1. Quién es responsable de qué
Cuando un despacho usa Gabrial, es el despacho quien decide qué datos se tratan y para qué: es el responsable del tratamiento. Gabrial los trata únicamente por encargo del despacho y siguiendo sus instrucciones: es el encargado del tratamiento. Esa relación se formaliza en un contrato de encargo del tratamiento conforme al artículo 28 del Reglamento General de Protección de Datos, que cada despacho acepta antes de empezar. Puedes leer su texto en Contrato de encargo del tratamiento.
2. Gabrial no tiene fines propios sobre esos datos
La documentación que un despacho sube a Gabrial se usa para una sola cosa: prestarle el servicio. Gabrial no persigue ninguna finalidad propia con ella, no la cede y no la comercializa.
3. Los datos no salen de la Unión Europea
Los datos de cada despacho —la base de datos, la documentación y los informes— se alojan en centros de datos de Fráncfort (Alemania). La lectura de la documentación y la redacción con inteligencia artificial se hacen también en regiones de la Unión Europea. La documentación clínica se trata íntegramente dentro de la Unión Europea.
4. Tus datos no se usan para entrenar ninguna inteligencia artificial
Gabrial no utiliza la documentación de los despachos para entrenar modelos de inteligencia artificial. Sus proveedores tampoco pueden hacerlo: lo tienen prohibido por contrato. El fichero que se envía a leer se borra del proveedor en cuanto termina la lectura.
5. Cada despacho, aislado
Los datos de cada despacho están aislados de los demás. El aislamiento se aplica en la propia base de datos, no solo en la aplicación: una consulta hecha en nombre de un despacho no puede devolver datos de otro, ni siquiera por un error de programación. Lo comprobamos con pruebas automáticas que intentan, precisamente, cruzar datos entre despachos.
Dentro del despacho, quien lo administra decide si cada persona ve solo sus encargos o también los de los demás.
6. Acceso a la herramienta
- Contraseña de al menos 12 caracteres.
- Verificación en dos pasos con una aplicación de autenticación: disponible para todos los usuarios, y exigible por el despacho a todos los suyos.
- Bloqueo temporal tras varios intentos fallidos.
- Las sesiones se cierran solas tras 30 minutos sin actividad y, en cualquier caso, a las 8 horas.
- Cada persona puede ver sus sesiones abiertas y cerrar cualquiera. Cambiar la contraseña cierra todas las demás.
- La recuperación de la contraseña usa un enlace que caduca a los 15 minutos y sirve una sola vez.
- Las acciones más delicadas —exportar o suprimir un encargo, cambiar una firma— exigen la verificación en dos pasos o volver a confirmar la identidad.
7. Qué consulta Gabrial, y qué no puede hacer un documento
Gabrial trabaja solo con la documentación del encargo que el perito tiene abierto. No consulta otros encargos ni internet.
Tampoco obedece a los documentos. Aunque un fichero contuviera instrucciones ocultas —por ejemplo, pedir que se consulte otro encargo—, Gabrial no puede salir del encargo abierto: esa limitación no depende de lo que lea, está construida en la propia herramienta.
8. Inteligencia artificial y supervisión humana
Gabrial redacta con ayuda de la inteligencia artificial y lo indica en cada informe que genera. Lo que produce es una propuesta de trabajo. Ningún informe se entrega sin la revisión del perito, que es quien decide su contenido y quien lo firma. La inteligencia artificial puede equivocarse: por eso las respuestas del asistente citan la página de donde sale cada dato, y Gabrial comprueba que el fragmento citado existe de verdad en esa página.
9. Los documentos que subes
Cada fichero se comprueba por su contenido real, no por su extensión. Se abre en un proceso aislado, con límites de memoria y de tiempo, para que un fichero dañado o malicioso no pueda afectar al servicio ni a los datos de nadie. Los documentos se guardan en un almacén privado y solo se sirven a quien tiene permiso para verlos.
10. Cifrado
Las comunicaciones entre tu navegador y Gabrial van cifradas. Los datos almacenados —la base de datos y los documentos— se guardan cifrados en reposo.
11. Registro de auditoría
Gabrial registra quién entra, qué sube, qué descarga, qué exporta y qué suprime, y cada cambio en las firmas y en las plantillas. Ese registro no se puede modificar ni borrar desde la aplicación, y no contiene nombres de personas ni de documentos: solo identificadores.
12. Registros técnicos sin datos clínicos
Los registros técnicos del servicio no contienen nombres, diagnósticos ni contenido de la documentación: solo identificadores internos.
13. Derechos de las personas peritadas
Las personas cuyos datos figuran en un encargo pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante el despacho responsable. Gabrial da al despacho los medios para atenderlos: cada encargo se puede exportar entero —datos, documentos e informes— o suprimir definitivamente.
14. Conservación, papelera y supresión
Los datos de un encargo se conservan mientras el despacho lo mantiene, sin límite de tiempo: Gabrial no borra nada por su cuenta de lo que el despacho tiene en uso. Lo que el despacho elimina va a una papelera, donde se conserva durante el plazo que fija el propio despacho —30 días si no indica otro— y después se borra definitivamente.
La supresión definitiva de un encargo lo borra de todos los lugares donde vive —la base de datos, el almacén de documentos, el índice de búsqueda y las copias de trabajo— y deja constancia de que se ha hecho. Al terminar la relación, el despacho puede llevarse sus datos antes de que se supriman.
15. Copias de seguridad
Se hacen copias de seguridad diarias, cifradas y alojadas en la Unión Europea.
16. Lo que no sale de donde debe estar
Gabrial no guarda en el navegador nombres de documentos ni de personas: solo referencias internas. Cuando un usuario comunica un error, no se envía el contenido de la pantalla. La firma escaneada de cada médico se guarda sin los datos del fichero original.
17. Proveedores
Para prestar el servicio intervienen proveedores que actúan como subencargados del tratamiento, todos con su propio contrato de encargo. Su relación, con el servicio que presta cada uno y dónde lo presta, forma parte del contrato de encargo y se entrega a cada despacho. Cualquier cambio se avisa con antelación, y el despacho puede oponerse.
18. Si ocurre un incidente
Si se produjera una violación de la seguridad que afecte a los datos de un despacho, Gabrial se lo comunicará sin dilación indebida y, como máximo, en 48 horas, con la información necesaria para que pueda cumplir sus obligaciones.
19. Contacto
Para cualquier cuestión sobre protección de datos, o para solicitar el contrato de encargo del tratamiento: privacidad@gabrial.app.