Esta Política de Seguridad de la Información establece el marco con el que Vidas Prime Healthcare, S.L. protege sus activos de información, en el contexto del Esquema Nacional de Seguridad (Real Decreto 311/2022, categoría media) y de la norma ISO/IEC 27001:2022.
Vidas Prime Healthcare, S.L. maneja información sensible sobre la que se apoyan su actividad, su sostenibilidad y su capacidad de desarrollo. Ese patrimonio de información comprende la información de negocio necesaria para su funcionamiento, el patrimonio intelectual y el conocimiento propio, la información de sus clientes y de los terceros con los que se relaciona, la información de salud que trata por cuenta de entidades sanitarias y la información de su propio personal.
El propósito de este documento es establecer la Política de Seguridad de la Información de la organización para proteger los activos de información frente a las amenazas que les afectan, generar confianza en sus clientes y cumplir con los marcos legales y reglamentarios aplicables.
Esta política es el documento de mayor rango del Sistema de Gestión de Seguridad de la Información (SGSI) y proporciona el marco para preservar la disponibilidad, la integridad, la confidencialidad, la autenticidad y la trazabilidad de la información. La Dirección se compromete a poner los medios necesarios para su aplicación.
Esta política es de aplicación a toda la organización y a todo su personal, propio y colaborador.
El perímetro funcional cubre todos los activos de información: la información en soporte electrónico o en papel; los equipos y materiales que soportan los procesos; el software; los elementos de red y comunicaciones; las personas involucradas en el sistema de información; las ubicaciones de la organización; y su propia estructura y procesos.
El alcance del SGSI comprende los sistemas de información que dan soporte a los procesos de diseño, desarrollo, operación y mantenimiento de la plataforma SaaS de salud digital para la gestión inteligente de flujos de trabajo sanitarios y administrativos, la interoperabilidad de datos clínicos y el soporte a la toma de decisiones mediante sistemas de procesamiento avanzado de información y anonimización, desplegados en arquitectura de nube, conforme a la declaración de aplicabilidad en vigor.
La organización persigue la conformidad con el Esquema Nacional de Seguridad en categoría media como habilitación para la prestación de servicios a entidades del sector público del ámbito sanitario.
Esta política tiene como objetivo asegurar la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la información y de los servicios, así como de la tecnología y los activos que los soportan. Los objetivos que la organización establece son:
La Dirección asume los siguientes compromisos en materia de seguridad de la información:
El marco legal y regulatorio en el que la organización desarrolla su actividad comprende, entre otras, las siguientes normas:
La relación completa y actualizada de la legislación y de los requisitos aplicables se mantiene bajo control de versiones en el registro de legislación y requisitos aplicables, cuya revisión corresponde al Responsable de Seguridad con periodicidad anual.
La organización depende de sus sistemas de información para alcanzar sus objetivos. Estos sistemas se administran con diligencia y con las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad, confidencialidad, autenticidad o trazabilidad de la información tratada o de los servicios prestados.
6.1. Misión y principios
La misión de Vidas Prime Healthcare, S.L. es ayudar a sus clientes a transformar la complejidad de los datos y los procesos de digitalización en oportunidades que les permitan tomar mejores decisiones y prestar mejores servicios. En el desarrollo de esa misión, la organización aplica los siguientes principios:
6.2. Prevención
La organización aplica las medidas de seguridad exigidas por el Esquema Nacional de Seguridad e integra la seguridad en cada etapa del ciclo de vida de los sistemas. Los requisitos de seguridad y sus necesidades de financiación se identifican e incluyen en la planificación y en las ofertas y licitaciones de proyectos. La organización se prepara para prevenir, detectar, responder y recuperarse de los incidentes. A tal efecto, autoriza los sistemas antes de su entrada en operación y se somete a revisión periódica por terceros con el fin de obtener una evaluación independiente.
6.3. Detección
La operación se supervisa de forma continuada para detectar anomalías en la prestación de los servicios y actuar en consecuencia. Se establecen mecanismos de detección, análisis y reporte que alcanzan a los responsables de forma periódica y cuando se produce una desviación significativa respecto de los parámetros considerados normales.
6.4. Respuesta
La organización establece mecanismos para responder con eficacia a los incidentes de seguridad, designa un punto de contacto para las comunicaciones relativas a incidentes (apartado 7) y define los protocolos de intercambio de información sobre ellos.
6.5. Recuperación
Para preservar la disponibilidad de los servicios críticos, la organización desarrolla las previsiones de continuidad y recuperación proporcionadas al nivel de disponibilidad exigible a cada servicio.
La aplicación de esta política requiere que todas las personas de la organización comprendan sus obligaciones y responsabilidades en función del puesto que desempeñan. Los roles de seguridad quedan identificados del modo siguiente:
| Rol | Funciones |
|---|---|
| Comité de Seguridad de la Información | Propone a la Dirección la aprobación de esta política y de sus modificaciones, y aprueba el resto de la información documentada del sistema de gestión. Coordina la seguridad, resuelve las discrepancias entre roles y supervisa el estado de la seguridad. Se reúne en sesión ordinaria con periodicidad anual como mínimo y con carácter extraordinario cuando lo requieran un incidente grave, un cambio significativo o la aprobación de documentación. |
| Responsable de la Información | Determina los requisitos de seguridad de la información tratada y valora sus niveles de confidencialidad, integridad, trazabilidad y autenticidad. Aprueba la clasificación de la información y autoriza sus usos y cesiones. Acepta el riesgo residual que afecta a la información de su responsabilidad. |
| Responsable del Servicio | Determina los requisitos de seguridad de los servicios prestados y valora su nivel de disponibilidad. Establece los tiempos objetivo de recuperación y los periodos máximos de interrupción tolerables. Autoriza la puesta en servicio y la retirada de los servicios y acepta el riesgo residual que les afecta. |
| Responsable de Seguridad | Determina las decisiones necesarias para satisfacer los requisitos establecidos por los responsables de la información y del servicio. Supervisa la implantación de las medidas y el cumplimiento de esta política, de sus normas y de sus procedimientos. Autoriza los accesos privilegiados y las excepciones. Califica los incidentes y reporta al Comité. |
| Responsable del Sistema | Desarrolla, opera y mantiene el sistema de información conforme a las decisiones adoptadas por el Responsable de Seguridad. Define la arquitectura de seguridad, gestiona los cambios y las configuraciones, y mantiene la información documentada del sistema de gestión. |
| Todo el personal | Cumple esta política y la información documentada del sistema de gestión en el desempeño de sus funciones, y reporta los incidentes y comportamientos anómalos que detecte. |
El Comité de Seguridad de la Información está integrado por el Responsable de Seguridad, que lo preside, el Responsable del Sistema, que ejerce la secretaría, y el Responsable de la Información y del Servicio, que actúa en representación de la Dirección. Asiste a sus sesiones de forma permanente, con voz y sin voto, el responsable de operaciones de sistemas (IT & Web Operations Lead), y pueden asistir, con el mismo carácter, las personas que el Comité convoque. Las actas del Comité las suscriben el presidente, el secretario y el miembro que actúa en representación de la Dirección.
Conforme al artículo 13.3 del Real Decreto 311/2022, el Responsable de Seguridad es distinto del Responsable del Sistema. Dada la dimensión de la organización, entre ambos existe relación jerárquica, circunstancia prevista en dicho artículo para los supuestos de ausencia justificada de recursos. Como medidas compensatorias, el Responsable de Seguridad accede directamente al Comité de Seguridad y a la Dirección sin intermediación del Responsable del Sistema, las decisiones relevantes se adoptan de forma colegiada en el Comité, y la organización se somete a revisión independiente por terceros.
Por la misma razón de proporcionalidad, los roles de Responsable de la Información y Responsable del Servicio concurren en una única persona, distinta del Responsable de Seguridad y del Responsable del Sistema, de modo que los cuatro roles quedan repartidos entre tres personas.
Conforme al artículo 13.5 del Real Decreto 311/2022, el Responsable de Seguridad actúa como punto de contacto de seguridad ante las entidades del sector público destinatarias de los servicios, a través del buzón seguridad@vidasprime.com.
El Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018 establecen las condiciones en que puede realizarse el tratamiento de datos personales y reconocen a las personas afectadas los derechos que en ellos se recogen. La organización trata datos relativos a la salud, que constituyen una categoría especial de datos conforme al artículo 9 del Reglamento, y les aplica las garantías reforzadas que su naturaleza exige.
Vidas Prime Healthcare, S.L. tiene designado delegado de protección de datos, función prestada por un servicio externo, con los siguientes datos de contacto:
El delegado de protección de datos supervisa el cumplimiento de la normativa de protección de datos, asesora a la organización y actúa como punto de contacto con la autoridad de control y con las personas interesadas. Su consulta es preceptiva con carácter previo a los tratamientos que afecten a datos de salud, a los procesos de anonimización y a las transferencias internacionales de datos. Su designación ha sido comunicada a la Agencia Española de Protección de Datos, conforme al artículo 37.7 del RGPD y al artículo 34.3 de la LOPDGDD.
La organización recoge datos personales únicamente cuando resultan adecuados, pertinentes y limitados a las finalidades para las que se obtienen, y adopta las medidas técnicas y organizativas necesarias para el cumplimiento de la normativa. Los riesgos que el tratamiento de datos personales supone para los derechos y libertades de las personas se analizan conforme a los artículos 24, 32 y 35 del RGPD, con el asesoramiento del delegado de protección de datos, y se integran en el análisis de riesgos del apartado 9. Cuando el tratamiento lo requiera, se realiza una evaluación de impacto relativa a la protección de datos antes de su inicio.
Los sistemas sujetos a esta política son objeto de un análisis de riesgos que evalúa las amenazas y los riesgos a los que están expuestos. El análisis se repite con periodicidad anual y, además, cuando cambie la información manejada, cuando cambien los servicios prestados, cuando se produzca un incidente grave de seguridad o cuando se reporten vulnerabilidades graves.
La valoración de los niveles de seguridad de la información y de los servicios corresponde a los responsables de la información y del servicio, y la determinación de la categoría del sistema, al Responsable de Seguridad, conforme al artículo 41 del Real Decreto 311/2022. El Comité de Seguridad armoniza los criterios de valoración y promueve la disponibilidad de los recursos necesarios para atender las necesidades de seguridad.
Cuando la organización utilice servicios de terceros o ceda información a terceros, les hará partícipes de esta política y de la normativa de seguridad que ataña a dichos servicios o información. La tercera parte queda sujeta a las obligaciones establecidas en esa normativa y podrá desarrollar sus propios procedimientos operativos para satisfacerla.
Cuando algún aspecto de la política no pueda ser satisfecho por una tercera parte, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Ese informe deberá ser aprobado por los responsables de la información y del servicio afectados antes de continuar.
Con carácter anual se realizan acciones de formación y concienciación en materia de seguridad, conforme al plan de formación y concienciación vigente. Su objetivo es doble: mantener informado al personal que maneja información y sistemas sobre los procedimientos, riesgos y medidas de protección existentes, y concienciar al conjunto de la organización sobre la importancia de la seguridad y sobre las prácticas básicas de manejo e intercambio de información. La eficacia de las acciones formativas se evalúa y se deja constancia de ella.
Corresponde al Comité de Seguridad la revisión anual de esta política y la propuesta de su modificación o mantenimiento. La política es aprobada por la Dirección y difundida a todas las partes afectadas. Procede además una revisión extraordinaria cuando se modifique la normativa aplicable, cuando cambie el alcance del sistema de gestión, cuando se produzca un incidente grave o cuando una auditoría detecte deficiencias relacionadas con su contenido.
Esta política se desarrolla mediante una normativa de seguridad que aborda los aspectos específicos y que está a disposición de las personas que utilizan, operan o administran los sistemas de información.
Versión 2, aprobada por la Dirección el 23 de octubre de 2026.