Infraestructura
Alojado en la UE
Base de datos y almacenamiento de archivos en la Unión Europea.
Cifrado en tránsito
Todo el tráfico mediante TLS 1.2 o superior.
Cifrado en reposo
AES-256 para los datos almacenados.
Almacenamiento de archivos privado
Fotos de exámenes y entregas en un bucket de la UE de acceso privado.
Autenticación
Contraseñas con hash
Protegidas con hash bcrypt — nunca en texto plano.
Sesiones de corta duración
Tokens JWT que caducan automáticamente.
Row-Level Security
Aplicado a nivel de base de datos: un docente solo ve sus propios exámenes y los de las clases compartidas con él.
Control de acceso
Las solicitudes a la API para un recurso de otro docente devuelven un 404 (no un 403), para no confirmar que existen datos de otro usuario. Es una medida de privacidad deliberada.
Servicios externos
- Alojamiento y base de datos — base de datos, autenticación y almacenamiento de archivos en la UE.
- Procesamiento de IA para la corrección — nuestro proveedor de IA no utiliza los datos enviados para entrenar modelos. GraidLens no entrena ningún modelo con tus datos salvo que lo actives expresamente (ver política de privacidad).
- Dónde se procesa con IA — para corregir, las fotos y las respuestas se envían a un servicio de IA. Ese tratamiento aún se realiza fuera de la UE (EE. UU.); está previsto pasar a un tratamiento dentro de la UE. El nombre de ese servicio figura en la página de privacidad y subencargados.
Qué partes tratan datos en nuestro nombre — con finalidad, ubicación y garantías de cada una — figura en el acuerdo de tratamiento de datos, que los centros reciben a petición.
Verificación en dos pasos
Los docentes pueden activar la verificación en dos pasos con una aplicación de autenticación. Una cuenta con un segundo paso solo entra en la aplicación después del código, y la API rechaza una sesión sin ese paso.
Plazos de conservación
Las fotos de los trabajos se eliminan automáticamente: a los 3 meses en un examen normal y al año en un examen que cuenta para el título, para que sigan siendo posibles la revisión y la reclamación. Las notas y las puntuaciones por pregunta se conservan mientras exista el examen. Un docente siempre puede eliminar un examen antes.
Comprobación por los centros
Un centro puede comprobar que cumplimos lo acordado: con preguntas, documentación o una auditoría, como establece el acuerdo de tratamiento de datos.
Lo que (todavía) no tenemos
- Ninguna certificación ISO 27001 ni NEN 7510.
- Todavía no hay una prueba de penetración externa; se hará antes del lanzamiento nacional.
- Todavía no estamos adheridos al Privacyconvenant Onderwijs neerlandés; la solicitud está en preparación.
- Todavía no hay tratamiento con IA dentro de la UE; ver arriba.
Divulgación responsable
¿Encontraste una vulnerabilidad? Repórtala de forma responsable a security@graidlens.eu. Procuramos confirmar los reportes en un plazo de 48 horas.