Dosier de seguridad
y cumplimiento.

01Sobre ClinicMate y alcance del servicio

ClinicMate es una plataforma SaaS de gestión integral para clínicas estéticas, médicas y profesionales sanitarios autónomos. Reemplaza las herramientas tradicionalmente fragmentadas — agenda, ficha de paciente, historia clínica, consentimientos, facturación, booking online — en un único sistema.

Entidad responsable

Alcance del servicio

Las medidas descritas en este dosier aplican a todos los productos comercializados bajo la marca ClinicMate:

• CRM y agenda — gestión diaria de la clínica, ficha de paciente, historia clínica.
• Booking online — widget de reservas embebido en la web de la clínica.
• Web de clínica — sitio público administrado, incluido sin coste con cualquier plan de pago.
• Chatbot IA — asistente conversacional con captura de leads y reserva automática.
• Portal del paciente — área privada para consultar citas, fotos, consentimientos y facturas.

Estadísticas operativas

02Marco normativo aplicable

ClinicMate cumple con la totalidad del marco jurídico español y europeo que afecta al tratamiento de datos personales, datos sanitarios, facturación y publicidad sanitaria.

03Verifactu — facturación electrónica

A partir del 1 de enero de 2027, todo empresario o profesional en España deberá emitir facturas mediante un sistema informático que cumpla con el Reglamento Verifactu. ClinicMate ya cumple, sin coste extra para el cliente.

Consecuencia de no cumplir

La AEAT podrá sancionar con 150 € por cada factura incorrecta y hasta 50 000 € por cada ejercicio a quienes utilicen un sistema no homologado. Para una clínica que emita ~100 facturas/mes, el riesgo anual supera fácilmente los 15 000 €.

Cómo cumplimos

Series documentales

Series por defecto: A-{año}-{secuencial} para facturas, R-{año}-{secuencial} para rectificativas. Configurables por clínica.

Diagrama del flujo Verifactu

Recepcionista cierra venta en POS
        │
        ▼
Emisión de factura F1/F2 ────► hash SHA-256 vinculado a la factura anterior
        │
        ▼
Envío automático a AEAT (SII Verifactu) ──► acuse con CSV
        │
        ▼
PDF firmado con QR oficial ──► entregado al paciente (email/portal)
        │
        ▼
Archivo inmutable · retención ≥ 4 años · auditoria disponible

Casos especiales documentados

• Fianza de booking — al cobrar la fianza online se emite F1 de anticipo; al cerrar la cita se emite F1 final con línea negativa de deducción. Cumple consulta DGT V0091-24.
• Anulación de cita — si no se prestó el servicio, se anula la factura de fianza mediante R1 con motivo «anulación de operación».
• Rectificación parcial — la línea original queda intacta; se emite R1 con la corrección. Trazabilidad completa.
• Bonos y packs — emisión diferida: F1 al consumir cada sesión, no al vender el pack.

Verificación independiente

Cualquier persona — la AEAT, el cliente final, un inspector — puede verificar una factura escaneando el QR. La respuesta del servicio AEAT confirma o desmiente que la factura fue declarada por el emisor.

04Sistema anti-marca — Ley 29/2006

La Ley 29/2006 del Medicamento prohíbe la publicidad dirigida al público de medicamentos sujetos a prescripción y de sus marcas comerciales. La sanción puede alcanzar 90 000 € por publicar servicios con marcas registradas prohibidas. La Comunidad de Madrid sancionó a 58 clínicas estéticas entre 2020 y 2023 por este motivo.

Marcas afectadas

Forman parte de la lista interna 20+ marcas registradas activamente bloqueadas en canales públicos, entre ellas:

Lista completa disponible bajo NDA y actualizada trimestralmente.

Arquitectura dual: nombre interno + nombre público

Aviso preventivo en formularios

Cuando un miembro del equipo escribe una marca bloqueada en un campo destinado a un canal público (nombre de servicio, descripción de la web, plantilla de WhatsApp), el sistema:

1. Bloquea el guardado con un mensaje claro: «"Botox" es una marca registrada. La Ley 29/2006 impide publicitarla; usa "toxina botulínica".»
2. Ofrece la alternativa segura preconfigurada.
3. Registra el intento en el log de auditoría, sin penalizar al usuario.

05Tratamiento de datos personales

El Cliente (la clínica) es el Responsable del tratamiento. ClinicMate actúa como Encargado del tratamiento en los términos del artículo 28 del RGPD, mediante Contrato de Tratamiento de Datos (DPA) firmado en el alta del servicio.

Categorías de datos tratados

Principios aplicados

• Minimización — se solicita exclusivamente lo necesario para cada finalidad. Los formularios son configurables por la clínica.
• Exactitud — el paciente puede actualizar sus datos desde el portal con magic link.
• Limitación del plazo — retención según norma (4 años fiscal, 5 años clínico mínimo). Anonimización al expirar.
• Integridad y confidencialidad — cifrado AES-256 en reposo y TLS 1.3 en tránsito (sección 8).
• Responsabilidad proactiva — registro de actividades, EIPD para tratamientos de alto riesgo, evaluación anual.

Segregación clínico ↔ fiscal

Los datos de salud nunca aparecen en facturas, recibos ni en cualquier documento de circulación fiscal. La factura describe el servicio en términos genéricos («tratamiento facial») sin diagnóstico ni producto sanitario asociado. Esta segregación protege al paciente frente a la divulgación accidental a contables, asesores fiscales o auditores.

06Datos clínicos · Ley 41/2002

La Ley básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica establece obligaciones específicas sobre historia clínica, consentimiento informado y conservación documental.

Historia clínica

• Estructura SOAP — Motivo, Anamnesis, Exploración, Diagnóstico, Plan, Evolución.
• Editor enriquecido con anclas a sesiones previas y a la galería de fotos del paciente.
• Flujo de estados — Borrador → Completada → Firmada → Rectificada. La rectificación deja la versión original visible en histórico.
• Firma digital del profesional y del paciente conforme eIDAS, con sello de tiempo.
• Trazabilidad de lotes — cada producto inyectable consumido se registra con número de lote y caducidad, obligación de farmacovigilancia.

Consentimiento informado

El sistema detecta automáticamente cuando un servicio reservado requiere consentimiento (configurable por servicio) y desencadena el siguiente flujo:

1. Envío al paciente del enlace al formulario por email y SMS.
2. El paciente firma desde su móvil (sin login, magic link de un solo uso, validez 7 días).
3. Alternativa presencial: la recepción muestra un QR; el paciente lo escanea con su móvil y firma desde su dispositivo, o utiliza la tablet de la clínica.
4. El consentimiento firmado queda vinculado a la sesión clínica y a la versión exacta del texto del consentimiento (versionado inmutable).

Anamnesis con autocumplimentación

El cuestionario médico de 10 secciones (identificación, antecedentes, medicaciones y alergias, antecedentes ginecológicos cuando proceda, hábitos, dermatología, evaluación cutánea, antecedentes familiares, consentimientos, firma) se envía al paciente antes de la primera cita mediante magic link. Cuando el paciente llega a la clínica su ficha ya está completa, lo que reduce el tiempo medio de recepción en aproximadamente 15 minutos por paciente nuevo.

Retención y acceso del paciente

• Mínimo de 5 años desde el alta del proceso asistencial. Algunas comunidades autónomas exigen más (Cataluña 15 años, Galicia 5 años desde el alta); el sistema soporta la configuración por comunidad.
• El paciente puede solicitar copia de su historia clínica completa en formato PDF firmado mediante el portal o por solicitud al DPO.
• Tras baja del servicio, el cliente (clínica) puede exportar la totalidad de las historias clínicas en formato CSV + PDF para cumplir su obligación de conservación.

07Hosting, localización y subprocesadores

Toda la infraestructura productiva de ClinicMate reside dentro del Espacio Económico Europeo. Ninguna transferencia internacional de datos fuera del EEE forma parte del flujo normal de operación.

Centro de datos primario y secundario

Subprocesadores autorizados

El listado actualizado de subprocesadores y sus cláusulas contractuales se publica en clinicmate.eu/subprocesadores. Los cambios se notifican con 30 días de antelación; el cliente puede oponerse y, si fuera incompatible con el servicio, rescindir sin penalización.

Transferencias internacionales

No se realizan transferencias internacionales de datos personales fuera del EEE en el flujo normal del servicio. Los subprocesadores indicados con sede en Irlanda son entidades intra-EEE. OpenAI Ireland procesa con DPA específico que excluye el reentrenamiento de modelos con los datos del cliente.

08Cifrado, control de acceso y trazabilidad

Cifrado

Control de acceso basado en roles (RBAC)

El sistema implementa 42 permisos granulares agrupados en 13 dominios (Agenda, Pacientes, Clínica, Consentimientos, Finanzas, Packs, Leads, Servicios, Inventario, Equipo, Configuración, Marketing, Informes) sobre 6 roles base:

Roles personalizados disponibles en plan Business y superior.

Autenticación

• Contraseñas con verificación contra repositorio de filtraciones conocidas (HIBP).
• Segundo factor obligatorio para roles Owner y Admin; opcional configurable para el resto.
• SSO SAML 2.0 disponible en plan Clinic.
• Sesiones de 12 h con renovación silenciosa. Bloqueo tras 5 intentos fallidos.

Log de auditoría

Toda acción sensible queda registrada con: usuario, rol, IP de origen, user-agent, timestamp UTC, recurso afectado, valor anterior, valor nuevo. El log es inmutable (append-only) y se conserva durante 5 años. Está disponible para consulta del cliente desde el panel de administración y puede exportarse en formato CSV o JSON firmado.

09Backups, continuidad y respuesta a incidentes

Política de backups

Objetivos de continuidad

Procedimiento de respuesta a incidentes

1. Detección — sistemas de monitorización 24/7, alertas a guardia de seguridad.
2. Contención — aislamiento del componente afectado, rotación de credenciales si procede.
3. Evaluación — clasificación de severidad y determinación si hay brecha de datos personales.
4. Notificación al cliente — comunicación al Responsable del tratamiento en menos de 24 horas desde el conocimiento de los hechos (mejor que el mínimo legal de 72 h del art. 33 RGPD).
5. Notificación a la AEPD — coordinada con el cliente cuando se cumplen los supuestos del art. 33 RGPD.
6. Resolución y postmortem — informe técnico al cliente. Medidas correctoras incorporadas al ciclo de mejora continua.

Pruebas de recuperación

Trimestralmente se ejecuta un simulacro completo de restauración de backup en entorno aislado, verificando integridad y RTO real. El resultado de los simulacros está disponible bajo NDA.

10Derechos del interesado

Los pacientes (interesados) pueden ejercer en cualquier momento los derechos reconocidos por el RGPD. ClinicMate ofrece herramientas para que la clínica (Responsable) atienda estas solicitudes en plazo.

Reclamación a la autoridad de control

El interesado puede en cualquier momento presentar reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, sin perjuicio del derecho a obtener tutela judicial efectiva.

Petición al DPO de ClinicMate

Si el interesado considera que su solicitud no ha sido atendida por la clínica, puede contactar con el Delegado de Protección de Datos de ClinicMate en dpo@clinicmate.eu. Las solicitudes recibidas se reenvían al cliente correspondiente y se acompaña al interesado en su tramitación.

11Pentests, auditorías y mejora continua

Pruebas de penetración externas

Anualmente se contrata a una empresa externa independiente para ejecutar un test de intrusión sobre el entorno productivo (caja gris). El alcance cubre la aplicación web, la API REST, la autenticación, los flujos de pago y los webhooks. Los hallazgos se priorizan según CVSS v3.1:

• Crítico (9-10) — corregido en ≤ 48 h.
• Alto (7-8,9) — corregido en ≤ 14 días.
• Medio (4-6,9) — corregido en ≤ 60 días.
• Bajo (< 4) — incorporado al backlog priorizado.

El informe ejecutivo del último pentest está disponible para clientes en planes Business y Clinic mediante NDA.

Programa de divulgación responsable

Aceptamos reportes de vulnerabilidades en security@clinicmate.eu con clave PGP publicada en clinicmate.eu/.well-known/security.txt. Compromiso de respuesta inicial en 72 h. Reconocimiento público de investigadores con su autorización.

Revisión continua del código

• Análisis estático automático en cada pull request (SAST).
• Análisis de dependencias diario con alertas CVE.
• Revisión humana obligatoria por dos personas antes de despliegue a producción.
• Despliegue continuo con rollback automático ante anomalías.

Formación del equipo

Todo el personal de ClinicMate con acceso a sistemas productivos firma compromiso de confidencialidad y recibe formación obligatoria en protección de datos sanitarios, OWASP Top 10 e ingeniería social. La formación se renueva anualmente.

12Matriz resumen de controles

Resumen consolidado de los controles aplicados, mapeados al estándar ISO/IEC 27002:2022 y al Esquema Nacional de Seguridad (ENS) categoría media.

13Contacto y aceptación

Delegado de Protección de Datos (DPO)

Seguridad y vulnerabilidades

Estado del servicio

Página pública de estado en status.clinicmate.eu con histórico de los últimos 90 días.

Aceptación del cliente

La descarga de este dosier no constituye contrato. La relación jurídica se rige por las Condiciones Generales y el DPA aceptados al alta del servicio. Si desea constancia formal de recepción y archivo, complete y devuelva firmado el siguiente bloque:

© 2026 ClinicMate Technologies S.L. · Documento confidencial · Versión 2026.05.01