Las preguntas de siempre

Sí. Tus datos están protegidos mediante cifrado tanto en tránsito como en reposo. El audio de la consulta se procesa únicamente para generar la documentación clínica y no se utiliza para entrenar modelos de inteligencia artificial. Además, tú mantienes el control y la propiedad de tu información en todo momento. Antes de guardar cualquier registro, el médico siempre revisa y aprueba el contenido generado, lo que garantiza la precisión y calidad de la documentación.

Sí, en reposo y en tránsito. Las comunicaciones van por HTTPS/TLS 1.3 entre los dispositivos del personal sanitario, nuestros servidores y los sistemas hospitalarios (HIS y HCE), el almacenamiento está cifrado y las claves se rotan periódicamente. Ninguna parte intermedia ve los datos en claro.

En regiones cloud dentro de la Unión Europea, y solo ahí. No hay transferencias internacionales por defecto, y el despliegue cumple con la normativa europea de protección de datos y de soberanía digital. Si vuestro caso lo pide, también desplegamos on-premise o en vuestra nube privada.

Los datos clínicos no: la infraestructura es europea de principio a fin y el procesamiento se limita a vuestro perímetro autorizado, con segmentación de red, aislamiento por cliente y control de salidas.

Con carácter general, Omniloy no realiza transferencias internacionales de datos personales. En algunos servicios pueden intervenir proveedores situados en Colombia, Ecuador, Argentina o Panamá, y entonces se aplican las garantías del Capítulo V del RGPD: decisión de adecuación cuando procede o cláusulas contractuales tipo de la Comisión Europea. Puedes pedir copia de esas garantías en dpo@omniloy.com.

Solo quien lo necesita para su trabajo. El control de acceso es por rol (RBAC), con permisos granulares por servicio, especialidad y centro. La autenticación multifactor es obligatoria para todo el personal y para las integraciones administrativas, hay soporte para SSO corporativo (SAML y OIDC), las sesiones caducan solas y los accesos se revocan de forma inmediata.

Con monitorización continua 24/7 de toda la plataforma y alertas en tiempo real ante anomalías de rendimiento, de seguridad o de calidad clínica. Hay un plan de respuesta a incidentes con tiempos de reacción comprometidos, revisión periódica de muestras y KPIs auditados de precisión, latencia y completitud.

De principio a fin. Guardamos un registro inmutable y firmado de cada interacción: quién accedió, qué se generó, qué validó el clínico y qué se modificó después. La trazabilidad va desde la captura de voz hasta el documento final en la historia clínica, y se exporta bajo demanda para auditorías internas, externas o inspecciones regulatorias.

Nunca usamos tus datos para entrenar nuestros modelos: tus datos son tuyos. Los tratamos para prestar el servicio contratado, y nada más. La información personal se seudonimiza antes de procesar cualquier transcripción, firmamos contrato de encargado del tratamiento con cada cliente, mantenemos el registro de actividades de tratamiento y no cedemos esos datos a terceros ajenos a la prestación del servicio: solo intervienen los encargados de tratamiento necesarios para prestarlo, cada uno con su contrato.

El detalle completo, con base jurídica, finalidades y destinatarios, está en la política de privacidad.

No, nunca. Ni identificados ni anonimizados. Y no es una declaración de intenciones: consta de forma explícita en el contrato. Vuestros datos trabajan para vosotros, no para nuestros modelos.

Sí, por defecto en cada despliegue nuevo, conforme al artículo 35 del RGPD. Analizamos los riesgos para los derechos y libertades de pacientes y profesionales, documentamos las medidas de mitigación y revisamos la evaluación de forma periódica con el delegado de protección de datos de vuestra organización.

El tiempo necesario para cumplir la finalidad por la que se recogieron y para determinar las responsabilidades que puedan derivarse, más los plazos que marque la normativa de archivos y documentación. Cuando dejan de ser necesarios, se suprimen con medidas de seguridad que garantizan la seudonimización o la destrucción total.

Escribiendo a dpo@omniloy.com, en cualquier momento y de forma gratuita: acceso, rectificación, supresión, limitación y oposición. Para tramitarlo necesitamos acreditar la identidad de quien lo pide, así que la solicitud debe incluir nombre y apellidos, la petición concreta, dirección a efectos de notificaciones, fecha, firma y copia de un documento identificativo válido.

Si algo no sale como debería, la reclamación se dirige a la Agencia Española de Protección de Datos (www.aepd.es).

Los datos personales que tratamos dentro del servicio no se ceden a terceros ajenos a su prestación. Al acceso interno solo llegan las personas que lo necesitan por la actividad que desarrollan.

Para los datos de contacto que nos dejas en la web, la política de privacidad explica los destinatarios: podemos compartirlos con empresas vinculadas al Grupo Lãberit con las mismas finalidades informadas, y con las autoridades competentes cuando una obligación legal lo exige. Cuando encargamos un tratamiento a un proveedor, solo recurrimos a encargados que ofrecen garantías suficientes.

No. Según nuestra política de privacidad, Omniloy minimiza y anonimiza los datos personales, no emplea datos biométricos ni realiza perfiles intrusivos, aplica medidas de seguridad avanzadas y no transfiere datos fuera de la Unión Europea sin garantías adecuadas.

Los que podemos acreditar a nombre de Omniloy:

• Esquema Nacional de Seguridad, nivel Alto (RD 311/2022), auditado por entidad acreditada. El certificado está publicado en el registro del CCN: consultarlo aquí.
• Marcado CE como producto sanitario conforme al Reglamento (UE) 2017/745 (MDR).
• ISO 13485, sistema de gestión de calidad para productos sanitarios.
• ISO 9001 e ISO 14001, calidad y medioambiente, certificadas por Bureau Veritas.
• ISO/IEC 42001, sistema de gestión de inteligencia artificial, certificado por Bureau Veritas.
• Sello PYME Innovadora del Ministerio de Ciencia, Innovación y Universidades, con el CIF B75956227.

Cada uno, con su alcance, está en la página de seguridad.

No a nombre de Omniloy, y preferimos decirlo claro antes de que lo preguntéis en un pliego. Lo que sí hacemos es mantener nuestros sistemas alineados con los controles de la ISO/IEC 27001 y del ENS, y eso es distinto de declarar la conformidad del sistema de gestión con la norma.

La certificación de seguridad que sí tenemos, y que podéis comprobar vosotros mismos en el registro del CCN, es el Esquema Nacional de Seguridad en nivel Alto.

HIPAA no tiene esquema de certificación, así que nadie puede enseñaros un certificado de cumplimiento, ni nosotros ni nadie. Lo que hacemos es alinearnos con ella para el tratamiento de información sanitaria protegida (PHI): controles de las reglas de Privacidad, Seguridad y Notificación de Brechas, cifrado de la PHI, acceso por mínimo privilegio, registros de auditoría y acuerdos de asociado comercial (BAA) disponibles para los despliegues que lo requieran.

El AI Act tampoco tiene esquema de certificación, así que hablamos de alineación con el Reglamento (UE) 2024/1689. Nuestros sistemas de IA se clasifican como de riesgo mínimo o limitado y no empleamos sistemas prohibidos ni de alto riesgo. Hay clasificación de riesgo hecha por nuestro equipo de cumplimiento, FMEA clínico documentado, registro de modelos, supervisión humana significativa y trazabilidad completa de cada decisión asistida por IA.

Sí, conforme al Reglamento (UE) 2017/745 sobre productos sanitarios (MDR). Eso implica documentación técnica completa, gestión de riesgos según ISO 14971, evaluación de conformidad y vigilancia postcomercialización activa, todo ello dentro de un sistema de gestión de calidad ISO 13485 con auditorías anuales.

Son públicas y están aquí mismo: Política de Seguridad bajo ENS, Política de IA, Política de privacidad y Política de organización. Si para vuestra evaluación de proveedor necesitáis algo que no esté publicado, pedídnoslo.

No. Hay una persona al final de cada decisión que importa. El copiloto redacta la nota y propone la codificación, y el médico confirma o la cambia. El agente de farmacia no prescribe ni valida: reúne lo que tendrías que buscar en varios sitios y lo pone con su fuente delante, pero quien decide y quien firma eres tú. Y en una conversación, cuando el caso se complica, el agente se aparta y la pasa a una persona.

Lo dice. Si las fuentes que habéis activado no sostienen la respuesta, no rellena el hueco. Y si la conversación necesita a alguien del equipo, transfiere con un resumen del contexto para que nadie tenga que empezar de cero.

De vuestras fuentes, no de una base de conocimiento genérica: guías clínicas, la guía farmacoterapéutica del hospital, fichas técnicas, bases de datos de medicamentos y estudios científicos. Cada fuente se activa o se apaga desde la plataforma, se configura por hospital, se puede cambiar en cualquier momento y cada respuesta cita de cuál sale.

Sí, y es un derecho, no una cortesía. Cualquier usuario tiene derecho a ser informado cuando interactúa con un sistema de IA, a pedir explicaciones sobre una decisión automatizada, a solicitar intervención humana en las decisiones importantes, a pedir corrección o revisión y a no ser sometido a decisiones automatizadas sin garantías. Está recogido en nuestra política de privacidad y es como están diseñados los agentes.

En un banco de pruebas propio. Ningún agente habla con un paciente sin haberse probado antes, y ningún cambio sale sin volver a pasar la prueba entera. Cada conversación queda registrada para revisarla después, y vuestro equipo puede dejar su feedback ahí mismo.

Tenemos más de 15 integraciones con sistemas HIS, HCE y ERP, incluidos los que funcionan en cliente-servidor. Hoy trabajamos con IQVIA, Cegid Ekon, Sina Suite, Nextech, SAP, InterSystems, Abucasis, ehCOS by NTT DATA, Digimevo y History Clinical, entre otros.

Un agente como el de admisiones se pone en marcha en dos o tres semanas: integración con vuestro HIS o HCE, configuración de los flujos conversacionales y pruebas con vuestro equipo. No hace falta formación adicional para el personal, y los agentes se despliegan de uno en uno y se van sumando.

En 72 idiomas, castellano, catalán, gallego, euskera e inglés entre ellos. El agente detecta el idioma del paciente y cambia en tiempo real durante la conversación.

Vuestro equipo, desde la plataforma. Qué guías clínicas entran, qué puede hacer cada agente y dónde se detiene lo decidís vosotros: lo editáis, lo guardáis y el agente responde distinto en la siguiente llamada. Sin abrir un ticket, sin esperar un despliegue y sin pedirnos permiso. Y nunca a solas: nuestro equipo está detrás siempre que lo necesitéis.

Sí. Lo habitual es el despliegue en regiones cloud de la Unión Europea, pero hay opción de instalación on-premise o en la nube privada del cliente para los casos con requisitos especiales.

Sí, y los cuadros de mando son vuestros. Cada panel se arma con las métricas que importan en vuestro servicio, se filtra por rango de fechas y por producto, y se entra en cualquier barra para ver las llamadas que hay detrás. En pantalla o por API, con acceso por rol: enfermería ve lo suyo y admisiones lo suyo.