Seguridad y datos en un sistema de turnos: qué decide tu organización

Qué datos pasan por un sistema de turnos

Un sistema de turnos parece inofensivo: un número y una fila. Pero para ordenar la atención recoge información de personas, y esa información tiene valor y riesgo. Esta guía sirve para saber qué datos hay, qué controles existen y cuáles son decisiones tuyas. No es asesoría jurídica: los requisitos legales exactos se validan con el área jurídica de cada organización.

En sectores como la salud, el motivo de la visita puede ser información sensible. La Ley 1581 de 2012 trata los datos sensibles de forma especial (arts. 5 y 6): consulta con tu asesoría jurídica cómo aplica a tu organización.

Cinco decisiones que son tuyas

1. Pedir lo mínimo

La Ley 1581 establece principios como la finalidad y la seguridad en el tratamiento (art. 4): se recoge solo lo necesario para el propósito declarado. En la práctica, la terminal de Kiuu permite elegir si se identifica por documento, por teléfono o por ambos, y si el nombre se desactiva, es opcional o es obligatorio para clientes nuevos. Cada dato que activas es un dato que debes poder justificar.

2. Decidir quién ve qué

No todos los usuarios necesitan ver todo. Kiuu maneja usuarios por sede, con operadores, administradores y superusuarios; solo administradores y superusuarios, por ejemplo, pueden reactivar un turno cerrado. Define quién accede a las estadísticas, a Buscar Turnos y a las exportaciones. La guía de control de acceso y roles desarrolla cómo hacerlo.

3. Cuidar lo que ve el público

La sala es un espacio compartido. Estas medidas están a tu alcance:

• La Pantalla TV muestra número y módulo; mantén esa práctica y no pongas nombres ni motivos en mensajes visibles.
• La Terminal se reinicia sola tras cada turno y, a los dos minutos sin interacción, avisa y borra los datos de la pantalla.
• El QR de Recepción no revela más de lo necesario: si una cita no está dentro del horario de llegada, orienta sin exponer detalles.
• El seguimiento del turno usa un enlace o código temporal, sin iniciar sesión.

4. Decidir cuánto se conserva

Define por escrito cuánto tiempo conservas las exportaciones y los datos operativos, y qué haces al terminar ese plazo. Las exportaciones a CSV salen de la plataforma: una vez descargadas, su cuidado es de quien las tiene. Evita dejarlas en carpetas compartidas sin control.

5. Contactar solo con autorización

Los avisos por SMS o WhatsApp requieren la autorización de la persona. En Kiuu el consentimiento es por organización, persona y canal; sin autorización no hay envío, y la cita por sí sola no la concede. La Ley 1581 exige la autorización previa del titular para el tratamiento de sus datos (art. 9), con las excepciones que la propia ley establece.

Controles de cuenta que conviene usar

• Contraseñas de dispositivos: al crear las credenciales de la Terminal y la Pantalla TV, la contraseña se muestra una sola vez; guárdala en un gestor.
• Sesiones activas: el superusuario ve las sesiones por dispositivo, con IP, y puede revocar una o todas. Revísalas cuando alguien cambia de rol o deja la organización.
• Restablecer contraseña de un usuario cierra sus sesiones activas.
• Credenciales de la API: con permisos específicos y tokens con expiración, y webhooks firmados con HMAC. Ver cuándo integrar y qué preguntar.

Lo que no puede prometer este artículo

Las medidas técnicas de la plataforma operativa (infraestructura, cifrado, copias de seguridad, encargados del tratamiento) no se describen aquí: se entregan a los clientes como parte del acuerdo de servicio y, cuando corresponde, del acuerdo de tratamiento de datos. Si necesitas esa información para una evaluación de proveedores, solicítala por escrito a contacto@111labs.net. Ningún sistema es infalible; la seguridad se construye con controles y con hábitos.

Preguntas para cualquier proveedor

1. ¿Qué datos recoge el sistema y para qué?
2. ¿Quién del equipo del proveedor puede ver los datos de mis clientes?
3. ¿Qué encargados o subencargados intervienen y dónde están?
4. ¿Cómo se entregan y eliminan mis datos al terminar el servicio?
5. ¿Qué pasa si hay un incidente de seguridad?
6. ¿Qué controles tengo yo para limitar accesos y sesiones?

Una buena política de privacidad responde estas preguntas; ver cómo debería ser.

Errores frecuentes

• Pedir documento, teléfono y nombre «por si acaso».
• Usuarios compartidos entre varias personas.
• Dejar sesiones abiertas de personas que ya no trabajan en la organización.
• Mostrar en pantalla pública información que revela el motivo de la visita.
• Exportaciones sin control de acceso ni plazo de conservación.
• Activar mensajes sin haber pedido la autorización.