Seguridad

Arquitectura

La aplicación web corre en Vercel; la base de datos y la lógica de negocio en Convex; la autenticación en WorkOS. Cada organización (consultorio o clínica) es un espacio aislado: toda consulta a la base de datos verifica la pertenencia del usuario a la organización antes de devolver un registro.

Los pacientes no tienen cuenta. Reciben enlaces con un token único de 48 caracteres hexadecimales por encuesta; el token es la única credencial y solo abre esa encuesta.

Cifrado

Todo el tráfico va cifrado con TLS 1.2 o superior. Los datos en reposo se cifran en la infraestructura de nuestros proveedores (Convex, Vercel, WorkOS, Stripe). Las contraseñas no existen en Salumbra: la autenticación la gestiona WorkOS con correo, enlaces mágicos y proveedores de identidad.

Control de acceso

Roles por organización (administrador y miembro) con permisos explícitos en el código; las acciones sensibles (configuración, facturación, eliminación) exigen el rol de administrador.

Registro de auditoría de las acciones sobre pacientes, eventos médicos y encuestas, con usuario, fecha y cambios, visible para los administradores en Configuración > Seguridad.

Los endpoints públicos (envío de respuestas, listas de espera) tienen límites de frecuencia por cliente y por encuesta y validación de tamaño y forma del contenido.

Proveedores (subencargados)

Cada proveedor recibe únicamente lo necesario para su función:

• Convex: base de datos, funciones y tareas programadas. Estados Unidos.
• Vercel: alojamiento y red de entrega. Estados Unidos y red global.
• WorkOS: autenticación, organizaciones y sesiones. Estados Unidos.
• Stripe: pagos e facturas de los profesionales. No recibe datos de pacientes.
• Postmark: correo transaccional (invitaciones, recordatorios, notificaciones).
• Meta (WhatsApp Business Platform) y Twilio: entrega de mensajes a pacientes; reciben número y texto del mensaje.
• PostHog: analítica de producto, con listas de exclusión que impiden enviar campos de pacientes, sin grabación de sesiones en superficies clínicas.
• Sentry: monitoreo de errores, sin cuerpos de solicitud, sin cookies y con los tokens de enlaces de pacientes eliminados de las URL.

Copias de seguridad y continuidad

Convex realiza copias de seguridad diarias de la base de datos de producción. La disponibilidad de la aplicación se vigila con comprobaciones automáticas cada cinco minutos. El código se despliega desde ramas revisadas con pruebas automáticas y una compilación completa antes de cada fusión.

Conservación y eliminación

Los datos se conservan mientras la cuenta esté activa. Un médico puede archivar o eliminar pacientes desde su ficha; eliminar borra sus datos, respuestas y mensajes. Eliminar la organización borra todos sus pacientes, encuestas y miembros. La eliminación es inmediata en producción y se propaga a las copias de seguridad en su ciclo de rotación.

Los datos de facturación se conservan el tiempo que exige la ley fiscal. La exportación anonimizada para investigación elimina nombre, contacto, fecha de nacimiento exacta e identificadores clínicos.

Respuesta a incidentes

Si detectamos o nos informan de una vulneración que afecte datos personales, la contenemos, evaluamos su alcance y notificamos a los médicos responsables afectados sin demora indebida, con la información necesaria para que cumplan sus propias obligaciones ante pacientes y autoridades.

Divulgación responsable: si encuentra una vulnerabilidad, escriba a seguridad@salumbra.com. Respondemos en dos días hábiles y no emprenderemos acciones contra quien investigue de buena fe y sin acceder a datos de terceros.

Qué no hacemos todavía

No contamos con una certificación externa (SOC 2, ISO 27001). No ofrecemos residencia de datos en México; nuestros proveedores operan en Estados Unidos. No ofrecemos inicio de sesión único (SSO) empresarial en el plan Pro. Publicamos estas limitaciones para que la decisión de usar Salumbra se tome con información completa.