De moment, aquest document només està disponible en castellà.
Seguridad y compliance
Cicerón es una plataforma de evaluación de la comunicación oral utilizada por centros educativos con estudiantes de todas las edades. Nos tomamos muy en serio la protección de datos, la seguridad de la infraestructura y el cumplimiento normativo. Esta página resume nuestras prácticas y compromisos.
1. Normativa aplicable
Cicerón cumple con la siguiente normativa:
- RGPD (Reglamento General de Protección de Datos, UE 2016/679): regulación europea de protección de datos personales.
- LOPDGDD (Ley Orgánica 3/2018): adaptación española del RGPD, incluyendo protección específica de menores de 14 años (artículo 7).
- LSSI-CE (Ley 34/2002): Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico.
- Reglamento Europeo de Inteligencia Artificial (UE 2024/1689): regulación de sistemas de IA, con obligaciones específicas para IA en educación (Annex III, categoría 3). Obligaciones para sistemas de alto riesgo aplicables desde el 2 de agosto de 2026.
2. Infraestructura y alojamiento
| Componente | Detalle | Ubicación |
|---|---|---|
| Servidores | Contenedores Docker aislados con límites de recursos (CPU, memoria). Orquestación Docker Swarm. | Datacenter UE (Contabo GmbH) |
| Base de datos | MongoDB 7, instancia dedicada por entorno. Datos aislados por centro educativo. | Datacenter UE |
| Almacenamiento | Object Storage en región UE. Sin CDN global — los datos no se replican fuera de la UE. | Región UE |
| Cifrado en tránsito | TLS 1.2+ con certificados Let's Encrypt. HTTPS obligatorio en todos los endpoints. | — |
| Procesamiento de IA | Región UE configurada en cada petición API. Sin retención de datos por parte del proveedor. | Región UE |
Toda la infraestructura de Cicerón está alojada dentro de la Unión Europea. No utilizamos CDN global ni replicamos datos fuera del EEE. El proveedor de hosting (Contabo GmbH) es una empresa alemana con datacenters en la UE.
3. Medidas de seguridad
Autenticación y acceso
- Contraseñas almacenadas como hash criptográfico (bcrypt, factor 10). Nunca en texto plano.
- Autenticación mediante tokens JWT con expiración (7 días).
- Control de acceso basado en roles (RBAC): estudiante, docente, gestor, administrador.
- Aprobación manual de cuentas por administrador del centro antes de la activación.
Protección de la aplicación
- Headers de seguridad HTTP (Helmet): Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security.
- CORS restrictivo: solo dominios de centros autorizados.
- Rate limiting por IP y endpoint para prevenir ataques de fuerza bruta.
- Protección contra enumeración de usuarios (timing normalization en check-email).
Aislamiento de datos
- Arquitectura multi-tenant con aislamiento a nivel de base de datos.
- Middleware de tenant obligatorio en cada petición — los datos de un centro nunca son accesibles desde otro.
- Cada centro accede desde su propio subdominio (ej: uv.ciceron.education).
4. Privacidad y protección de datos
Modelo de responsabilidad
Cuando Cicerón se utiliza en el marco de un centro educativo, el centro es el responsable del tratamiento y Cicerón actúa como encargado del tratamiento bajo un Contrato de Encargado del Tratamiento (DPA). Este modelo es estándar en el sector EdTech y asegura que el centro mantiene el control sobre los datos de sus estudiantes.
Protección de menores
El consentimiento parental para menores de 14 años (artículo 7 LOPDGDD) es responsabilidad del centro educativo, que conoce la edad de sus estudiantes y gestiona las autorizaciones necesarias antes de inscribirlos en la plataforma. El DPA con cada centro establece expresamente esta obligación.
Derechos de los interesados
Acceso, rectificación, supresión, limitación, portabilidad, oposición y revocación del consentimiento. Contacto: privacidad@ciceron.education. Plazo de respuesta: 30 días. Reclamaciones ante la AEPD ( www.aepd.es ).
Evaluación de impacto (DPIA)
Evaluación de Impacto en la Protección de Datos realizada conforme al artículo 35 del RGPD, dada la combinación de tratamiento de datos de menores, vídeo, audio e inteligencia artificial.
Notificación de brechas
En caso de brecha de seguridad, notificación a la autoridad competente en un máximo de 72 horas (artículo 33 RGPD) y comunicación directa a los afectados si existe alto riesgo (artículo 34 RGPD).
5. Inteligencia artificial responsable
Principio rector
La IA sugiere, el docente decide. Todas las sugerencias de IA requieren validación humana explícita. No existe modo de evaluación automática sin revisión. Este principio de supervisión humana ( human-in-the-loop) es el pilar de nuestra arquitectura de IA y está alineado con los requisitos del Reglamento Europeo de Inteligencia Artificial.
Protección de datos en el procesamiento de IA
- Sin entrenamiento con datos de usuario: los acuerdos contractuales con nuestro socio tecnológico de IA prohíben expresamente el uso de vídeos, audios y transcripciones de los usuarios para entrenar modelos de IA.
- Sin retención: el proveedor de IA procesa cada petición de forma aislada y no retiene el contenido del usuario tras generar la respuesta.
- Región UE: el procesamiento de IA está configurado para ejecutarse en la región de la Unión Europea en cada petición.
- Privacidad por diseño: el análisis de lenguaje corporal se ejecuta en el navegador del estudiante. Solo se transmiten coordenadas numéricas (JSON), nunca fotogramas de vídeo.
Trazabilidad
Cada análisis de IA queda registrado con trazabilidad completa: datos enviados, respuesta generada, tokens consumidos, tiempos de procesamiento, versión del modelo y coste. Este registro de auditoría es inmutable y consultable por administradores del centro.
Sin reconocimiento de emociones
Cicerón analiza métricas prosódicas objetivas (velocidad de habla, pausas, variación de tono) y coordenadas de postura corporal. No realiza reconocimiento, inferencia ni clasificación de emociones. El reconocimiento de emociones en entornos educativos está expresamente prohibido por el artículo 5 del Reglamento Europeo de Inteligencia Artificial (UE) 2024/1689.
6. Reglamento Europeo de Inteligencia Artificial (EU AI Act)
El uso de IA para evaluar resultados de aprendizaje se clasifica como caso de uso sensible bajo el Annex III, categoría 3 del Reglamento (UE) 2024/1689. Las obligaciones para sistemas de alto riesgo entran en vigor el 2 de agosto de 2026.
La arquitectura de Cicerón ha sido diseñada para cumplir con los requisitos de este reglamento:
| Requisito | Artículo | Implementación en Cicerón |
|---|---|---|
| Gestión de riesgos | Art. 9 | Sistema de gestión de riesgos documentado a lo largo del ciclo de vida del sistema de IA. |
| Documentación técnica | Art. 11 | Documentación completa de la arquitectura del pipeline de IA, datos utilizados, limitaciones y métricas. |
| Registro de eventos | Art. 12 | Registro automático e inmutable de cada análisis de IA: entrada, salida, tokens, tiempos, modelo y coste. |
| Transparencia | Art. 13 y 50 | Los usuarios son informados del uso de IA. Cada sugerencia muestra indicador de certeza y justificación con timestamps. |
| Supervisión humana | Art. 14 | El evaluador humano puede aceptar, modificar o rechazar cada sugerencia de IA. No existe evaluación automática. |
| Precisión y robustez | Art. 15 | Métricas de concordancia con evaluadores humanos. Nivel de certeza visible en cada sugerencia. |
Cicerón puede acogerse a la excepción del Artículo 6(3)(d) del AI Act, al tratarse de un sistema de IA que realiza una tarea preparatoria para una evaluación que siempre completa un ser humano. No obstante, cumplimos voluntariamente con los requisitos de alto riesgo para garantizar la máxima protección de los derechos de estudiantes y docentes.
7. Retención y eliminación de datos
| Tipo de dato | Retención | Eliminación |
|---|---|---|
| Datos de cuenta | Mientras la cuenta esté activa | 30 días tras solicitud de baja o 24 meses de inactividad |
| Vídeos originales | Eliminados tras transcodificación | Automática |
| Vídeos transcodificados | Hasta eliminación por usuario o admin | Bajo demanda (estudiante, evaluador o administrador) |
| Análisis de IA | Asociados al vídeo | Se eliminan con el vídeo |
| Logs de auditoría IA | 12 meses | Automática tras expiración |
| Logs de servidor | 90 días | Automática tras expiración |
8. Contrato de Encargado del Tratamiento (DPA)
Cicerón firma un Contrato de Encargado del Tratamiento con cada centro educativo conforme al artículo 28 del RGPD. Este contrato establece las instrucciones de tratamiento, las medidas técnicas y organizativas, los subencargados autorizados, los derechos de auditoría y el procedimiento de notificación de brechas.
Si tu centro educativo necesita un DPA o tiene requisitos específicos de seguridad o compliance, contacta con nosotros en privacidad@ciceron.education.
9. Contacto
Para cualquier cuestión relacionada con seguridad, protección de datos o cumplimiento normativo:
- Privacidad y protección de datos: privacidad@ciceron.education
- Soporte general: ayuda@ciceron.education