Confianza, seguridad y uso de inteligencia artificial

Dónde viven los datos de su centro, quién los procesa, qué hace la inteligencia artificial y qué decide siempre una persona.

Esta página está escrita para el responsable de protección de datos de un centro educativo. No contiene declaraciones de conformidad: contiene hechos comprobables sobre cómo está construida la plataforma, y dice con la misma claridad qué hay implantado y qué está en curso.

Última actualización: 29 de septiembre de 2026.
Responsable: DidactIA · empresario individual, España.
Los apartados marcados como en curso o pendiente no están cerrados todavía. Se publicarán cuando lo estén; no se anuncian antes.

1 · Dónde están los datos

Qué	Dónde
Base de datos, cuentas y ficheros	Unión Europea — región de Fráncfort (Alemania)	Implantado
Copias de seguridad	Dos copias diarias independientes: la copia física de la base de datos que hace el proveedor (se conservan 7 días, en la misma región) y una copia lógica propia, cifrada con AES-256-GCM, que se genera cada noche y se guarda fuera de nuestros equipos. Pérdida máxima de datos ante un desastre: hasta 24 horas	Implantado
Ensayo de restauración de las copias	Todavía no se ha hecho un ensayo completo de restauración. Hasta que se haga, no podemos darle un tiempo de recuperación medido	Pendiente
Procesamiento por inteligencia artificial	Unión Europea — Google Vertex AI, en el endpoint de la UE (desde el 28 de septiembre de 2026), y sin los nombres del alumnado (apartado 3)	Implantado
Agente de soporte (solo para la administración del centro)	Anthropic, Estados Unidos, con los mismos códigos en lugar de los nombres del alumnado	En revisión

Ese último punto lo señalamos nosotros porque es la pregunta que un DPO debe hacer: la IA de la plataforma se procesa en la Unión Europea, pero el agente de soporte —que solo usa el administrador del centro para resolver dudas sobre la aplicación— todavía no, aunque ya recibe los nombres del alumnado sustituidos por códigos. Está previsto trasladarlo a la UE y se comunicará cuando cambie.

2 · Quién más interviene

DidactIA se apoya en estos proveedores. Ninguno accede a los datos para fines propios:

Proveedor	Para qué	Dónde
Supabase	Base de datos, autenticación y almacenamiento de archivos: aquí están todos los datos del centro	UE — Fráncfort (`eu-central-1`)
Vercel	Alojamiento de la aplicación (solo el código de la web; no guarda datos del centro, aunque ve la dirección IP de cada visita)	Red global de distribución
Resend	Envío de correo (avisos a familias y personal): recibe la dirección del destinatario y el texto del aviso	Envío desde la UE — Irlanda (`eu-west-1`)
Google Cloud (Vertex AI, Gemini)	Modelo de inteligencia artificial de la plataforma: recibe el texto que se le pide procesar, con los nombres del alumnado y de las familias ya sustituidos por códigos (ver apartado 3)	UE (endpoint multirregión de la UE y Fráncfort)
Anthropic (Claude)	Agente de soporte, solo para la administración del centro: recibe su conversación y lo que consulta con sus permisos, con los nombres del alumnado y de las familias sustituidos por códigos	Estados Unidos
jsDelivr, cdnjs, SheetJS	Librerías que carga el navegador: reciben la dirección IP de quien abre la aplicación, ningún dato del centro. Las tipografías se sirven desde nuestro propio dominio	Redes globales

Supabase, Vercel, Resend, Google y Anthropic son empresas de Estados Unidos. Los acuerdos de tratamiento de datos con cada uno de ellos están pendientes de formalizar; se incluirán como anexo del contrato con el centro.

Ni Google ni Anthropic utilizan los datos de su centro para entrenar ni mejorar sus modelos. Es una garantía de sus condiciones para empresas, no una configuración nuestra. Google puede conservar las peticiones durante un tiempo limitado para detectar abusos; vamos a solicitar que no lo haga, y hasta tenerlo confirmado no podemos garantizarle que no se guarden en absoluto.

3 · Qué hace la inteligencia artificial, y qué no

La IA de DidactIA propone; nunca decide. En todos los casos genera un borrador o una sugerencia que una persona del centro debe revisar y confirmar de forma explícita antes de que tenga ningún efecto. Nada se envía, se publica ni se aplica solo.

Dónde se usa

Borradores de informes psicopedagógicos, que valida el orientador
Tipificación de incidencias de convivencia, con la gravedad siempre editable
Comentarios de evaluación, que el profesor edita antes de guardar
Redacción de comunicados y circulares, revisados antes de enviarse
Propuestas de sustitución del profesorado, que confirma jefatura
Resúmenes de actas y respuestas del buzón de sugerencias

Cómo se protege el dato del alumno

Desde el 28 de septiembre de 2026, el nombre del alumno no llega al modelo de IA en ninguna función de la plataforma. Antes de enviar nada, nuestro servidor sustituye los nombres del alumnado y de las familias con cuenta, los DNI y NIE, los correos y los teléfonos por códigos ([ALUMNO_k3x9a2]), y los restituye en la respuesta antes de enseñársela a quien pregunta. La tabla que une cada código con su persona no sale de nuestros sistemas. Si en algún momento no pudiéramos cargar esa lista de nombres, la función no se ejecuta: no se envía nada sin sustituir.

Esto reduce mucho el dato expuesto, pero no lo elimina, y queremos que lo sepa con precisión:

El resto del contenido sí se envía: por ejemplo, cuando una persona del personal pregunta al asistente por un alumno, los datos que su perfil puede ver —que pueden incluir salud, convivencia o evaluación— viajan con el código en lugar del nombre.
Los nombres del profesorado sí viajan: las funciones de guardias y sustituciones los necesitan.
Un nombre mal escrito, o el de alguien que no consta en la plataforma, puede escapar a la sustitución. Y un texto con suficiente contexto puede seguir apuntando a una persona concreta.
El agente de soporte (apartado 1) también sustituye los nombres, pero todavía se procesa en Estados Unidos.

Por eso el resto de medidas de esta página se aplican igualmente, sin excepción. Las familias no pueden consultar al asistente sobre otros alumnos.

Transparencia

Quien usa el asistente ve un aviso de que está interactuando con una IA.
El contenido generado se marca como tal allí donde se muestra.
Se registra quién revisó cada contenido generado y cuándo, y ese registro no se puede borrar, negar ni retrodatar desde la aplicación.
En orientación y en la resolución de permisos se conserva además el borrador original del modelo junto al texto final, en un registro que solo admite añadir, nunca modificar. Permite acreditar cuánto cambió la persona sobre la propuesta.

4 · Separación entre centros

DidactIA es una plataforma compartida: varios centros conviven en la misma infraestructura. La separación no depende de que la aplicación filtre bien, sino de reglas de acceso en la propia base de datos: una consulta que pidiera datos de otro centro no devuelve nada, aunque se lance directamente contra la API saltándose la interfaz.

Sobre eso hay dos controles automáticos:

Una prueba automatizada de aislamiento que intenta acceder a los datos de otro centro con credenciales reales y falla si lo consigue. Antes de dar un resultado por bueno, comprueba que los datos que intenta leer existen: una prueba contra una tabla vacía no demostraría nada.
Un análisis automático que se ejecuta con cada cambio publicado y avisa si introduce una regla de acceso demasiado permisiva.

5 · Qué puede ver cada persona

Perfil	Alcance
Familia	Únicamente la información de sus propios hijos
Profesorado	El alumnado de todo su centro (no solo el de sus grupos), incluidas alergias y dieta, necesarias para el comedor, las guardias y las salidas; horarios, incidencias y evaluación. No accede a expedientes psicopedagógicos, informes de orientación ni a la retribución de sus compañeros. El centro puede recortar el menú que ve el profesorado, pero ese recorte es de presentación: el alcance de lectura es el descrito aquí
Orientación	Los expedientes de su centro, por su función
Dirección	La gestión de su centro

Los datos de salud del alumnado (alergias, medicación, observaciones sanitarias) y los expedientes psicopedagógicos son accesibles solo para el personal del centro, nunca para las familias de otros alumnos ni para otros centros.

6 · Qué está en curso

Lo decimos porque preferimos que lo sepa por nosotros. Estos documentos están redactados en borrador y podemos enseñárselos, pero no están revisados por un jurista ni firmados:

Contrato de encargado del tratamiento (art. 28 RGPD), con un anexo de inteligencia artificial que detalla qué datos recibe el modelo en cada función, y la relación de subencargados
Medidas de seguridad y procedimiento ante brechas
Registro de actividades de tratamiento
Modelo de evaluación de impacto (EIPD) para el centro, con la parte técnica rellenada
Política de privacidad y modelo de cláusula informativa para familias y personal

Y pendientes: los acuerdos de tratamiento de datos con los proveedores (apartado 2).

Seguridad: implantado desde la última revisión

Doble factor de autenticación (código de una aplicación de autenticación), voluntario por persona. A quien lo activa se lo exige el servidor: con la contraseña sola no obtiene datos. Recomendamos activarlo en todas las cuentas de dirección.
Registro de accesos: queda anotado quién consulta la ficha de un alumno, los expedientes y las medidas de atención a la diversidad (se conserva 365 días).
Baja de una cuenta: bloquea el acceso y cierra todas sus sesiones abiertas.

Seguridad: todavía en curso

Acceso con la cuenta de Microsoft 365 del centro: no disponible todavía.
Recuperación a un momento exacto de la base de datos: no activada; las copias son diarias.

Un proveedor que hoy le asegure que "cumple con todo" sin poder enseñarle estos documentos le está diciendo algo que no puede sostener. Nosotros preferimos decirle en qué punto estamos y enseñárselos cuando estén firmados.

7 · Medidas reforzadas el 21 de septiembre de 2026

Tras una revisión de seguridad interna completa, ese día se aplicaron, se verificaron contra producción y quedaron cubiertas por pruebas automáticas estas medidas:

Las cuentas solo se crean por invitación del centro; el alta libre quedó desactivada.
Las funciones internas de la base de datos que devuelven datos exigen una sesión iniciada; sin ella, se deniegan.
Solo la dirección del centro puede vincular una familia con un alumno, y solo con alumnos de su propio centro.
Contraseñas de al menos 8 caracteres y rechazo de contraseñas filtradas en brechas conocidas de otros servicios.
Se bloquearon las cuentas que no estaban asociadas a ningún centro.
La web publica únicamente los ficheros de la aplicación, y lleva cabeceras que impiden incrustarla en otra página y limitan qué información comparte el navegador.
En ordenadores de sobremesa la sesión se cierra sola tras 60 minutos sin actividad, y al salir se borran del navegador las búsquedas recientes. Todas las librerías externas se cargan con verificación de integridad, y la de Excel se actualizó a una versión sin vulnerabilidades conocidas.

No tenemos constancia de que las debilidades corregidas se aprovecharan. El registro de accesos se implantó ese mismo día, así que no permite descartarlo por completo para el periodo anterior, y lo decimos así.

8 · Si detectamos una brecha de seguridad

El centro es responsable del tratamiento y, como tal, debe notificar a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas. Nuestro compromiso es avisarle en un plazo máximo de 48 horas desde que tengamos conocimiento, con la información que necesite para su propia comunicación. Ese plazo figura en el borrador de contrato de encargado.

9 · Contacto

Para cualquier cuestión sobre protección de datos, seguridad o uso de inteligencia artificial: info@didactia.eu.

Si es usted el delegado de protección de datos de un centro y necesita información técnica más detallada de la que hay aquí —flujos de datos, medidas de cifrado, política de retención—, escríbanos y se la enviamos.