Seguridad y privacidad en Corrigiendo.es

La protección de datos del alumnado y del profesorado no es una nota a pie de página: es una restricción de diseño en Corrigiendo.es. Esta página explica cómo tratamos la información, qué medidas técnicas y legales aplicamos y qué garantías ofrecemos a profesores y centros educativos.

Principios que rigen el tratamiento

1. Minimización: recogemos únicamente los datos necesarios para la función pedagógica.
2. Localización europea: servidores y backups dentro del EEE.
3. Anonimización en la IA: el modelo no ve datos personales identificativos.
4. Cero entrenamiento: los datos no alimentan modelos de IA.
5. Transparencia activa: publicamos los subencargados, la política de cookies y este documento.
6. Derechos del usuario: acceso, rectificación, supresión, oposición y portabilidad disponibles desde el panel personal.

Medidas técnicas

Cifrado

• TLS 1.3 obligatorio en todas las conexiones HTTP.
• HSTS con preload (max-age 1 año, includeSubDomains).
• AES-256 en bases de datos.
• Claves de cifrado gestionadas en KMS, separadas del dato.
• Hashing de contraseñas con Argon2id (o bcrypt con coste 12 como fallback).

Aislamiento de datos personales en el flujo IA

Cuando un examen se procesa con IA, el flujo es:

1. Carga del examen al backend.
2. Separación de nombres, apellidos y otros identificadores en un mapa local.
3. Sustitución por códigos anónimos (Alumno-ABC123) en el cuerpo del examen.
4. Envío a Gemini únicamente con códigos anónimos.
5. Recepción de la corrección.
6. Reasociación de códigos a identidades en el backend.
7. Almacenamiento de la corrección cifrada en BD.

En ningún momento el proveedor de IA recibe ni el nombre del alumno ni el del centro educativo. Solo ve "Alumno-ABC123" y el contenido del examen.

Acceso y operaciones

• Autenticación obligatoria con email + contraseña + opcionalmente OAuth (Google).
• Sesiones gestionadas en Redis con expiración configurable.
• Roles y permisos granulares: Admin / Profesor / Alumno (cuando exista).
• Logs de acceso a datos sensibles auditados.
• Monitoreo de errores con Sentry (sin enviar payloads de datos personales).

Medidas organizativas

• Política de acceso del personal interno: solo se accede a datos en caso de incidencia justificada y registrada.
• Acuerdos de confidencialidad firmados por todos los colaboradores.
• Revisiones periódicas de permisos.
• Backups automáticos diarios con retención de 30 días.
• Plan de continuidad de negocio con tiempos de restauración documentados.

Subencargados de tratamiento

Para prestar el servicio recurrimos a estos subencargados, todos con acuerdos firmados y dentro del Espacio Económico Europeo o con garantías equivalentes:

Cómo ejercer tus derechos

Tienes derecho de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento. Tres formas de ejercerlos:

1. Desde el panel personal (cuando esté activo el registro), apartado "Mis datos".
2. Por email a [email protected] indicando el derecho que ejerces y adjuntando un documento que acredite tu identidad.
3. Por correo postal a la dirección que figura en el aviso legal.

Plazo máximo de respuesta: 30 días naturales. Si la solicitud es compleja, podemos prorrogar dos meses adicionales, notificándotelo con motivación.

Procedimiento ante brechas de seguridad

Si se confirma una brecha que pueda afectar a datos personales:

1. En menos de 72 h: notificación a la AEPD según Art. 33 RGPD.
2. En paralelo: notificación a centros y profesores afectados con los datos disponibles.
3. Aplicación de medidas técnicas de contención (rotación de claves, revocación de tokens, etc.).
4. Análisis post-incidente y mejora de procedimientos.

Agradecimientos a investigadores de seguridad

Si descubres una vulnerabilidad, te pedimos que nos lo comuniques antes de hacerla pública en [email protected]. Respondemos en menos de 72 h. Sigue las indicaciones en /.well-known/security.txt.

Esta sección listará públicamente (con tu permiso) a los investigadores que reporten vulnerabilidades responsablemente.

Documentos relacionados

• Política de privacidad
• Términos y condiciones
• Política de cookies
• Sobre Corrigiendo.es