[EN] Cumplimiento y arquitectura de protección
[EN] Esta página está escrita para DPOs, responsables de cumplimiento y equipos de seguridad. Sin florituras comerciales. Detalla cómo se sitúa Endura en el marco regulatorio español y europeo, qué obligaciones facilita a tu organización y qué figura legal le corresponde. Para profundidad técnica, al final puedes solicitar la guía preparada para auditoría.
[EN] El dato del paciente nunca sale del navegador del profesional
[EN] La pseudonimización se ejecuta en el navegador del profesional sanitario. Los identificadores directos del paciente —nombre, DNI, NIE, NHC, CIP/SIP, dirección, teléfono, email— se sustituyen por tokens ([EN] [NAME_1][EN] , [EN] [NHC_1][EN] …) antes de enviarse a la plataforma de IA. Solo los tokens viajan. La respuesta vuelve con los tokens y Endura reinyecta los datos reales localmente, solo para el usuario autorizado.
[EN] En ningún punto del flujo los servidores de Endurax reciben datos clínicos identificativos. No es una promesa de política: es la consecuencia técnica del principio de minimización del tratamiento (Art. 5 RGPD) y de protección desde el diseño (Art. 25 RGPD).
[EN] La telemetría opcional para mejora del motor —activada solo con consentimiento explícito del usuario— transmite metadatos pseudonimizados en origen: tipo de token detectado, señal de detección, nivel de confianza, plataforma. Nunca el valor real del identificador ni el contenido del documento. Se detalla en la política de privacidad.
[EN] Normas que Endura ayuda a cumplir
[EN] Endura es una medida técnica. El cumplimiento íntegro corresponde a tu organización en su conjunto —procedimientos, contratos, formación, DPO, gobierno— no a una herramienta aislada. La tabla describe los controles concretos que Endura aporta como evidencia técnica frente a las normas aplicables al sector sanitario español y europeo.
[EN] Los estados —Implementado, Evidencia disponible, Soporte, Mitigación— describen la aportación técnica concreta de Endura a cada norma, no la conformidad global de tu organización, que depende de tu sistema de gestión en su conjunto.
[EN] Lo que Endurax NO es
[EN] Igual de importante que describir lo que hacemos es describir lo que no somos. Evita confusiones de responsabilidad y DPA innecesarios.
[EN] No somos encargados del tratamiento (Art. 28 RGPD).
[EN] No procesamos datos personales del paciente en nuestros sistemas. Por lo tanto, no se requiere un DPA entre tu organización y Endurax para el tratamiento de datos del paciente. El encargado del tratamiento sigue siendo el proveedor de IA al que tu organización ya ha contratado (OpenAI, Anthropic, Google, Microsoft), con sus propios términos y su propio DPA.
[EN] No custodiamos datos clínicos.
[EN] Ni en tránsito ni en reposo. La pseudonimización es local, la reinyección es local, los logs de auditoría contienen metadatos de detección —tipo, timestamp, plataforma— sin el valor real del identificador.
[EN] No sustituimos al DPO de tu organización.
[EN] Endura facilita evidencias técnicas y registros exportables. La responsabilidad de decidir qué tratamientos son lícitos, qué requiere EIPD, qué contratos firmar y cómo formar a los clínicos corresponde a la organización y a su DPO, no al proveedor técnico.
[EN] No certificamos a tu organización.
[EN] Una herramienta no certifica ENS, ISO ni ningún otro marco. La certificación requiere un sistema de gestión global del que Endura puede ser una pieza de evidencia técnica, no el todo.
[EN] No somos un DLP tradicional.
[EN] Un DLP bloquea la salida de datos sensibles. Endura la transforma: deja salir la pregunta clínica útil, sin los datos identificativos. Es una categoría distinta de herramienta.
[EN] Sistema de gestión alineado con ISO/IEC 27001 y 42001
[EN] El sistema de gestión de la seguridad de la información de Endurax AI, S.L. está documentalmente alineado con ISO/IEC 27001. El sistema de gestión de IA está alineado con ISO/IEC 42001.
[EN] "Alineado" significa: políticas documentadas, controles mapeados, evidencias en repositorio, roles de seguridad asignados.
[EN] Las auditorías formales de certificación están planificadas para Q4 2026 (27001) y Q1 2027 (42001).
[EN] Si necesitas evidencias específicas de controles para tu auditoría antes de la certificación, están disponibles bajo acuerdo de confidencialidad. Escribe a compliance@endurax.net[EN] .
[EN] Por qué las fechas de nacimiento no se detectan
[EN] Endura no detecta ni pseudonimiza fechas de nacimiento. Es una decisión editorial documentada —POLICY-001— basada en el principio de proporcionalidad del Art. 32.1 RGPD.
“[EN] Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.”
[EN] Cuando el identificador principal del paciente —nombre completo, DNI/NIE, NHC, CIP— ya está protegido, la fecha de nacimiento aislada no re-identifica en la práctica. Pero sí es información clínicamente crítica para el razonamiento del profesional y de la IA: rango etario, farmacología adaptada a la edad, pediatría, geriatría, dosificación, contraindicaciones por franja.
[EN] Pseudonimizar fechas de nacimiento empeoraría la utilidad clínica sin reducción material del riesgo de re-identificación. La proporcionalidad del Art. 32 lo requiere: la medida técnica debe ser adecuada al riesgo, no máxima por máxima.
[EN] La documentación técnica de POLICY-001, con la matriz de riesgos revisada y la metodología de decisión, está incluida en la guía de cumplimiento que puedes solicitar al final de esta página.
[EN] Modelo de responsabilidad entre los tres actores
[EN] Un error frecuente es asumir que introducir un proveedor técnico redistribuye las responsabilidades normativas. No lo hace. Endura es medida técnica; responsabilidad y encargo del tratamiento quedan donde ya estaban.
[EN] Tu organización
- ·[EN] Decide la licitud del tratamiento
- ·[EN] Firma el contrato con el proveedor de IA
- ·[EN] Realiza la EIPD cuando aplica
- ·[EN] Forma a los clínicos
- ·[EN] Responde ante AEPD y afectados
[EN] Proveedor de IA
- ·[EN] OpenAI · Anthropic · Google · Microsoft
- ·[EN] Procesa los tokens recibidos
- ·[EN] Firma DPA con tu organización
- ·[EN] Responde por el tratamiento que ejecuta
- ·[EN] Tiene sus propios términos y retención
[EN] Endurax
- ·[EN] No recibe datos identificativos del paciente
- ·[EN] No es encargado del tratamiento (Art. 28)
- ·[EN] Aporta evidencia técnica y logs
- ·[EN] Mantiene la herramienta y su seguridad
- ·[EN] Responde por la herramienta, no por el tratamiento
[EN] Documento técnico para DPOs y auditores
[EN] Hemos preparado una guía que contiene el detalle necesario para que un DPO traslade Endura a comité interno o lo someta a EIPD. Incluye arquitectura técnica detallada, tabla completa de controles con evidencia por cada uno, POLICY-001 razonada con referencias, modelo de responsabilidad entre organización, proveedor de IA y Endurax, y anexos con outputs de auditoría ejemplo.
[EN] Guía de cumplimiento y auditoría para DPOs
[EN] Te enviamos la guía a tu correo para mantener trazabilidad de la versión que has consultado.
[EN] El documento se actualiza trimestralmente. El envío por email —en lugar de descarga directa— permite mantener trazabilidad de qué versión ha recibido cada DPO: cuando publicamos una revisión, avisamos a quienes ya tienen la versión anterior.
[EN] Si tu DPO tiene preguntas concretas
[EN] Respondemos por escrito, con cita normativa cuando aplica, a través de compliance@endurax.net[EN] .