Cómo se protegen los datos de tus pacientes

Qué protege Mi Consultorio, cómo, y también qué no: preferimos que sepas exactamente dónde está cada dato.

Cuatro cosas distintas, cuatro alcances distintos

«Cifrado» no quiere decir lo mismo en los cuatro casos. Esta página los separa a propósito, porque un sello de seguridad sin alcance no dice nada:

Conexión protegida	Todo lo que va y viene entre tu dispositivo y el servidor viaja cifrado. Es lo mínimo, y lo tiene cualquier sitio serio.
Contenido clínico cifrado en tu dispositivo	Pacientes, notas, historias, pagos y adjuntos se cifran antes de salir. El servidor guarda texto que no puede leer.
Recuperación del acceso	Si tenés activado el restablecimiento por mail, existe una llave de rescate del lado del servidor. Es la contracara de poder recuperar tu cuenta, y la explicamos entera más abajo.
Tratamiento externo opcional	El asistente de IA, si lo activás, envía texto fuera. Viene apagado y podés no usarlo nunca.

Tus datos se cifran en tu dispositivo

Pacientes, turnos, notas de sesión, historias clínicas, pagos y archivos adjuntos se cifran en tu propio dispositivo, antes de salir, con AES-256-GCM. La llave se protege con tu contraseña mediante PBKDF2-SHA256 con 600.000 iteraciones, lo que hace muy costoso probar contraseñas por fuerza bruta. Al servidor llega texto cifrado: ve cuántos registros tenés y cuándo cambiaron, no qué dicen.

Verificación en dos pasos

Podés pedir, además de la contraseña, un código de seis números de una app de autenticación. Con la verificación activa, la base de datos sólo entrega tu información a una sesión que pasó ese código. Cómo activarla.

Recuperar la contraseña por correo: lo que implica

Para que puedas restablecer la contraseña por mail sin perder tus datos, el sistema guarda una llave de rescate. Eso significa que, técnicamente, quien administra el servidor con la clave de servicio podría abrir tus datos. Por eso el rescate sólo funciona desde el enlace que llega a tu correo, durante las dos horas siguientes —una sesión abierta en otro dispositivo no alcanza—, cada uso queda registrado y te avisa por correo a tu dirección principal y a la de respaldo, y con la verificación en dos pasos activa el rescate también pide el código. Además, sin verificación en dos pasos la llave recién se entrega 24 horas después del pedido: apenas se pide te llega un mail con un enlace para cancelarlo, por si no fuiste vos.

Si preferís que nadie que administre el servicio tenga esa posibilidad, en la app podés desactivar el restablecimiento por mail (Configuración → Seguridad). La llave de rescate se borra del servidor y, a partir de ese momento, quien administra el servicio deja de poder abrir tus datos nuevos. A cambio, si olvidás la contraseña, vas a necesitar la frase de recuperación de 12 palabras que te mostramos entonces: sin ella, los datos no se pueden recuperar.

Dos cosas que conviene saber y que a veces se prometen de más:

Cerrar sesión en otro equipo	Revoca el acceso de ese equipo al servidor. No borra lo que ya estaba descargado en ese dispositivo: una copia local sigue abriéndose con la contraseña que tenía.
Cambiar la contraseña	Cambia la envoltura de la bóveda y cierra las sesiones de los otros dispositivos. No vuelve ilegibles los respaldos antiguos que hayas descargado: ésos siguen abriéndose con la contraseña de cuando se bajaron.

Por eso no decimos «ni nosotros podemos leer tus datos» mientras exista el rescate por mail, ni «borramos todo al instante en cualquier dispositivo». Lo que sí podemos sostener está en esta página.

Lo que no está cifrado, y por qué

Pedidos de turno de tu página de reservas	Nombre, correo, teléfono, fecha y nota de quien reserva: el servidor los necesita para avisarte y confirmarle al paciente. Se borran a los 180 días.
Recordatorios por correo	Nombre y correo del paciente y el texto del recordatorio, para poder enviarlo. Se borran a los 180 días.
Consentimientos firmados desde la cuenta del paciente	El texto firmado, el nombre, el DNI, la fecha y la cuenta desde la que se firmó: el paciente tiene derecho a volver a verlo y descargarlo desde su cuenta. Se conserva mientras la cuenta exista.
Pedidos a la cuenta del paciente	El correo del paciente y qué se le pidió completar (el texto del consentimiento o las preguntas de una escala), sin respuestas. Las respuestas a las escalas sí viajan cifradas para vos y se borran del servidor apenas tu app las guarda en la ficha.
Tu perfil público de reservas	Servicios, lugares, horarios y datos de cobro que elegís mostrar, y los horarios ocupados, sin nombres.
Tu correo de cuenta	Para que puedas entrar y recibir avisos.

Dónde están los datos

La base de datos funciona en Supabase, en servidores de Estados Unidos (región Ohio). El sitio y sus funciones, en Netlify. Los correos salen por Brevo. Los pagos los procesan Mercado Pago y PayPal: la app no ve ni guarda tarjetas. El asistente de redacción, si lo activás, usa Anthropic. El detalle está en la política de privacidad.

Copias de seguridad

Cada día en que usás la app se guarda una copia completa y cifrada en tu cuenta (se conservan las últimas 30), y otra antes de cada actualización. Desde la app podés comprobar que una copia se puede abrir y descargarla. Además, podés exportar todo a Excel cuando quieras.

Del lado del servidor: la base se respalda todos los días; los archivos adjuntos se copian cada noche a un depósito aparte (si borrás uno, la copia se guarda 30 días y la app lo trae sola si hace falta), y una vez por semana se guarda una copia cifrada fuera de Supabase, en otro proveedor. El 5 de octubre de 2026 hicimos un simulacro: restauramos la base en un proyecto nuevo y los datos coincidieron uno por uno con los originales. Lo repetimos cada tres meses.

Las notas de sesión se pueden corregir durante 24 horas; después quedan cerradas y lo nuevo va como adenda con fecha. Una nota no se borra: se anula con un motivo, como pide la ley de historia clínica.

Errores y registros

Si la app falla, se registra el error técnico sin datos personales: antes de guardarlo se eliminan textos, correos y números largos, y no se guarda tu IP. Esos registros se borran a los 90 días.

Otras protecciones

Bloqueo automático tras 20 minutos sin uso.
Al elegir una contraseña, la app consulta si aparece en filtraciones conocidas (Have I Been Pwned) sin enviarla: manda sólo los primeros 5 caracteres de su huella SHA-1, y si aparece, la rechaza.
Cada cuenta sólo puede leer sus propios registros: lo controla la base de datos, no la app.
Cabeceras de seguridad estrictas en todo el sitio.

Lo que conviene que sepas

Mi Consultorio no es un sistema certificado ni auditado por terceros. Si ocurriera un incidente que afecte tus datos, te avisamos dentro de las 72 horas. Si el servicio cerrara, avisamos con 90 días para que descargues todo. Si tu contraseña es débil o la compartís, ningún cifrado alcanza: usá una frase larga y activá la verificación en dos pasos.

¿Encontraste un problema de seguridad? Escribinos a belenflood1@gmail.com.