Seguridad y protección de datos
Lo que un Delegado de Protección de Datos suele preguntar, contestado sin rodeos: quién es responsable de qué, dónde están los datos, qué proveedores intervienen y qué documentación recibe el colegio.
Actualizado el 6 de octubre de 2026.
Quién es responsable de qué
El colegio es el responsable del tratamiento: decide para qué se usan los datos, durante cuánto tiempo se conservan y quién accede. EduSuite actúa como encargado del tratamiento y solo trata los datos siguiendo las instrucciones documentadas del colegio, con un contrato conforme al artículo 28 del RGPD. El alumnado no tiene cuenta ni acceso: todos sus datos los introduce personal autorizado del centro.
Dónde están los datos y quién interviene
La base de datos, la autenticación y los archivos están en la Unión Europea (Irlanda). Estos son los proveedores que intervienen. El colegio recibe aviso de cualquier alta o cambio con al menos 30 días de antelación y puede oponerse.
| Proveedor | Para qué | Dónde | Qué datos personales ve |
|---|---|---|---|
| Supabase | Base de datos, acceso, archivos, funciones de servidor y registro de actividad | UE (Irlanda). La matriz es estadounidense: posible acceso desde EE. UU. por soporte, con cláusulas contractuales tipo | Todos los del servicio |
| Vercel | Alojamiento de la interfaz web | EE. UU. / red global | Ninguno almacenado; registros técnicos de conexión (dirección IP) |
| Resend | Envío de correos de aviso e invitación | EE. UU. | Correo del destinatario y un texto breve; nunca nombres de alumnado |
| Google (Gemini) | IA generativa, solo si el colegio la activa | EE. UU. / global | Solo lo que envía cada función; nivel de pago, sin uso para entrenamiento |
| Servicios de avisos push (Apple, Google, Mozilla, Microsoft) | Entrega de avisos al dispositivo | EE. UU. / global | Mensaje cifrado de extremo a extremo e identificador técnico |
Cómo se protegen los datos
- Cada centro, aislado. Seguridad a nivel de fila: un colegio nunca ve los datos de otro.
- Cada persona ve lo que le corresponde. Permisos por perfil y por aplicación, y Jefaturas limitadas a su etapa. Un docente solo ve las respuestas que él mismo ha dado.
- Doble verificación (2FA) para Dirección, Jefaturas y Coordinación, y contraseña mínima de 10 caracteres con cambio obligatorio en el primer acceso.
- Cuaderno del profesorado privado. Las notas, la asistencia, las observaciones y el diario de cada docente solo los ve ese docente: ni Jefatura, ni Dirección ni la administración de la plataforma desde la aplicación. Los informes en PDF se generan en el navegador del docente y no se almacenan.
- Archivos privados con enlaces que caducan a los dos minutos.
- Registro de actividad de altas, cambios, consultas sensibles, exportaciones e inicios de sesión, conservado 2 años.
- Datos de salud (solo si el colegio decide cargarlos y tiene base jurídica) en una tabla separada, de acceso restringido y con registro de cada consulta.
- Datos bloqueados al cerrar el curso, con una copia descargable. El borrado definitivo lo decide el colegio con su DPD, y mientras no fije un plazo no se suprime nada.
- Cifrado en tránsito (HTTPS) en todas las conexiones.
Inteligencia artificial
La IA está apagada por defecto. Solo se activa con contrato firmado, autorización escrita del colegio y evaluación de impacto (EIPD). El colegio fija un tope mensual de uso, el alumnado nunca usa estas herramientas, y cada pantalla de IA avisa de que el resultado es un borrador que debe revisar el docente.
Qué ve la IA y qué no
- Nombres sustituidos por códigos. Antes de enviar un texto, el servidor cambia los nombres del alumnado del centro por códigos (ALUMNO_001…) y los restituye al recibir la respuesta. El proveedor de IA no sabe quién es quién, y la tabla de equivalencias solo existe durante la llamada y no se guarda.
- Límite en imágenes. En fotos o escaneos no se pueden sustituir los nombres, y por eso la plataforma desaconseja subir imágenes con nombres si no es imprescindible.
- Datos de salud: nunca se envían a la IA.
- Cuando la IA está activa, cada pantalla lo recuerda en un aviso visible.
Documentación que recibe el DPD
- Contrato de encargado del tratamiento (art. 28 RGPD) con anexos: medidas de seguridad, subencargados, instrucciones de conservación y compromiso de confidencialidad.
- Registro de actividades de tratamiento del responsable y del encargado.
- Descripción técnica y flujos de datos.
- Lista pública de subencargados (la de esta página) y política de privacidad.
- Plantilla de evaluación de impacto (EIPD) y ficha de transparencia de IA.
- Procedimiento de brechas: el encargado avisa a Dirección y al DPD en un máximo de 24 horas desde que tiene constancia, para que el colegio pueda notificar a la AEPD dentro de las 72 horas si procede.
- Instrucción para el profesorado sobre custodia de listados y uso de IA.
Lo que todavía no tenemos
Transparencia sobre el punto en el que estamos
- EduSuite es un producto joven y funciona hoy en un colegio concertado de Madrid. No tiene certificación ISO 27001 ni del Esquema Nacional de Seguridad.
- El responsable del producto es una persona física; el contrato incluye un plan de salida con devolución de los datos.
- La prueba de intrusión externa está prevista pero aún no se ha realizado.
- Vercel, Resend y Google tratan datos fuera de la UE con cláusulas contractuales tipo. Por eso se limita lo que se les envía.
Si tu colegio exige alguno de estos puntos antes de empezar, dínoslo y lo valoramos con tu DPD.
Contacto
Para el paquete completo o cualquier pregunta de protección de datos: contacto@edusuite.school.