indicado en Proveedores de servicios.
-
✅
TécnicoCifrado en tránsito
El tráfico público de entrada usa TLS moderno. El tráfico hacia los proveedores de reconocimiento de voz y de modelos de IA usa TLS hacia los endpoints configurados de cada proveedor. Es un control técnico verificado en las revisiones de arquitectura y en la configuración del despliegue.
Correspondencia con los APP: APP 11.1 (protección frente a interferencias, uso indebido y acceso no autorizado).
-
✅
Técnico PolíticaCifrado en reposo
Las bases de datos, el almacenamiento de objetos y las copias de seguridad usan algoritmos estándar del sector (p. ej., AES-256-GCM) con claves gestionadas según nuestra política de criptografía. Las copias de seguridad de WAL-G añaden cifrado en el cliente antes de almacenarse fuera de las instalaciones.
Correspondencia con los APP: APP 11.1; APP 11.2: las copias de seguridad cifradas siguen protegidas hasta su destrucción programada.
-
✅
Técnico PolíticaDetección de intrusiones
Detección por capas: la plataforma de alojamiento proporciona IDS de red, mientras que cada máquina virtual ejecuta fail2ban (prevención de ataques de fuerza bruta por SSH), UFW con denegación por defecto y actualizaciones de seguridad automáticas. Los eventos de autenticación y acceso del proxy de autenticación se envían a una plataforma central de Loki/Grafana para que los patrones de inicio de sesión anómalos aparezcan en paneles y alertas. Las políticas asignan quién se encarga del triaje cuando salta una alerta. Un IDS de kernel en tiempo de ejecución para los contenedores es una mejora prevista sobre esta base.
Correspondencia con los APP: APP 11.1; respalda la evaluación en 30 días de una posible brecha de datos notificable según el régimen de Notifiable Data Breaches (Part IIIC).
Producto y aplicación
Seguridad del producto
Cómo se autentican los usuarios, cómo se aplica la autorización en el producto y en la capa de API, y cómo creamos y publicamos el software. Combina la aplicación técnica (JWT, RBAC) con requisitos administrativos del ciclo de desarrollo (SDLC) y de revisión.
-
✅
Técnico ProveedorAutenticación y sesiones
Los profesionales sanitarios se autentican a través de un proveedor de identidad gestionado (flujos de tipo OIDC/OAuth); cada ruta de la API valida la identidad. La duración de la sesión y el bloqueo se ajustan a nuestra política de control de acceso.
Correspondencia con los APP: APP 11.1 (protección frente al acceso no autorizado).
-
✅
Técnico PolíticaControl de acceso basado en roles
Las capacidades de profesional sanitario, paciente y administrador están separadas en el modelo de datos y en la capa GraphQL, de modo que el mínimo privilegio es la opción por defecto. Las definiciones de roles y la frecuencia de revisión están documentadas administrativamente.
Correspondencia con los APP: APP 11.1; APP 6: acceso limitado a quienes usan la información para la finalidad con la que se recogió.
-
✅
Técnico PolíticaMFA para despliegues empresariales
Los despliegues empresariales exigen MFA al iniciar sesión, mediante el proveedor de identidad de tu organización con inicio de sesión único (por ejemplo, Microsoft Entra ID) o mediante el nuestro.
Correspondencia con los APP: APP 11.1 (protección frente al acceso no autorizado).
-
✅
Técnico PolíticaCiclo de desarrollo seguro
Los cambios pasan por el control de versiones y despliegues automatizados y repetibles, con las dependencias y las imágenes base de los contenedores fijadas a versiones exactas. El impacto en la seguridad se tiene en cuenta en las funciones de cierta envergadura como requisito administrativo.
Correspondencia con los APP: APP 11.1; APP 1.2 (prácticas y sistemas que garantizan el cumplimiento).
Datos y privacidad
Datos y privacidad
Conservación, eliminación, derechos de los interesados y visibilidad de los eventos relevantes para la seguridad. Estos controles combinan la aplicación automatizada en el producto y la base de datos con procedimientos administrativos (gestión de solicitudes de acceso, notificación de brechas, informes trimestrales).
-
✅
Técnico PolíticaConservación y eliminación de los artefactos de la escucha ambiental
El audio se elimina en cuanto Hanah termina de transcribirlo. Cada organización fija sus propios plazos de conservación para las transcripciones y las notas clínicas, y Hanah las elimina automáticamente cuando vencen. Una vez integrada con tu sistema de historias clínicas, la historia clínica de referencia sigue siendo tuya.
Correspondencia con los APP: APP 11.2 (destruir o desidentificar la información que ya no se necesita para ninguna finalidad permitida).
-
✅
Técnico PolíticaRegistro de eliminación y pista de auditoría
Cuando la política de conservación elimina una transcripción o una nota, el registro conserva una marca fechada que indica que el contenido se eliminó según la política de conservación de la organización, y el contenido eliminado nunca se envía, sincroniza ni vuelve a redactarse después. Las acciones sensibles de los operadores, como el acceso a secretos, la administración de cuentas y las sesiones de soporte, se registran en tablas de auditoría específicas.
Correspondencia con los APP: APP 11.2; APP 1.2: evidencia de que la destrucción se ha producido.
-
✅
Política TécnicoAcceso y rectificación por parte del interesado
Las personas pueden solicitar el acceso a su información personal o su rectificación; Hanah documenta los plazos, los formatos (JSON + exportaciones legibles) y las vías de escalado. Las herramientas permiten exportar los datos que están en los sistemas de Hanah.
Correspondencia con los APP: APP 12 (acceso); APP 13 (rectificación).
IA y seguridad clínica
Seguridad y cumplimiento de la IA
Controles específicos de la IA de escucha ambiental: ningún uso secundario de los datos de salud para entrenar, supervisión humana antes de que se dependa clínicamente del resultado, medición de la calidad (WER) e instrucciones resistentes al abuso. Combina controles contractuales con terceros con el flujo del producto y la gobernanza clínica.
-
✅
Proveedor Política TécnicoNingún uso secundario para entrenar modelos
Usamos nuestros proveedores de reconocimiento de voz y de modelos de IA solo con condiciones comerciales de pago, que prohíben entrenar con el contenido de los clientes, y las solicitudes se envían con el almacenamiento del proveedor desactivado siempre que el proveedor lo permite. Hanah no tiene un proceso interno de entrenamiento con tus datos de salud. Las revisiones administrativas de proveedores respaldan esta afirmación.
Correspondencia con los APP: APP 6 (uso y comunicación solo para la finalidad principal); APP 8: los destinatarios en el extranjero están obligados por contrato a no entrenar con el contenido ni conservarlo más allá de las condiciones indicadas en Proveedores de servicios.
-
✅
Política TécnicoRevisión del profesional sanitario antes del uso clínico
Hanah prepara el borrador, y el profesional sanitario revisa y edita cada borrador. Una nota solo se envía a un paciente o se archiva en el programa de gestión clínica cuando el profesional sanitario lo decide. Es a la vez un control del producto y un compromiso de la política recogido en la PIA.
Correspondencia con los APP: APP 10 (calidad de la información personal: exacta, actualizada, completa y pertinente).
-
✅
Política TécnicoMetodología WER y resultados publicados por cohorte
Un banco de pruebas y dos capas de evaluación, ejecutadas en cada calificación: la tasa de error de palabras (WER) frente a transcripciones literales de referencia (capa A), y un jurado de LLM que mide tanto la cobertura (¿recoge la nota cada expectativa registrada de antemano?) como la alucinación (¿contiene la nota afirmaciones que la transcripción no respalda, es decir, contenido inventado por el modelo?). La metodología completa está publicada, y los resultados en directo se generan directamente a partir de los datos agregados del banco de pruebas. El corpus sigue avanzando de v1 (sintético) → v2 (simulación de roles) → v3 (real, con consentimiento) → v4 (conjunto con socios del sistema sanitario).
Correspondencia con los APP: APP 10; APP 1.2 (prácticas demostrables para garantizar la exactitud).
-
✅
Técnico PolíticaSupervisión de la inyección de instrucciones y de las respuestas no seguras
Las instrucciones del sistema las controla el servidor y las entradas están acotadas por el flujo clínico (no hay un chat libre). Los clasificadores de seguridad del proveedor se ejecutan en cada generación; cuando se activan, el flujo devuelve un motivo de finalización por filtro de contenido que se guarda en la fila
ai_auditde cada llamada junto con un código de error canónicoai.content_policy, la latencia, los tokens y un ID de traza de Tempo. Los patrones anómalos aparecen en paneles basados en esa tabla de auditoría. La detección de anomalías de comportamiento entre llamadas para identificar patrones de abuso es una mejora prevista sobre esta base.Correspondencia con los APP: APP 11.1 (protección frente al uso indebido y las interferencias).
-
✅
Técnico PolíticaConsentimiento de grabación registrado por paciente
Hanah guarda el consentimiento de grabación de cada paciente (sí, no o aún sin registrar) y su origen: la respuesta del profesional sanitario, o el formulario, la nota o el registro del programa de gestión clínica en el que Hanah lo leyó. Las clínicas pueden mostrarlo en cada consulta, para que el profesional sanitario lo vea antes de grabar.
Correspondencia con los APP: APP 3.3 (consentimiento para recoger información sensible); APP 5 (notificación de la recogida).
Organización y terceros
Seguridad organizativa
Cómo gestiona Hanah, como empresa, la seguridad: responsabilidad, gestión de riesgos y políticas documentadas. Son controles administrativos.
-
✅
PolíticaGobernanza de la seguridad y registro de riesgos
Un directivo designado es responsable de la seguridad de la información; los riesgos se registran con responsables y fechas objetivo y se revisan con una periodicidad fija. Esto se corresponde con lo que los compradores suelen esperar de un sistema de gestión de tipo ISO, incluso a nuestra escala actual.
Correspondencia con los APP: APP 1.2 (prácticas, procedimientos y sistemas para el cumplimiento); APP 11.1.
-
✅
PolíticaPolíticas de seguridad de la información
Hay políticas formales sobre control de acceso, criptografía, respuesta a incidentes, gestión de proveedores, gestión de cambios, gestión de vulnerabilidades y conservación y eliminación de datos. Están bajo control de versiones; el contenido completo está disponible bajo acuerdo de confidencialidad (NDA).
Correspondencia con los APP: APP 1.2; APP 11.1.
Los cuestionarios de diligencia debida suelen llegar redactados con referencia a HIPAA, el RGPD (GDPR), ISO/IEC 27001 o SOC 2. En Australia, Hanah se rige por la Privacy Act 1988, así que esta tabla parte de cada Australian Privacy Principle, indica la disposición más cercana en cada uno de esos marcos y nombra el control de Hanah que la cumple. Úsala para trasladar una pregunta al principio que se aplica aquí.
Las equivalencias son orientativas y no constituyen asesoramiento jurídico.
| Australian Privacy Principle | HIPAA (EE. UU.) | RGPD / RGPD del Reino Unido | NZ Privacy Act 2020 / HIPC 2020 | ISO/IEC 27001:2022 | SOC 2 (TSC 2017) | Cómo lo cumple Hanah |
|---|---|---|---|---|---|---|
| APP 1: gestión abierta y transparente | §164.520 aviso de prácticas de privacidad; §164.530(a), (i) responsable de privacidad, políticas y procedimientos | Art. 5(2) responsabilidad proactiva; arts. 12–14 transparencia; arts. 24, 30 | s 201 responsable de privacidad; declaración de privacidad publicada | Cl. 5.2 política; A.5.1, A.5.34 | CC1.1–CC1.3; CC2.3; P1.1 | Directivo responsable designado, registro de riesgos, políticas de seguridad documentadas y este Centro de confianza. |
| APP 2: anonimato y seudonimato | Sin equivalente directo; estándar de desidentificación en §164.514(a)–(b) | Art. 25 protección de datos desde el diseño; art. 4(5) seudonimización | Sin equivalente directo | A.8.11 enmascaramiento de datos | Sin equivalente directo | Lo determina la clínica, que decide si un paciente puede tratar con ella de forma anónima o con un seudónimo. |
| APP 3: recogida de información solicitada (la información sensible requiere consentimiento) | §164.502(b) mínimo necesario | Art. 5(1)(b)–(c) limitación de la finalidad y minimización; arts. 6, 9 base jurídica para los datos de salud | IPP 1, 2, 4; reglas 1, 2, 4 del HIPC | A.5.34 | P2.1 elección y consentimiento; P3.1–P3.2 recogida | El consentimiento para grabar se registra por paciente y se muestra en la consulta; la recogida se limita al encuentro que inicia el profesional sanitario. |
| APP 4: información no solicitada | Sin equivalente directo | Art. 5(1)(c) minimización; art. 5(1)(e) limitación del plazo de conservación | Sin equivalente directo | A.5.34 | P3.1 | El audio sin procesar se elimina en cuanto se genera la transcripción; las transcripciones siguen el ajuste de conservación de la organización. |
| APP 5: notificación de la recogida | §164.520 aviso de prácticas de privacidad | Art. 13–14 información que deberá facilitarse | IPP 3; regla 3 del HIPC | A.5.34 | P1.1 aviso | Estado del consentimiento de grabación guardado en el producto; la política de privacidad indica los países en los que se tratan los datos. |
| APP 6: uso o comunicación | §164.502(a), §164.506 usos permitidos; §164.502(e), §164.504(e) contratos con business associates | Art. 5(1)(b) limitación de la finalidad; art. 28 condiciones del encargado del tratamiento | IPP 10, 11; reglas 10, 11 del HIPC | A.5.34; A.5.10 uso aceptable | P4.1 uso; P6.1 comunicación a terceros | Tratamiento solo según las instrucciones de la clínica en virtud del DPA; sin uso secundario y sin entrenamiento de modelos. |
| APP 7: marketing directo | §164.508(a)(3) autorización para marketing | Art. 21(2)–(3) derecho de oposición a la mercadotecnia directa | Sin equivalente directo (Unsolicited Electronic Messages Act 2007) | Sin equivalente directo | P2.1 | La información de los pacientes nunca se usa para marketing; los pacientes solo reciben comunicaciones de una clínica cuando un profesional sanitario les envía algo. |
| APP 8: comunicación transfronteriza | Sin restricción geográfica; destinatarios obligados mediante contratos con business associates | Capítulo V, arts. 44–49 transferencias internacionales (Reino Unido: IDTA o UK Addendum) | IPP 12; regla 12 del HIPC | A.5.19–A.5.22 relaciones con proveedores | CC9.2 riesgo de proveedores; P6.4 | Historias almacenadas en Australia. El tratamiento en el extranjero se indica por país en Proveedores de servicios, con límites contractuales de no entrenamiento y de conservación. |
| APP 9: identificadores asignados por la Administración | Sin equivalente directo | Art. 87 números nacionales de identificación | IPP 13; HIPC Rule 13 identificadores únicos | Sin equivalente directo | Sin equivalente directo | Hanah no adopta los números de Medicare ni otros identificadores oficiales como identificadores propios. |
| APP 10: calidad de la información personal | §164.312(c) integridad | Art. 5(1)(d) exactitud | IPP 8; regla 8 del HIPC | A.5.34 | P7.1 calidad | Revisión del profesional sanitario de cada borrador antes de enviarlo o archivarlo; medición publicada de la precisión y las alucinaciones. |
| APP 11.1: seguridad de la información personal | Security Rule §164.308, §164.310, §164.312 salvaguardas administrativas, físicas y técnicas | Art. 32 seguridad del tratamiento | IPP 5; regla 5 del HIPC | A.5.15, A.8.5 acceso y autenticación; A.8.24 criptografía; A.8.13 copias de seguridad; A.8.15–A.8.16 registro y supervisión | CC6 acceso lógico; CC7 operaciones del sistema; CC8 gestión de cambios | Cifrado en tránsito y en reposo, acceso basado en roles, MFA para despliegues empresariales, detección de intrusiones, copias de seguridad cifradas. |
| APP 11.2: destrucción o desidentificación | §164.310(d)(2)(i) eliminación | Art. 5(1)(e) limitación del plazo de conservación; art. 17 supresión | IPP 9; regla 9 del HIPC | A.8.10 eliminación de la información | C1.2 eliminación; P4.3 | Audio eliminado tras la transcripción; transcripciones y notas eliminadas automáticamente según los ajustes de conservación de cada organización, dejando una marca fechada. |
| APP 12: acceso a la información personal | §164.524 acceso | Art. 15 acceso; art. 20 portabilidad | IPP 6; regla 6 del HIPC | A.5.34 | P5.1 acceso | Exportaciones en JSON y en formatos legibles para facilitar la respuesta de la clínica. |
| APP 13: rectificación de la información personal | §164.526 modificación | Art. 16 rectificación | IPP 7; regla 7 del HIPC | A.5.34 | P5.2 rectificación | Los profesionales sanitarios pueden editar las notas en cualquier momento, con historial de cambios; las solicitudes de rectificación siguen un procedimiento documentado. |
| Part IIIC: régimen de Notifiable Data Breaches | Breach Notification Rule §164.400–414 | Art. 33–34 notificación de brechas | Parte 6: brechas de privacidad notificables | A.5.24–A.5.27 gestión de incidentes | CC7.3–CC7.5 respuesta a incidentes | Política de respuesta a incidentes, registro centralizado de seguridad y apoyo a la evaluación en 30 días de la clínica. |
Estas son las categorías de proveedores de servicios que pueden tratar o almacenar datos de clientes de Hanah en nuestra arquitectura de producción , qué gestiona cada uno, qué conserva y dónde trata los datos. Cada proveedor está obligado por contrato a proteger los datos de los clientes, y ninguno puede entrenar modelos con ellos. El inicio de sesión de los profesionales sanitarios usa una infraestructura de identidad global que no guarda información de salud de los pacientes. Las mismas categorías forman el anexo C de nuestro Acuerdo de tratamiento de datos.
| Categoría de servicio | Finalidad | Datos tratados | Conservación | Región de tratamiento |
|---|
Transparencia operativa: una página pública de estado (disponibilidad e incidencias) se suma al endpoint de disponibilidad /healthz de producción que usa nuestra propia supervisión.
PhysiPal Pty Ltd (con el nombre comercial Hanah): . Este Centro de confianza es un resumen general. Los compromisos contractuales y las condiciones de tratamiento de datos vigentes en el momento de la firma prevalecen sobre esta página. Los emojis de estado (✅ 🔧) son provisionales y se retirarán tras la verificación independiente de cada fila.