Evidencia para
su evaluación de TI
Controles técnicos y organizativos proporcionales al riesgo. El flujo de datos, los subencargados, la retención y la región de procesamiento se confirman en la documentación de cada implementación.
Los fundamentos
- CIFRADO EN REPOSO DATOS · FLUJO DOCUMENTADOFLUJO DE DATOS
Documentado por implementación
La región de procesamiento y una eventual transferencia internacional varían según la funcionalidad y los subencargados contratados. El flujo aplicable se documenta para su evaluación bajo la LGPD.
- CICLO DEL DATO
Categorías distintas
Audio, transcripción, borrador, informe final, metadatos, registros y copias de seguridad tienen ciclos propios. Procesar o transmitir no significa necesariamente persistir.
- CIFRADO
En tránsito
La política pública declara cifrado en tránsito. Los controles adicionales constan en la documentación técnica, sin prometer algoritmos ni certificaciones no comprobados aquí.
- AUDITORÍA
Eventos relevantes
Los registros de auditoría apoyan la investigación y la gobernanza. El alcance, la retención y la exportación disponibles dependen del producto y del contrato.
- MODELOS
Sin entrenamiento con datos identificables
Los datos asistenciales identificables no se usan para entrenar modelos generales de Laudos.AI ni de terceros.
- ACCESO
Responsabilidad compartida
El control de acceso, la segregación lógica y la revisión de permisos componen la protección. La institución también debe gobernar cuentas, roles y credenciales.
La documentación permite evaluar el diseño aplicable antes de la implementación.
El camino del dato, del dictado al informe
Audio, transcripción intermedia, borrador, informe final y metadatos son categorías distintas. La transmisión, la persistencia, los registros, la retención y los respaldos dependen de la funcionalidad y de la configuración contratada.
La documentación técnica identifica los datos necesarios, las finalidades, los subencargados, las regiones, los controles y los plazos aplicables al módulo contratado. Esa evaluación debe ocurrir antes de que datos asistenciales reales entren en el flujo.
Para su DPO
- DOCUMENTACIÓNArquitectura, controles, subencargados, regiones, retención y flujo de datos
- BASE LEGALDefinida por el responsable del tratamiento según la finalidad y el contexto
- TRANSFERENCIAEvaluada por servicio y subencargado, sin promesa genérica de residencia
- ROLResponsable del tratamiento en datos propios; encargada del tratamiento en datos asistenciales tratados bajo instrucción
- SOLICITUDoi@laudos.ai, asunto "Documentación de seguridad"
Preguntas directas
¿Responden cuestionarios de seguridad?
Sí. TI y el DPO pueden solicitar documentación y enviar requisitos adicionales para evaluación antes de la implementación.
¿Quiénes son los subencargados?
La política pública identifica categorías y ejemplos. La documentación de la implementación presenta la relación aplicable, la función y la región de procesamiento.
¿El audio y la transcripción siempre se descartan de inmediato?
No hacemos una promesa universal. El procesamiento, la transmisión, la persistencia en base de datos, la retención en registros y la permanencia en copias de seguridad dependen de la funcionalidad y de la configuración contratadas.
¿Y si Laudos.AI sufre un incidente?
El equipo evalúa cada evento y comunica según el riesgo, el impacto, la LGPD y el contrato. La página de estado no prueba el uptime entre verificaciones.
El diseño que sustenta las respuestas de auditoría
Aquí la seguridad no es una lista de certificaciones. Cada función tiene un flujo documentado. Audio, transcripción, borrador, informe, registros y copias de seguridad son categorías distintas. Las regiones, los subencargados, la persistencia y la retención varían según la configuración contratada.
Los controles incluyen acceso por rol, segregación lógica, auditoría y cifrado en tránsito. Los eventos y la retención de la traza varían por módulo e implementación.
Lo que su DPO va a preguntar, y las respuestas
La documentación identifica al responsable, al encargado, los subencargados, las regiones, la finalidad, la persistencia, la retención y las copias de seguridad. Algunos subencargados pueden tratar datos fuera de Brasil. Los datos asistenciales identificables no entrenan modelos generales de Laudos.AI ni de terceros.
Cómo conducir la debida diligencia de seguridad
Preguntas que necesitan respuesta documental
Antes de aprobar, la institución necesita localizar seis elementos. Son: flujo de datos, residencia del procesamiento, retención por artefacto, roles de acceso, subencargados aplicables y proceso de respuesta a incidentes. La página pública resume el diseño; la diligencia de TI y del DPO recibe el material detallado y registra cualquier condición específica del entorno de la casa.
No presuma un compromiso a partir de una frase de marketing. Esto vale para certificación, plazo de recuperación, prueba de seguridad y disponibilidad. Cuando uno de estos elementos sea un requisito, exija alcance, fecha y obligación en el paquete de evaluación o en el contrato. Trate lo que no está documentado como pendiente, no como promesa implícita.
Menor retención, menor superficie
La implementación separa audio, transcripción intermedia, borrador, informe final, metadatos, registros y copias de seguridad. Cada categoría tiene finalidad y ciclo propios. No presumimos descarte inmediato ni una única región para toda función. La documentación contratada define el flujo aplicable.
Traiga a su equipo de seguridad a la conversación
La evaluación de TI y del DPO forma parte del proceso de implementación. La documentación llega antes de la primera reunión.
FAQ
Preguntas frecuentes
¿Dónde se procesan los datos asistenciales?
El flujo depende de la función contratada. Algunos subencargados pueden tratar datos fuera de Brasil. La institución y Laudos.AI confirman regiones, transferencias, subencargados, retención, registros y copias de seguridad en la documentación de la implementación. Cumplimiento regulatorio
¿Se guarda el audio del dictado?
No hay una respuesta única para toda función y configuración. El contrato y la documentación de la implementación deben separar procesamiento, persistencia, registros, retención y copias de seguridad del audio, la transcripción intermedia, el borrador y el informe final. Política de privacidad
¿Los datos de pacientes entrenan modelos?
Los datos asistenciales identificables no se usan para entrenar modelos generales de Laudos.AI ni de terceros. El tratamiento necesario para entregar la función contratada es una finalidad diferente y debe constar en la documentación aplicable. Gobernanza clínica
¿Existe un registro de auditoría por examen?
Los controles incluyen registros de auditoría proporcionales a la función. Antes de producción, el equipo de implementación valida eventos, contenido, retención y disponibilidad de la traza para el módulo contratado. Registro auditable