Última actualización: 26 de agosto de 2026
TresApps (en adelante, «el Proveedor») opera la plataforma MediSaaS, un ecosistema hospitalario multi-tenant diseñado específicamente para instituciones de salud. El presente documento describe, con precisión técnica y alcance ejecutivo, las prácticas de recopilación, tratamiento, almacenamiento y protección de datos personales y datos de salud (en adelante, «Datos») gestionados a través de la plataforma.
La presente Política aplica a todas las entidades clínicas (en adelante, «Tenants») que suscriban un contrato de servicio con TresApps y a sus usuarios finales: directores de clínica, médicos, personal de enfermería, recepción y pacientes. Al activar cualquier módulo de MediSaaS, el Tenant y sus representantes legales aceptan en su totalidad los términos aquí descritos.
La plataforma recopila únicamente los datos estrictamente necesarios para la operación clínica:
El tratamiento de Datos se sustenta en: (a) la ejecución del contrato de servicio suscrito entre el Proveedor y el Tenant; (b) el cumplimiento de obligaciones legales en materia de registros médicos según la legislación sanitaria aplicable en la jurisdicción del Tenant; (c) el consentimiento explícito del paciente, captado a través de los formularios digitales de la plataforma, cuyo registro queda almacenado de forma auditable.
MediSaaS implementa una arquitectura de seguridad en capas diseñada para cumplir los estándares más exigentes del sector salud:
Todos los datos almacenados en la base de datos de Supabase (PostgreSQL) son cifrados utilizando el estándar Advanced Encryption Standard con clave de 256 bits (AES-256). Este nivel de cifrado es el mismo que utilizan los sistemas bancarios y de defensa nacional. Las claves de cifrado son gestionadas mediante un servicio de gestión de claves (KMS) separado del entorno de datos.
Toda comunicación entre los clientes (navegadores, dispositivos móviles) y la infraestructura de MediSaaS se transmite exclusivamente mediante HTTPS con TLS 1.3, el protocolo de seguridad en capa de transporte más moderno disponible, que elimina las vulnerabilidades presentes en versiones anteriores.
El núcleo del modelo de seguridad de MediSaaS es la implementación de políticas de Row Level Security (RLS) directamente en el motor de base de datos PostgreSQL, proporcionado por Supabase. RLS garantiza que cada Tenant opere en un silo de datos completamente hermético: ningún usuario, independientemente de sus permisos de aplicación, puede acceder a registros pertenecientes a otra clínica. Esta protección opera a nivel de base de datos, no a nivel de aplicación, lo que la hace virtualmente imposible de eludir mediante vulnerabilidades en el código.
La plataforma implementa un modelo de Control de Acceso Basado en Roles (RBAC) granular. Cada módulo (Patient, Reception, Nurse, Doctor, Clinic Admin) accede exclusivamente a los Datos que su rol requiere para operar. Los logs de cada acción quedan registrados de forma inmutable para auditoría.
MediSaaS opera sobre la infraestructura de Supabase, respaldada por centros de datos certificados SOC 2 Tipo II. Se emplean replicación de datos en tiempo real, backups automáticos con retención configurable y procedimientos de recuperación ante desastres (DR) con objetivo de punto de recuperación (RPO) inferior a 24 horas.
MediSaaS ha sido diseñado con principios de privacidad desde el origen (Privacy by Design) para facilitar el cumplimiento de las principales normativas internacionales en protección de datos de salud: el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, la Health Insurance Portability and Accountability Act (HIPAA) de los Estados Unidos, y las legislaciones sanitarias nacionales aplicables en cada territorio de operación del Tenant. El Proveedor actúa como Encargado del Tratamiento, mientras que el Tenant (clínica) actúa como Responsable del Tratamiento ante sus pacientes.
Los Datos clínicos se conservan durante el período mínimo exigido por la legislación sanitaria aplicable en la jurisdicción del Tenant (generalmente entre 5 y 15 años según el tipo de registro). Una vez vencido el plazo de retención, los datos son eliminados mediante un proceso de borrado seguro (secure wipe) que impide su recuperación. El Tenant puede solicitar la eliminación anticipada de datos no sujetos a obligación legal de retención a través del canal de contacto oficial.
Tanto el Tenant como los pacientes cuyos datos son gestionados a través de la plataforma tienen derecho a: (a) acceso al inventario de sus datos almacenados; (b) rectificación de datos incorrectos; (c) portabilidad de datos en formato estructurado (JSON/CSV) a través del panel de administración; (d) supresión de datos conforme a las limitaciones legales aplicables; (e) oposición al tratamiento para finalidades secundarias. Las solicitudes de ejercicio de derechos deben dirigirse a proyectos@tresapps.app.
Para consultas, incidencias de seguridad, ejercicio de derechos o cualquier asunto relacionado con el tratamiento de datos, el canal oficial de comunicación es:
El Proveedor se compromete a dar respuesta a todas las solicitudes en un plazo máximo de 72 horas hábiles.
El Proveedor se reserva el derecho de actualizar la presente Política para reflejar cambios tecnológicos, normativos o en el modelo de servicio. Las modificaciones sustanciales serán notificadas al Tenant con un mínimo de 30 días de antelación mediante correo electrónico al representante legal registrado. La versión vigente estará siempre disponible en esta URL. El uso continuado de la plataforma tras la fecha de vigencia de los cambios constituye aceptación de los mismos.
Developed by TresApps. © 2026 Todos los derechos reservados.
Términos de Servicio →