Content Security Policy (CSP) con nonces por request (style-src aun unsafe-inline)
HSTS preload, X-Frame-Options, X-Content-Type-Options
Rate limiting por IP y por usuario en endpoints criticos
CSRF tokens en mutaciones de estado
Headers de seguridad revisados de forma continua

Proxy y API

Proxy reverso en Edge para APIs de terceros (sin exposicion de keys al cliente)
Validacion de firma HMAC en webhooks WhatsApp y pagos
Consultas SQL parametrizadas en rutas clinicas
Validacion de inputs en endpoints publicos y autenticados
Timeouts y circuit breakers en llamadas externas

Datos y Privacidad

Separacion de datos por organizacion a nivel de base de datos
RLS fail-closed en produccion - sin fallback compartido ante fallo de contexto
Datos clinicos no usados para entrenar modelos IA
Retencion documentada - purgas clinicas congeladas hasta legal hold institucional
DPA disponible para clinicas piloto (Ley 19.628 / 20.584); DSAR Ley 21.719 operativo

Monitoreo y Respuesta

Logs estructurados de acciones clinicas relevantes
Alertas automaticas ante anomalias de acceso
Trazabilidad de operaciones por usuario y sesion
Revision de seguridad interna - Jun 2026 (alcance documentado en Security Brief)
Hallazgos criticos priorizados; remediacion continua - no equivale a certificacion

Subprocesadores

Matriz de subencargados

Proveedor	Funcion	Tipo de dato	Region	Medidas	Contrato / DPA
Vercel	Hosting, edge y CDN	Metadatos de trafico, logs tecnicos	Global (edge) / US	SOC 2 del proveedor (no de Kimun), cifrado TLS, aislamiento por proyecto	DPA estandar + evaluacion
Neon	Base de datos Postgres	Datos clinico-operacionales	US (configurable)	RLS, cifrado en transito, backups	DPA / terminos enterprise
Auth.js (OAuth)	Autenticacion federada	Identidad, tokens de sesion	Segun IdP (Google / Apple / Microsoft)	Sin contrasenas locales, OAuth 2.0	IdP del cliente + politica Kimun
Vercel Blob	Archivos clinicos	Adjuntos, documentos, exports	US	URLs firmadas, acceso por tenant	DPA Vercel
Daily.co	Video interconsulta 1:1	Metadatos de sala (sin grabacion por defecto)	US	Tokens efimeros, max. 2 participantes	Subencargado declarado en DPA
Google (Gemini)	Funciones de IA clinica	Fragmentos autorizados por modulo	Segun proveedor	Sin entrenamiento con datos institucionales	Evaluacion + configuracion institucional
Resend	Correo transaccional	Emails de notificacion, invitaciones	US	TLS, minimizacion de contenido clinico	DPA proveedor
Twilio / Meta	WhatsApp / mensajeria	Metadatos y mensajes operativos	Segun proveedor	Webhooks firmados (HMAC)	Terminos proveedor + DPA Kimun

Accesos

Matriz RBAC resumida

Profesional

Crea y recibe turnos, solicita interconsultas, mensajeria de equipo, tareas propias.

Jefatura

Operacion del servicio, camas, rotativas, alertas, aprobacion de flujos del area.

Director medico

Metricas institucionales, auditoria operativa, reportes y vision multi-servicio.

Administrador

Usuarios, permisos, integraciones, configuracion institucional y carga de datos.

Continuidad

SLA y soporte

Objetivos de referencia para planes institucionales. Los compromisos contractuales finales se definen en la propuesta y el acuerdo de servicio.

Disponibilidad objetivo: 99.5% mensual para planes institucionales, excluyendo mantenciones programadas.
Tiempo objetivo de primera respuesta: incidente critico < 4 h habiles; severidad alta < 1 dia habil.
Mantenciones programadas: notificacion con al menos 48 h de anticipacion cuando sea posible.
Soporte institucional: canal dedicado para administradores y contacto de escalamiento definido en contrato.

Datos

Retencion y eliminacion

Datos clinico-operacionales: segun contrato institucional y modulo (referencia piloto: mensajes 90 dias; IC, LU y entregas 365 dias; pabellon 730 dias).
Archivos y adjuntos: retencion configurable por institucion y tipo de documento.
Logs de auditoria: retencion minima sugerida 12-24 meses para trazabilidad medico-legal.
Eliminacion: solicitud formal por administrador institucional; verificacion de identidad y alcance.
Backups: eliminacion diferida segun ciclo de respaldo del proveedor de base de datos.

Interconsultas

Videollamada clinica segura.

Coordinacion audiovisual entre colegas verificados, dentro del flujo de interconsulta. Disenada para procurement: tokens efimeros, sin grabacion por defecto y trazabilidad en Kimun.

Video IC (Daily.co)

Subencargado declarado en politica de privacidad

Tokens temporales emitidos por Kimun tras autenticacion OAuth - sin enlaces publicos permanentes.
Salas efimeras con expiracion automatica; destruidas al rechazar o finalizar la interconsulta.
Sin grabacion ni compartir pantalla por defecto en la sala.
Acceso solo a participantes autorizados de la interconsulta (max. 2).
No reemplaza la ficha clinica oficial ni constituye registro clinico legal por si solo.
Registro de eventos en Kimun: inicio, ingreso, cierre y usuario asociado.
RLS en Postgres: solo participantes de la IC acceden al registro de la videollamada.

Comunicacion cifrada en transito (TLS / WebRTC). Kimun no sustituye la ficha clinica oficial ni certifica cumplimiento HIPAA salvo acuerdo contractual especifico con la institucion.

Modelo

Responsabilidad compartida

Kimun

Seguridad de la plataforma y controles tecnicos.
Autenticacion, autorizacion y aislamiento por organizacion (RLS).
Auditoria de acciones sensibles y trazabilidad operativa.
Disponibilidad del servicio segun SLA acordado.
Proteccion de datos en transito y en reposo segun stack documentado.

Institucion

Alta, baja y revocacion de usuarios institucionales.
Correcta asignacion de roles y permisos por cargo.
Veracidad y calidad de los datos cargados o integrados.
Definicion de retencion y politicas contractuales.
Uso clinico conforme a protocolos internos y normativa aplicable.

Alcance

Que Kimun NO hace

Delimitacion explicita para reducir riesgo legal y de expectativas en procurement.

✗No reemplaza el HIS / EMR institucional.
✗No es la ficha clinica oficial salvo acuerdo especifico por escrito.
✗No toma decisiones clinicas autonomas ni sustituye criterio medico.
✗No escribe de forma bidireccional en el HIS institucional sin integracion acordada.
✗No graba videollamadas de interconsulta por defecto.

Stack