Si construyes una plataforma de comunicación soberana, dos equipos de cumplimiento distintos te preguntarán por ella, y te harán preguntas completamente diferentes.
Un responsable de cumplimiento del sector sanitario estadounidense quiere saber quién puede acceder a la información de los pacientes y si puedes demostrarlo. Un comprador del sector público europeo quiere saber qué ley puede alcanzarla. ¿Lo interesante? La respuesta a ambos es el mismo stack: chat, vídeo, teléfono, archivos y correo de código abierto, en servidores que tú controlas, detrás de un único proveedor de identidad.
Ya hemos tratado cada pieza por separado: videoconferencia soberana, vídeo de telemedicina conforme a HIPAA y nueve alternativas autoalojadas a Microsoft Teams. Este artículo trata de unirlas en una sola plataforma que supere ambas pruebas, y de los pocos puntos por los que los datos se siguen escapando aunque todos los servidores sean tuyos. Es una guía técnica, no asesoramiento legal.
En resumen
Las herramientas de código abierto sobre infraestructura que tú controlas superan ambas pruebas. El trabajo de verdad no está en ninguna aplicación concreta, sino en la identidad, los registros y los bordes por los que los mensajes salen de tus servidores.
Sanidad, legal, sector público
Keycloak, un servidor de chat, Jitsi, Nextcloud y mailcow en los servidores que elijas. Cada pieza es madura y sustituible.
Administración de la UE sobre Kubernetes
openDesk ofrece el conjunto completo como un solo producto, pensado para la administración pública. Es un despliegue más grande que unos pocos servidores.
Solo HIPAA, sin requisito de soberanía
Microsoft firma un BAA. Si nadie pregunta qué ley se aplica, una suite alojada con BAA puede ser la respuesta más sencilla.
Sin análisis de riesgos ni plan de identidad
Haz primero el análisis de riesgos de HIPAA o la EIPD del RGPD, y decide dónde vive el inicio de sesión. Todo lo demás depende de esas dos cosas.
Dos pruebas, un solo stack
La soberanía trata de jurisdicción. HIPAA trata de salvaguardas. Pon las preguntas una junto a otra y caen sobre las mismas partes del sistema.
| Capa | Lo que pregunta la soberanía | Lo que pregunta HIPAA |
|---|---|---|
| Software | ¿Puedes ejecutarlo sin el fabricante y cambiar de proveedor? | ¿Admite identificadores de usuario únicos, registros de auditoría y cifrado? |
| Infraestructura | ¿La ley de qué país se aplica a quien es dueño de los servidores? | ¿Hay un BAA con el proveedor que almacena los datos? |
| Operación | ¿Quién puede iniciar sesión, aplicar parches y responder a las incidencias de soporte? | ¿El acceso está limitado, registrado y revisado? |
| Claves | ¿Quién puede descifrar los datos? | ¿La ePHI está cifrada en tránsito y en reposo? |
La diferencia real está en con quién firmas. HIPAA se cumple con un BAA con tu proveedor de nube, esté donde esté. La soberanía no se cumple con ningún contrato con un proveedor sujeto a una ley extranjera, porque la CLOUD Act de EE. UU. alcanza los datos en poder de empresas estadounidenses estén donde estén almacenados. Las fuerzas de seguridad de EE. UU. pueden exigir datos a los proveedores afectados con independencia de su ubicación, y la ley también crea un marco para que gobiernos extranjeros accedan a datos en poder de proveedores estadounidenses mediante acuerdos ejecutivos.
La plataforma de comunicación soberana, canal a canal
Este es un conjunto viable de herramientas de código abierto. Cada una es sustituible, y eso forma parte de la idea: si un proyecto cambia de licencia o de edición gratuita, cambias esa pieza, no toda la plataforma.
| Canal | Opción de código abierto | Licencia | Ojo con |
|---|---|---|---|
| Identidad | Keycloak | Apache 2.0 | Se convierte en el servidor más importante que gestionas. Haz copias de seguridad y monitorízalo antes que nada |
| Chat | Mattermost, Zulip o Element (Matrix) | MIT (Mattermost Team Edition), Apache 2.0 (Zulip), AGPL o comercial (Synapse) | Las ediciones gratuitas difieren mucho en SSO y en el uso en producción; compruébalo antes de comprometerte |
| Vídeo | Jitsi Meet o plugNmeet | Apache 2.0, MIT | El servidor de medios descifra para reenviar los flujos, salvo que actives el cifrado de extremo a extremo |
| Teléfono | Jigasi o la pasarela SIP de plugNmeet | Apache 2.0, MIT | La llamada sale de tu perímetro en el operador |
| Archivos | Nextcloud | AGPL-3.0 | Las vistas previas, la edición ofimática y la federación añaden cada una un servicio que proteger |
| Correo | mailcow | GPL-3.0 | El correo a destinatarios externos viaja por servidores que no controlas |
| Relé TURN | Coturn | BSD-3-Clause | Sin tu propio TURN, algunas llamadas fallan o se retransmiten por servidores de otros |
Chat: la trampa está en la edición gratuita
Mattermost
Mattermost es lo más parecido a los canales de Teams, pero la v11 cambió bastante las cuentas. Team Edition sigue teniendo licencia MIT, pero el límite bajó a 250 usuarios, y el SSO con GitLab, Google OAuth y OpenID Connect desapareció del nivel gratuito. HIPAA exige identidades únicas y gestionadas, así que el SSO no es opcional. O pagas una edición comercial, o eliges otro servidor de chat.
Zulip
Zulip ofrece conversaciones por hilos, una licencia Apache 2.0 limpia y un autoalojamiento sencillo. Encaja bien en equipos que se ahogan en canales muy activos. Nuestra guía de Zulip como alternativa a Slack explica la instalación.
Element (Matrix)
Element (Matrix) ofrece salas con cifrado de extremo a extremo y federación. Synapse es AGPL o comercial. Pero aquí está la trampa: la suite gratuita ESS Community de Element, según el propio fabricante, «no está pensada para producción en entornos comerciales»: sin garantías de rendimiento, sin certificaciones, sin SBOM y sin cumplimiento de la Cyber Resilience Act. Para algo serio, toca mirar ESS Pro.
Vídeo y teléfono
Jitsi Meet es el motor de openDesk en Alemania, y LiveKit está debajo de Visio en Francia, así que ambos son una elección defendible para un comprador que exige soberanía. Para equipos que graban mucho, plugNmeet es la opción basada en LiveKit con acceso telefónico SIP integrado. Activa el cifrado de extremo a extremo en Jitsi Meet para las reuniones sensibles y monta tu propio servidor TURN para que las llamadas que atraviesan firewalls estrictos no se retransmitan por un tercero.
Archivos y correo
Nextcloud cubre archivos, calendarios y contactos bajo AGPL-3.0, y su aplicación Talk puede encargarse del chat y las llamadas en equipos que quieran menos servidores. mailcow ejecuta un servidor de correo completo en Docker bajo GPL-3.0.
Primero, la identidad
Todas las aplicaciones del stack deberían iniciar sesión a través de un único proveedor de identidad. Es el control más importante para ambas pruebas: un solo lugar para exigir la autenticación multifactor, un solo lugar para dar de baja a alguien y un solo registro de quién inició sesión y dónde.
- Monta Keycloak antes que nadaHabla OIDC, OAuth2 y SAML, que todas las aplicaciones de la tabla admiten en alguna edición. Nuestra guía de Keycloak en AWS explica la instalación, y la documentación de Keycloak cubre cada protocolo.
- Exige MFA a todo el que acceda a datos sensiblesHIPAA exige una identificación única de cada usuario, y la actualización propuesta de la Regla de Seguridad haría explícita la MFA. Los compradores que exigen soberanía la pedirán de todos modos.
- Conecta cada aplicación a medida que entra en producciónLos clientes de chat, vídeo, archivos y correo deberían autenticarse contra Keycloak, no con sus propias cuentas locales.
- Haz que dar de baja sea una sola acciónDesactivar a un usuario en Keycloak debería cortar su acceso en todas partes. Pruébalo con una cuenta real antes del lanzamiento.
Dónde alojarla
El mismo software puede superar o suspender la prueba de soberanía según dónde se ejecute. A HIPAA le importa menos el país que el BAA.
| Dónde se ejecuta | Soberanía | HIPAA |
|---|---|---|
| Tu propio hardware | Total, si además lo operas tú | No hace falta BAA de nube; las salvaguardas físicas son cosa tuya |
| Un proveedor de propiedad europea | Fuerte: empresa europea, ley europea | Solo relevante para PHI de EE. UU.; pocos proveedores europeos ofrecen un BAA de HIPAA |
| AWS European Sovereign Cloud | Parcial: entidad y personal en la UE, pero la matriz estadounidense sigue sujeta a la CLOUD Act | Comprueba qué servicios y acuerdos ofrece |
| Una región estándar de AWS o Google Cloud | Débil: empresa estadounidense, se aplica la CLOUD Act | Fuerte: BAA disponible, servicios aptos para HIPAA |
La AWS European Sovereign Cloud merece un examen detenido. Está aislada física y lógicamente dentro de la UE, la opera personal residente en la UE bajo una nueva sociedad matriz alemana, y la gestión de identidades se queda en la UE. El personal de AWS fuera de la UE no tiene medios técnicos para acceder a tu contenido. Pero la matriz corporativa de fondo sigue siendo una empresa estadounidense, y el texto del anexo sobre solicitudes gubernamentales, aunque se compromete a impugnar las órdenes excesivas, no afirma inmunidad frente a los procesos legales de EE. UU. Por eso es «parcial» y no «total». Para un ministerio europeo, la región estándar no supera la prueba; la nube soberana es una mejora significativa, pero no una respuesta completa.
Para una clínica estadounidense, una región estándar de AWS bajo el BAA de AWS es un hogar perfectamente válido para este stack, y es el escenario que da por hecho nuestra guía de agentes de voz para HIPAA.
Por dónde se filtra el perímetro
Alojar tú mismo todos los servidores sigue dejando algunas vías por las que el contenido sale de tu control. Son las que encuentran los auditores.
Notificaciones push en dispositivos móviles
Por defecto, el contenido de las notificaciones push de Mattermost pasa por Apple Push Notification Service (APNS) o Google Firebase Cloud Messaging (FCM) antes de llegar al dispositivo. Si la notificación lleva el texto del mensaje, ese texto atraviesa la infraestructura de Apple y Google. El modo de Mattermost que solo envía un identificador, en el que el teléfono descarga el mensaje desde tu servidor, es una función de Enterprise, no un ajuste del nivel gratuito. Usa la opción más privada que admita tu edición.
Llamadas telefónicas
En cuanto una llamada llega a la red telefónica, está en los equipos de un operador. Un operador que solo deja pasar las llamadas puede acogerse a la excepción de conducto de HIPAA; la excepción es estrecha y se limita a servicios de transmisión cuyo acceso a la PHI es aleatorio o poco frecuente. Un operador que graba o transcribe está manejando PHI y necesita un BAA. Para la soberanía, elige un operador de tu jurisdicción.
Correo a destinatarios externos
El correo entre tus propios usuarios puede quedarse en tu servidor. El correo a cualquier otra persona pasa por su proveedor. El HHS permite el correo sin cifrar a pacientes que han sido advertidos del riesgo y aun así lo prefieren. Para todo lo demás, usa un enlace seguro a un archivo en Nextcloud en lugar de un adjunto.
Integraciones, bots y acceso de soporte
Un bot SaaS en un canal de chat, un asistente de IA que lee mensajes, una copia de seguridad enviada a un proveedor extranjero o un técnico de un proveedor con acceso SSH: cada uno deshace la capa de soberanía que toca, y puede necesitar su propio BAA.
Dibuja el perímetro sobre el papel antes de construir. Haz una lista de todas las vías por las que un mensaje puede salir de tus servidores y decide para cada una: bloquearla, cifrarla o aceptarla por escrito.
Registros, retención y logs
Una plataforma de comunicación genera registros en seis sitios a la vez, y cada aplicación tiene su propio ajuste de retención. Configúralos a conciencia.
Conservar y proteger
- Los registros de inicio de sesión y de administración de Keycloak y de cada aplicación
- Tus políticas de HIPAA y tu análisis de riesgos, durante seis años según 45 CFR 164.316(b)(2)(i)
- Copias de seguridad, cifradas, en la misma jurisdicción que los datos en producción
Limitar y borrar según calendario
- Grabaciones y transcripciones de reuniones (la mayoría de los equipos no las necesita)
- El historial de chat más allá de lo que exige tu política
- El contenido de los mensajes en registros, informes de errores y herramientas de monitorización
La minimización de datos del RGPD y las normas de retención de HIPAA pueden tirar en direcciones opuestas. Resuélvelo en la política, canal por canal, antes de activar nada.
Un orden de despliegue que funciona
- Análisis de riesgos o EIPDAnota qué datos llevará cada canal y quién los necesita. Cada decisión posterior parte de aquí.
- IdentidadKeycloak con MFA, antes que cualquier aplicación para usuarios.
- Chat y vídeoLas herramientas que la gente usa cada hora. Migra primero un equipo y corrige lo que encuentre.
- ArchivosNextcloud, con las reglas de uso compartido fijadas antes de la primera subida.
- TeléfonoAcceso telefónico o una troncal SIP, cuando esté resuelta la cuestión del operador.
- El correo, al finalEs lo más difícil de mover: registros MX, reputación DNS y años de buzones. Ejecútalo en paralelo antes de hacer el cambio definitivo.
¿Merece la pena una plataforma autoalojada?
Si alguien en compras pregunta qué ley se aplica a tus comunicaciones, sí. Ningún contrato con un proveedor estadounidense responde del todo a esa pregunta, y las organizaciones que ya se han movido (Francia a Visio, construida sobre LiveKit; Alemania a openDesk; y la Corte Penal Internacional, que dejó Microsoft Office tras la suspensión de una cuenta vinculada a sanciones) han elegido todas código abierto operado dentro de su propia jurisdicción.
Si tu único requisito es HIPAA, la decisión está más ajustada. Una suite alojada con BAA puede cumplir y da menos trabajo de operar. Alojarla tú mismo compensa cuando quieres controlar dónde viven los datos, qué se registra y quién puede llegar a los servidores, o cuando las licencias por usuario en una organización grande se disparan.
En cualquier caso, empieza por la identidad y la lista de fugas. Son las partes que deciden si la plataforma supera realmente las pruebas, no el servidor de chat que hayas elegido.
Preguntas frecuentes
¿Qué es una plataforma de comunicación soberana?
Una en la que el software, la infraestructura, la operación y las claves de cifrado están sujetos a la ley de tu jurisdicción, de modo que ningún gobierno extranjero puede obligar a dar acceso a tus datos.
¿Puede una misma plataforma ser soberana y cumplir HIPAA?
Sí. Las herramientas de código abierto sobre infraestructura que tú controlas pueden cumplir ambos requisitos, siempre que tengas un BAA donde haga falta y mantengas las claves y la operación dentro de tu jurisdicción.
¿Microsoft Teams es soberano si uso una región de datos de la UE?
No del todo. Microsoft es una empresa estadounidense, así que la CLOUD Act se aplica estén donde estén los datos.
¿Qué herramientas de código abierto forman el stack?
Keycloak para la identidad, Mattermost/Zulip/Element para el chat, Jitsi o plugNmeet para el vídeo, Jigasi para el teléfono, Nextcloud para los archivos, mailcow para el correo y Coturn como relé TURN.
¿Puede una entidad cubierta por HIPAA enviar correos a pacientes desde un servidor autoalojado?
Sí, si los pacientes han sido advertidos del riesgo y aun así prefieren el correo sin cifrar. Para todo lo demás, usa un enlace seguro en lugar de un adjunto.
¿Sigo necesitando un BAA si todo está autoalojado?
No para tu propio hardware. Sí lo necesitas con cualquier proveedor de nube, integración SaaS o proveedor que tenga acceso a ePHI.
¿Qué parte es la más difícil de hacer soberana?
El correo. Los registros MX, la reputación DNS y años de buzones lo convierten en el canal más lento de migrar, y los proveedores de los destinatarios externos siempre quedan fuera de tu control.
¿Planeas una plataforma soberana o preparada para HIPAA?
Desplegamos y operamos chat, vídeo, archivos y correo de código abierto en infraestructura que controlan nuestros clientes. Cuéntanos qué canales necesitas y dónde tienen que quedarse los datos.
Habla con Meetrix