Seguridad y cumplimiento
Diseño con la privacidad como base
Los datos de Reproducción Asistida incluyen datos relativos a la salud, considerados categoría especial de datos personales conforme al artículo 9 del RGPD. El aislamiento, la gestión de credenciales y la residencia de los datos forman parte del diseño de la plataforma.
Controles
Medidas aplicadas en la plataforma
Aislamiento por organización
Cada clínica es una organización independiente, con el aislamiento aplicado en la base de datos. Una clínica solo puede leer y escribir sus propios datos.
Credenciales protegidas
Las credenciales de conexión se almacenan cifradas y nunca se devuelven a la interfaz. El cockpit muestra solo qué credenciales están configuradas, nunca sus valores.
Agente local en la clínica
Para los sistemas instalados en la clínica, como VRepro, un agente se ejecuta dentro de la clínica y realiza las operaciones localmente. La clínica no abre ningún acceso desde el exterior, y los datos de pacientes y las credenciales permanecen en ella.
Datos personales fuera del cockpit
Los registros en bruto se guardan en un almacén que la interfaz no puede leer. La supervisión funciona sobre un registro de eventos independiente, sin datos personales.
Registro de auditoría
Las acciones relevantes para la seguridad, como configurar una credencial, modificar una conexión o activar un workflow, quedan anotadas en un registro que no puede alterarse.
Conservación y supresión
Los datos en bruto se eliminan de forma programada, en apoyo de las obligaciones de limitación del plazo de conservación y de supresión del RGPD.
Residencia de datos
Datos de la UE, guardados en la UE.
Para las clínicas de la UE, los datos y las credenciales se alojan en infraestructura de la UE, con un contrato de tratamiento de datos documentado y una lista de subencargados, establecidos antes de incorporar datos reales de pacientes.
Cumplimiento
Certificaciones en curso
Los procesos implementados por Nidus son compatibles con las certificaciones que requieren los Grupos del sector y sus equipos de seguridad. Los controles descritos arriba son la base de esas certificaciones.
ISO 27001
Gestión de la seguridad de la información
La columna vertebral del SGSI: políticas, registro de riesgos, revisiones de acceso y gestión de proveedores.
ISO 27701
Gestión de la información de privacidad
Controles de privacidad y gobierno de datos para datos de salud de categoría especial.
SOC 2 Type II
Criterios de servicios de confianza
Evidencia continua de controles de seguridad, disponibilidad y confidencialidad a lo largo del tiempo.
ISO 27001, ISO 27701 y SOC 2 Type II están en curso. Los controles descritos en esta página están implementados en la plataforma hoy. La documentación actual está disponible bajo solicitud.
Ver Nidus en funcionamiento
Agenda una demo de la plataforma al completo: el modelo de datos, el cockpit, los workflows y el proceso de integración.