Centro de confianza

Los servidores de aplicación principales, las bases de datos, el almacenamiento de objetos y las copias de seguridad del despliegue se encuentran en la región. Los registros administrativos describen las regiones y la aprobación de cambios; el despliegue técnico fija los recursos al proyecto regional.

El tráfico público de entrada usa TLS moderno. El tráfico hacia los proveedores de reconocimiento de voz y de modelos de IA usa TLS hacia los endpoints configurados de cada proveedor. Es un control técnico verificado en las revisiones de arquitectura y en la configuración del despliegue.

Las bases de datos, el almacenamiento de objetos y las copias de seguridad usan algoritmos estándar del sector (p. ej., AES-256-GCM) con claves gestionadas según nuestra política de criptografía. Las copias de seguridad de WAL-G añaden cifrado en el cliente antes de almacenarse fuera de las instalaciones.

Detección por capas: la plataforma de alojamiento proporciona IDS de red, mientras que cada máquina virtual ejecuta fail2ban (prevención de ataques de fuerza bruta por SSH), UFW con denegación por defecto y actualizaciones de seguridad automáticas. Los eventos de autenticación y acceso del proxy de autenticación se envían a una plataforma central de Loki/Grafana para que los patrones de inicio de sesión anómalos aparezcan en paneles y alertas. Las políticas asignan quién se encarga del triaje cuando salta una alerta. Un IDS de kernel en tiempo de ejecución para los contenedores es una mejora prevista sobre esta base.

Los profesionales sanitarios se autentican a través de un proveedor de identidad gestionado (flujos de tipo OIDC/OAuth); cada ruta de la API valida la identidad. La duración de la sesión y el bloqueo se ajustan a nuestra política de control de acceso.

Las capacidades de profesional sanitario, paciente y administrador están separadas en el modelo de datos y en la capa GraphQL, de modo que el mínimo privilegio es la opción por defecto. Las definiciones de roles y la frecuencia de revisión están documentadas administrativamente.

Los despliegues empresariales exigen MFA al iniciar sesión, mediante el proveedor de identidad de tu organización con inicio de sesión único (por ejemplo, Microsoft Entra ID) o mediante el nuestro.

Los cambios pasan por el control de versiones y despliegues automatizados y repetibles, con las dependencias y las imágenes base de los contenedores fijadas a versiones exactas. El impacto en la seguridad se tiene en cuenta en las funciones de cierta envergadura como requisito administrativo.

El audio se elimina en cuanto Hanah termina de transcribirlo. Cada organización fija sus propios plazos de conservación para las transcripciones y las notas clínicas, y Hanah las elimina automáticamente cuando vencen. Una vez integrada con tu sistema de historias clínicas, la historia clínica de referencia sigue siendo tuya.

Cuando la política de conservación elimina una transcripción o una nota, el registro conserva una marca fechada que indica que el contenido se eliminó según la política de conservación de la organización, y el contenido eliminado nunca se envía, sincroniza ni vuelve a redactarse después. Las acciones sensibles de los operadores, como el acceso a secretos, la administración de cuentas y las sesiones de soporte, se registran en tablas de auditoría específicas.

Las personas pueden solicitar el acceso a su información personal o su rectificación; Hanah documenta los plazos, los formatos (JSON + exportaciones legibles) y las vías de escalado. Las herramientas permiten exportar los datos que están en los sistemas de Hanah.

Usamos nuestros proveedores de reconocimiento de voz y de modelos de IA solo con condiciones comerciales de pago, que prohíben entrenar con el contenido de los clientes, y las solicitudes se envían con el almacenamiento del proveedor desactivado siempre que el proveedor lo permite. Hanah no tiene un proceso interno de entrenamiento con tus datos de salud. Las revisiones administrativas de proveedores respaldan esta afirmación.

Hanah prepara el borrador, y el profesional sanitario revisa y edita cada borrador. Una nota solo se envía a un paciente o se archiva en el programa de gestión clínica cuando el profesional sanitario lo decide. Es a la vez un control del producto y un compromiso de la política recogido en la PIA.

Un banco de pruebas y dos capas de evaluación, ejecutadas en cada calificación: la tasa de error de palabras (WER) frente a transcripciones literales de referencia (capa A), y un jurado de LLM que mide tanto la cobertura (¿recoge la nota cada expectativa registrada de antemano?) como la alucinación (¿contiene la nota afirmaciones que la transcripción no respalda, es decir, contenido inventado por el modelo?). La metodología completa está publicada, y los resultados en directo se generan directamente a partir de los datos agregados del banco de pruebas. El corpus sigue avanzando de v1 (sintético) → v2 (simulación de roles) → v3 (real, con consentimiento) → v4 (conjunto con socios del sistema sanitario).

Las instrucciones del sistema las controla el servidor y las entradas están acotadas por el flujo clínico (no hay un chat libre). Los clasificadores de seguridad del proveedor se ejecutan en cada generación; cuando se activan, el flujo devuelve un motivo de finalización por filtro de contenido que se guarda en la fila ai_audit de cada llamada junto con un código de error canónico ai.content_policy, la latencia, los tokens y un ID de traza de Tempo. Los patrones anómalos aparecen en paneles basados en esa tabla de auditoría. La detección de anomalías de comportamiento entre llamadas para identificar patrones de abuso es una mejora prevista sobre esta base.

Hanah guarda el consentimiento de grabación de cada paciente (sí, no o aún sin registrar) y su origen: la respuesta del profesional sanitario, o el formulario, la nota o el registro del programa de gestión clínica en el que Hanah lo leyó. Las clínicas pueden mostrarlo en cada consulta, para que el profesional sanitario lo vea antes de grabar.

Un directivo designado es responsable de la seguridad de la información; los riesgos se registran con responsables y fechas objetivo y se revisan con una periodicidad fija. Esto se corresponde con lo que los compradores suelen esperar de un sistema de gestión de tipo ISO, incluso a nuestra escala actual.

Hay políticas formales sobre control de acceso, criptografía, respuesta a incidentes, gestión de proveedores, gestión de cambios, gestión de vulnerabilidades y conservación y eliminación de datos. Están bajo control de versiones; el contenido completo está disponible bajo acuerdo de confidencialidad (NDA).