RGPD + AI Act + AEPD para clínicas privadas · 2026

Designar DPO si tratas datos sanitarios a gran escala (Art. 37)

Registro de Actividades de Tratamiento (RAT · Art. 30) actualizado

Política de privacidad pública + actualizada + accesible

Política de cookies con consent UI (no pre-checked)

Aviso legal LSSI-CE en sitio web

DPA firmada con TODOS los processors (Meta · Stripe · Cal.com · etc.)

Subprocesadores list pública versionada + change notification

Consentimiento explícito + revocable + documentado por finalidad

Derechos GDPR proceso + plazo 30 días (extendible 60 si complejo)

Plantilla notificación brecha 72h pre-rellenada lista

DPIA completada si tratamiento alto riesgo (sanitario IA cae)

Cifrado AES-256 en reposo + TLS 1.2+ tránsito always

Audit log inmutable cada acceso datos sanitarios

Retención datos justificada (5 años LOPDGDD sanitario default)

Anonimización datos antes uso analítico secundario

Art. 50 transparencia chatbot · usuario sabe que habla con IA

Sistema clasificado como riesgo limitado · documentado

Sin clasificarse como sistema de alto riesgo (no clinical decision support)

Documentación técnica disponible para AESIA si requerida

Output guardrails LLM activos · sin diagnóstico · sin precios inventados

Logs interacciones IA · trazabilidad para audit

Mecanismo opt-out paciente (preferir humano)

Plan compliance enforcement agosto 2026 documentado

Inscripción RAT en AEPD si requerida

Notificación brechas AEPD <72h proceso documentado

Cooperación con AEPD si inspección · procedimiento internal

DPO contact info pública (email + teléfono)

Sanciones AEPD recientes sector revisadas (lecciones)

Auditoría LOPDGDD anual interna o externa

Formación RGPD personal · cada 12 meses · documentada

Cláusulas privacidad en contratos empleo · actualizadas

Acceso datos por rol (no all-access default)

Onboarding nuevo empleado incluye módulo RGPD obligatorio

Offboarding revoca acceso mismo día + cifrado equipos

Backup cifrado offsite · prueba restore mensual

Pruebas penetration test anuales (cuando llegues a 10+ Enterprise)

Procedimiento incident response documented · runbook

DPA template firmable disponible para nuevos partners

Lista vendor due diligence · checklist 15 preguntas

WhatsApp DPA Meta firmada y vigente

Cloud API directo (no BSP) o BSP con DPA propia

Templates Meta UTILITY/MARKETING/AUTHENTICATION clasificados

Opt-in WhatsApp explícito por paciente · documentado

Opt-out automático funcional (STOP · BAJA · etc.)

Handoff humano en casos sensibles · protocolo crisis

Audit log mensajes WhatsApp inmutable + retention

Sin PII sensible enviada por WhatsApp (no DNI · no diagnóstico)