Portal seguro de presupuestos: enlace + OTP, no PDF adjunto

En muchas clínicas el presupuesto “sale” así: se genera un PDF, se adjunta al email o al WhatsApp, y se confía en que el paciente lo abra, lo entienda y responda. Parece inocente. En la práctica genera tres fricciones que no se ven en el Excel de conversión.

Primero, privacidad débil: el PDF viaja por canales que no controlas y queda en bandejas, hilos reenviados y dispositivos de terceros. Segundo, ceguera comercial: nadie sabe con certeza si el paciente lo abrió, lo descargó o lo ignoró. Tercero, follow-up irregular: la recepción recuerda “a ojo” a quién llamar, y el día 0 no es la entrega real.

Cuando diseñamos DentalFlow (vertical clínicas sobre SpartanFlow Core), el Documento-Funcional lo dejó escrito sin ambigüedad: el paciente recibe un enlace, nunca el PDF como adjunto ordinario; el acceso se verifica con OTP. No era un “nice to have” de seguridad. Era la condición para poder medir y automatizar el ciclo comercial después.

En proyectos reales, el riesgo no es “hacer mal la arquitectura”. Es eternizar el diseño esperando el storage perfecto, el OTP multi-canal y el antivirus enterprise antes de enseñar valor. Tomamos dos decisiones de piloto y las documentamos.

D4 — OTP por email (Brevo en producción; consola en local): canal que la clínica ya usa, TTL de 10 minutos, 5 intentos y un reenvío por minuto. D5 — storage local cifrado AES-256-GCM: piloto sin S3, PDF de hasta 10 MiB y clave fuera del repositorio. Trade-off aceptado: el escáner antivirus queda en stub. No bloquea el piloto; sí aparece en riesgos y en el roadmap.

La lección para CodeSpartan es clara: decidir en pequeño, construir el puerto bien, y dejar el adapter listo para evolucionar.

El flujo es directo. La clínica sube el PDF; el backend lo cifra a disco y emite un enlace público (sin adjuntar el fichero). El paciente abre el enlace, recibe el OTP por email, verifica y descarga. En el panel: emitir, reenviar, revocar y copiar URL. En el portal público: sin login de clínica y sin datos de presupuesto en la API pública.

Cada paso queda auditado: emisión del enlace, OTP fallido u ok, descarga. Eso cierra el círculo entre seguridad y comercial: por fin hay hechos, no intuiciones.

El detalle que cambia el negocio: día 0 ya no es la fecha de emisión del PDF. Día 0 = deliveredAt, el momento en que el enlace seguro se emitió de verdad. Por debajo del umbral (por defecto 599 €) hay recordatorio automático al día 7 y no_response al 14; por encima, tarea de llamada manual. Umbral y plazos se congelan en un snapshot al entregar, para que un cambio de config no reescriba campañas en curso.

La decisión del paciente (aceptar / rechazar) se registra a mano, con motivo estructurado opcional. El sistema nunca infiere el rechazo. Esa honestidad de dominio evita dashboards mágicos y conversaciones incómodas con la clínica.

Stack: NestJS (Fastify) + Prisma/PostgreSQL + Next.js App Router. Piezas reutilizables: DocumentStorageDriver local cifrado, DocumentAccessService (enlace + OTP) y reglas puras de umbral con tests. Playwright cubre panel y portal. Como endurecimiento del panel que emite los enlaces, cerramos también MFA TOTP para usuarios de clínica.

Antes: PDF en el hilo, “¿lo habrá visto?”, follow-up desde la fecha del PDF y rechazo sin categoría. Después: enlace + OTP, eventos de acceso auditados, follow-up desde la entrega real + umbral, y motivo estructurado opcional.

Limitaciones honestas del piloto: storage local (object storage cifrado es el siguiente paso natural, mismo puerto), antivirus en stub, OTP solo por email en esta fase, y UI de admin para umbral/días aún pendiente. Preferimos decirlo así: un piloto serio se vende mejor que un roadmap hinchado.

Lo que vende CodeSpartan con este caso no es “hemos hecho un upload de PDF”. Es un servicio empaquetable: entrega documental segura + automatización de seguimiento con auditoría. Combo Cloud/seguridad + producto vertical — poco común en freelance puro front. Demostrable en cinco minutos. Documentable como caso de estudio.

Si tu clínica (o tu vertical) sigue mandando documentos sensibles como adjunto ordinario, el patrón se adapta: enlace, segundo factor de acceso, auditoría y reglas de follow-up ancladas a hechos. Habla con nosotros en codespartan.es.