Respuesta corta: si la HIPAA cubre a tu clínica, un CRM que guarda información de pacientes para tu clínica es, por lo general, un socio comercial. El HHS pide firmar con él un acuerdo de socio comercial (BAA) antes de que el CRM maneje esa información. El HHS no certifica ningún producto como «HIPAA compliant», así que lo que revisas es el BAA y lo que cubre. Tu clínica sigue a cargo de sus propias medidas, como el acceso según el puesto y la formación de tu equipo.
Antes de leer: las reglas de esta guía salen de lo que publica el HHS sobre la Regla de Seguridad, la nube, los socios comerciales y las afirmaciones de certificación. Lo consultamos el 12 de noviembre de 2026, junto con las páginas sobre la HIPAA de los proveedores de CRM que nombra. La guía no clasifica a ninguno de ellos. Las páginas del HHS están en inglés; los términos traducidos entre paréntesis son nuestros. Si la HIPAA se aplica, y lo que necesita tu CRM, depende de cómo trate tu clínica los datos de salud. Es información general, no asesoría legal.
Cuándo es un CRM un socio comercial
Las reglas de la HIPAA rigen para las entidades cubiertas. Entre ellas están los proveedores de salud que transmiten información de salud de forma electrónica, vinculada a una transacción cubierta. Según el HHS, algunas disposiciones se aplican también directamente a los socios comerciales.
El HHS define al socio comercial como una persona u organización ajena a la plantilla de la entidad cubierta. Esta lo contrata para ciertos trabajos que implican el uso o la divulgación de PHI, la información de salud protegida.
Entre los ejemplos de ese trabajo que da la página del HHS están la tramitación de reclamaciones, el análisis de datos, la facturación y la gestión de la consulta.
La guía del HHS sobre la nube abarca servicios en línea, desde el simple almacenamiento de datos hasta soluciones de software completas. Cuando una entidad cubierta contrata uno que crea, recibe, mantiene o transmite ePHI (PHI electrónica) por ella, por ejemplo para procesarla o almacenarla, el proveedor es un socio comercial.
A nuestro juicio, trata como un servicio que guarda PHI de tu clínica a todo CRM que recibe consultas sobre tratamientos.
Cuándo recoge información de salud protegida un formulario de tu web es el tema de nuestra guía sobre los formularios y la HIPAA.
La etiqueta «HIPAA compliant» en un CRM
El HHS y su Oficina de Derechos Civiles (OCR) no certifican a ninguna persona ni producto como «HIPAA compliant» (que cumple la HIPAA). El HHS lo dice en una página sobre las afirmaciones de marketing engañosas.
La página añade que al HHS le han llegado avisos de quien afirma que el HHS o la OCR respaldan o exigen sus materiales o sistemas.
Lo que describen las reglas del HHS es un contrato. Una entidad cubierta puede revelar PHI a un socio comercial si obtiene garantías satisfactorias, en un contrato u otro acuerdo escrito, de que la información estará bien protegida. El HHS lo llama acuerdo de socio comercial, o BAA.
A nuestro juicio, toma el «HIPAA compliant» de la web de un CRM como una afirmación que hay que comprobar, y pide el BAA y el plan que cubre.
Lo que dice el BAA con el proveedor de tu CRM
Según el HHS, el BAA no puede autorizar al proveedor a usar ni divulgar la PHI de un modo que infringiría la Regla de Privacidad si lo hiciera tu clínica.
Las excepciones son lo que el proveedor necesita para su propia gestión y administración, y los servicios de agregación de datos para las operaciones de atención médica de tu clínica.
Las cláusulas de ejemplo que publica el HHS piden que las partes precisen si el socio comercial puede usar la PHI para desidentificarla. También pueden querer fijar cómo la desidentificará y qué puede hacer con el resultado.
Las mismas cláusulas señalan que las partes pueden añadir un plazo más estricto para que el socio comercial avise de una posible brecha. También pueden decir si se encargará de las notificaciones de brechas en nombre de la entidad cubierta.
Según la Regla de Seguridad, el BAA también establece que el socio comercial y sus subcontratistas cumplirán los requisitos de esa regla que se apliquen. El socio comercial avisa a la clínica de cada incidente de seguridad que conozca, y eso abarca las brechas de PHI sin proteger.
La guía del HHS sobre la nube añade que la Regla de Seguridad no fija el nivel de detalle, la frecuencia ni el formato de los informes de incidentes. Las partes del BAA pueden acordarlos.
El BAA también puede fijar avisos de brechas más rápidos que los que exige la Regla de Notificación de Brechas. Fuera de eso, no puede pasar por encima de lo que esa regla exige, dice la guía.
Cuando una clínica sabe de un patrón de actividad o una práctica que incumple de forma sustancial el BAA, tiene que dar pasos razonables para corregirlo o ponerle fin. Si esos pasos fallan, la clínica pone fin al BAA si es factible, añade el HHS.
Los términos que pide el HHS en el contrato con cada socio comercial están en nuestra guía sobre la HIPAA y la web de las clínicas.
A nuestro juicio, antes de guardar datos de pacientes, lee qué permite el BAA al proveedor con los datos desidentificados y en qué plazo te avisa de una brecha.
Los proveedores que hay detrás de tu CRM
La página del HHS que resume la Regla de Seguridad dice que la regla no exige a una entidad cubierta obtener garantías de un socio comercial que es subcontratista.
Las obtiene el proveedor del CRM, en un contrato u otro acuerdo escrito con cada subcontratista que maneja ePHI por él. Esos acuerdos tienen que reunir los mismos requisitos que el BAA entre tu clínica y el proveedor.
Los correos, textos y mensajes de WhatsApp que puede enviar un CRM están en nuestra guía sobre cómo escribir a pacientes bajo la HIPAA. Para los recordatorios por SMS, nuestra guía de recordatorios de citas por SMS trata las reglas de la FCC sobre el consentimiento.
Tu acceso a los datos, y el día que te vas
En sus preguntas frecuentes, el HHS responde si un socio comercial puede bloquear o cortar el acceso de una entidad cubierta a la PHI que guarda por ella. La respuesta es no.
Su ejemplo es el desarrollador de una historia clínica electrónica (EHR) que activa un «kill switch» (interruptor de apagado) en su software para resolver una disputa de pago. El HHS llama a ese bloqueo un uso no permitido de la PHI.
Cuando termina el acuerdo, el socio comercial devuelve la PHI como dice el BAA. Si el BAA prevé esa devolución, según el HHS se hace en un formato razonable según el acuerdo, para que siga accesible y utilizable.
La OCR señala además que una entidad cubierta es responsable de la disponibilidad de su propia PHI. Una clínica que acepta cláusulas del BAA que se lo impiden no cumple las disposiciones de la HIPAA sobre los contratos de socio comercial, dice la OCR.
A nuestro juicio, pregunta antes de firmar cómo te devuelve el proveedor los datos al final del contrato, y en qué formato.
Lo que tu clínica configura por sí misma
La guía del HHS sobre la nube dice que conviene que una entidad cubierta que contrata un servicio en la nube entienda el entorno o la solución que ofrece. Así puede hacer su propio análisis de riesgos y firmar los BAA adecuados.
La página del HHS que resume la Regla de Seguridad trata la regla vigente y enlaza a las modificaciones propuestas. Sus medidas valen igual para entidades cubiertas y socios comerciales, a los que llama entidades reguladas.
La regla sigue el estándar del «mínimo necesario» de la Regla de Privacidad. Según el resumen, el acceso a la ePHI se autoriza solo cuando es adecuado para el puesto del usuario o del destinatario.
Los miembros de la plantilla que trabajan con ePHI necesitan la autorización, la supervisión y el acceso adecuados. El resumen pide también formación en seguridad para toda la plantilla, y sanciones para quien incumpla las políticas de privacidad.
La autenticación son procedimientos para verificar que quien pide acceso a la ePHI es quien dice ser. Los controles de auditoría registran y examinan la actividad en los sistemas que contienen o usan ePHI.
El resumen también pide revisar con regularidad los registros para seguir el acceso a la ePHI y detectar incidentes de seguridad. Además, pide valorar si hace falta una nueva evaluación tras cambios en el entorno de seguridad, como adoptar una tecnología nueva.
Tu clínica puede pedir más al proveedor. Según el HHS, la HIPAA no exige de forma expresa que un proveedor en la nube entregue documentación de sus prácticas de seguridad ni que permita auditarlas.
Aun así, el cliente puede exigir más garantías según su propio análisis de riesgos, como documentación de las medidas o auditorías. Puede pedirlas en el BAA, en el acuerdo de nivel de servicio o en otros documentos.
A nuestro juicio, da a cada persona de tu equipo su propio acceso al CRM, solo con lo que necesita su puesto.
Lo que dicen los proveedores de CRM en sus propias páginas
HighLevel (GoHighLevel), HubSpot y Salesforce describen cómo tratan la HIPAA en páginas propias, consultadas el 12 de noviembre de 2026.
La página de ayuda de HighLevel, modificada el 10 de noviembre de 2026, dice que HighLevel ofrece un complemento de HIPAA opcional para toda la cuenta. La página lo presenta como una mejora de pago que activa el cifrado de la ePHI, los BAA, el registro de auditoría y la obligación de usar MFA.
Una vez comprado, la HIPAA se activa en cada subcuenta que la necesite, y la página dice que después no se puede desactivar.
El artículo de ayuda de HubSpot sobre los datos sensibles, actualizado el 12 de noviembre de 2026, dice que la función está disponible con sus suscripciones Enterprise. Para guardar datos cubiertos por la HIPAA, la cuenta marca la casilla «Health/Medical Data» y la casilla «We are a HIPAA-covered entity or business associate».
Después acepta las Condiciones sobre datos sensibles y, si procede, el acuerdo de socio comercial. El artículo añade que las propiedades de Datos sensibles no están disponibles en ciertas herramientas, como los tokens de personalización, los sandboxes, los chatbots y los playbooks.
La página de Salesforce sobre su Business Associate Addendum (adenda de socio comercial) se actualizó el 30 de septiembre de 2026. Dice que Salesforce ofrece el BAA para los servicios que lista como «HIPAA Covered Services».
Para que un servicio quede cubierto, el cliente y Salesforce firman un BAA que lo incluye. El cliente sigue también el BAA y la página, en la medida en que se apliquen. Según la página, el cliente tiene que cifrar toda la PHI enviada con esos servicios y, en lo que dependa de él, la guardada en ellos.
A nuestro juicio, revisa qué plan, productos y ajustes cubre el BAA del proveedor, y activa lo que pide la página del proveedor, antes de guardar datos de pacientes.
Antes de guardar datos de pacientes en el CRM
- Tu clínica tiene un BAA firmado con el proveedor del CRM, y cubre el plan y las herramientas que usas.
- Leíste qué permite el BAA al proveedor con tus datos, incluida la desidentificación.
- El BAA dice cómo te avisa el proveedor de los incidentes de seguridad y las brechas.
- Cada persona de tu equipo tiene su propio acceso, solo con lo que necesita su puesto.
- El CRM y cada aplicación conectada a él entran en tu análisis de riesgos.
- Sabes cómo, y en qué formato, te devuelve el proveedor los datos al final del contrato.
RecuerdaSi la HIPAA cubre a tu clínica, un CRM con datos de sus pacientes es, por lo general, un socio comercial: el BAA va primero. El HHS no certifica ningún producto como «HIPAA compliant». El BAA fija la parte del proveedor, y tu clínica sigue con la suya: acceso por puesto, formación y análisis de riesgos.
En el plan Crecimiento de nuestra automatización para clínicas de cirugía estética, las consultas de tu web, WhatsApp y anuncios de Meta y Google llegan a tu CRM. Cada una recibe una primera respuesta automática y después seguimientos, y las citas reciben recordatorios. Configuramos el CRM y las herramientas de mensajes que tu clínica elija, y la suscripción del CRM la paga tu clínica.
Preguntas sobre el CRM y la HIPAA
¿Mi clínica necesita un BAA con su CRM?
Sí, si la HIPAA cubre a tu clínica y el CRM guarda PHI por ella. La guía del HHS sobre la nube trata como socio comercial a un servicio que almacena ePHI para una entidad cubierta. El resumen de la Regla de Seguridad pone el BAA antes de que el proveedor pueda crear, recibir, mantener o transmitir ePHI.
¿HubSpot sirve para datos cubiertos por la HIPAA?
El HHS no certifica ningún producto como «HIPAA compliant». El artículo de ayuda de HubSpot, actualizado el 12 de noviembre de 2026, explica cómo guardan las cuentas Enterprise datos cubiertos por la HIPAA con la función de Datos sensibles. La cuenta marca las casillas de la HIPAA y acepta las condiciones y, si procede, el BAA.
¿GoHighLevel firma un BAA?
La página de ayuda de HighLevel, modificada el 10 de noviembre de 2026, dice que su complemento de HIPAA, opcional y para toda la cuenta, activa los BAA. También activa el cifrado de la ePHI, el registro de auditoría y la obligación de usar MFA. La página lo presenta como una mejora de pago que se activa en cada subcuenta que lo necesite.
¿Puede un proveedor de CRM dejar a mi clínica sin acceso a los datos de pacientes?
No, según el HHS. Un socio comercial que bloquea el acceso a la PHI que guarda para una entidad cubierta hace, en general, un uso no permitido según la Regla de Privacidad. Lo mismo vale cuando le quita los permisos de acceso. El ejemplo del HHS es un «kill switch» usado para resolver una disputa de pago.
¿Mi clínica puede auditar la seguridad del proveedor de su CRM?
Según el HHS, la HIPAA no exige de forma expresa que un proveedor en la nube entregue documentación de su seguridad ni acepte auditorías de clientes. Con su propio análisis de riesgos como base, tu clínica puede exigir esas garantías en el BAA, el acuerdo de nivel de servicio u otros documentos.
Fuentes
Consultadas el 12 de noviembre de 2026: HHS.gov, el sitio del Departamento de Salud y Servicios Humanos de Estados Unidos, y las páginas de los proveedores. Socios comerciales y contratos: Business Associates Frequently Asked Questions (FAQs), Business Associate Contracts y la pregunta frecuente sobre si un socio comercial puede bloquear o cortar el acceso. Seguridad y nube: Summary of the HIPAA Security Rule y Guidance on HIPAA & Cloud Computing. Afirmaciones de los productos: What You Should Know About OCR HIPAA Privacy Rule Guidance Materials. De los proveedores de CRM: HIPAA Compliance With HighLevel, Almacenar datos sensibles en HubSpot y Business Associate Addendum Restrictions, de Salesforce. Las páginas del HHS, de HighLevel y de Salesforce están en inglés, también con el navegador en español.