Cumplimiento y arquitectura de protección
Esta página está escrita para DPDs, responsables de cumplimiento y equipos de seguridad. Sin florituras comerciales. Detalla cómo se sitúa Endura en el marco regulatorio español y europeo, qué obligaciones facilita a tu organización y qué figura legal le corresponde. Para profundidad técnica, al final puedes solicitar la guía preparada para auditoría.
El dato del paciente nunca sale del navegador del profesional
La anonimización se ejecuta en el navegador del profesional sanitario. Los identificadores directos del paciente —nombre, DNI, NIE, NHC, CIP/SIP, dirección, teléfono, email— se sustituyen por tokens ([NAME_1], [NHC_1]…) antes de enviarse a la plataforma de IA. Solo los tokens viajan. La respuesta vuelve con los tokens y Endura reinyecta los datos reales localmente, solo para el usuario autorizado.
En ningún punto del flujo los servidores de Endurax reciben datos clínicos identificativos. No es una promesa de política: es la consecuencia técnica del principio de minimización del tratamiento (Art. 5 RGPD) y de protección desde el diseño (Art. 25 RGPD).
La telemetría opcional para mejora del motor —activada solo con consentimiento explícito del usuario— transmite metadatos anonimizados en origen: tipo de token detectado, señal de detección, nivel de confianza, plataforma. Nunca el valor real del identificador ni el contenido del documento. Se detalla en la política de privacidad.
Normas que Endura ayuda a cumplir
Endura es una medida técnica. El cumplimiento íntegro corresponde a tu organización en su conjunto —procedimientos, contratos, formación, DPD, gobierno— no a una herramienta aislada. La tabla describe los controles concretos que Endura aporta como evidencia técnica frente a las normas aplicables al sector sanitario español y europeo.
Los estados —Implementado, Evidencia disponible, Soporte, Mitigación— describen la aportación técnica concreta de Endura a cada norma, no la conformidad global de tu organización, que depende de tu sistema de gestión en su conjunto.
Lo que Endurax NO es
Igual de importante que describir lo que hacemos es describir lo que no somos. Evita confusiones de responsabilidad y DPA innecesarios.
No somos encargados del tratamiento (Art. 28 RGPD).
No procesamos datos personales del paciente en nuestros sistemas. Por lo tanto, no se requiere un DPA entre tu organización y Endurax para el tratamiento de datos del paciente. El encargado del tratamiento sigue siendo el proveedor de IA al que tu organización ya ha contratado (OpenAI, Anthropic, Google, Microsoft), con sus propios términos y su propio DPA.
No custodiamos datos clínicos.
Ni en tránsito ni en reposo. La tokenización es local, la reinyección es local, los logs de auditoría contienen metadatos de detección —tipo, timestamp, plataforma— sin el valor real del identificador.
No sustituimos al DPD de tu organización.
Endura facilita evidencias técnicas y registros exportables. La responsabilidad de decidir qué tratamientos son lícitos, qué requiere EIPD, qué contratos firmar y cómo formar a los clínicos corresponde a la organización y a su DPD, no al proveedor técnico.
No certificamos a tu organización.
Una herramienta no certifica ENS, ISO ni ningún otro marco. La certificación requiere un sistema de gestión global del que Endura puede ser una pieza de evidencia técnica, no el todo.
No somos un DLP tradicional.
Un DLP bloquea la salida de datos sensibles. Endura la transforma: deja salir la pregunta clínica útil, sin los datos identificativos. Es una categoría distinta de herramienta.
Sistema de gestión alineado con ISO/IEC 27001 y 42001
El sistema de gestión de la seguridad de la información de Endurax AI, S.L. está documentalmente alineado con ISO/IEC 27001. El sistema de gestión de IA está alineado con ISO/IEC 42001.
“Alineado” significa: políticas documentadas, controles mapeados, evidencias en repositorio, roles de seguridad asignados. No significa todavía certificación de tercero.
Las auditorías formales de certificación están planificadas para Q4 2026 (27001) y Q1 2027 (42001).
Si necesitas evidencias específicas de controles para tu auditoría antes de la certificación, están disponibles bajo acuerdo de confidencialidad. Escribe a compliance@endurax.net.
Por qué las fechas de nacimiento no se detectan
Endura no detecta ni tokeniza fechas de nacimiento. Es una decisión editorial documentada —POLICY-001— basada en el principio de proporcionalidad del Art. 32.1 RGPD.
“Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.”
Cuando el identificador principal del paciente —nombre completo, DNI/NIE, NHC, CIP— ya está protegido, la fecha de nacimiento aislada no re-identifica en la práctica. Pero sí es información clínicamente crítica para el razonamiento del profesional y de la IA: rango etario, farmacología adaptada a la edad, pediatría, geriatría, dosificación, contraindicaciones por franja.
Tokenizar fechas de nacimiento empeoraría la utilidad clínica sin reducción material del riesgo de re-identificación. La proporcionalidad del Art. 32 lo requiere: la medida técnica debe ser adecuada al riesgo, no máxima por máxima.
La documentación técnica de POLICY-001, con la matriz de riesgos revisada y la metodología de decisión, está incluida en la guía de cumplimiento que puedes solicitar al final de esta página.
Modelo de responsabilidad entre los tres actores
Un error frecuente es asumir que introducir un proveedor técnico redistribuye las responsabilidades normativas. No lo hace. Endura es medida técnica; responsabilidad y encargo del tratamiento quedan donde ya estaban.
Tu organización
- ·Decide la licitud del tratamiento
- ·Firma el contrato con el proveedor de IA
- ·Realiza la EIPD cuando aplica
- ·Forma a los clínicos
- ·Responde ante AEPD y afectados
Proveedor de IA
- ·OpenAI · Anthropic · Google · Microsoft
- ·Procesa los tokens recibidos
- ·Firma DPA con tu organización
- ·Responde por el tratamiento que ejecuta
- ·Tiene sus propios términos y retención
Endurax
- ·No recibe datos identificativos del paciente
- ·No es encargado del tratamiento (Art. 28)
- ·Aporta evidencia técnica y logs
- ·Mantiene la herramienta y su seguridad
- ·Responde por la herramienta, no por el tratamiento
Documento técnico para DPDs y auditores
Hemos preparado una guía que contiene el detalle necesario para que un DPD traslade Endura a comité interno o lo someta a EIPD. Incluye arquitectura técnica detallada, tabla completa de controles con evidencia por cada uno, POLICY-001 razonada con referencias, modelo de responsabilidad entre organización, proveedor de IA y Endurax, y anexos con outputs de auditoría ejemplo.
Guía de cumplimiento y auditoría para DPDs
Te enviamos la guía a tu correo para mantener trazabilidad de la versión que has consultado.
El documento se actualiza trimestralmente. El envío por email —en lugar de descarga directa— permite mantener trazabilidad de qué versión ha recibido cada DPD: cuando publicamos una revisión, avisamos a quienes ya tienen la versión anterior.
Si tu DPD tiene preguntas concretas
Respondemos por escrito, con cita normativa cuando aplica. compliance@endurax.net reenvía a Diana Martínez (CEO) y Andres García (responsable de cumplimiento).