Qué revisar antes de contratar un software clínico

Por qué la mayoría de clínicas eligen mal su software

Patrón típico:

• Demostración vistosa, vendedor encantador y precio aceptable.
• Firma de un contrato de 12 a 24 meses y pago de la primera anualidad.
• Tres meses después: fallos, soporte lento y funciones que no responden a lo que se prometió.
• Doce meses después: la clínica queda atada al proveedor, los datos no se pueden exportar y el precio sube en la renovación.
• A los 18 meses cambias de proveedor: pierdes datos, el paciente se confunde y la migración lleva seis semanas dolorosas.

Este artículo te ahorra ese ciclo: 15 preguntas, 60 minutos de conversación con el proveedor y una decisión informada.

Las 15 preguntas críticas

1. ¿Cuándo se fundó la empresa y qué financiación tiene?

Por qué importa: una empresa de seis meses que se financia solo con recursos propios tiene un riesgo alto de quiebra. Una empresa de diez años, rentable y sin necesidad de capital riesgo, es muy estable. Una empresa en serie C con más de 50 millones de dólares de financiación también es estable, pero puede ser objetivo de una adquisición.

Buena respuesta: «Fundada en 2018, con ronda semilla y serie A. Rentable desde 2024 en flujo de caja operativo y con más de 24 meses de caja por delante».

Señal de alarma: «Estamos buscando financiación ahora y tenemos seis meses de caja» o «No compartimos esa información».

2. ¿Pueden darme tres referencias de clientes verificables?

Por qué importa: «Más de 100 clínicas confían en nosotros», escrito en una página web, no demuestra nada. Quieres hablar con clientes reales de un perfil parecido al tuyo.

Buena respuesta: «Aquí tienes a tres directores de clínica de perfil similar. Contáctalos; si quieres, te los presentamos nosotros».

Señal de alarma: «No podemos, por confidencialidad» o «Mañana te las paso», y la lista no llega nunca.

3. ¿Firmáis un contrato de encargo del tratamiento (DPA) estándar, acorde con la AEPD?

Por qué importa: el artículo 28 del RGPD obliga a firmar un contrato entre el responsable (la clínica) y el encargado del tratamiento (el proveedor de software). Sin él, te expones a una posible multa de la AEPD.

Buena respuesta: «Sí, nuestro contrato de encargo estándar está disponible aquí [enlace]. Es compatible con la AEPD, lista a los subencargados del tratamiento y documenta las garantías del artículo 32».

Señal de alarma: «¿Un DPA? Si lo pides, te lo paso», o un contrato genérico de EE. UU. sin adaptar al RGPD de la UE.

4. ¿De quién son los datos de los pacientes?

Por qué importa: tu paciente es de la clínica, no del proveedor. Algunos contratos enturbian esto.

Buena respuesta: «La clínica es la responsable del tratamiento y nosotros el encargado (art. 28 RGPD): los datos de tus pacientes son tuyos. Puedes exportarlos en cualquier momento. No usamos datos de pacientes para entrenar modelos sin consentimiento explícito».

Señal de alarma: una cláusula que dice «los datos podrán usarse para mejorar el producto» sin una forma clara de negarse, o que los datos son «de propiedad conjunta».

5. ¿Cómo y cuándo puedo exportar todos mis datos?

Por qué importa: la estrategia de salida es crítica. Si el proveedor cierra, te sube el precio o decides cambiar, debes poder migrar tus datos.

Buena respuesta: «Exportación disponible en cualquier momento, en formato estándar CSV y JSON y, si procede, FHIR (el estándar de intercambio de datos clínicos). Es de autoservicio desde el panel, sin pedir permiso. Plazo inferior a 24 h para cualquier conjunto de datos».

Señal de alarma: «Tienes que pedirlo por escrito, el plazo es de 30 días y tiene un coste adicional», o un formato propietario ilegible.

6. ¿Qué acuerdo de nivel de servicio (SLA) firmáis?

Por qué importa: una caída de tu sistema es una pérdida de pacientes. El SLA debe estar en el contrato, con compensación por incumplimiento.

Buena respuesta: «La disponibilidad mensual comprometida está escrita en el contrato, con la forma de medirla, una página pública de estado, un histórico consultable y créditos si incumplimos». Lee la cifra y, sobre todo, sus exclusiones.

Señal de alarma: «Nuestra disponibilidad es excelente, pero no firmamos un SLA», o un SLA con asteriscos que lo excluyen todo.

7. ¿Cuál es el compromiso de soporte y su horario?

Por qué importa: un fallo a las 9:00 de un martes, con pacientes esperando: ¿en cuánto tiempo te responden?

Buena respuesta: «Soporte en español de lunes a viernes, de 9:00 a 19:00. Primera respuesta en menos de 2 h en incidencias normales y en menos de 30 min en las críticas. Canal de urgencias las 24 horas, todos los días, en el plan Pro+».

Señal de alarma: «Solo soporte por correo electrónico», «Respuesta en 48 a 72 h, en horario de Estados Unidos» o que no lo especifiquen.

8. ¿Tenéis una hoja de ruta pública o privada?

Por qué importa: qué funciones vienen y qué se va a dejar de ofrecer.

Buena respuesta: «Hoja de ruta pública [enlace], por trimestres y con compromisos. Los clientes pueden votar las funciones».

Señal de alarma: «No compartimos la hoja de ruta» o una hoja de ruta desactualizada desde hace dos años.

9. ¿Habéis hecho una auditoría de seguridad reciente?

Por qué importa: las brechas de datos en una clínica son catastróficas. Quieres un proveedor con buena higiene de seguridad.

Buena respuesta: «Sí: prueba de intrusión anual con una empresa independiente, ISO 27001 o SOC 2 tipo II en curso, e informe ejecutivo disponible bajo acuerdo de confidencialidad».

Señal de alarma: «Tenemos la seguridad integrada desde el diseño», sin auditoría externa y sin certificaciones.

10. ¿Cuándo fue vuestra última prueba de intrusión?

Por qué importa: «Tenemos una» y «Tenemos una de hace cinco años» son cosas muy distintas.

Buena respuesta: «En los últimos 12 meses, con la empresa X, con informe resumen disponible y vulnerabilidades críticas resueltas en menos de 30 días».

Señal de alarma: «Hace tiempo que no la hacemos» o que no sepan decir la fecha.

11. ¿Qué certificaciones de cumplimiento tenéis?

Por qué importa: ISO 27001, SOC 2 y el Esquema Nacional de Seguridad (ENS) son indicadores de madurez, y no todas son obligatorias.

Buena respuesta: «ISO 27001 certificada, SOC 2 tipo II, contrato de encargo del tratamiento (art. 28 RGPD) y evaluación de impacto disponibles», con el certificado y su alcance a la vista.

Señal de alarma: proveedores que prometen estar «conformes al 100 %» sin pruebas, o que llevan tres años «trabajando en ello».

12. ¿Cuál es vuestro modelo de precios y es transparente?

Por qué importa: el precio negociado en la demostración puede subir mucho en la renovación si el contrato no limita las subidas.

Buena respuesta: «Precios públicos en la web, tramos por volumen documentados y subidas anuales iguales o inferiores al IPC. Sin sorpresas».

Señal de alarma: «Precio personalizado solo en la demostración» o «Las subidas se aplican a nuestra discreción».

13. ¿Hay una cláusula de salida sin penalización?

Por qué importa: si no funciona, ¿puedes salir? ¿En qué plazo? ¿Pagando qué?

Buena respuesta: «Cancelas en cualquier momento con 30 días de preaviso y sin penalización. No se reembolsan los pagos anuales ya abonados, pero no hay cargo por salir».

Señal de alarma: un contrato de 36 meses inquebrantable, un cargo de salida del 50 % del importe restante y un «esto no es renegociable».

14. ¿Quiénes son los subencargados del tratamiento actuales?

Por qué importa: tus datos están donde están los del proveedor. AWS, Stripe, Sentry, OpenAI: cada uno tiene implicaciones jurídicas.

Buena respuesta: «Lista pública y actualizada [enlace], aviso con 30 días de antelación ante cualquier cambio, derecho de oposición del cliente y contratos de encargo firmados con todos ellos a lo largo de la cadena».

Señal de alarma: «Cambia, ya te avisaremos cuando podamos» y ninguna lista pública.

15. ¿Habéis sufrido alguna brecha de datos o algún incidente significativo?

Por qué importa: el historial de incidentes y cómo se respondió a ellos predice mejor que la afirmación «nunca pasará».

Buena respuesta: «Sí: X en la fecha Y; lo comunicamos a los clientes en Z horas, con análisis posterior público y acciones correctivas documentadas». O bien: «No hemos sufrido ninguna brecha, pero este es nuestro plan de respuesta a incidentes».

Señal de alarma: «Nunca hemos tenido nada», dicho con desdén y sin documentación sobre la respuesta a incidentes.

Señales de alarma adicionales fuera de la lista

• El vendedor cambia de tema cuando preguntas por seguridad, cumplimiento o el contrato de encargo. Quiere cerrar la venta, pero no responde con precisión técnica.
• «Mi director general te llama mañana», pero no aparece. La jerarquía del proveedor es opaca.
• Promete cosas imposibles: «instalación en 1 día», «ROI 600% garantizado». Humo comercial sin fundamento.
• Falta de transparencia sobre el equipo técnico: no sabes quién es el director técnico, no hay blog de ingeniería ni registro público de cambios.
• Sin página pública de estado: si no publican sus incidentes, es porque no los gestionan de forma profesional.
• Sin centro de confianza: no documentan su cumplimiento ni enlazan a información técnica sobre privacidad.
• Contratos enviados como documento de Word editable: un proveedor profesional usa firma digital y un PDF inmutable.
• «Te bajo el precio si firmas hoy»: presión de venta artificial. Un proveedor serio te deja tiempo para evaluar.

Cláusulas que conviene vigilar: ojo a la letra pequeña

• Renovación automática silenciosa: el contrato se renueva 12 meses más si no avisas con 90 días de antelación.
• Cláusula de subida de precio: «el proveedor puede subir el precio cada año sin tope».
• Propiedad de los datos ambigua: una cláusula que permite al proveedor usar tus datos agregados o anonimizados.
• Limitación de responsabilidad: la indemnización se limita al precio de 12 meses; si hay una brecha de datos, es insuficiente.
• Jurisdicción extranjera: litigios en Delaware o California; si estás en España, es un problema.
• Cargo de salida escondido: «un mes del precio del contrato por el servicio de terminación».
• Exclusiones masivas en el SLA: «no cuenta la caída si se debe al DNS, al proveedor de internet, al proveedor de nube o a tareas de mantenimiento».

Proceso recomendado de revisión previa

• Semana 1: demostración y envío de las 15 preguntas por correo electrónico.
• Semana 2: recepción de las respuestas, del contrato de encargo y del contrato, y revisión interna.
• Semana 3: contacto con las tres referencias de clientes (15 min con cada una).
• Semana 4: negociación de las cláusulas problemáticas, revisión final por el abogado y firma.

En total, cuatro semanas de revisión previa. Si el proveedor presiona con «tienes que decidir esta semana», es una señal de alarma clara.