Seguridad y compliance

Última actualización: marzo 2026

Cicerón es una plataforma de evaluación de la comunicación oral utilizada por centros educativos con estudiantes de todas las edades. Nos tomamos muy en serio la protección de datos, la seguridad de la infraestructura y el cumplimiento normativo. Esta página resume nuestras prácticas y compromisos.

1. Normativa aplicable

Cicerón cumple con la siguiente normativa:

• RGPD (Reglamento General de Protección de Datos, UE 2016/679): regulación europea de protección de datos personales.
• LOPDGDD (Ley Orgánica 3/2018): adaptación española del RGPD, incluyendo protección específica de menores de 14 años (artículo 7).
• LSSI-CE (Ley 34/2002): Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico.
• Reglamento Europeo de Inteligencia Artificial (UE 2024/1689): regulación de sistemas de IA, con obligaciones específicas para IA en educación (Annex III, categoría 3). Obligaciones para sistemas de alto riesgo aplicables desde el 2 de agosto de 2026.

2. Infraestructura y alojamiento

Componente	Detalle	Ubicación
Servidores	Contenedores Docker aislados con límites de recursos (CPU, memoria). Orquestación Docker Swarm.	Datacenter UE (Contabo GmbH)
Base de datos	MongoDB 7, instancia dedicada por entorno. Datos aislados por centro educativo.	Datacenter UE
Almacenamiento	Object Storage en región UE. Sin CDN global — los datos no se replican fuera de la UE.	Región UE
Cifrado en tránsito	TLS 1.2+ con certificados Let's Encrypt. HTTPS obligatorio en todos los endpoints.	—
Procesamiento de IA	Región UE configurada en cada petición API. Sin retención de datos por parte del proveedor.	Región UE

Toda la infraestructura de Cicerón está alojada dentro de la Unión Europea. No utilizamos CDN global ni replicamos datos fuera del EEE. El proveedor de hosting (Contabo GmbH) es una empresa alemana con datacenters en la UE.

3. Medidas de seguridad

Autenticación y acceso

• Contraseñas almacenadas como hash criptográfico (bcrypt, factor 10). Nunca en texto plano.
• Autenticación mediante tokens JWT con expiración (7 días).
• Control de acceso basado en roles (RBAC): estudiante, docente, gestor, administrador.
• Aprobación manual de cuentas por administrador del centro antes de la activación.

Protección de la aplicación

• Headers de seguridad HTTP (Helmet): Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security.
• CORS restrictivo: solo dominios de centros autorizados.
• Rate limiting por IP y endpoint para prevenir ataques de fuerza bruta.
• Protección contra enumeración de usuarios (timing normalization en check-email).

Aislamiento de datos

• Arquitectura multi-tenant con aislamiento a nivel de base de datos.
• Middleware de tenant obligatorio en cada petición — los datos de un centro nunca son accesibles desde otro.
• Cada centro accede desde su propio subdominio (ej: uv.ciceron.education).

4. Privacidad y protección de datos

Modelo de responsabilidad

Cuando Cicerón se utiliza en el marco de un centro educativo, el centro es el responsable del tratamiento y Cicerón actúa como encargado del tratamiento bajo un Contrato de Encargado del Tratamiento (DPA). Este modelo es estándar en el sector EdTech y asegura que el centro mantiene el control sobre los datos de sus estudiantes.

Protección de menores

El consentimiento parental para menores de 14 años (artículo 7 LOPDGDD) es responsabilidad del centro educativo, que conoce la edad de sus estudiantes y gestiona las autorizaciones necesarias antes de inscribirlos en la plataforma. El DPA con cada centro establece expresamente esta obligación.

Derechos de los interesados

Acceso, rectificación, supresión, limitación, portabilidad, oposición y revocación del consentimiento. Contacto: privacidad@ciceron.education. Plazo de respuesta: 30 días. Reclamaciones ante la AEPD ( www.aepd.es ).

Evaluación de impacto (DPIA)

Evaluación de Impacto en la Protección de Datos realizada conforme al artículo 35 del RGPD, dada la combinación de tratamiento de datos de menores, vídeo, audio e inteligencia artificial.

Notificación de brechas

En caso de brecha de seguridad, notificación a la autoridad competente en un máximo de 72 horas (artículo 33 RGPD) y comunicación directa a los afectados si existe alto riesgo (artículo 34 RGPD).

5. Inteligencia artificial responsable

Principio rector

La IA sugiere, el docente decide. Todas las sugerencias de IA requieren validación humana explícita. No existe modo de evaluación automática sin revisión. Este principio de supervisión humana ( human-in-the-loop) es el pilar de nuestra arquitectura de IA y está alineado con los requisitos del Reglamento Europeo de Inteligencia Artificial.

Protección de datos en el procesamiento de IA

• Sin entrenamiento con datos de usuario: los acuerdos contractuales con nuestro socio tecnológico de IA prohíben expresamente el uso de vídeos, audios y transcripciones de los usuarios para entrenar modelos de IA.
• Sin retención: el proveedor de IA procesa cada petición de forma aislada y no retiene el contenido del usuario tras generar la respuesta.
• Región UE: el procesamiento de IA está configurado para ejecutarse en la región de la Unión Europea en cada petición.
• Privacidad por diseño: el análisis de lenguaje corporal se ejecuta en el navegador del estudiante. Solo se transmiten coordenadas numéricas (JSON), nunca fotogramas de vídeo.

Trazabilidad

Cada análisis de IA queda registrado con trazabilidad completa: datos enviados, respuesta generada, tokens consumidos, tiempos de procesamiento, versión del modelo y coste. Este registro de auditoría es inmutable y consultable por administradores del centro.

Sin reconocimiento de emociones

Cicerón analiza métricas prosódicas objetivas (velocidad de habla, pausas, variación de tono) y coordenadas de postura corporal. No realiza reconocimiento, inferencia ni clasificación de emociones. El reconocimiento de emociones en entornos educativos está expresamente prohibido por el artículo 5 del Reglamento Europeo de Inteligencia Artificial (UE) 2024/1689.

6. Reglamento Europeo de Inteligencia Artificial (EU AI Act)

El uso de IA para evaluar resultados de aprendizaje se clasifica como caso de uso sensible bajo el Annex III, categoría 3 del Reglamento (UE) 2024/1689. Las obligaciones para sistemas de alto riesgo entran en vigor el 2 de agosto de 2026.

La arquitectura de Cicerón ha sido diseñada para cumplir con los requisitos de este reglamento:

Requisito	Artículo	Implementación en Cicerón
Gestión de riesgos	Art. 9	Sistema de gestión de riesgos documentado a lo largo del ciclo de vida del sistema de IA.
Documentación técnica	Art. 11	Documentación completa de la arquitectura del pipeline de IA, datos utilizados, limitaciones y métricas.
Registro de eventos	Art. 12	Registro automático e inmutable de cada análisis de IA: entrada, salida, tokens, tiempos, modelo y coste.
Transparencia	Art. 13 y 50	Los usuarios son informados del uso de IA. Cada sugerencia muestra indicador de certeza y justificación con timestamps.
Supervisión humana	Art. 14	El evaluador humano puede aceptar, modificar o rechazar cada sugerencia de IA. No existe evaluación automática.
Precisión y robustez	Art. 15	Métricas de concordancia con evaluadores humanos. Nivel de certeza visible en cada sugerencia.

Cicerón puede acogerse a la excepción del Artículo 6(3)(d) del AI Act, al tratarse de un sistema de IA que realiza una tarea preparatoria para una evaluación que siempre completa un ser humano. No obstante, cumplimos voluntariamente con los requisitos de alto riesgo para garantizar la máxima protección de los derechos de estudiantes y docentes.

7. Retención y eliminación de datos

Tipo de dato	Retención	Eliminación
Datos de cuenta	Mientras la cuenta esté activa	30 días tras solicitud de baja o 24 meses de inactividad
Vídeos originales	Eliminados tras transcodificación	Automática
Vídeos transcodificados	Hasta eliminación por usuario o admin	Bajo demanda (estudiante, evaluador o administrador)
Análisis de IA	Asociados al vídeo	Se eliminan con el vídeo
Logs de auditoría IA	12 meses	Automática tras expiración
Logs de servidor	90 días	Automática tras expiración

8. Contrato de Encargado del Tratamiento (DPA)

Cicerón firma un Contrato de Encargado del Tratamiento con cada centro educativo conforme al artículo 28 del RGPD. Este contrato establece las instrucciones de tratamiento, las medidas técnicas y organizativas, los subencargados autorizados, los derechos de auditoría y el procedimiento de notificación de brechas.

Si tu centro educativo necesita un DPA o tiene requisitos específicos de seguridad o compliance, contacta con nosotros en privacidad@ciceron.education.

9. Contacto

Para cualquier cuestión relacionada con seguridad, protección de datos o cumplimiento normativo:

• Privacidad y protección de datos: privacidad@ciceron.education
• Soporte general: ayuda@ciceron.education