Plan de Acción Personalizado — SaaS de Endocrinología
Basado en el perfil de Javier: dominio javierpenate.com, VPS Hetzner, Coolify, Cloudflare, 22GB libres, quiere SaaS de endocrinología (pacientes + investigación).
Tu situación actual
✅ Dominio y VPS operativos
✅ Coolify gestionando contenedores
✅ Cloudflare + solo puertos 80/443
✅ Conocimientos de GDPR en datos de salud adquiridos
✅ Wiki de 28 páginas como referencia
🚧 Pendiente:
─ hermes.javierpenate.com (dashboard)
─ Wiki sincronizada con Obsidian
─ Producto SaaS definido
¿Qué SaaS construyes exactamente? (Decide esto primero)
Antes de seguir con compliance, necesitas claridad en:
TU SAAS DE ENDOCRINOLOGÍA
│
├── ¿Qué problema resuelve?
│ ─ Dashboard CGM para endocrinos
│ ─ App paciente para autogestión
│ ─ Plataforma de investigación
│ ─ Telemedicina
│ ─ Todo lo anterior
│
├── ¿Quién paga?
│ ─ El endocrino/clínica (B2B)
│ ─ El paciente (B2C)
│ ─ Ambos (B2B2C)
│
├── ¿Qué funcionalidades críticas?
│ ─ Visualización CGM
│ ─ Alertas de hipoglucemia
│ ─ Recomendaciones IA
│ ─ Investigación secundaria
│ ─ Integración con sistemas NHS
│
└── ¿Dónde empiezas?
─ España primero
─ Toda la UE desde el día 1
Plan de acción por fases
🏁 FASE 0 — AHORA MISMO (semana 1-2)
Prioridad
Acción
Página wiki relacionada
🔴
Definir el producto (responde las preguntas de arriba)
□ Decidir producto (qué, para quién, cómo)
□ Definir modelo legal (responsable/encargado)
□ Boceto de arquitectura (cifrado, RBAC, logs)
□ DPA con proveedor cloud (AWS/GCP/Azure en UE)
□ EIPD de la plataforma
□ Términos y condiciones + Política de privacidad
□ Consentimiento explícito para datos de salud
□ DPO designado
□ Procedimiento ARSOLIP
□ Protocolo de breaches
□ ISO 27001 en marcha
CON CADA NUEVO CLIENTE ENDOCRINO:
□ DPA firmado (tú como encargado)
□ Instrucciones documentadas de tratamiento
□ Lista de subencargados (tu cloud)
□ Confirmación de medidas de seguridad
Errores que NO debes cometer
Error
Alternativa correcta
Empezar a programar sin plan legal
Primero el modelo, luego el código
Usar consentimiento para todo
Art. 9.2(h) para asistencia, consentimiento para investigación
Almacenar datos fuera de UE
Cloud UE desde el día 1 (Frankfurt, París, Madrid)
No tener DPA con el endocrino
Sin DPA eres responsable tú también
Alertas clínicas sin certificación MDR
O no alertas o certificas
Mezclar datos de investigación con producción
Entornos separados sí o sí
Ignorar ENS
Cuando quieras vender al sector público, te frenará 6 meses