Todos los artículos

    Nota de arquitectura

    15 de julio de 2026por Gustavo Teixeira Cuco3 min de lectura

    Arquitectura de Datos Sanitarios en Dubái — Cuatro Preguntas Más Allá de la Salud

    Contexto de arquitectura

    Decisión de arquitectura

    Confianza y cumplimiento

    Aplicado en

    Q-LIRILusiberiaStays
    Arquitectura de Datos Sanitarios en Dubái — Cuatro Preguntas Más Allá de la Salud

    Empecé con una pregunta amplia sobre un producto de IA clínica en Oriente Medio. La evidencia obligó a acotar la respuesta: esta arquitectura regulatoria depende de la jurisdicción y del caso de uso. Las normas públicas de Dubái eran la fuente relevante, no una generalización sobre los EAU o MENA.

    La norma de telesalud de la DHA integra la evaluación de la plataforma en el modelo operativo y, para la información cubierta, exige almacenamiento mediante un proveedor cloud certificado por DESC en los EAU. También fija un mínimo de 25 años desde el último encuentro para información de telesalud. Otras normas de la DHA y NABIDH exigen mínimo privilegio y trazas de auditoría protegidas.

    Estas obligaciones no se aplican automáticamente a una plataforma inmobiliaria. Se transfieren las preguntas arquitectónicas, no las reglas sanitarias.

    Ambos sectores tratan datos limitados por finalidad, función y jurisdicción. Decir que un registro simplemente “pertenece” a la persona descrita oculta los roles jurídicos de interesado, responsable y encargado. El diseño debe hacer explícitos esos roles, finalidades y derechos de decisión.

    No encontré base para afirmar que PropTech converja hacia la regulación sanitaria de Dubái. Sí encontré cuatro preguntas reutilizables: ubicación, ciclo de vida, autoridad y evidencia.

    Las preguntas se trasladan; las respuestas regulatorias no.

    Ubicación. ¿Dónde puede almacenarse o tratarse cada clase de datos según las reglas aplicables? En una operación PT/ES la respuesta debe derivarse del RGPD, los contratos y la cadena real de tratamiento, no importarse de la sanidad.

    Ciclo de vida. ¿Qué crea el registro, cuánto tiempo debe estar disponible y qué autoriza su eliminación? Los 25 años son una respuesta específica de la telesalud de Dubái; la práctica reutilizable es definir cada ciclo de vida.

    Autoridad. ¿Quién puede ver, cambiar o divulgar cada registro y para qué finalidad? El mínimo privilegio es el principio; RBAC o políticas de base de datos son posibles controles, no sustitutos del modelo de responsabilidad.

    Evidencia. ¿Qué prueba quién accedió o cambió un registro, cuándo y con qué autoridad? NABIDH exige trazas revisables y protegidas contra alteración o eliminación no autorizada; no respalda mi afirmación anterior de que todo log deba estar firmado, ser de solo inserción o escribirse antes del commit.

    Juntas, ubicación, ciclo de vida, autoridad y evidencia forman una arquitectura más útil que una función genérica de “cumplimiento”. La configuración puede expresar diferencias, pero no vuelve intercambiables distintos regímenes jurídicos.

    Es una comparación arquitectónica, no una equivalencia regulatoria, una implantación clínica ni una certificación. Q-LIRI expuso las preguntas; aplicarlas a LusiberiaStays requiere una base jurídica y controles propios.

    La evolución aquí fue convertir una analogía amplia en cuatro decisiones explícitas y retirar, antes de publicar, la certeza que la evidencia no sostenía.

    Fuentes