Encuestas de salud para estudios hospitalarios
Cuestionarios de salud cuyos nombres no podemos leer.
El responsable del estudio elabora su cuestionario, elige cómo se incluye a los participantes (en modo abierto, sin recoger identidad; en modo nominativo, con una identidad cifrada solo para el médico), abre el estudio y sigue el reclutamiento desde su navegador, sin desarrollador. Los participantes responden desde su teléfono. Los resultados se publican sin que nadie sea identificable.
Auspex 1.10 — versión funcional completa y probada. Se está desarrollando una nueva versión, con optimizaciones. El estado actual — fase piloto interna.
El mecanismo central
En modo nominativo, la identidad del participante se cifra en su teléfono, solo para su médico
Canarin nunca posee una identidad en claro: en modo abierto no existe ninguna; en modo nominativo, el servidor solo almacena lo que la clave del médico puede abrir.
Este mecanismo se aplica al modo nominativo. El nombre y la fecha de nacimiento se cifran en el navegador del participante hacia la clave pública del médico: ECDH P-256, derivación HKDF-SHA256, cifrado AES-GCM. Los datos asociados vinculan el mensaje al estudio y al médico: trasladado a otro estudio o modificado en un solo byte, ya no se abre. La clave privada del médico solo existe en claro en la sesión de su navegador y no se puede extraer de ella.
EN EL TELÉFONO DEL PARTICIPANTE
El cifrado se realiza aquí
En modo nominativo, en el momento del consentimiento, el teléfono cifra el nombre y la fecha de nacimiento. Lo que sale hacia el servidor ya es ilegible. La dirección debe ser https: de lo contrario, la página se niega a funcionar antes que cifrar mal.
EN EL SERVIDOR DE CANARIN
Solo quedan datos cifrados
Identidades ilegibles (modo nominativo), respuestas archivadas bajo un código aleatorio y las direcciones profesionales. En modo abierto no se almacena ninguna identidad. Quien obtuviera acceso total al servidor no podría vincular una respuesta con una persona.
EN EL NAVEGADOR DEL MÉDICO
El descifrado se realiza aquí
En modo nominativo, el médico desbloquea su clave con su frase de contraseña y ve los nombres de sus participantes junto a sus códigos. Nadie más, Canarin incluido, puede establecer esa relación.
Dos modos de inclusión
Difusión amplia o seguimiento nominativo: el responsable elige, estudio por estudio
El modo se elige al crear el estudio y se bloquea al abrirlo. Determina qué se recoge sobre los participantes y, por tanto, qué hay que proteger.
MODO ABIERTO — ENCUESTAS GLOBALES
Participar con un escaneo, sin dar su identidad
Para una difusión amplia, cuando la identidad no tiene ninguna utilidad para el estudio.
- Difusión amplia: carteles, códigos QR en la sala de espera, boletines, estands, congresos. El responsable crea enlaces globales; cada médico dispone además de su enlace personal.
- Participación inmediata, sin identidad: consentimiento, código PIN y después el cuestionario. No se solicita ni almacena ningún dato de estado civil.
- Reanudación con el código de participante y el PIN, también desde otro dispositivo.
- Reclutamiento en tiempo real: escaneos, inscripciones y cuestionarios enviados, por enlace. Son contadores, nunca personas.
MODO NOMINATIVO — ENCUESTAS DIRIGIDAS
Una cohorte cerrada, seguida por su médico
Para los estudios en los que el médico debe poder volver a encontrar a cada participante.
- Inclusión por los profesionales: el médico crea un código de un solo uso por paciente, mostrado en pantalla o impreso en una plancha de pegatinas QR (sin ningún dato del paciente en la plancha).
- Identidad cifrada de extremo a extremo: el nombre y la fecha de nacimiento se cifran en el navegador del participante hacia la clave del médico.
- Inclusión confirmada automáticamente; el médico puede desconfirmarla o rechazarla. Cada código sirve una sola vez y caduca a los 30 días.
- Cohorte cerrada, seguimiento seguro: solo pueden inscribirse las personas con un código, y el médico reencuentra a las suyas.
RGPD y secreto médico. El modo abierto aplica la minimización de datos: no se recoge ninguna identidad, así que no hay nada que cifrar. El modo nominativo aplica el cifrado asimétrico (ECDH P-256, AES-GCM, descrito más arriba): solo la clave del médico abre la identidad. En ambos modos, el responsable del estudio supervisa el reclutamiento sin ver jamás una identidad y puede borrar el estudio en cualquier momento tras su apertura: los datos personales se eliminan entonces de forma irreversible, y se conservan los resultados publicados y el registro de auditoría. En ambos modos, los participantes pueden parar en cualquier momento.
Modelo de confianza
Quién ve qué, exactamente
Esta tabla responde a la pregunta que plantean los comités de ética. Cada fila la aplica la propia base de datos, no solo la interfaz.
| Rol | Nombre del participante (modo nominativo) | Respuestas individuales | Código de participante | Reclutamiento por centro | Exportación seudonimizada |
|---|---|---|---|---|---|
| Médico investigador | Sí solo sus participantes, en modo nominativo | Sí solo sus participantes | Sí completo para los suyos, oculto para los demás | No | No |
| Responsable del estudio | No ninguna ruta lo permite | No sin acceso a las filas de participantes | No | Sí efectivos, última conexión de los médicos | Sí datos de su propio promotor |
| Estadístico | No | No no se le devuelve ninguna fila de participante | No | No | Sí estudios concedidos, revocable en cualquier momento |
| Canarin, el editor | No cifrado en modo nominativo; ninguna identidad en modo abierto | Técnicamente sí, pero bajo código aleatorio, sin posibilidad de vincularlo a una persona | Técnicamente sí | No | No |
| Público | No | No | No | No | No |
El público solo ve la página de resultados: tablas agregadas en las que se ocultan los efectivos pequeños. Nunca figura nada individual.
Desarrollo de un estudio
Seis etapas, desde el cuestionario vacío hasta los resultados publicados
El orden importa: cada etapa desbloquea la siguiente. Un estudio no puede abrirse sin cuestionario y, en modo nominativo, un médico no puede crear códigos de paciente hasta haber creado sus claves.
Crear el estudio y elaborar el cuestionario
Ocho tipos de preguntas, condiciones de visualización (una pregunta solo aparece si se ha dado una determinada respuesta) y seis idiomas, en un editor con vista previa del lado del participante. El estudio comienza como borrador. El responsable también elige el modo de inclusión, abierto o nominativo, que se bloquea al abrir el estudio.
Invitar a los médicos, abrir el estudio
Los médicos se añaden mediante su dirección de correo electrónico. El enlace de activación es de un solo uso y caduca. El estudio no puede abrirse sin cuestionario; una vez abierto, cualquier modificación crea una nueva versión.
Activar su cuenta, obtener su enlace o sus claves
Contraseña de al menos doce caracteres, más una aplicación de autenticación. En modo abierto, el médico recibe su enlace personal y su tarjeta QR imprimible. En modo nominativo genera además sus claves de cifrado, indispensables para crear códigos de paciente; una clave de recuperación imprimible permite cambiar la frase de contraseña, y Canarin no puede sustituirla.
Escanear un código QR o introducir su código, consentir, responder
Modo abierto: consentimiento, elección de un PIN y después el cuestionario, sin nombre ni fecha de nacimiento. Modo nominativo: el participante usa el código de un solo uso que le da su médico; el nombre y la fecha de nacimiento se cifran en el teléfono antes del envío. En ambos casos, el código de participante y el PIN permiten retomar más tarde, desde otro dispositivo. Las respuestas se guardan a medida que se dan.
Seguir, confirmar o rechazar las inclusiones
En modo nominativo, el médico ve los nombres de sus participantes y lee las respuestas; la inclusión se confirma automáticamente y puede desconfirmarla. En modo abierto, sigue a sus participantes por código, sin nombres, y el responsable sigue el reclutamiento por enlace en tiempo real. Un rechazo es definitivo, se motiva con una lista fija y es visible para todos los profesionales del estudio: código completo para quien rechaza, oculto para los demás.
Analizar, cerrar, publicar
Un análisis intermedio se ejecuta cada día sin intervención. En la fecha de fin, el estudio se cierra solo, se ejecuta el análisis final y la página pública pasa a mostrarlo. Se eliminan las cuentas y las sesiones, los enlaces y códigos de inclusión dejan de funcionar; las respuestas siguen siendo legibles por su médico y, en modo nominativo, también las identidades. El responsable también puede borrar el estudio en cualquier momento tras su apertura: los datos personales desaparecen y se conservan los resultados publicados y el registro de auditoría.
Publicación
Por qué una tabla pública no permite llegar hasta una persona
Ocultar los efectivos pequeños no basta
Si una casilla cuenta con menos de diez personas, se oculta. Pero ocultar una sola casilla de una fila no protege nada: basta con restar las demás del total para recuperarla. Por ello, Auspex oculta también una casilla adicional, elegida para que la resta ya no revele nada.
| Grupo | Publicado | Sin la segunda supresión |
|---|---|---|
| 18–39 | 42 | 42 |
| 40–59 | oculto | oculto |
| 60+ | oculto | 35 |
| Total | 84 | 84 |
A la derecha, se deduce de inmediato que el grupo 40–59 cuenta con 7 personas. A la izquierda, no.
Las demás reglas
- La tabla general y las tablas por centro se tratan como una sola tabla, para que no se puedan diferenciar entre sí.
- Los centros pequeños se agrupan en lugar de publicarse por separado.
- No se publica ningún mínimo ni máximo: un valor extremo suele señalar a una persona.
- Nunca sale ninguna respuesta de texto libre: un participante puede haber escrito en ella su nombre.
- Las preguntas de opción múltiple se examinan junto con sus complementarias.
- Una verificación automática se niega a escribir el informe si no se cumple alguna de estas reglas. No existe la publicación «a la fuerza».
Verificación
Lo que se verifica mediante pruebas, y no solo se afirma
Cada promesa de esta página corresponde a una prueba que falla si la promesa deja de ser cierta.
Claves, sellado, sustitución de clave, reproducción entre estudios.
Derechos por rol, bloqueo, registro de auditoría, cierre.
Propiedades de la supresión, tablas, ejecución real.
Doce escenas, todos los roles, en un navegador real.
- Una clave de médico sustituida se rechaza en la inscripción: el teléfono compara la huella contenida en el enlace — que nunca se envía al servidor — con la que anuncia el servidor.
- Un código de participante robado no basta: se necesita el PIN. Cinco fallos bloquean el código durante quince minutos, y el plazo se duplica cada vez. Se muestra el mismo error para un código incorrecto y para un PIN incorrecto.
- Un enlace de inclusión que circula — tarjeta perdida, mensaje reenviado — permite inscribirse como participante de ese médico, que ve la inscripción y la rechaza. El rechazo permanece visible.
- El registro de auditoría está encadenado mediante huellas. Una modificación realizada por un administrador de la base de datos, con las salvaguardas desactivadas, se detecta: está probado.
- La exportación solo contiene las respuestas enviadas y no rechazadas: sin código, sin identidad, sin texto libre, con identificadores de fila unidireccionales y estables de una exportación a otra. Cada descarga queda registrada, y una revocación surte efecto de inmediato.
- El responsable no puede designarse a sí mismo como estadístico, y un médico no puede exportar.
Si participa en un estudio
Lo que se le pide y lo que se hace con ello
Usted llega mediante un código QR, un enlace o un código, no buscando en este sitio
Según el estudio, escanea un código QR (cartel, sala de espera, boletín o tarjeta de su médico) o abre el enlace o el código de un solo uso que le entrega su médico. En todos los casos no procede de este sitio. Lo abre en su teléfono. Lo que ocurre después:
- Se le explica el estudio y se le pide su consentimiento. Usted puede negarse.
- Según el modo del estudio: en modo nominativo se le piden su nombre y su fecha de nacimiento, cifrados en su teléfono antes de enviarse, y solo su médico podrá leerlos; en modo abierto, no se le pide ninguna identidad.
- Usted elige un código PIN y recibe un código de participante. Consérvelos: le permiten volver a terminar el cuestionario más adelante, incluso en otro dispositivo.
- Usted responde. Cada respuesta se guarda sobre la marcha: si cierra la página, no pierde nada.
- Sus respuestas individuales nunca se publican. Lo que se publica son totales, en los que su caso queda diluido entre los de los demás.
Canarin, que hace funcionar la plataforma, no puede leer su nombre. En modo abierto no existe; en modo nominativo no es una promesa comercial: el cifrado se hace en su teléfono y no poseemos la clave que lo abre.
Hoja de ruta
Lo que viene a continuación
Auspex 1.10 está completo en el plano funcional y probado. La versión siguiente está en desarrollo; esto es lo que aporta.
Análisis
- Supresión cruzada entre preguntas: hoy, dos tablas de preguntas relacionadas podrían, en principio, diferenciarse una a partir de la otra.
- Modelos estadísticos más allá de las tablas descriptivas, para los estudios que los necesiten.
Explotación
- Rotación de clave para un médico, sin intervención manual.
- Envío de las invitaciones por correo electrónico: hoy el enlace circula por el canal que elige el responsable.
Estado actual
Lo que está hecho antes de un primer estudio hospitalario
Auspex está en fase piloto interna: todavía no ha comenzado ningún estudio hospitalario real. Los puntos de seguridad y de explotación siguientes ya se han tratado; la lista se mantiene al día con el código.
Técnicos (octubre de 2026)
- Revisión independiente del código de cifrado y del manejo de las claves, y prueba de intrusión: hallazgos de gravedad alta y media corregidos
- Configuración TLS del proxy (HSTS) y script de verificación
- Supervisión: estado de la API, fallos del planificador, verificación del registro de auditoría, copias de seguridad cifradas
Jurídicos y organizativos
- Alojamiento que cumple los requisitos HDS, en una cuenta separada de la plataforma de sensores
- Procedimiento escrito de conservación y purga, con un responsable designado; purga automática al vencer el plazo
- Procedimiento de incidentes: quién vuelve a invitar, quién lee el registro, qué hacer si se rompe la cadena de auditoría
La custodia de los datos corresponde al médico, y no es una carencia: es la consecuencia de la decisión de diseño. El descifrado se realiza en su navegador. A partir del momento en que desbloquea su clave, los nombres y las respuestas de sus participantes son legibles en su equipo — y su seguridad depende entonces de él: el propio equipo, la sesión abierta y la clave de recuperación que conserva sin conexión. Canarin no puede ayudarle ni sustituirle, puesto que no disponemos de la clave.
Esta custodia práctica no traslada las responsabilidades jurídicas: el responsable del tratamiento sigue siendo el hospital promotor, el médico investigador actúa bajo su responsabilidad y Canarin sigue siendo encargado del tratamiento en el sentido del artículo 28. El detalle figura en el marco jurídico.
Esta lista se publica porque un comité de ética la solicitará de todos modos, y porque una plataforma de datos de salud que no muestra en qué punto se encuentra no resulta creíble. Se mantiene actualizada junto con el código.
Marco jurídico
Quién es responsable de qué
El hospital es el promotor
Sigue siendo el responsable del tratamiento. Los datos del estudio son suyos; la exportación seudonimizada le pertenece.
Canarin es encargado del tratamiento
En el sentido del artículo 28 del RGPD.
Los trámites siguen correspondiendo al promotor
Dictamen del comité de ética, declaración ante la CNIL — por lo general conforme a las metodologías de referencia MR-001 o MR-003. Nosotros facilitamos la documentación técnica del expediente.
Estudios multicéntricos
Un promotor, varios centros. Las consultas privadas participan como centros de un estudio dirigido por un hospital.
Preguntas frecuentes
Para hospitales y consultas
Las preguntas sobre los sensores de calidad del aire se tratan en canarin-sensors.com.
¿Quién puede encargar un estudio?
Los hospitales, como promotores. Una consulta privada puede participar como centro de un estudio dirigido por un hospital, lo que permite que un mismo estudio se extienda a varios centros.
¿Se necesita un desarrollador o una integración informática?
No. El responsable del estudio lo hace todo desde su navegador: cuestionario, invitaciones, seguimiento, análisis, cierre. Por parte del centro, no hay nada que instalar. La única exigencia técnica es que los médicos dispongan de una aplicación de autenticación en su teléfono.
¿Qué diferencia hay entre una encuesta abierta y una nominativa?
Una encuesta abierta está pensada para la difusión amplia (cartel, boletín, sala de espera): se participa escaneando un código QR, sin que se pida nombre ni fecha de nacimiento, y el responsable sigue el reclutamiento en tiempo real (escaneos, inscripciones, cuestionarios enviados). Una encuesta nominativa es una cohorte cerrada: el médico entrega a cada paciente un código de un solo uso y la identidad se cifra en el navegador del paciente solo para el médico.
El modo se elige al crear el estudio y no puede cambiarse una vez abierto. Elija el modo abierto si la identidad de las personas no aporta nada al estudio (minimización de datos); el modo nominativo si el médico debe poder volver a encontrar a sus pacientes.
¿Cómo se elabora el cuestionario?
Bien directamente por su equipo en el editor, bien por nosotros a partir de sus documentos — protocolo, cuestionario en papel, recomendaciones. En ambos casos, el experto revisa y valida antes de la puesta en línea, y la versión validada queda fijada: cualquier modificación tras la apertura crea una nueva versión, con trazabilidad.
¿Se puede verificar cómo se calcularon los resultados?
Sí. El análisis se ejecuta en Python y su código se facilita, junto con la fórmula que hay detrás de cada indicador. Las reglas de ocultación de los efectivos pequeños también son públicas y están probadas.
¿Y si un médico pierde su frase de contraseña?
Utiliza su clave de recuperación, impresa en la activación, para definir una nueva. Sin esta clave, las identidades de sus participantes quedan ilegibles de forma definitiva: Canarin no puede recuperarlas. Es la contrapartida directa de que no disponemos de la clave. La clave de recuperación debe conservarse sin conexión.
¿Puede repetirse un estudio?
Sí. Una nueva oleada o un nuevo centro reutiliza el mismo cuestionario validado; solo cambian los enlaces de inclusión y la campaña.
¿Se utiliza inteligencia artificial?
No en la plataforma. Auspex 1.10 produce tablas descriptivas, calculadas mediante código legible, y nada más: ningún modelo interviene en los resultados publicados.
Los trabajos de análisis más avanzados — exploración de perfiles de riesgo a nivel poblacional, tratamiento de las respuestas de texto libre — corresponden a un servicio de estudio distinto, que se discute caso por caso y en el que todo resultado se califica de exploratorio. No se produce ninguna puntuación de riesgo individual.
¿Dónde se alojan los datos?
En Francia, en un alojamiento que cumple los requisitos HDS, separado de la plataforma de sensores.
Las dos actividades de Canarin
Canarin hace dos cosas distintas
Una misma pregunta las une: aquello a lo que estamos expuestos, ¿qué efecto tiene en nuestra salud? Pero son dos oficios, dos sitios y dos bases de datos separadas.
Los dos nombres dicen lo mismo. El canario descendía a la mina para avisar antes que los hombres. El augur, en Roma, observaba el vuelo de las aves para deducir lo que iba a suceder — de él procede la palabra «auspicios». Dos maneras de leer las aves.
canarin-sensors.com
Canarin Capteurs
Medir el aire de un lugar, de forma continua, y hacerlo legible. Hardware y acceso a la plataforma.
- Para escuelas, administraciones locales y empresas
- Datos de medición, sin datos personales
- Obligaciones del decreto sobre la calidad del aire interior
auspex.canarin-sensors.com
Canarin Auspex
Cuestionarios de salud para estudios realizados por hospitales, cuyos resultados se publican sin que nadie sea identificable.
- Para responsables de estudio, médicos investigadores y estadísticos
- Datos de salud, bajo la responsabilidad del promotor
- El participante llega mediante un código QR, un enlace o el código de su médico
Usted está aquí
Nada circula entre ambas. Ninguna medición de sensor llega a un estudio, y ninguna respuesta de participante asciende hacia la plataforma de sensores. Cada actividad tiene su alojamiento, su base de datos, su política de confidencialidad y su base jurídica. Una vinculación, si algún día resultara pertinente para un estudio, exigiría su propio acuerdo y su propio paso ante un comité.
Acceso
Entrar en Auspex
Espacio profesional
Médicos y responsables de estudio. El acceso se crea mediante invitación nominativa, nunca en acceso libre.
Retomar un cuestionario
Con su código de participante y su PIN. Una primera participación siempre empieza con un código QR, un enlace o un código que le entrega su médico o el equipo del estudio, nunca desde este sitio.
Editor de cuestionarios
Elaborar, traducir y previsualizar el cuestionario tal como lo verá un participante. Reservado a los responsables de estudio.
Montar un estudio
Empecemos por hablarlo. Indíquenos el tema, el número de centros previstos y el plazo: le responderemos con lo que es factible hoy y con lo que requiere antes cumplir un requisito previo, sin embellecer nada.
Y si su pliego de condiciones exige algo distinto, hablémoslo: nuestros equipos pueden estudiar una adaptación de las funcionalidades existentes o un desarrollo específico. Un estudio no encaja en un molde — preguntas, idiomas, circuito de inclusión, formato del informe. Examinamos juntos qué es posible, en qué condiciones y qué no lo es: es hablándolo como se sabe.
auspex@canarin-sensors.com