¿Qué hace que una app esté en cumplimiento de HIPAA?
No un certificado. El cumplimiento de HIPAA es un conjunto de afirmaciones demostrables sobre control de acceso, registro de auditoría, cifrado en tránsito y en reposo, y los acuerdos de business associate que cubren a cada proveedor que toca información de salud protegida. Producimos esa evidencia mientras el trabajo pasa, porque reconstruirla antes de una auditoría es donde cae el costo.
¿Nos pueden dejar en cumplimiento de HIPAA?
Ningún socio de desarrollo puede, y desconfía del que diga lo contrario. El cumplimiento es un estado organizacional que incluye tus políticas, tu capacitación y tus acuerdos, no solo tu software. Lo que sí podemos hacer es volver defendible el manejo de información de salud protegida en el producto y entregarte la evidencia.
¿Se pueden integrar con nuestra historia clínica?
Sí, y la respuesta honesta es que la integración normalmente es con más de un sistema. Registros, gestión del consultorio y facturación a menudo tienen versiones distintas del mismo paciente, así que el trabajo incluye detectar esa desviación en vez de asumirla resuelta. Inventariamos cuáles sistemas son de verdad estructurales antes de cotizar.
¿Cuánto toma construir telesalud?
Depende de si estás construyendo el flujo clínico o conectando los que ya existen. Luna llegó al mercado en tres meses como app nativa. Dimensionamos desde el flujo y desde la superficie de integración en vez de cotizar un promedio de categoría, porque esas dos cosas explican casi toda la variación.
¿Se encargan de la accesibilidad?
Sí, con conformidad WCAG, y la sacamos a la mesa durante el dimensionamiento y no en el lanzamiento. En servicios de salud la accesibilidad es con regularidad un requisito de compra, lo que significa que descubrirla tarde no solo genera retrabajo, puede frenar una venta.
¿Construyen para wearables y dispositivos conectados?
Sí, y lo interesante rara vez es el dispositivo. Es lo que el flujo de datos le hace a tu arquitectura cuando termina el piloto. Lo dimensionamos a volumen de despliegue y no a volumen de piloto, porque ese es el número que decide si el diseño sobrevive.
Nuestro proyecto se detuvo. ¿Vale la pena rescatarlo?
Con frecuencia sí, y vale la pena averiguarlo antes de dar la inversión por perdida. Evaluamos contra la falla real y no contra el síntoma, porque una construcción clínica que nadie usa suele ser un problema de flujo disfrazado de problema técnico. A veces el veredicto es reconstruir. Si lo es, lo decimos.
¿Trabajan con consultorios o solo con empresas de producto?
Con ambos. El trabajo se diferencia más que la tecnología. Un consultorio normalmente busca quitar carga administrativa y mover pacientes a un portal, y la restricción es el sistema de gestión que ya tiene. Una empresa de producto está construyendo algo para vender, y la restricción es la superficie de integración de todos a quienes les vende.
¿Quién responde por la aprobación de cumplimiento?
Tú, y tu asesor legal o tu auditor. Nosotros construimos los controles, producimos la documentación, y entregamos una certificación escrita de seguridad al terminar. No nos certificamos a nosotros mismos, porque una autoevaluación no es evidencia.
¿Cuándo hay que meter el cumplimiento en la conversación?
Antes de cerrar la arquitectura. Meter después un rastro de auditoría, una política de retención o una restricción de residencia de datos en un sistema clínico vivo es la forma más cara de conseguirlos, y es la razón más común de que una construcción en salud cueste más de lo cotizado.
