Política de seguridad

Versión 1.1 · vigente desde el 24 de octubre de 2026

1. Compromiso

PGSalud aplica la seguridad por diseño en su propio sitio y en las plataformas que construye: se recoge solo la información necesaria, cada acceso se concede por rol y cada control se verifica en el servidor, no en el navegador. Tratamos los datos personales conforme a la Ley N° 19.628, modificada por la Ley N° 21.719; cómo se aplica en cada caso se describe en la política de privacidad. Cómo se aplica en los proyectos con instituciones se describe en la sección Ciberseguridad del sitio.

2. Medidas en este sitio

• Conexión cifrada obligatoria (HTTPS con HSTS) y cabeceras de seguridad que impiden incrustar el sitio en páginas ajenas y cargar código de orígenes no autorizados.
• Contraseñas guardadas solo como hash robusto con sal; sesiones firmadas, de duración limitada y no accesibles desde el código de la página.
• Ingreso: el equipo de PGSalud ingresa con su RUN y su contraseña; los clientes, con su correo y su contraseña. Quien lo desea puede sumar el ingreso con huella o rostro: PGSalud guarda solo la parte pública de la llave de acceso; la huella, el rostro y el código de desbloqueo nunca salen del aparato. Al recuperar la contraseña por correo se revocan las llaves de acceso de la cuenta.
• Bloqueo temporal ante intentos fallidos de ingreso, que cuenta por cuenta y no por forma de ingresar, y límites de envío en el formulario de contacto, con protección contra envíos automatizados.
• Control de acceso por rol en cada operación del servidor, validación de los datos recibidos y escape de todo texto ingresado por usuarios. El RUN de las cuentas del equipo lo ve solo la administración.
• Cuentas de clientes: la administración puede bloquear el acceso de un cliente o dar de baja su cuenta. En ambos casos su sesión abierta deja de servir en la solicitud siguiente, y la baja elimina también sus llaves de acceso.
• Copias de seguridad cifradas antes de salir del sitio, de modo que el proveedor que las almacena no puede leerlas.
• Inteligencia artificial: la clave de la API vive solo en el servidor, nunca en el navegador; el texto que escribe una persona se trata siempre como dato y nunca como instrucción; y un borrador generado no se envía de forma automática: lo revisa una persona.
• Registro de actividad de las cuentas (ingresos, salidas, cambios, perfil e IP) por 12 meses, de solo lectura para la administración; nunca guarda contraseñas ni, cuando la cuenta no existe, lo que se tecleó.
• Registro de errores sin exponer detalles internos, revisión de dependencias antes de cada publicación y auditorías de seguridad periódicas.
• Plazos de conservación definidos y eliminación automática de los datos técnicos que ya no se necesitan.
• Los proveedores que tratan datos por encargo de PGSalud se rigen por sus términos de tratamiento de datos y deben avisar a PGSalud de cualquier vulneración que los afecte.

3. Reporte responsable de vulnerabilidades

Si encuentra una posible vulnerabilidad, escríbanos a contacto@pgsalud.com con el asunto «Seguridad». Incluya la dirección afectada, los pasos para reproducirla y el impacto que estima. Acusaremos recibo dentro de 3 días hábiles e informaremos cuando quede corregida.

Para que un reporte se considere de buena fe, pedimos:

• No acceder, modificar ni conservar datos de terceros más allá de lo mínimo para demostrar el problema.
• No degradar el servicio (sin pruebas de carga, denegación de servicio ni envíos masivos) y no usar ingeniería social contra nuestro equipo.
• Darnos un plazo razonable para corregir antes de divulgarlo.

Quien siga estas reglas no será objeto de acciones legales por parte de PGSalud. Los datos de contacto para investigadores también están en /.well-known/security.txt.

4. Incidentes que afectan datos personales

Si ocurre una vulneración de seguridad que cause la destrucción, filtración, pérdida o alteración de datos personales, o el acceso no autorizado a ellos, PGSalud:

1. La contiene: rota los secretos afectados, revisa los registros de acceso y de errores, y vuelve a la última versión sana cuando corresponde.
2. Evalúa su alcance y el riesgo para los derechos y libertades de las personas: qué datos, cuántas personas y qué consecuencias pueden tener.
3. La informa a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable.
4. La comunica a las personas afectadas cuando se trate de datos sensibles, datos de niños y niñas menores de catorce años o datos económicos, financieros, bancarios o comerciales. El aviso va en lenguaje claro e indica los datos afectados, las posibles consecuencias y las medidas adoptadas; si no se puede avisar a cada persona, se publica un aviso en un medio de alcance nacional.
5. La registra: su naturaleza, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas tomadas para gestionarla y evitar otra.

5. Revisión

Esta política se revisa al menos una vez al año, cada vez que cambia la plataforma y cada vez que cambia la ley o la Agencia emite una instrucción que la afecte.