Seguridad de Psiora — Compruébalo tú

Cómo funciona

Tus notas se cifran antes de salir de tu equipo.

Tu Llave Maestra

Una frase que solo tú conoces, aparte de tu contraseña de acceso. No sale de tu equipo y no la guardamos en ningún lado.

La llave de cifrado

Tu navegador la deriva de tu Llave Maestra con PBKDF2-SHA256 y 600,000 iteraciones.

El cifrado

AES-256-GCM, en tu navegador, antes de enviar nada. Lo que guardamos empieza con PSV2: (o PSV3: en una clínica) y es ilegible sin la llave.

Mientras trabajas

La llave abierta solo sirve en la pestaña donde abriste tu bóveda: al cerrarla, deja de servir. Tras 30 minutos sin uso, Psiora cierra tu bóveda y bloquea la pantalla: para volver a ver tus notas, hay que abrirla de nuevo.

Face ID o Touch ID

En los navegadores compatibles, desbloquean tu llave en el propio dispositivo. Ese desbloqueo no pasa por la red.

Tu contraseña

Se guarda solo como una huella irreversible, y al entrar con correo y contraseña te pedimos además un código que llega a tu correo.

Kit de recuperación

Imprimes tu Llave Maestra en papel y la guardas tú. Nosotros no tenemos copia: si pierdes la llave y el Kit, nadie —ni Psiora— puede recuperar tus notas.

Archivos

Los adjuntos privados también se cifran en tu navegador. Los que compartes con tu paciente en su portal, no.

En una clínica

Las notas compartidas se cifran con la llave de la clínica, que nuestro servidor solo guarda cifrada para cada miembro. Qué comparte la clínica y qué no.

Respaldos

Respaldo automático diario de la base de datos en otro proveedor, y una revisión semanal que confirma que se siguen generando. Ahí tus notas también están cifradas.

Compruébalo tú

Míralo en dos minutos.

No hace falta saber programar. Lo que vas a ver es exactamente lo que recibe nuestro servidor cuando guardas una nota.

Abre Psiora en tu computadora, con Chrome, Edge o Safari, y entra a un expediente de prueba.
Abre las herramientas de desarrollador (en Chrome y Edge, la tecla F12; en Safari, activa el menú «Desarrollo» en los ajustes) y ve a la pestaña «Red» (Network).
Escribe consultas en el filtro de la pestaña Red, guarda una nota de prueba y abre la petición POST (o PATCH, si editaste) que aparece al guardar.
En la pestaña «Carga útil» (Payload) verás que el título y cada campo dentro de contenido (evolución, diagnósticos…) empiezan con PSV2: (o PSV3: si el paciente es de una clínica), seguido de texto ilegible. Eso es lo que guardamos.

Verás legibles otros datos de esa misma petición, como la fecha, el tipo y la modalidad de la nota o la fecha de inicio del padecimiento: esos no van cifrados de extremo a extremo, y la lista completa está abajo.

Sin letra chiquita

Contra qué te protege, y contra qué no.

Te protege si…

alguien roba nuestra base de datos o nuestros respaldos;
alguien de Psiora o de nuestros proveedores de servidores intenta leer tus notas;
una autoridad nos pide tus notas: lo que guardamos es texto cifrado, y no tenemos la llave.

No te protege de…

lo que no va cifrado de extremo a extremo, entre otros: el nombre, la CURP y los datos de contacto y fiscales del paciente, la agenda, los cobros, los consentimientos firmados, el muro del equipo de una clínica y, de cada nota, la fecha, el tipo y el autor;
lo que tú decides enviar a Clara, o el audio que, en Modo Pro, sale de tu equipo para que lo transcriba Deepgram, en Estados Unidos (nosotros no lo guardamos);
alguien que use tu equipo con tu sesión abierta, o que conozca tu Llave Maestra;
un límite de toda aplicación web: el programa que cifra lo entregamos nosotros cada vez que abres Psiora. El cifrado nos impide leer lo que guardamos, pero no sustituye la confianza en quien te entrega el programa.

El detalle completo de lo que se cifra, lo que no y quién trata tus datos está en el aviso de privacidad (secciones 3, 5, 6 y 7).

Lo que no afirmamos

Para que no te lo encuentres después.

No tenemos certificaciones de seguridad como ISO 27001 o SOC 2.
No tenemos el certificado de la DGIS para la NOM-024. Psiora está pensado para la NOM-004, la NOM-024 y la LFPDPPP y tiene varios de sus controles, pero no el certificado.
No hemos tenido una auditoría de seguridad externa e independiente. Las revisiones que hacemos son internas.
Nuestros servidores y respaldos están en Estados Unidos, no en México.

¿Encontraste un problema?

Dínoslo antes que a nadie.

Si encuentras una falla de seguridad en Psiora, escríbenos a soporte@psiora.com con el asunto «Seguridad». Te pedimos no hacerla pública mientras la corregimos.

No te pedimos que nos creas. Te decimos cómo comprobarlo.

Tus notas se cifran antes de salir de tu equipo.

Míralo en dos minutos.

Contra qué te protege, y contra qué no.

Para que no te lo encuentres después.

Dínoslo antes que a nadie.

Pruébalo con tus propias notas.