Las sesiones de psicología online implican el tratamiento de información especialmente sensible. Durante una videollamada pueden compartirse síntomas, diagnósticos, relaciones familiares, antecedentes médicos y otros datos relacionados con la salud. Por eso, no basta con elegir la aplicación que ofrece mejor calidad de imagen.
Las mejores plataformas de videollamada para terapia online deben combinar cifrado, controles de acceso, estabilidad, facilidad para el paciente y condiciones contractuales adecuadas. También es importante comprobar si el proveedor ofrece un acuerdo de tratamiento de datos y cómo gestiona las transferencias internacionales.
Ninguna plataforma convierte automáticamente una consulta en conforme con el RGPD. El psicólogo sigue siendo responsable de configurar correctamente la herramienta, informar al paciente, limitar los datos recopilados y aplicar medidas de seguridad proporcionadas al riesgo.
Qué debe tener una plataforma para terapia online
Antes de comparar marcas concretas, conviene revisar estos elementos:
- Cifrado de las comunicaciones durante la sesión.
- Acuerdo de tratamiento de datos o DPA.
- Información clara sobre subencargados y transferencias.
- Contraseñas, salas de espera o control de participantes.
- Autenticación en dos pasos para el profesional.
- Posibilidad de desactivar grabaciones y transcripciones.
- Políticas de conservación y eliminación de datos.
- Compatibilidad con ordenador, tableta y móvil.
- Facilidad de acceso para el paciente.
- Opciones de alojamiento o control regional de los datos.
La expresión cumplimiento del RGPD no debe entenderse como un certificado universal. El proveedor puede ofrecer herramientas y compromisos contractuales adecuados, pero el profesional debe utilizarlos correctamente.
Las mejores plataformas de videollamada para terapia online
1. Doxy.me
Doxy.me es una plataforma creada específicamente para telemedicina. El paciente puede entrar en la sala virtual mediante un enlace, sin descargar una aplicación ni crear una cuenta.
La plataforma utiliza WebRTC y publica que las comunicaciones de audio y vídeo están cifradas. En las llamadas individuales, la transmisión puede realizarse directamente entre los participantes. También dispone de sala de espera virtual, avisos de llegada y controles destinados a profesionales sanitarios.
Doxy.me informa sobre su adaptación al RGPD y contempla la posibilidad de formalizar un acuerdo de tratamiento de datos. El profesional debe revisar qué condiciones y documentos se incluyen en el plan elegido.
Puntos fuertes:
- Diseñada para atención sanitaria.
- El paciente no necesita registrarse.
- Sala de espera virtual.
- Interfaz sencilla.
- Cifrado de audio y vídeo.
- Plan inicial accesible.
Limitaciones:
- Algunas funciones profesionales requieren planes superiores.
- La calidad puede depender mucho del navegador y la conexión.
- Conviene confirmar el DPA aplicable al contratar.
Es probablemente una de las opciones más sencillas para un psicólogo autónomo que quiere comenzar sin implantar un sistema técnico complejo.
2. Whereby
Whereby permite crear una sala permanente a la que el paciente accede desde el navegador. Su principal ventaja es la facilidad de uso: normalmente basta con abrir un enlace y autorizar la cámara y el micrófono.
En las salas pequeñas, especialmente adecuadas para terapia individual, las comunicaciones pueden mantenerse cifradas de extremo a extremo. En reuniones grandes, el tratamiento técnico del vídeo puede cambiar y los flujos pueden ser descifrados temporalmente en la memoria del servidor para distribuirlos.
Whereby es una empresa de origen noruego, publica un acuerdo de tratamiento de datos y ofrece información específica sobre el RGPD. Sin embargo, sus condiciones indican que determinados acuerdos forman parte especialmente de los planes Business o Embedded, por lo que no debe asumirse que cualquier cuenta gratuita ofrece idénticas garantías contractuales.
Puntos fuertes:
- Acceso directo desde el navegador.
- Muy poca fricción para el paciente.
- Salas individuales apropiadas para terapia.
- Empresa europea.
- DPA disponible en planes profesionales.
Limitaciones:
- El funcionamiento del cifrado varía según el tamaño de la sala.
- Hay que revisar qué plan incorpora el contrato necesario.
- No está tan orientada a la gestión clínica como Doxy.me.
Puede ser la mejor alternativa para profesionales que priorizan una experiencia sencilla y sesiones individuales sin descargas.
3. Zoom Workplace
Zoom ofrece una conexión estable, salas de espera, contraseñas, bloqueo de reuniones, autenticación y controles administrativos. También permite activar cifrado de extremo a extremo, aunque esta modalidad no está necesariamente habilitada por defecto.
Cuando se activa el E2EE, algunas funciones dejan de estar disponibles porque requieren que los servidores procesen el contenido. Esto puede afectar a grabaciones en la nube, transcripciones, resúmenes automáticos y otras herramientas.
Zoom dispone de un acuerdo global de tratamiento de datos, cláusulas contractuales para transferencias y opciones relacionadas con infraestructuras y centros de datos europeos. La configuración exacta depende del tipo de cuenta y del servicio contratado.
Puntos fuertes:
- Buena estabilidad de audio y vídeo.
- Sala de espera y contraseñas.
- E2EE configurable.
- Amplios controles administrativos.
- Adecuada para sesiones individuales y grupos.
Limitaciones:
- Requiere revisar y modificar la configuración de privacidad.
- El E2EE limita algunas funciones.
- Las herramientas de IA, transcripción y grabación aumentan el tratamiento de datos.
Para terapia conviene utilizar una cuenta profesional, activar la sala de espera, generar enlaces protegidos y deshabilitar funciones que no sean necesarias.
4. Microsoft Teams
Microsoft Teams puede resultar especialmente adecuado para clínicas que ya trabajan con Microsoft 365. Integra videollamadas, calendario, correo, gestión de usuarios y controles centralizados.
Microsoft informa de que los datos de Teams se cifran en tránsito y en reposo. También ofrece opciones de cifrado de extremo a extremo para determinados tipos de llamadas y reuniones sensibles, aunque el administrador debe habilitarlas y pueden perderse algunas funciones.
El ecosistema Microsoft incluye compromisos contractuales relacionados con el RGPD, cláusulas contractuales tipo y documentación para realizar evaluaciones de impacto.
Puntos fuertes:
- Administración centralizada de usuarios.
- Integración con Microsoft 365.
- Cifrado en tránsito y reposo.
- Opciones de E2EE.
- Controles útiles para clínicas con varios profesionales.
Limitaciones:
- Puede ser más complejo para el paciente.
- Algunas opciones dependen del administrador y del plan.
- La integración con grabaciones, transcripciones o IA debe configurarse con cautela.
Es una alternativa sólida para centros que necesitan gestionar cuentas profesionales, permisos y políticas comunes.
5. Google Meet con Google Workspace
Google Meet resulta fácil de utilizar y se integra con Calendar, Gmail y otros servicios de Google Workspace. Las reuniones estándar utilizan cifrado durante la transmisión y las grabaciones almacenadas en Drive se cifran en reposo.
No debe afirmarse que todas las reuniones de Google Meet utilizan automáticamente cifrado de extremo a extremo. Google ofrece distintas modalidades, como cifrado de llamadas y cifrado del lado del cliente para determinadas organizaciones y planes.
Google Workspace incorpora un acuerdo de tratamiento de datos. Algunas ediciones también permiten aplicar políticas de región para que determinados datos en reposo se almacenen en Europa.
Puntos fuertes:
- Acceso sencillo desde el navegador.
- Integración con calendarios y correo profesional.
- Cifrado en tránsito por defecto.
- DPA de Google Workspace.
- Controles administrativos en planes profesionales.
Limitaciones:
- Una cuenta personal de Gmail no ofrece la misma gestión que Workspace.
- La región de datos y el cifrado avanzado dependen de la edición.
- Las grabaciones, subtítulos y funciones inteligentes amplían el tratamiento.
Para terapia es preferible utilizar una cuenta de Google Workspace administrada profesionalmente y no una dirección personal de Gmail.
6. Cisco Webex
Cisco Webex dispone de funciones avanzadas de seguridad, administración, verificación de identidad y cifrado. Permite seleccionar tipos de reunión con cifrado de extremo a extremo Zero Trust para comunicaciones especialmente sensibles.
La activación de esta modalidad puede limitar grabaciones, transcripciones, asistentes telefónicos y otras funciones que necesitan acceso al contenido. Webex también publica compromisos relacionados con el RGPD y controles destinados a organizaciones con requisitos elevados.
Puntos fuertes:
- Opciones avanzadas de E2EE.
- Verificación de identidad.
- Administración empresarial.
- Controles de cumplimiento y auditoría.
- Adecuada para clínicas y organizaciones grandes.
Limitaciones:
- Puede resultar excesiva para un profesional individual.
- Su configuración es más compleja.
- Algunas funciones dejan de estar disponibles con el modo más seguro.
Es una opción especialmente interesante para clínicas con departamento técnico o políticas internas estrictas.
7. Jitsi Meet autogestionado
Jitsi Meet es una solución de código abierto que puede utilizarse en servidores públicos o instalarse en una infraestructura propia. Esta segunda posibilidad permite a una clínica controlar el alojamiento, los registros y la configuración.
Jitsi cifra las comunicaciones y ofrece una opción de cifrado de extremo a extremo en navegadores compatibles. Sin embargo, utilizar una instancia pública no aporta el mismo control que administrar una instalación propia o contratar a un proveedor europeo con garantías documentadas.
Puntos fuertes:
- Código abierto.
- Posibilidad de alojamiento propio.
- E2EE en configuraciones compatibles.
- No obliga al paciente a crear una cuenta.
- Alto control técnico si se autogestiona.
Limitaciones:
- La autogestión requiere conocimientos técnicos.
- Deben configurarse actualizaciones, copias, registros y seguridad.
- Una instancia pública gratuita no es automáticamente adecuada para datos sanitarios.
Puede ser una buena opción para clínicas capaces de contratar administración de sistemas y alojamiento dentro de la Unión Europea.
8. Nextcloud Talk
Nextcloud Talk es una plataforma de comunicación integrada en Nextcloud. Puede instalarse en servidores propios o en un proveedor elegido por la clínica, lo que permite mantener un mayor control sobre la soberanía de los datos.
La plataforma ofrece llamadas cifradas de extremo a extremo para comunicaciones sensibles y permite integrar chat, archivos y videollamadas dentro de una infraestructura controlada por la organización.
Puntos fuertes:
- Alojamiento propio o con proveedor seleccionado.
- Control sobre la ubicación de los datos.
- Llamadas con E2EE.
- Integración con archivos y herramientas internas.
- Adecuada para clínicas que buscan independencia tecnológica.
Limitaciones:
- Requiere instalación y mantenimiento.
- La experiencia depende de la calidad del servidor.
- Puede ser más costosa y compleja que una plataforma SaaS.
Es una de las mejores opciones para centros que priorizan el control técnico y cuentan con recursos para mantener la infraestructura.
Comparativa rápida
| Plataforma | Tipo de cifrado destacado | DPA o marco RGPD | Mejor para |
|---|---|---|---|
| Doxy.me | Cifrado WebRTC y E2EE publicado | Sí, revisar plan | Psicólogos autónomos |
| Whereby | E2EE en salas pequeñas | Sí en planes profesionales | Sesiones individuales sencillas |
| Zoom | E2EE opcional | Sí | Profesionales y grupos |
| Microsoft Teams | Tránsito, reposo y E2EE configurable | Sí | Clínicas con Microsoft 365 |
| Google Meet | Tránsito y opciones avanzadas | Sí con Workspace | Usuarios de Google Workspace |
| Cisco Webex | E2EE Zero Trust configurable | Sí | Clínicas grandes |
| Jitsi Meet | E2EE compatible y autohospedaje | Depende del proveedor | Centros con soporte técnico |
| Nextcloud Talk | E2EE y alojamiento propio | Depende de la implantación | Máximo control de datos |
¿Cuál elegir según el tipo de consulta?
Para un psicólogo autónomo
Doxy.me suele ser la alternativa más directamente orientada a la atención sanitaria. Whereby puede ser todavía más sencilla para el paciente si se contrata un plan con las condiciones de tratamiento necesarias.
Zoom también es válido si se configura correctamente y se desactivan las funciones innecesarias.
Para una clínica con varios terapeutas
Microsoft Teams, Webex o una cuenta empresarial de Zoom permiten gestionar usuarios, permisos, autenticación y políticas desde un panel central.
La clínica debe evitar que cada profesional utilice una cuenta personal diferente sin supervisión ni criterios comunes.
Para una clínica que quiere controlar sus servidores
Jitsi autogestionado y Nextcloud Talk ofrecen mayor control, pero trasladan a la clínica responsabilidades técnicas relacionadas con actualizaciones, accesos, registros, disponibilidad y copias de seguridad.
Cifrado en tránsito y cifrado de extremo a extremo
El cifrado en tránsito protege la información mientras circula entre el dispositivo y los servidores de la plataforma. Es una medida básica y necesaria, pero el proveedor puede necesitar descifrar el contenido para ofrecer ciertas funciones.
En el cifrado de extremo a extremo, las claves permanecen en los dispositivos de los participantes y el proveedor no debería poder acceder al contenido de la conversación.
El E2EE ofrece una protección adicional, pero puede impedir:
- Grabaciones en la nube.
- Transcripciones automáticas.
- Resúmenes mediante inteligencia artificial.
- Participación por teléfono.
- Subtítulos procesados en el servidor.
- Algunas funciones de moderación.
En terapia online, perder estas funciones suele ser asumible porque la minimización del tratamiento resulta prioritaria.
Configuración mínima para una sesión segura
Aunque la plataforma sea adecuada, el psicólogo debería aplicar estas medidas:
- Utilizar una cuenta profesional y no compartida.
- Activar la autenticación en dos pasos.
- Crear enlaces difíciles de adivinar.
- Utilizar sala de espera o contraseña.
- Confirmar la identidad del paciente.
- Bloquear la sala cuando haya comenzado la sesión.
- Desactivar grabación, transcripción e IA por defecto.
- No incluir diagnósticos en el título de la reunión.
- Actualizar el navegador y la aplicación.
- Realizar la sesión desde un espacio privado.
También es recomendable acordar qué hacer si se interrumpe la conexión y disponer de un teléfono para situaciones urgentes.
Documentación necesaria bajo el RGPD
La plataforma es solo una parte del cumplimiento. El profesional debe revisar:
- El acuerdo de tratamiento de datos.
- Los subencargados utilizados.
- La ubicación y transferencia de los datos.
- La política de privacidad.
- Los plazos de conservación.
- Las medidas de seguridad.
- El procedimiento ante una brecha.
Además, debe informar al paciente sobre el tratamiento y documentar la terapia online dentro de sus políticas internas. Los datos de salud son una categoría especialmente protegida.
Quien esté comenzando su actividad puede revisar los requisitos para ejercer como psicólogo en España, los trámites para darse de alta en Hacienda como psicólogo y las obligaciones generales de fiscalidad para psicólogos.
¿Se deben grabar las sesiones?
La recomendación general es no grabarlas salvo que exista una necesidad clínica o formativa claramente justificada. La grabación genera un archivo especialmente sensible y aumenta los riesgos de acceso, pérdida o difusión.
Si se graba una sesión, deben definirse la finalidad, la base jurídica, el acceso, el almacenamiento, el plazo de eliminación y la información facilitada al paciente. El simple hecho de que la plataforma incluya un botón de grabación no legitima su uso.
Lo mismo se aplica a las transcripciones y resúmenes mediante inteligencia artificial. Estas funciones pueden enviar el contenido a sistemas adicionales y añadir nuevos proveedores al tratamiento.
Plataformas que conviene utilizar con cautela
WhatsApp, FaceTime y otras aplicaciones de consumo pueden ofrecer cifrado y resultar técnicamente seguras para una conversación. Sin embargo, suelen proporcionar menos controles contractuales, administrativos y documentales para una actividad sanitaria profesional.
Una herramienta personal no debe elegirse únicamente porque el paciente ya la tenga instalada. El psicólogo necesita comprobar quién actúa como encargado, qué metadatos se almacenan y qué condiciones se aplican al uso profesional.
Preguntas frecuentes
¿Cuál es la mejor plataforma para hacer terapia online?
Doxy.me es una de las opciones más sencillas para psicólogos autónomos porque está diseñada para telemedicina. Whereby y Zoom también pueden ser adecuadas si se contratan y configuran correctamente.
¿Zoom cumple el RGPD para terapia online?
Zoom ofrece un DPA, controles de seguridad y opciones de cifrado, pero su utilización no garantiza por sí sola el cumplimiento. El profesional debe configurar la cuenta, revisar las transferencias y desactivar funciones innecesarias.
¿Google Meet tiene cifrado de extremo a extremo?
Las reuniones estándar están cifradas en tránsito, pero no todas utilizan E2EE. Google ofrece cifrado adicional en determinadas modalidades, organizaciones y ediciones de Workspace.
¿Doxy.me necesita instalación?
No. El paciente puede abrir el enlace desde un navegador compatible sin instalar una aplicación ni crear una cuenta.
¿Es obligatorio utilizar cifrado de extremo a extremo?
El RGPD exige medidas adecuadas al riesgo, pero no establece que todas las videollamadas deban utilizar siempre E2EE. Para datos de salud, esta protección adicional resulta especialmente recomendable cuando es viable.
¿Puedo grabar una sesión de terapia online?
Solo debería hacerse cuando exista una finalidad clara y una base jurídica adecuada. Deben informarse las condiciones, proteger el archivo y eliminarlo cuando deje de ser necesario.
Conclusión
Doxy.me y Whereby destacan por su facilidad de uso en sesiones individuales. Zoom ofrece estabilidad y controles configurables, mientras que Microsoft Teams y Webex resultan especialmente útiles para clínicas con varios profesionales.
Google Meet puede ser una alternativa práctica cuando se utiliza dentro de Google Workspace. Jitsi y Nextcloud Talk ofrecen un mayor control técnico mediante el alojamiento propio, aunque requieren recursos para administrarlos.
La mejor elección no depende únicamente de que una web mencione el RGPD. Es necesario revisar el cifrado real, el contrato de tratamiento, la ubicación de los datos y las funciones activadas. En terapia online, una configuración sencilla, sin grabación ni herramientas innecesarias, suele reducir considerablemente el riesgo.
Referencias
- Doxy.me. Security and privacy overview. ([help.doxy.me][1])
- Whereby. Security. ([whereby.com][2])
- Zoom. European Union GDPR. ([Zoom][3])
- Microsoft. Security and compliance in Teams. ([Microsoft Learn][4])
- Google. Security and privacy in Google Meet. ([Ayuda de Google][5])
- Cisco. Webex security. ([Webex][6])
- Jitsi. Security and privacy. ([Jitsi][7])
- Nextcloud. Nextcloud Talk. ([Nextcloud][8])
- Agencia Española de Protección de Datos. Datos de salud. ([AEPD][9])
