Diseñado para información sanitaria desde el primer día.
HiveCare es una plataforma de comunicación para agencias de atención domiciliaria. Tratamos información sanitaria protegida (PHI), así que la seguridad no es una capa añadida: es la arquitectura. Actuamos como Business Associate de HIPAA de cada agencia y firmamos el correspondiente Business Associate Agreement (BAA).
Cifrado en todas partes
- En reposo: Los mensajes, los archivos adjuntos y los campos sensibles se cifran con AES-256-GCM antes de llegar a la base de datos o al disco.
- En tránsito: Todo el tráfico viaja mediante TLS, con HSTS y cabeceras de seguridad estrictas en producción.
- Las llamadas de voz nunca se graban ni se almacenan.
Un registro de auditoría que no se puede desactivar
Cada acceso a PHI (inicios de sesión, lecturas, descargas, cambios) queda registrado en un registro de auditoría de solo adición, encadenado con hashes. No hay forma de desactivarlo, y un proceso automático verifica su integridad cada día: cualquier manipulación genera una alerta.
Mínimo acceso, identidad sólida
- Cuentas individuales con roles por organización (RBAC) y aislamiento total entre agencias (multiinquilino).
- Contraseñas almacenadas como hashes bcrypt con política de complejidad; bloqueo tras varios intentos fallidos.
- Un dispositivo no reconocido requiere un código de verificación por correo electrónico, y el titular recibe un aviso de cada nuevo inicio de sesión.
- Las acciones críticas (eliminar cuentas, exportar fichas) requieren volver a introducir la contraseña, al estilo sudo.
- Las sesiones inactivas caducan automáticamente; cada usuario puede revisar y cerrar sus sesiones y dispositivos.
Conservación y eliminación responsables
- Los archivos adjuntos se eliminan de forma segura cuando termina su periodo de conservación, preservando el registro de auditoría.
- Soporte de retención legal (legal hold) por organización.
- Derecho de acceso del paciente (§164.524): la agencia puede exportar la ficha completa de un cliente para entregársela.
- Los usuarios pueden eliminar su cuenta desde la app mediante un proceso verificado y conforme a los plazos de conservación.
Infraestructura
Alojado en Google Cloud; pagos mediante Stripe (nunca almacenamos números de tarjeta); las notificaciones push no contienen información sanitaria. No vendemos datos ni mostramos anuncios.
Una nota honesta sobre HIPAA
No existe ninguna «certificación HIPAA» oficial: desconfía de quien la anuncie. Lo que sí existe son las salvaguardas técnicas que exige la norma, y cada afirmación de esta página corresponde a un mecanismo real y verificable de nuestra plataforma. Tu agencia puede solicitar el resumen técnico para auditores y
un BAA firmado escribiendo a support@hivecareapp.com.
