Guía pillar tech · 8.000 palabras · 10 secciones · 27 min lectura

Guía tech stack clínica privada · 2026 honest

Arquitectura completa tech stack clínica privada España 2026. PMS · CRM · WhatsApp + IA · scheduling · pagos · imagen DICOM · infrastructure · security · errores típicos · migration playbook + 25-point architecture checklist.

Audience: CTO + IT manager + founder técnico + auditor security · También útil para founder no-técnico que quiere entender qué implicaciones tienen las decisiones de vendor stack.

01

PMS core · cuál elegir según tu clínica

PMS (Practice Management System) es backbone clínica. Klinikare · Dentalink · CareStack · Pabau · Doctoralia. Cuándo cada uno según vertical · tamaño · integraciones · pricing.

02

CRM vs PMS · cuándo necesitas ambos

PMS = historial clínico + tratamientos. CRM = lead funnel + pre-cita. Ambos cuando facturación >€300k. Integración común webhook PMS→CRM. Frankenstein evitar.

03

WhatsApp Business + IA conversacional · canal #1

WhatsApp Cloud API · Cloud API vs BSP · templates Meta · RAG por clínica · output guardrails LLM · arquitectura pgvector · cifrado E2E implicaciones · multi-número.

04

Scheduling + booking · Cal.com vs propios

Cal.com (open source · self-host posible · sin lock-in) vs propios (vendor PMS built-in · típicamente limited). Multi-doctor coordination · round-robin · pacientes self-book · sync bidireccional.

05

Pagos online + presencial · Stripe vs Redsys

Stripe (1.4-2.9% + €0.25 · setup 5min · SCA · webhooks) vs Redsys (0.4-0.8% + mensualidad TPV · setup 2-4sem). Apple Pay + Google Pay nativos. Stripe SAQ-A reduce PCI scope.

06

Imagen DICOM + historia clínica · storage + backup

DICOM nativo PMS dental · storage local NAS vs cloud · backup obligatorio LOPDGDD 5 años · prueba restore mensual · cross-doctor sharing · paciente acceso Art. 15 RGPD.

07

Infrastructure · cloud · edge · backup · disaster recovery

Cloudflare Workers (edge runtime · cold start 0ms) · Supabase Postgres EU · Upstash Redis + QStash · backup auto cifrado offsite · prueba restore mensual · RTO 4h · RPO 24h target.

08

Security · cifrado · RLS · audit log · pen test

Cifrado AES-256 reposo + TLS 1.2+ tránsito · RLS Postgres multi-tenant · audit log inmutable · pen test annual (~€3.5-12k) · output guardrails LLM · prompt injection mitigation.

09

Errores comunes tech stack · 10 patterns evitar

Vendor lock-in single PMS · no backup data ownership · frankenstein 8 vendors mal integrados · over-engineering single-doctor · WhatsApp personal cuando ya creció · no DPA · compliance reactivo · skip pen test · ignore audit log retention · sin exit strategy.

10

Migration playbook · cuando cambias vendor

Framework 60 días migración desde Doctoralia · Klinikare · Dentalink. 5 fases (export · mapeo · sandbox · paralelo 7d · cutover + rollback). 95% migraciones fallan por export incompleto datos.

Architecture checklist · 25 puntos

Checklist 25 puntos · tech stack clínica completo

Si haces estos 25 puntos · tienes arquitectura tech stack clínica robusta · escalable · auditable · sin vendor lock-in. Categorías: PMS+CRM (5) · WhatsApp+IA (5) · pagos (3) · imagen (3) · infra (3) · security (3) · operativa (3).

01

PMS único primary (no Frankenstein multi-PMS)

02

CRM separado si lead funnel large (>200 leads/mes)

03

Integración webhook PMS↔CRM (no manual data entry)

04

Backup datos export semanal (CSV + JSON + DB dump)

05

Documentar vendor lock-in risks · plan exit strategy

06

WhatsApp Cloud API directo (no BSP intermediario · si posible)

07

Templates Meta categorizados UTILITY/MARKETING/AUTHENTICATION

08

Bot conversacional 24/7 con handoff humano configurable

09

Output guardrails LLM (precios · diagnóstico · PII · prompt injection)

10

RAG per-clinic con pgvector o equivalent · KB versionada

11

Stripe + Redsys según volumen presencial/online

12

Apple Pay + Google Pay habilitados (friction drop ~40%)

13

Stripe Elements iframe (SAQ-A scope PCI reducido)

14

DICOM viewer integrado con PMS

15

Backup HCE diario cifrado · prueba restore mensual

16

Cross-doctor sharing + paciente acceso Art. 15 RGPD

17

Cloud-first arquitectura (no servers físicos críticos)

18

Edge runtime para latency global <50ms

19

Disaster recovery plan documented · RTO 4h · RPO 24h

20

Cifrado AES-256 reposo + TLS 1.2+ tránsito always

21

RLS Postgres multi-tenant si multi-clínica

22

Pen test anual (>10 clientes pagando) · disclosure NDA

23

Audit log inmutable cada interacción · 5 años retention

24

Monitoring + alarmas (uptime · errors · latency · rate limit)

25

Runbook documented cada proceso crítico · incident response

¿Quieres ver nuestro tech stack en detalle?

Trust Center con stack completo · subprocesadores · DPA template · security posture. Para due diligence técnica antes de evaluar AI Empire como vendor.