Política de Privacidad

La presente Política de Privacidad describe de manera completa y transparente el tratamiento de datos personales que realiza el Centro SANHE a través de la plataforma SANHE. El objetivo es que cada persona que utiliza el sistema — ya sea como paciente o como profesional de la salud mental — comprenda exactamente qué datos se recopilan, con qué finalidad, en qué base legal, quién más los procesa, cuánto tiempo se conservan y cómo puede ejercer sus derechos en todo momento.

Esta política es de lectura recomendada antes de crear una cuenta. El registro y uso continuado de la plataforma implica la aceptación del tratamiento descrito aquí, sin perjuicio del consentimiento explícito adicional que se recaba para el procesamiento de datos de salud.

1. Responsable del tratamiento

El Centro SANHE actúa como responsable del tratamiento en los términos del artículo 3 literal d) de la Ley N.° 18.331, tomando las decisiones relativas a las finalidades, medios y condiciones del tratamiento de datos personales realizados a través de SANHE.

Cuando el sistema es utilizado por un profesional de la salud mental bajo licencia para gestionar datos de sus propios pacientes, ese profesional asume también responsabilidades propias como corresponsable del tratamiento respecto de los datos clínicos que introduce en la plataforma, de conformidad con sus obligaciones deontológicas y las disposiciones de la Ley N.° 19.529 de Salud Mental.

2. Marco normativo aplicable

2.1 Ley N.° 18.331 y Decreto 414/009

El tratamiento de todos los datos personales realizado por esta plataforma se rige por la Ley N.° 18.331 de Protección de Datos Personales y Acción de Habeas Data (2008) de la República Oriental del Uruguay y su decreto reglamentario N.° 414/009.

La Ley 18.331 clasifica la información de salud como dato sensible (art. 18), cuyo tratamiento requiere consentimiento explícito, libre, previo e informado del titular, o encuadrarse en una excepción legal taxativa. Esta plataforma cumple este requisito mediante un formulario de consentimiento informado que el usuario debe aceptar antes de poder utilizar las funciones clínicas.

La Unidad Reguladora y de Control de Datos Personales (URCDP) es el organismo de control competente. El Centro SANHE ha adoptado las medidas técnicas y organizativas que las Resoluciones de la URCDP establecen, incluyendo las aplicables a transferencias internacionales de datos (Res. 23/021, 41/021, 63/023 y 70/2023).

Son también aplicables la Ley N.° 19.670 y su Decreto reglamentario N.° 64/020, que incorporan el principio de responsabilidad proactiva y el deber de comunicar a la URCDP —y, cuando corresponda, a los titulares— las vulneraciones de seguridad de datos personales dentro de las 72 horas de conocidas (ver sección 9).

2.2 Ley N.° 19.529 de Salud Mental y Decreto 226/2018

La Ley N.° 19.529 reconoce la atención de la salud mental como un derecho humano y establece principios de dignidad, confidencialidad y no discriminación para toda información generada en el marco de un tratamiento psicológico o psiquiátrico. SANHE opera en coherencia con estos principios: los datos clínicos son accesibles exclusivamente al profesional tratante y al propio usuario, nunca expuestos a terceros sin consentimiento.

El Decreto 226/2018, reglamentario de la Ley 19.529, regula la historia clínica en salud mental y sus condiciones de conservación, acceso y portabilidad. Esta política adopta los criterios de ese decreto como estándar mínimo para la conservación y el derecho de acceso a los registros clínicos digitales.

2.3 Aspiración institucional — SNIS e IAMC

El Centro SANHE aspira a que SANHE sea evaluado y eventualmente adoptado por Instituciones de Asistencia Médica Colectiva (IAMC) uruguayas dentro del marco del Sistema Nacional Integrado de Salud (SNIS). En ese contexto, cualquier acuerdo de integración institucional implicará la firma de convenios específicos de tratamiento de datos con las IAMC correspondientes, que serán comunicados a los usuarios afectados.

3. Categorías de datos personales recolectados

La plataforma distingue tres categorías bien diferenciadas de datos. Ningún dato es recopilado sin una finalidad específica y proporcional al servicio prestado.

3.1 Datos de salud (categoría especial / dato sensible)

• Contenido conversacional clínico: el texto de cada mensaje enviado al asistente de IA y las respuestas generadas, incluyendo descripciones de síntomas, estados emocionales, patrones relacionales y narrativas personales.
• Códigos o identificadores de paciente: el código, inicial o seudónimo que el profesional o usuario asigna a cada caso clínico (se recomienda explícitamente no usar nombres completos ni documentos de identidad).
• Resúmenes y notas clínicas: los resúmenes de sesión generados por la IA a partir de la conversación, y las notas libres que el profesional puede guardar manualmente.
• Cuestionario de Identificación (solo profesionales): el resultado se calcula en el dispositivo y no se guarda. Si el profesional aplica los resultados a la sesión, las 3 subformas principales pasan a formar parte de la conversación.
• Etiquetas de intervención: categorías clínicas que el sistema asigna a cada sesión (momentos terapéuticos, instancias del modelo, tags de intervención).
• Respuestas a las preguntas para mirar el propio proceso (Escalas SANHE, solo personas usuarias): después de la primera conversación, y otra vez a los dos meses, se ofrecen de forma optativa preguntas sobre cómo estuvo la persona en las últimas cuatro semanas: una escala corta de 16 preguntas y, si la persona quiere, una larga de 31. Solo se guardan si la persona da un permiso específico, aparte del consentimiento clínico. Se guardan cifradas (AES-256-GCM), junto con los puntajes que se calculan a partir de ellas. La persona ve en "Mi proceso" hacia dónde se movieron sus respuestas, sin puntajes. Estas respuestas no se envían al asistente de inteligencia artificial ni a ningún otro sistema de IA. Además, el equipo del Centro SANHE las usa sumadas con las de otras personas, siempre en grupos de diez o más y sin datos que identifiquen a nadie, para mejorar el modelo SANHE. Si la respuesta sobre el bienestar general es muy baja (de 0 a 2), se muestra un mensaje con recursos de ayuda y se registra una alerta de nivel bajo, sin el texto de ninguna conversación, para que el equipo la revise. Las respuestas a la escala anterior (EB-SANHE) se borraron el 12 de octubre de 2026.
• Opinión sobre la sesión ("¿Te sirvió esta lectura?"): al cerrar una sesión sin señales de riesgo se puede responder Sí, En parte o No y, si se quiere, dejar un comentario. Se guarda cifrado. El comentario solo lo lee el equipo del Centro SANHE, sin el nombre de la persona, y solo si la persona marcó que acepta compartirlo; ese comentario no se envía a ningún sistema de inteligencia artificial.
• Señales de riesgo detectadas: alertas generadas por el clasificador automático, con tipo, nivel y metadatos del episodio. Las alertas nuevas no guardan el extracto del mensaje; registros históricos anteriores pueden conservar extractos cifrados.
• Historial de sesiones: fecha, hora, duración estimada, paciente asociado y metadatos de cada sesión clínica.
• Perfiles de paciente: información adicional que el profesional registra sobre cada paciente (diagnósticos orientativos, antecedentes relevantes, objetivos terapéuticos).

3.2 Datos de cuenta y facturación

• Datos de registro: nombre o seudónimo, dirección de correo electrónico y contraseña (almacenada exclusivamente como hash bcrypt con factor de trabajo 12, nunca en texto plano).
• Datos de autenticación de terceros: identificador de Google (sub) si el usuario elige iniciar sesión con Google; no se almacena la contraseña de Google.
• Datos de plan y suscripción: tipo de plan activo (prueba, usuario, psicólogo, básico, pro, clínica), fecha de inicio, fecha de vencimiento y presupuesto de tokens asociado.
• Datos de pago: estado de los pagos (pendiente, confirmado, cancelado), monto, moneda, referencia de transacción MercadoPago, fecha de solicitud y fecha de confirmación. No almacenamos datos de tarjetas bancarias; ese procesamiento lo realiza MercadoPago en su propia infraestructura PCI-DSS.
• Créditos de tokens: saldo de tokens de IA disponibles, historial de uso mensual y registros de recargas.

3.3 Metadatos técnicos y de seguridad

• Dirección IP: registrada en el log de auditoría para cada acción relevante (inicio de sesión, cambio de contraseña, exportación de datos, etc.).
• Prueba gratuita, una por persona: al crear una cuenta se guardan huellas (un código irreversible, HMAC-SHA256) del correo, de una marca al azar del dispositivo (cookie tes_disp) y, solo si la conexión es wifi o red fija, de la dirección IP. No se guarda el correo, la marca ni la IP en esa tabla. Sirven únicamente para que la prueba gratuita se use una vez por correo, dispositivo y red; si coinciden, la cuenta se crea igual, sin la prueba. El tipo de conexión (wifi, datos móviles) lo informa el navegador y no se guarda.
• Log de auditoría: registro de eventos de seguridad y operaciones sensibles con marca de tiempo, tipo de acción, usuario involucrado y resumen del cambio. No contiene contenido clínico.
• Tokens de sesión: identificadores de refresco almacenados como hash SHA-256; los tokens de acceso JWT se mantienen en cookies HttpOnly del navegador y no se persisten en la base de datos.
• Datos de uso agregados: número de sesiones por período, consumo de tokens, frecuencia de acceso — utilizados exclusivamente para la gestión del servicio y el cálculo del presupuesto.

4. Finalidades y base legal de cada tratamiento

5. Terceros, encargados y transferencias internacionales

El Centro SANHE utiliza proveedores externos cuidadosamente seleccionados para operar la plataforma. Cada uno actúa como encargado del tratamiento bajo las instrucciones del Centro SANHE y en cumplimiento de sus propias obligaciones legales. No compartimos datos personales identificables con terceros con fines comerciales, publicitarios ni de perfilado.

5.1 Anthropic, PBC (EE.UU.) — Procesamiento de IA

5.2 Proveedor de ejecución de la aplicación — Replit, Inc. (EE.UU.)

5.3 Turso — ChiselStrike, Inc. (EE.UU.) — Base de datos

5.4 MercadoPago — Procesamiento de pagos

5.5 Google, LLC (EE.UU.) — Autenticación OAuth (opcional)

5.6 Cloudflare, Inc. (EE.UU.) — Protección anti-bot (Turnstile)

5.7 GitHub, Inc. (EE.UU.) — Respaldos y código

6. Derechos ARCO — procedimiento detallado

De conformidad con los artículos 13 a 20 de la Ley N.° 18.331, todo titular de datos personales tiene los siguientes derechos frente al Centro SANHE como responsable del tratamiento. Cada derecho puede ejercerse de forma gratuita, sin expresión de causa y con respuesta dentro de los plazos establecidos por la ley.

Derecho de Acceso

El titular puede solicitar y obtener información completa sobre qué datos personales suyos están siendo tratados, con qué finalidad, de qué fuente provienen, si se comunican a terceros y con qué criterio se toman decisiones automatizadas sobre ellos.

Procedimiento automatizado (inmediato):

Derecho de Rectificación

El titular puede solicitar la corrección de datos personales que sean inexactos, incompletos o desactualizados. El nombre y correo electrónico de la cuenta pueden modificarse directamente desde la sección de perfil de la plataforma. Para correcciones de otros datos, contactar por los canales indicados en la sección 15.

Derecho de Cancelación (supresión)

El titular puede solicitar la eliminación de sus datos personales cuando ya no sean necesarios para la finalidad que motivó su recolección, cuando retire el consentimiento, o en los demás supuestos previstos por la Ley 18.331.

Procedimiento automatizado (procesado de inmediato):

Los datos ya enviados a Anthropic no se pueden borrar desde SANHE: Anthropic puede conservarlos por un período limitado, según su política para clientes de la API, y después los elimina. El proveedor de base de datos (Turso) puede conservar copias de respaldo y estados históricos cifrados conforme a su ciclo de retención (hasta 30 días adicionales), tras lo cual se eliminan automáticamente.

Excepción: los registros de alertas de riesgo (ver sección 8) no se eliminan junto con la cuenta y se conservan de forma indefinida, con acceso restringido, para mantener la trazabilidad de la respuesta clínica ante situaciones de riesgo. Las alertas nuevas guardan metadatos y no incluyen el texto del mensaje. Las alertas altas/críticas generan un correo inmediato al equipo responsable; las demás se incluyen en un resumen diario. Los correos no contienen extractos del chat y no notifican a la persona ni a emergencias; tampoco garantizan supervisión humana en tiempo real. Los registros históricos anteriores a esta actualización pueden contener extractos de conversación cifrados con AES-256-GCM; esta actualización no los elimina.

Derecho de Oposición

El titular puede oponerse al tratamiento de sus datos en supuestos específicos, incluyendo cuando el tratamiento esté basado en el interés legítimo y existan motivos particulares que lo justifiquen. Para ejercer este derecho, contactar por los canales indicados en la sección 15, explicando el tratamiento al que se opone y los motivos concretos.

Plazos de respuesta

El Centro SANHE responderá a toda solicitud de ejercicio de derechos dentro de los 5 días hábiles siguientes a su recepción, de conformidad con los arts. 14 y 15 de la Ley 18.331. En caso de rechazo, se comunicará la causa fundada. Si el titular no queda conforme, puede recurrir ante la URCDP (www.gub.uy/urcdp).

7. Medidas de seguridad técnicas y organizativas

7.1 Cifrado de datos en reposo

Todo el contenido clínico sensible (mensajes de chat, resúmenes, notas) se almacena en la base de datos cifrado con AES-256-GCM, un esquema de cifrado autenticado que garantiza simultáneamente confidencialidad e integridad de los datos. Cada valor cifrado incluye un vector de inicialización (IV) aleatorio de 96 bits generado criptográficamente, y una etiqueta de autenticación (auth tag) de 128 bits que impide la manipulación silenciosa del ciphertext.

La clave de cifrado (ENCRYPTION_KEY) se almacena exclusivamente como secreto de entorno, nunca en el código fuente ni en la base de datos. Su formato es una cadena hexadecimal de 64 caracteres (256 bits), generada con fuente de entropía criptográfica segura.

7.2 Cifrado en tránsito

Toda la comunicación entre el navegador del usuario y el servidor de la aplicación se realiza exclusivamente mediante HTTPS/TLS. La plataforma no opera sobre conexiones HTTP en producción. Los certificados TLS son provistos y renovados automáticamente por el proveedor de infraestructura (Replit).

7.3 Autenticación y gestión de sesiones

• Contraseñas: almacenadas exclusivamente como hash bcrypt con factor de trabajo 12 (nunca en texto plano, nunca reversibles).
• Tokens JWT: emitidos con firma HMAC-SHA256, con claims de emisor (iss), audiencia (aud) e identificador único de token (jti). Expiración de 8 horas.
• Cookies HttpOnly: los tokens de acceso se transmiten exclusivamente en cookies con flags HttpOnly, SameSite=Lax y Secure (este último activo en producción), lo que impide su lectura por scripts de la página.
• Refresh tokens: almacenados como hash SHA-256 en la base de datos, con expiración de 7 días. Revocados inmediatamente en logout.
• Blocklist de tokens: al cerrar sesión, el identificador único (jti) del token de acceso se registra en una tabla de bloqueo que el middleware de autenticación consulta en cada petición, invalidando el token incluso antes de su expiración natural.

7.4 Control de acceso

• Control de acceso basado en roles (RBAC): terapeuta, administrador. Cada rol tiene permisos explícitamente definidos y verificados en el servidor en cada petición.
• Autorización a nivel de objeto (BOLA/IDOR): cada operación sobre datos clínicos verifica que el recurso solicitado pertenezca al usuario autenticado.
• Los endpoints del panel de administración requieren doble verificación: token JWT válido + rol administrador confirmado en base de datos.

7.5 Protección contra ataques comunes (OWASP Top 10)

• Inyección SQL: todas las consultas a la base de datos utilizan parámetros preparados ($1, $2…), sin concatenación de strings controlados por el usuario.
• XSS: sanitización global de inputs (req.body y req.query) mediante middleware; Content-Security-Policy configurado en todos los endpoints.
• CSRF: cookies con SameSite=Lax; endpoints de mutación requieren autenticación.
• Fuerza bruta: rate limiting por IP y por usuario en el endpoint de login; bloqueo temporal automático tras 5 intentos fallidos consecutivos; slow-down progresivo.
• Path traversal: bloqueado por validación de rutas.
• Prototype pollution: rechazado por el sanitizador de inputs.
• Algoritmos débiles de JWT: se rechaza explícitamente el algoritmo none y los intentos de confusión de algoritmo (RS256 a HS256).
• Headers de seguridad: Helmet.js configurado con CSP, HSTS (1 año + preload), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP y CORP.

7.6 Log de auditoría

La plataforma mantiene un log de auditoría que registra todos los eventos de seguridad relevantes: inicios y cierres de sesión, cambios de contraseña, creación y eliminación de cuentas, exportaciones de datos, acciones administrativas, errores de autenticación y alertas de riesgo clínico. Cada entrada incluye marca de tiempo, IP, acción y usuario involucrado. El log no contiene contenido clínico de las sesiones.

7.7 Evaluación continua de seguridad

La plataforma incluye una suite automatizada de 126 controles de seguridad (pasivos en cada arranque del servidor, completos bajo demanda) que verifica continuamente el cumplimiento de los controles técnicos descritos. Adicionalmente, se realizan auditorías de dependencias con npm audit con política de cero vulnerabilidades conocidas.

8. Plazos de conservación por categoría de dato

9. Procedimiento ante brechas de seguridad

En caso de que el Centro SANHE tome conocimiento de un incidente de seguridad que afecte la confidencialidad, integridad o disponibilidad de datos personales, se activará el siguiente protocolo:

10. Consentimiento informado específico para inteligencia artificial

El uso de modelos de lenguaje de gran escala (LLMs) como motor del asistente clínico introduce consideraciones específicas que todo usuario debe conocer antes de utilizar la plataforma.

10.1 Qué sucede con los mensajes que escribe

Cada mensaje que el usuario envía en el chat clínico se transmite cifrado en tránsito mediante HTTPS/TLS a los servidores de Anthropic en Estados Unidos, donde se descifra para su procesamiento. No existe cifrado de extremo a extremo: el proveedor accede al contenido en claro para generar la respuesta. Allí, el modelo de lenguaje Claude procesa el texto y genera una respuesta. Anthropic no usa ese texto para entrenar sus modelos. Puede conservarlo por un período limitado, según su política para clientes de la API, y después lo elimina.

La respuesta generada por la IA regresa al servidor de SANHE, donde se cifra con AES-256-GCM y se almacena en la base de datos junto con el mensaje del usuario.

10.2 Limitaciones del asistente de IA que el usuario debe conocer

• El asistente de IA no reemplaza la atención de un profesional de la salud mental. Sus respuestas son orientativas y de apoyo al proceso terapéutico, no diagnósticos ni prescripciones médicas.
• La IA puede cometer errores, malinterpretar contextos o generar respuestas inadecuadas en situaciones clínicas complejas. El criterio clínico del profesional tratante prevalece siempre.
• Las respuestas de la IA están condicionadas por el modelo subyacente (Claude de Anthropic), cuya arquitectura, sesgos y limitaciones son responsabilidad de Anthropic y están descriptos en su documentación pública.
• El sistema incluye un clasificador automático de riesgo que analiza el contenido de los mensajes en busca de señales de peligro (autolesión, violencia, crisis psicótica, consumo de sustancias). Este clasificador también utiliza la API de Anthropic y puede generar tanto falsos positivos como falsos negativos.

10.3 Cómo se registra el consentimiento

Al registrarse, el usuario acepta explícitamente un formulario de consentimiento informado cuyo texto está versionado y fechado. La aceptación queda registrada en la base de datos con marca de tiempo, identificador de versión del texto aceptado y datos de la sesión en que se aceptó. Si el texto del consentimiento se modifica sustancialmente, el sistema solicitará una nueva aceptación explícita antes de permitir el acceso a las funciones clínicas.

El consentimiento puede retirarse en cualquier momento mediante la solicitud de cancelación de cuenta (ver sección 6). El retiro del consentimiento implica la interrupción del servicio.

11. Módulo de voz (Web Speech API)

La plataforma incluye un módulo opcional de entrada por voz basado en la Web Speech API del navegador. Al activar este módulo, el audio captado por el micrófono del dispositivo es procesado por el motor de reconocimiento de voz del navegador del usuario (generalmente de Google, en Chrome) para convertirlo en texto.

El uso del módulo de voz es enteramente opcional. El usuario puede desactivarlo en cualquier momento. Se recomienda revisar la política de privacidad del navegador utilizado en relación con la Web Speech API antes de usar esta funcionalidad en contextos de alta sensibilidad clínica.

12. Cookies y almacenamiento local

SANHE utiliza exclusivamente cookies esenciales para el funcionamiento del servicio:

No utilizamos cookies de seguimiento, publicidad, analítica de terceros ni perfilado. No existe ningún banner de cookies porque las únicas cookies utilizadas son estrictamente necesarias para el funcionamiento del servicio y no requieren consentimiento adicional según la normativa aplicable.

La plataforma utiliza también el caché del Service Worker del navegador para funcionamiento offline de la interfaz. Este caché almacena exclusivamente archivos estáticos de la aplicación (HTML, CSS, JavaScript, imágenes) y no contiene datos personales ni datos clínicos.

Para saber por qué canales llegan las cuentas nuevas, las páginas públicas guardan en el almacenamiento de la pestaña (sessionStorage, no es una cookie) el nombre del sitio desde el que se llegó (por ejemplo, instagram.com, nunca la dirección completa) o la etiqueta utm_source del enlace. Se borra al cerrar la pestaña. Al crear la cuenta solo se suma uno al contador mensual de ese canal: no queda registrado qué cuenta llegó por cuál canal.

13. Menores de edad

SANHE está destinado a profesionales de la salud mental habilitados y a adultos mayores de 18 años que acceden al servicio como personas en su propio proceso, en articulación con su terapeuta. La plataforma no está diseñada para el uso directo e independiente por parte de menores de edad.

Si el Centro SANHE toma conocimiento de que un menor de 18 años ha creado una cuenta sin autorización parental o tutela legal, procederá a suspender la cuenta y eliminar los datos asociados en el menor tiempo posible, notificando al correo electrónico registrado.

Los datos de menores eventualmente ingresados por profesionales en contextos de psicoterapia infantil o adolescente (como códigos de caso bajo supervisión) están sujetos a las mismas protecciones que cualquier dato de salud sensible descrito en esta política.

14. Modificaciones a esta política

El Centro SANHE puede actualizar esta Política de Privacidad para reflejar cambios en el servicio, incorporación de nuevos proveedores, cambios normativos o mejoras en las medidas de protección. Cada versión está fechada al inicio del documento.

Ante modificaciones sustanciales — especialmente aquellas que afecten la finalidad del tratamiento de datos de salud, la incorporación de nuevos subprocesadores que reciban contenido clínico, o cambios en los plazos de conservación — se notificará a los usuarios mediante un aviso dentro de la plataforma y/o por correo electrónico, y se solicitará una nueva aceptación explícita antes de continuar usando las funciones afectadas.

Las modificaciones que no afecten derechos fundamentales de los titulares (correcciones gramaticales, clarificaciones, actualización de datos de contacto) entrarán en vigor con la publicación de la nueva versión.

15. Contacto y consultas

Para cualquier consulta, ejercicio de derechos ARCO, solicitud de información sobre el tratamiento de datos o reporte de incidentes de seguridad:

Si no quedara satisfecho con la respuesta recibida, puede presentar una reclamación ante la autoridad de control competente: