Evaluación de Impacto de Protección de Datos
EIPD/DPIA conforme al artículo 35 del RGPD (UE) 2016/679
Última actualización: octubre de 2026
La presente Evaluación de Impacto de Protección de Datos (EIPD) se realiza en cumplimiento del artículo 35 del Reglamento (UE) 2016/679 (RGPD) y la Ley Organica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Psicofactu trata categorías especiales de datos (datos de salud) en su condición de encargado del tratamiento, lo que exige la realización de esta evaluación.
1. Descripción del tratamiento
Responsable del Tratamiento
El psicologo o centro que utiliza Psicofactu. Cada profesional es responsable del tratamiento de los datos personales de sus pacientes.
Encargado del Tratamiento
Psicofactu (la plataforma), que trata datos por cuenta del profesional conforme al contrato de encargo de tratamiento.
Finalidad del tratamiento
Gestión integral de consultas de psicología, incluyendo:
- Historias clínicas electronicas (notas de sesión, diagnósticos, cuestionarios)
- Gestión de citas y agenda
- Facturación electrónica preparada para el Reglamento Verifactu
- Comunicaciones con pacientes (email, recordatorios)
- Asistencia documental mediante inteligencia artificial (estructuración y resumen de lo documentado)
Base jurídica
Artículo 9.2(h) del RGPD: tratamiento necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social.
Categorías de datos tratados
Datos identificativos
- Nombre y apellidos
- Teléfono
- DNI/NIF
- Dirección
Datos de salud (cat. especial)
- Diagnósticos (CIE-10)
- Notas clínicas de sesión
- Cuestionarios psicologicos
- Tratamientos
- Informes clínicos
Datos economicos
- Datos de facturación
- Historial de pagos
- NIF/CIF
Categorías de interesados
Pacientes de psicología atendidos por los profesionales usuarios de Psicofactu.
Destinatarios y subencargados
No se ceden datos a terceros salvo obligación legal. Los subencargados del tratamiento son:
| Subencargado | Función | Ubicación |
|---|---|---|
| Microsoft Azure OpenAI | Asistencia de IA: transcripción, estructuración y resumen de lo documentado (función opcional) | Unión Europea (EEE) |
| MongoDB Atlas (MongoDB Inc.) | Alojamiento de la base de datos (cifrada) | Unión Europea (París) |
| Vercel Inc. | Hosting de la aplicación y CDN | Unión Europea (París) |
| Stripe Inc. | Procesamiento de pagos y facturación | Unión Europea / EE. UU. |
| Resend Inc. | Envío de correos transaccionales y recordatorios de citas | EE. UU. |
| Amazon Web Services (AWS) | Almacenamiento de documentos (PDF de facturas, copias de seguridad) | Unión Europea (eu-west-1) |
| Google LLC | Autenticación (Google Sign-In) y sincronización con Google Calendar (opcional) | Unión Europea / EE. UU. |
| PostHog (EU Cloud) | Analítica de producto (solo con consentimiento de cookies; sin datos de salud) | Unión Europea (Frankfurt) |
| Crisp IM SARL | Chat de soporte al profesional (opcional) | Unión Europea (Francia) |
Lista revisada en octubre de 2026. La versión viva, con las garantías de cada proveedor, está en /legal/subencargados.
Transferencias internacionales
Los datos clínicos se procesan y almacenan en la Unión Europea, incluida la IA (Azure OpenAI con despliegues en la UE y seudonimización previa de los identificadores directos mediante el sistema redactPII). Los proveedores auxiliares que tratan datos identificativos fuera del EEE (correo transaccional con Resend, pagos con Stripe) operan bajo cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea.
Plazos de conservación
- Historias clínicas: mínimo 5 años desde la última asistencia (Ley 41/2002, art. 17)
- Facturas: 4 años (Ley General Tributaria)
- Datos de usuario: hasta la baja de la cuenta, sin perjuicio de las obligaciones legales de conservación
2. Necesidad y proporcionalidad
El tratamiento de datos de salud es estrictamente necesario para la prestación del servicio de asistencia psicológica. Se aplican los siguientes principios:
Minimización de datos
Solo se recogen datos estrictamente necesarios para la prestación del servicio. No se solicitan datos que no sean relevantes para la relación terapéutica o la facturación.
Encriptación en reposo
El contenido de las notas y de la ficha clínica se cifra con AES-256-GCM en reposo, campo a campo. Las claves de cifrado se custodian en el entorno del servidor y el acceso a cada historia queda registrado.
Aislamiento de datos
El acceso esta limitado al profesional tratante mediante aislamiento por psychologistId. Ningún profesional puede acceder a los datos de pacientes de otro profesional.
Seudonimización para IA
Los datos enviados a servicios de inteligencia artificial se seudonimizan previamente mediante el sistema redactPII, y el procesamiento se realiza con Azure OpenAI en la Unión Europea, sin entrenamiento de modelos con los datos y sin almacenamiento de las conversaciones.
Sin decisiones automatizadas
No se realizan decisiones automatizadas con efectos jurídicos o significativamente similares sobre los interesados. Lo que genera la IA son borradores documentales que siempre requieren la validación del profesional.
3. Evaluación de riesgos
Se identifican los siguientes riesgos para los derechos y libertades de los interesados, junto con su probabilidad, impacto y las medidas adoptadas para mitigarlos:
| Riesgo | Probabilidad | Impacto | Nivel | Medidas |
|---|---|---|---|---|
| Acceso no autorizado a datos clínicos | Bajo | Crítico | Alto | Encriptación AES-256-GCM, autenticación JWT, 2FA (TOTP), RBAC |
| Fuga de datos en transito | Bajo | Alto | Medio | TLS 1.2+, HSTS, Content Security Policy (CSP) |
| Acceso indebido por empleados del encargado | Muy bajo | Crítico | Medio | Contenido de notas y ficha cifrado en reposo (AES-256-GCM) y registro de quién abre cada historia |
| Pérdida de datos | Bajo | Alto | Medio | Backups automáticos MongoDB Atlas, réplicas en UE |
| Uso indebido de IA con datos del paciente | Bajo | Alto | Medio | Seudonimización PII previa, procesamiento en la UE (Azure OpenAI), no entrenamiento con datos |
| Incumplimiento de derechos ARCO+ | Bajo | Medio | Bajo | Export RGPD implementado, seudonimización en borrado |
| Acceso no autorizado por profesional del centro | Bajo | Alto | Medio | Aislamiento por professionalId, audit trail |
4. Medidas de seguridad implementadas
Psicofactu implementa las siguientes medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo:
Encriptación en reposo
AES-256-GCM con claves únicas por instalación para el contenido de las notas y de la ficha clínica.
Encriptación en tránsito
TLS 1.2+ con HSTS (HTTP Strict Transport Security) habilitado.
Autenticación
JWT + autenticación de dos factores (2FA) mediante TOTP + códigos de recuperación.
Control de acceso
RBAC con aislamiento por psychologistId/professionalId.
Audit trail
Registro de accesos, modificaciones y eliminaciones de datos.
Seudonimización IA
Sistema redactPII antes de cualquier envio a la IA (Azure OpenAI, región UE).
Sin entrenamiento con datos
Garantía contractual con Microsoft (Azure OpenAI): los datos no se usan para entrenar modelos ni se almacenan las conversaciones.
Retención legal
Bloqueo de eliminación de notas clínicas con antiguedad inferior a 5 años.
Inmutabilidad de facturas
Las facturas emitidas no pueden ser eliminadas ni modificadas, en preparación al Reglamento Verifactu.
Copias de seguridad
MongoDB Atlas con backups automáticos y réplicas dentro de la Union Europea.
Monitorización
PostHog para métricas de uso de la plataforma (sin datos clínicos).
Rate limiting
Protección contra abuso de API y ataques de fuerza bruta.
Cabeceras de seguridad
Content Security Policy (CSP), HSTS, X-Frame-Options, X-Content-Type-Options para protección contra XSS, clickjacking e inyecciones.
5. Derechos de los interesados
Psicofactu facilita al profesional las herramientas necesarias para garantizar el ejercicio de los derechos de los interesados (ARCO+):
Derecho de acceso
Exportación RGPD disponible para cada paciente. El profesional puede generar un informe completo con todos los datos del paciente en cualquier momento.
Derecho de rectificación
Edición de datos del paciente disponible desde el perfil del paciente en la plataforma.
Derecho de supresión
Mientras dura el plazo legal de conservación de la historia clínica (como mínimo 5 años desde el alta de cada proceso asistencial, art. 17.1 de la Ley 41/2002, y más en algunas comunidades autónomas), la supresión no procede (art. 17.3.b RGPD): el profesional puede cerrar el caso y la historia se conserva íntegra, sin bloquearla ni ocultarla. Si no hay historia clínica o el plazo ha vencido, a petición expresa del profesional se eliminan los datos identificativos y de contacto del paciente y de las personas vinculadas, la historia previa y los documentos asociados; las notas clínicas quedan asociadas a una ficha que ya no identifica al paciente, y las facturas emitidas conservan los datos que exige la normativa fiscal.
Derecho de portabilidad
Exportación de datos del paciente en formato JSON estructurado, facilitando la migración a otro sistema.
Derecho de oposición y limitación
El profesional puede revocar el consentimiento de procesamiento de datos en cualquier momento. El paciente puede solicitar la limitación del tratamiento a través de su profesional, y pedir en cualquier momento que no se use IA con sus datos (casilla en su consentimiento de tratamiento o diciéndoselo a su profesional): la IA queda bloqueada para él.
Contacto con el DPD
Cada profesional puede configurar un email de contacto para el Delegado de Protección de Datos (DPD) desde los ajustes de su cuenta.
6. Conclusión
Psicofactu implementa medidas técnicas y organizativas apropiadas para el tratamiento de datos de salud, conforme a los requisitos del RGPD y la LOPDGDD. El nivel de riesgo residual se considera aceptable tras la aplicación de las medidas descritas en esta evaluación.
Recomendaciones para el profesional
- EIPD complementaria: se recomienda realizar una evaluación de impacto propia si se tratan datos a gran escala o se realizan tratamientos de alto riesgo adicionales.
- Delegado de Protección de Datos (DPD): designar un DPD si resulta obligatorio según la normativa aplicable (art. 37 RGPD, art. 34 LOPDGDD).
- Revisión periódica: esta evaluación debe revisarse periódicamente y, en todo caso, cuando se produzcan cambios significativos en el tratamiento.
Documento elaborado conforme al artículo 35 del Reglamento (UE) 2016/679 y las directrices del Grupo de Trabajo del Artículo 29 (WP 248 rev.01).
Para cualquier consulta relacionada con esta evaluación, contacte con ventas@psicofactu.com.