Roadmap compliance
6 certificaciones · qué tenemos · qué falta · cuándo cada una. Honest sobre el gapentre compliant (operacionalmente cumplimos) y certified (con papel + audit externo). RGPD ahora · ISO/SOC2 post-Enterprise-client.
6 certificaciones · status detallado
Por cada cert: qué tenemos implementado · qué falta para certificación formal · target date realista · blockers honestos.
RGPD · LOPDGDD compliance
Reglamento Europeo Protección Datos + Ley Orgánica española · obligatorio para tratar datos paciente UE
- DPA firmable cliente ↔ AI Empire (AEC Art. 28)
- DPAs con 8 subprocesadores documentados (ver /subprocesadores)
- RLS multi-tenant strict (ver /architecture-overview)
- Política privacidad · cookies · subprocesadores · exportación + residencia datos públicas
- Right to access · portability · erasure · rectification implementados (ver /data-export-policy)
- Audit logs durables 7 años (Elite tier)
- PII scrubbing automático Sentry logs
- Designar DPO externo formal post-CIF (Jonatan acts ahora · post-tracción se contrata externo)
- AEPD opinion request específica WhatsApp + IA generativa healthcare (preparada cuando llegue primer cliente)
AI Act (UE) alignment
Reglamento UE Inteligencia Artificial · clasificación 'limited risk' para chatbot healthcare · disclosures + human oversight obligatorios
- Disclaimer NO-diagnóstico en todas conversaciones bot
- Human-in-the-loop hard-coded (ver /playbook-handoff-humano · 6 zonas siempre humano)
- Documentation técnica IA system (purpose · risk · safeguards)
- Outputs guardrails (anti-claims · anti-precios-inventados · anti-medical-advice)
- Brand voice CI gate (anti-claims violations en deploy pipeline)
- Conformity assessment formal cuando timeline AI Act se active healthcare specifically (2026-2027 implementation timeline)
- Audit externo IA system + risk assessment post-primer-cliente
ISO 27001 (Information Security Management)
Standard internacional gestión seguridad información · 114 controles distribuidos en 14 dominios · audit externo cada 3 años
- Multi-tenant RLS strict · encryption AES-256 reposo · TLS 1.3 tránsito
- Rotación secrets blue-green pattern (semestral · runbook documentado)
- Audit logs durables + access control granular
- Sentry monitoring + UptimeRobot polling · incident response runbook (ver /runbooks-publicos)
- Backups durables Supabase Point-in-Time Recovery · verify mensual
- DPAs con todos subprocesadores · supply chain visibility (ver /subprocesadores)
- Information Security Management System formal documentation
- Risk assessment formal + risk treatment plan
- Internal audit + management review process
- Audit externo certified ISMS auditor (~15-25k€ Stage 1 + Stage 2)
SOC 2 Type II
Service Organization Control 2 · audit americano · Type II = 12 meses operación + audit · vital para selling US clínicas/DSOs
- Trust Services Criteria alignment (Security · Availability · Processing Integrity · Confidentiality · Privacy)
- Documentación arquitectura técnica + runbooks operacionales públicos
- Audit logs · access controls · encryption · backup procedures · incident response · vendor management documentados
- 12 meses operación con controls auditable consistente (typically necesita 1+ cliente Enterprise + log auditable Q1 2026 → Q1 2027 mínimo)
- Audit externo SOC 2 firm (Big 4 o tier 2 · 25-50k€ Type II · varios meses)
- Pre-audit gap analysis recomendado (~5-10k€ separately)
ENS (Esquema Nacional Seguridad · España)
Obligatorio solo si vendemos a Administración Pública española (clínicas concertadas · hospitales públicos). Pre-revenue no aplica.
- Mucho alignment ya con ENS Medio level (cifrado · audit · backup · RLS)
- Architecture EU-resident default (alineado ENS hosting EU)
- Categorización formal ENS Medio/Alto
- Cumplimiento 75-114 medidas según nivel
- Auditoría organismo certificador acreditado ENAC
HIPAA-ready (US healthcare)
Health Insurance Portability and Accountability Act (US) · solo aplica si vendemos a clínicas US. Pre-revenue España no aplica.
- BAA (Business Associate Agreement) template draft preparado
- Subprocesadores con HIPAA compliance (Cloudflare · Supabase · Sentry · OpenAI · Stripe)
- Architecture practices alineadas Privacy Rule + Security Rule (mucho overlap con RGPD)
- BAA firmable con cliente US
- PHI (Protected Health Information) handling procedures formal documentation
- HIPAA training documentation + access controls audit US-style
- US data residency setup custom (no es default)
Timeline visualizada
Roadmap por quarter · achievements esperados · realistic pre-revenue startup. Si quedamos atrás, lo decimos en update trimestral.
- RGPD + LOPDGDD compliant (ahora)
- AI Act alignment principios (ahora)
- 8 DPAs subprocesadores firmados/firmables
- 11 evidence pages públicas (sla · architecture · runbooks · postmortems · etc · ver footer)
- Modelo 036 + RETA founder (cierra primer cobro real)
- DPO externo contratado (formal designation)
- ISO 27001 gap analysis interno (pre-audit prep)
- 1+ Enterprise client signed
- 12 meses operación auditable (start window SOC 2 Type II)
- AI Act conformity assessment formal
- ISO 27001 Stage 1 + Stage 2 audit · certificación
- SOC 2 Type II audit start
- SOC 2 Type II report final · certified
- ENS audit (si first cliente sector público)
- HIPAA (si first prospect US)
6 principios compliance roadmap
Mayoría clínicas privadas Españarequieren SOLO compliance RGPD + LOPDGDD + AI Act alignment. Eso lo tenemos ahora. ISO 27001 + SOC 2 son requirements específicos de DSO grandes + grupos hospitalarios + clientes US.
No vendemos compliance theater. Algunos vendors publican "ISO 27001 in progress" sin justificación real · marketing scaremongering. Nosotros: si tu clínica no necesita ISO, no te asustamos · si necesitas, te decimos timeline real.
Pre-revenue economics: ISO 27001 audit = 15-25k€ (Stage 1+2) · SOC 2 Type II = 25-50k€. Pre-revenue invertir esos 40-75k€ en producto + GTM · post-revenue con cliente Enterprise pagando, justifica invertir en certs. Es math · no falta de seriedad.
¿Tu compliance officer necesita evidence específica?
Si tu DPO/CISO/compliance team necesita evidence pack específico (DPAs · architecture diagrams · audit log samples · incident response demonstration · etc), entregamos en <72h sin friction. No NDA per documento · sin slow-walk.