Seguridad y portabilidad

Las historias clínicas de tus pacientes se cifran en tu dispositivo antes de salir de él. Ni nosotros podemos leerlas. No es una promesa administrativa: es una propiedad técnica del sistema, y tiene consecuencias que conviene que conozcas antes de empezar.

Cuando escribís una nota de sesión, el texto se cifra con AES-256-GCM en tu navegador. Lo que viaja a nuestros servidores y lo que queda guardado en la base de datos es texto cifrado.

La clave que lo descifra se deriva de tu contraseña con PBKDF2 y 600.000 iteraciones, y nunca sale de tu dispositivo. No la almacenamos, no la vemos, no la podemos reconstruir.

Esto aplica a los datos del paciente, las notas de sesión, los objetivos, las intervenciones, las notas rápidas y también a los archivos que subís: cada documento se cifra en tu navegador antes de la carga.

Consecuencia práctica: si alguien obtuviera una copia completa de nuestra base de datos, obtendría texto cifrado sin la llave.

Preferimos decirlo de entrada. Si perdés tu contraseña y tu clave de recuperación, tus datos son irrecuperables. No hay un botón que podamos apretar desde acá, ni con un backup: la llave nunca existió de nuestro lado.

Por eso, cuando configurás el cifrado, te damos una clave de recuperación de 32 caracteres. Guardala en algún lugar distinto de donde guardás tu contraseña.

Y por eso también recomendamos que te descargues tu propia copia cada tanto. Lo explicamos en el punto 6.

Cada tabla tiene políticas de seguridad a nivel de fila (Row-Level Security) que atan cada registro a su dueño. Una consulta hecha con tus credenciales solo puede devolver tus filas: el aislamiento lo aplica la base de datos, no el código de la aplicación.

La conexión entre tu navegador y nuestros servidores va siempre por HTTPS.

Hacemos una copia completa de la base de datos todas las noches. Se guarda cifrada con AES-256 y se conserva 30 días.

Como los datos clínicos ya están cifrados antes de llegar a la base, un backup contiene texto cifrado y nada más: también ahí, nadie en Pavla puede leer una historia clínica.

• Frecuencia: diaria.
• Retención: 30 días de copias diarias.
• Cifrado: sí, en dos capas.
• Objetivo de recuperación: hasta 24 horas de pérdida máxima, con la aplicación operativa en menos de 4 horas.
• Validamos la restauración con un simulacro trimestral sobre un entorno de prueba.

Somos transparentes con los límites: hoy no ofrecemos recuperación a un punto exacto en el tiempo, así que en el peor de los casos un restore pierde las últimas horas de trabajo.

Desde Perfil → Tus datos descargás un archivo ZIP con todo: pacientes, sesiones, notas rápidas, carpetas y los documentos adjuntos.

• Planillas CSV que abrís con Excel o Google Sheets.
• Un archivo JSON con todos los identificadores y relaciones intactos, para reconstruir la historia clínica completa en otro sistema.
• Una carpeta por paciente con sus archivos, ya descifrados.
• Opcionalmente, un PDF de historia clínica por paciente, listo para imprimir.

La exportación se arma en tu navegador, no en nuestros servidores. Tiene que ser así: nosotros no podemos descifrar tus datos para empaquetarlos.

No hay límite de cantidad ni de frecuencia, y no hace falta pedirnos nada.

El borrado es inmediato, no diferido. Al confirmar, en la misma operación se eliminan tus pacientes, sesiones, notas, documentos, carpetas, archivos del almacenamiento, tu perfil, tus datos de facturación y las claves de cifrado de tu cuenta.

Las copias de seguridad anteriores a la baja siguen conteniendo esas filas hasta que expira su retención. Están cifradas y sin la llave: al borrarse tu cuenta se borran también las claves envueltas, y sin tu contraseña nadie puede reconstruirlas.

Antes de confirmar el borrado te ofrecemos descargar tu copia completa. Vale la pena tomarla: según nuestros términos, la obligación legal de conservar las historias clínicas es tuya, no nuestra.

Usamos proveedores de infraestructura para alojar la aplicación, la base de datos y el almacenamiento de archivos. Ninguno de ellos puede leer contenido clínico, por el mismo motivo que nosotros tampoco: lo que reciben ya está cifrado.

El detalle de proveedores y transferencias internacionales está en la Política de Privacidad.

Si ocurriera un incidente que comprometa datos personales, te notificamos en un plazo razonable e informamos las medidas correctivas adoptadas, conforme a la Ley 25.326.

Tenemos un procedimiento escrito para pérdida o corrupción de datos: frenar escrituras, tomar una copia del estado actual antes de tocar nada, restaurar y validar en un entorno de prueba, y recién ahí promover a producción.