Blog · Turnos y consultorios

¿Es seguro un software de turnos con los datos de tus pacientes? Qué mirar según la Ley 25.326

Antes de cargar a tus pacientes en cualquier sistema, conviene saber qué te pide la ley y qué tenés derecho a exigirle al proveedor. Ningún sistema es 100% inviolable; el punto es bajar el riesgo con controles concretos y verificables. Te dejamos la checklist para preguntar sin vueltas, y te contamos dónde se para XIAgenda.

Por Adrián Rivelli, Cofundador de XIAgenda · 20 de junio de 2026

La pregunta corta y la respuesta honesta

Cuando te preguntás si es seguro meter los datos de tus pacientes en un software de turnos, la respuesta sincera es: ningún sistema es 100% inviolable, ni el digital ni el cuaderno del mostrador. Lo que sí podés hacer es elegir una herramienta que reduzca la exposición con controles concretos, y saber qué exigirle. De eso se trata esta nota.

Acá no vas a leer que somos infalibles. Vas a leer qué te pide la ley argentina, qué controles bajan el riesgo de verdad, y una checklist para interrogar a cualquier proveedor —el nuestro incluido— antes de confiarle la información de tu gente.

Una aclaración de alcance: hablamos de los datos que maneja una agenda de turnos (nombre, contacto, obra social, historial de citas). No hablamos de historia clínica: XIAgenda no es un sistema de historia clínica ni reemplaza el registro médico que llevás vos.

Qué dice la Ley 25.326 (en criollo)

La Ley 25.326 de Protección de los Datos Personales es la norma argentina que regula cómo se tratan los datos de las personas. Su autoridad de aplicación es la AAIP (Agencia de Acceso a la Información Pública), que es quien controla y puede sancionar. Los datos vinculados a la salud son considerados datos sensibles, así que el estándar de cuidado es más alto que para un dato común.

Lo que la ley te pide, traducido a tu consultorio: que recolectes solo los datos que necesitás y con una finalidad clara (minimización); que el paciente sepa y preste su consentimiento para que trates sus datos y para contactarlo; que adoptes medidas de seguridad razonables para protegerlos; y que el paciente pueda acceder, rectificar o pedir la supresión de sus datos.

Punto clave que muchos pasan por alto: la responsabilidad sobre los datos de tus pacientes es tuya como responsable del tratamiento, aunque uses un software de un tercero. Por eso te conviene elegir un proveedor que te ayude a cumplir, no uno que te complique. El software es una herramienta para cumplir la ley; el obligado seguís siendo vos.

Checklist: qué preguntarle a tu proveedor antes de confiarle los datos

Estas son las preguntas que conviene hacerle a CUALQUIER software de turnos —no solo a nosotros— antes de cargar un solo paciente. Si una respuesta es vaga o evasiva, es una señal. Pedí que te lo pongan por escrito.

• ¿Cumplen la Ley 25.326 de Protección de Datos Personales de Argentina? ¿Lo dejan asentado en sus términos y en el contrato?
• ¿Los datos viajan cifrados (TLS) y se guardan cifrados en reposo? El cifrado en tránsito y en reposo es la base; sin eso, lo demás no importa.
• ¿Mis datos están aislados de los de otros consultorios, o todos comparten la misma base? El aislamiento real reduce el impacto si algo sale mal en otra cuenta.
• ¿Cómo entran los usuarios administradores? ¿Tienen verificación en dos pasos (2FA)? La mayoría de los incidentes empiezan por una contraseña robada, no por un hackeo sofisticado.
• ¿Qué datos me obligan a cargar y cuáles son opcionales? ¿Puedo configurar qué se pide (por ejemplo DNI u obra social) según mi trámite? Pedir de más es exponer de más.
• ¿Registran el consentimiento del paciente para tratar sus datos y para contactarlo? ¿Puedo demostrarlo si me lo reclaman?
• Si usan un agente de IA, ¿qué guarda exactamente? ¿Almacenan transcripciones crudas de las charlas e inferencias libres sobre la persona, o solo un perfil de datos estructurados?
• ¿Quién puede ver los datos de mi consultorio dentro de la empresa proveedora, y bajo qué condiciones?
• ¿Qué pasa con mis datos si me doy de baja? ¿Puedo exportarlos y solicitar que los borren?
• ¿Qué hacen ante un incidente de seguridad? ¿Cómo y en cuánto me avisarían?

Dónde se para XIAgenda (sin inflar)

Estos son los controles concretos que tenemos hoy, contestando la checklist de arriba. Cumplimos la Ley 25.326. Ciframos los datos en tránsito (TLS) y en reposo. Cada consultorio tiene su propia base de datos, aislada de la de los demás: tus pacientes no conviven en la misma tabla que los de otro consultorio. Los administradores entran con verificación en dos pasos (2FA).

Trabajamos con dato mínimo: pedimos información solo cuando hace falta y con un motivo claro en esa conversación, nunca "para completar el perfil". Datos sensibles como el DNI y la obra social son opcionales y configurables por consultorio: vos decidís si se piden y para qué trámite. Y registramos el consentimiento del paciente para tratar sus datos y para contactarlo.

Sobre el agente de IA, que suele ser la parte que más dudas genera: NO guarda transcripciones crudas de las charlas ni inferencias libres sobre la persona ("parecía apurado", "mencionó que..."). La memoria del agente es un perfil estructurado —nombre, obra social, preferencias, historial de turnos— que crece con el tiempo, no un registro de todo lo que se dijo. Es una decisión de diseño tomada justamente para bajar la exposición regulatoria.

Lo que NO te vamos a decir (para que confíes en lo que sí)

No tenemos certificaciones internacionales del tipo ISO 27001, HIPAA o SOC 2, y no vamos a decir que las tenemos. Si un proveedor te las nombra, pedile el certificado y la fecha de vigencia; son auditorías concretas, no un sello que uno se pone solo.

Tampoco somos un sistema de historia clínica, no hacemos facturación ante AFIP ni damos ningún tipo de consejo médico: el agente gestiona turnos y, ante una consulta clínica o una urgencia, deriva a un humano. Saber para qué NO sirve una herramienta es la mejor forma de evaluar para qué sí.

Y lo más importante: ningún sistema es 100% inviolable. La seguridad no es un estado al que se llega, es un conjunto de controles que se mantienen. Lo honesto es mostrarte cuáles aplicamos y dejarte verificar el resto, no prometerte una garantía absoluta que nadie puede dar.

Preguntas frecuentes