Videollamadas para psicólogos online: qué exige de verdad una lista de comprobación RGPD

La terapia online dejó de ser un apaño «para emergencias» hace tiempo: el paciente se conecta desde casa, donde se siente seguro, y el terapeuta no está atado a un despacho. Lo que el formato necesita es una imagen estable, sonido sin retardo y la certeza de que nadie fuera de la sala puede ver la conversación. En Europa hay un cuarto requisito: la plataforma tiene que ser defendible bajo el RGPD, porque los datos de salud son datos de categoría especial. Este artículo repasa lo que piden de verdad las guías profesionales, por qué dicen a los profesionales que eviten los planes gratuitos de los grandes servicios y los mensajeros, y cómo transcurre una sesión en Joyin.

Por qué funciona el formato

El núcleo de una sesión es el contacto, y el contacto vive en la cara, la voz y las pausas. Un buen vídeo lo transmite todo: el terapeuta ve las expresiones, oye la entonación, nota cuándo el paciente se queda callado. El formato online tiene además ventajas propias:

• El paciente está en un lugar conocido. A mucha gente le resulta más fácil hablar de cosas difíciles desde su habitación que desde un despacho ajeno.
• Sin desplazamientos. Una sesión dura exactamente 50 minutos, no media jornada. Menos cancelaciones por «no llego a tiempo».
• La geografía deja de importar. Un paciente que se muda a otra ciudad u otro país conserva a su terapeuta.
• La regularidad es más fácil. La misma hora, el mismo enlace, cada semana.

El único requisito del lado del paciente es un sitio tranquilo y unos auriculares. El resto es trabajo de la plataforma.

Qué piden las guías profesionales

Las guías para psicólogos publicadas en España en 2025 y 2026 son inusualmente directas. Dicen a los profesionales que no usen para las sesiones, aunque sean gratis, el Zoom básico, el Google Meet estándar, WhatsApp o FaceTime, porque no dan al profesional un contrato de encargado válido, control sobre los metadatos ni una posición defendible respecto a los datos de salud. Lo que piden en su lugar se lee como una lista de comprobación:

1. ¿Dónde están los servidores? Deben estar en la UE.
2. ¿Hay un contrato de encargado del tratamiento (DPA) que puedas firmar? El terapeuta es el responsable del tratamiento; la plataforma, el encargado; sin contrato no hay tratamiento lícito.
3. Cifrado de la ruta del vídeo y el audio (TLS 1.2+ y SRTP como mínimo).
4. Sin grabaciones guardadas por defecto, y grabación solo con consentimiento explícito.
5. Una sala de espera, para que nadie con el enlace entre en la sesión de otra persona.

Fíjate en lo que no está en la lista: un certificado, un sello o la promesa de que la plataforma «cumple el RGPD por ti». El cumplimiento es del profesional; la plataforma solo puede hacerlo posible o imposible.

Cómo transcurre una sesión en Joyin

El error más común es ponerle difícil al paciente la entrada. Si antes de la primera sesión una persona tiene que descargar un programa, crear una cuenta y confirmar un correo, parte de su ansiedad se va a pelear con la tecnología en vez de al trabajo terapéutico.

El flujo que funciona sin fricción:

1. El terapeuta crea una reunión en joyin.work, o abre una sala fija con una dirección como joyin.work/tu-nombre/sesiones.
2. El paciente recibe el enlace en un mensaje junto con el recordatorio de la hora.
3. A la hora acordada el paciente abre el enlace en el navegador, en el ordenador o el móvil, sin instalar nada y sin cuenta, escribe su nombre y llama a la puerta.
4. El terapeuta admite al paciente desde la sala de espera y empieza la sesión.

Si la sesión anterior se alargó, el siguiente paciente espera en la puerta en vez de entrar en la conversación de otro. El paciente no deja nada atrás: ni correo, ni teléfono, ni cuenta. El camino del invitado está descrito en videollamadas sin registro.

La lista de comprobación frente a Joyin, con honestidad

Qué exigen las guías	Joyin
Servidores en la UE	El vídeo y el audio pasan por servidores en Alemania; los datos se guardan en la UE; el operador de este sitio es una empresa con sede en la UE
Un DPA que se pueda firmar	Disponible bajo petición; la lista pública de subencargados está en la página del DPA
Cifrado	DTLS-SRTP en cada conexión, salas privadas solo por enlace
Sin grabación por defecto	La grabación está desactivada salvo que el anfitrión la active; cuando está activa, todos los participantes ven el indicador; los archivos se borran a los 3 días
Sala de espera	Sí, el anfitrión admite a cada persona a mano
Paciente sin cuenta ni instalación	Sí, enlace en el navegador del ordenador o el móvil
Límite de tiempo	Ninguno; una sesión de 50 minutos o de 90, sin corte
Notas con IA	Muy pronto, desactivadas por defecto, las controla el anfitrión, visibles para todos los participantes cuando están activas

Lo que Joyin no afirma: un certificado, cifrado de extremo a extremo (el vídeo y el audio van cifrados en tránsito y en el lado del servidor, que es lo que significa SRTP, no E2EE) ni que usarlo haga que tu consulta cumpla la norma. Tú sigues siendo el responsable del tratamiento de los datos de tus pacientes; Joyin te da las piezas que piden las guías y un contrato donde encajarlas.

Privacidad: de qué responde el profesional

Riesgo	Cómo se cubre
Interceptación del vídeo y el audio	Flujos cifrados (DTLS-SRTP), siempre activos
Un desconocido entra por el enlace	Sala de espera: el anfitrión ve el nombre y admite a mano
Se graba la sesión sin consentimiento	Solo el anfitrión puede grabar; todos ven el estado; desactivado por defecto
Datos del paciente en manos de terceros	El paciente no necesita cuenta y no deja ni correo ni teléfono
Grabaciones que se acumulan	Se borran a los 3 días; descarga solo lo que tengas consentimiento para conservar

Acuerda las reglas con el paciente en la primera sesión: no grabamos (o solo con consentimiento explícito de las dos partes), no hay nadie más en la habitación en ninguno de los dos lados, y así nos reconectamos si se cae la línea.

Consejos prácticos para las sesiones

• Auriculares en los dos lados. Quitan el eco, hacen la conversación más cercana y protegen al paciente de que le oigan en casa.
• Cámara a la altura de los ojos. Un portátil sobre un soporte o una pila de libros, y el contacto visual se vuelve natural.
• Luz de frente, no de espaldas. Una ventana detrás de ti convierte la cara en una silueta.
• Un canal de respaldo. Acuérdalo de antemano: si se cae la conexión, el terapeuta vuelve a llamar o el paciente entra otra vez por el mismo enlace.
• Cinco minutos de margen. Entra en la sala un poco antes para comprobar el sonido y centrarte.

Preguntas frecuentes

¿El paciente tiene que registrarse o instalar algo?

No. El paciente abre el enlace en el navegador del ordenador o el móvil, escribe su nombre y llega a la sala de espera. Solo el terapeuta necesita cuenta, y solo para mantener la sala fija y, si las usa, las grabaciones.

¿Hay límite de tiempo en una sesión?

No. Una sesión puede durar 50 minutos, 90 o lo que haga falta; la reunión no se termina sola.

¿Se puede grabar una sesión?

Sí, pero solo el anfitrión, solo de forma visible y, en terapia, solo con el consentimiento explícito del paciente. El archivo aparece en el panel del anfitrión y se borra a los 3 días. Mira cómo grabar una videollamada.

¿Sirve para terapia de grupo?

Sí. Una sala admite hasta 100 participantes, así que un grupo de 8 a 12 no es problema, y la sala de espera deja entrar solo a los miembros del grupo. Hay salas de grupos para ejercicios por parejas.

¿Joyin está «certificado RGPD»?

Ninguna plataforma lo está, y conviene desconfiar de cualquiera que lo diga. Joyin te da servidores en la UE, un operador en la UE, un DPA, cifrado, sala de espera y grabación desactivada por defecto. El cumplimiento de tu consulta es tuyo.

Los detalles para profesionales, incluidos el DPA y la lista de subencargados, están en Joyin para psicólogos. Probarlo es más sencillo que leer: abre joyin.work, crea una sala y haz tu próxima sesión por enlace, sin que el paciente instale nada.