Seguridad y RGPD

1 ·Resumen

DSI es un sistema de evidencia conversacional que ayuda a la clínica a observar, revisar y entrenar cómo se explican los tratamientos. Para ello trata las grabaciones de visitas concretas y seleccionadas por la clínica, que esta realiza con consentimiento previo del paciente, las transcribe y genera una auditoría de calidad conversacional revisable por el equipo. La finalidad es formativa y de mejora de procesos: no se evalúa al paciente ni se adoptan decisiones sobre él.

Nuestros tres compromisos:

1. Uso limitado: los datos se tratan para prestar el servicio de transcripción y auditoría, facilitar la formación y mejora de procesos del equipo de la clínica y realizar las operaciones estrictamente necesarias de seguridad, soporte, cumplimiento y continuidad del servicio. DSI está diseñado como herramienta de calidad y entrenamiento y no como un ranking comercial ni como un sistema para adoptar decisiones automatizadas sobre pacientes o profesionales.
2. Minimización: el audio se conserva únicamente durante el tiempo necesario para completar la transcripción y se elimina conforme a la política de conservación; los pacientes se identifican mediante referencias internas.
3. Control de la clínica: cada clínica puede exportar la totalidad de sus datos y solicitar su supresión conforme a la política de conservación.

2 ·Roles y responsabilidades

• Responsable del tratamiento: cada clínica cliente, que decide fines y medios respecto de sus pacientes y su equipo.
• Encargado del tratamiento: Orthoxpertise S.L., que presta el servicio de transcripción, análisis y almacenamiento por cuenta de la clínica.

Subencargados:

Las clínicas reciben la lista completa de subencargados en el contrato de encargo, con mecanismo de objeción a nuevas incorporaciones. Orthoxpertise documenta la evaluación de las transferencias internacionales y revisa periódicamente las garantías aplicables.

3 ·Flujo del dato

1. Consentimiento previo obligatorio: la plataforma exige que la clínica registre la obtención del consentimiento del paciente antes de poder subir un audio.
2. Grabación: la realiza la clínica con dos micrófonos profesionales (doctor/a y coordinación).
3. Subida cifrada: el audio se transmite cifrado (HTTPS/TLS) a nuestro servidor.
4. Transcripción en servidor propio: un motor de transcripción propio, alojado en nuestra propia infraestructura (no un servicio externo de transcripción), convierte el audio en texto con separación de hablantes. Los dos profesionales se asignan por canal físico de micrófono; pacientes, acompañantes y voces solapadas se segmentan automáticamente y pueden requerir revisión.
5. Eliminación del audio: el audio se elimina de forma monitorizada una vez completada la transcripción; como límite técnico, los ficheros procesados se suprimen en un máximo de 24 horas desde su subida y los que no puedan procesarse en un máximo de 72 horas, con alerta ante cualquier fallo del proceso de supresión (detalle en §6).
6. Análisis: la transcripción se procesa mediante el proveedor de IA para generar la auditoría, que propone una interpretación basada en evidencia textual y sujeta a revisión profesional.
7. Almacenamiento: transcripciones, auditorías e informes se guardan en nuestra base de datos con aislamiento por clínica (§7).

4 ·Consentimiento, menores y acompañantes

La grabación de una visita exige que la clínica determine previamente su base jurídica, informe de forma transparente a todas las personas participantes y aplique las garantías de protección de datos y laborales correspondientes.

DSI exige que la clínica registre previamente el consentimiento del paciente antes de subir un audio. Cuando intervenga un acompañante adulto, deberá ser informado y prestar consentimiento expreso. En pacientes menores, la clínica aplicará el protocolo correspondiente de representación legal, información adaptada a la edad y consideración de la voluntad del menor.

La plataforma incorpora una función de pausa para excluir la intervención de personas no informadas, conversaciones privadas o fragmentos ajenos a la finalidad. La negativa a ser grabado no debe condicionar la asistencia.

Los pacientes, incluidos los menores de edad, no interactúan directamente con el modelo de inteligencia artificial utilizado por DSI. Los resultados no se presentan directamente al menor, no se utilizan para diagnosticarle ni para adoptar decisiones automatizadas sobre su asistencia.

5 ·Datos del equipo de la clínica

Las voces de los profesionales también pueden grabarse y analizarse con finalidad formativa y de mejora de la calidad.

DSI analiza conductas conversacionales observables y propone hallazgos revisables. No determina de forma autónoma la calidad global de un profesional ni adopta decisiones laborales.

Las métricas de DSI no podrán utilizarse por sí solas para sancionar, despedir, promocionar, modificar retribuciones o adoptar otras decisiones laborales con efectos significativos.

Su implantación en cada clínica queda sujeta al análisis laboral y de protección de datos correspondiente, incluida, cuando proceda, la información y consulta a la representación de los trabajadores.

6 ·Conservación y supresión

Supresión individual: la clínica puede enviar individualmente una visita a la papelera y ejecutar su purga definitiva. La purga elimina de los sistemas activos la visita, la transcripción, la auditoría, los hallazgos y los restantes datos personales directamente asociados.

Podrán conservarse únicamente patrones o procedimientos generales que hayan sido sometidos al proceso de generalización previsto por DSI, hayan quedado desvinculados de las visitas de origen y no permitan identificar o reidentificar a pacientes, acompañantes o profesionales.

Los datos residuales de las entidades eliminadas desaparecen al completar el ciclo ordinario de rotación de las copias de seguridad.

Exportación y supresión completas: la clínica puede exportar los datos almacenados en DSI y solicitar su supresión conforme a los plazos y excepciones descritos en nuestra política de conservación. Tras la eliminación de los sistemas activos, los datos residuales desaparecen al completar el ciclo ordinario de rotación de las copias de seguridad.

7 ·Seguridad técnica

• Ubicación: la aplicación, la base de datos y el motor de transcripción de DSI se alojan en un servidor situado en Francia. Determinadas transcripciones pueden ser procesadas por proveedores tecnológicos internacionales para generar la auditoría de IA, sometidas a contratos de encargo y garantías de transferencia.
• Aislamiento por clínica: los datos se segregan por organización mediante controles técnicos en la base de datos, incluido aislamiento a nivel de fila (Row-Level Security), además de controles de autorización en la aplicación. Estos mecanismos están diseñados para impedir que una clínica acceda a información de otra.
• Cifrado: en tránsito (HTTPS/TLS) y en las copias de seguridad (en reposo).
• Autenticación: DSI incorpora autenticación de doble factor mediante códigos temporales (TOTP). Su uso es obligatorio para ejecutar operaciones sensibles: supresión definitiva de datos, exportación y gestión de usuarios.
• Seudonimización: DSI permite identificar al paciente mediante una referencia interna en lugar de introducir su nombre en los campos estructurados. Esta medida reduce la exposición de identificadores directos, aunque las conversaciones y transcripciones pueden contener datos personales o de salud y reciben el mismo nivel de protección.
• Revisión registrada: cada hallazgo puede confirmarse o marcarse como no aplicable por un profesional autorizado, y la decisión queda registrada.
• Restauración de copias: DSI dispone de un procedimiento documentado de restauración y re-supresión. Su validación operativa completa se encuentra en curso; mientras tanto, cualquier restauración exige autorización, aislamiento del entorno, reaplicación manual de supresiones y verificación antes de la reapertura.

8 ·Inteligencia artificial

El análisis automático propone interpretaciones basadas en evidencia textual y sujetas a revisión profesional. Un control automático comprueba que cada cita aparece literalmente en la transcripción y señala discrepancias para revisión. DSI diferencia entre la objeción expresada y las barreras que la conversación sugiere — siempre como hipótesis revisable.

DSI no determina de forma autónoma ni concluyente la calidad global de un profesional: analiza conductas conversacionales observables y propone hallazgos revisables con finalidad formativa.

DSI no evalúa al paciente, no infiere estados emocionales o psicológicos, no predice la aceptación y no adopta decisiones automatizadas sobre la asistencia ni sobre la relación laboral.

DSI no utiliza las conversaciones de pacientes ni los resultados de las auditorías para entrenar modelos generales.

El proveedor de IA utilizado bajo condiciones comerciales no emplea los datos enviados a través de su API para entrenar sus modelos. La ausencia de uso para entrenamiento no equivale a ausencia de retención: los datos se conservan en la infraestructura del proveedor durante el plazo establecido en su política (30 días) y se rigen por su contrato de encargo con Cláusulas Contractuales Tipo.

9 ·Derechos de los interesados

Los pacientes y profesionales ejercen sus derechos ante su clínica, que es la responsable del tratamiento. Los interesados deberán dirigirse prioritariamente a su clínica. Cuando los datos residan en DSI, Orthoxpertise presta asistencia a la clínica como encargado en los plazos y cauces comprometidos contractualmente: localización, exportación, rectificación, supresión y limitación.

Canal de asistencia a las clínicas: dsi@dentalai.academy

10 ·Contratos

La prestación del servicio se formaliza mediante condiciones de servicio y contrato de encargo de tratamiento (DPA), que regulan la duración, renovación, subencargados, asistencia en derechos, exportación y supresión al finalizar la relación contractual.

11 ·Incidentes

Ante cualquier incidente que pueda constituir una violación de seguridad de datos personales, Orthoxpertise lo documentará, valorará su alcance y lo comunicará sin dilación indebida a las clínicas responsables afectadas, facilitándoles la información necesaria para decidir sobre la notificación a la autoridad de control y la comunicación a los interesados. Las incidencias operativas relevantes (indisponibilidad, pérdida de operaciones recientes) se comunican por el cauce de continuidad del servicio, diferenciado de la notificación de brechas.