Privacidad y RGPD: los menores son el centro del diseño

Papeles claros

• El centro educativo es el responsable del tratamiento y holaula el encargado (artículo 28 del RGPD).
• Contrato de encargado (DPA) con cada centro desde el primer piloto con datos reales.
• Evaluación de impacto (EIPD) modelo que el centro adapta: tratamos datos de menores de 14 años a gran escala, un supuesto que la AEPD considera de riesgo.
• Lista pública de subencargados.

Dónde y cómo se guardan los datos

• Base de datos y almacenamiento de archivos con jurisdicción en la Unión Europea.
• Fotos y documentos accesibles solo con enlaces firmados de caducidad corta; nada público.
• Datos de salud, alergias y restricciones judiciales cifrados a nivel de aplicación.
• Aislamiento entre centros también en la base de datos (políticas de seguridad por filas), no solo en el código.

Minimización y conservación

• No pedimos el DNI de las familias salvo que el centro lo necesite para secretaría.
• Datos de salud solo si el centro activa comedor o medicación.
• Plazos de conservación por tipo de dato con borrado automático y exportación previa.
• Registro de auditoría inmutable de cada acceso a datos de un menor.

Lo que no hacemos

• Reconocimiento facial, análisis de comportamiento o predicción de rendimiento: nunca.
• IA que decida sobre un alumno: la IA solo ayuda a redactar y traducir, con revisión humana y datos seudonimizados.
• Vender o ceder datos a terceros.

Derechos de las familias

Acceso, rectificación, supresión y portabilidad se ejercen ante el centro, que es el responsable, y holaula le facilita atenderlos desde el panel. Antes de tratar datos reales contaremos con un delegado de protección de datos.