EduConnectEduConnect
Borrador para revisión. Este texto fue redactado como punto de partida y no ha sido revisado por un abogado ni aprobado por el colegio. No debe considerarse la política oficial hasta que sea revisada y aprobada por quien maneje el cumplimiento legal de la institución. Los campos entre corchetes deben completarse antes de publicar.

Política de Tratamiento de Datos Personales

Última actualización: [fecha]

1. Responsable y encargado del tratamiento

EduConnect actúa en dos roles distintos, según el dato de que se trate:

  • Como encargado del tratamiento de los datos académicos y personales de estudiantes, acudientes y docentes que un colegio o jardín infantil gestiona dentro de la plataforma. En ese caso, [Nombre del colegio], identificado con NIT [•], con domicilio en [dirección], es el responsable del tratamiento, y EduConnect procesa esos datos únicamente por cuenta e instrucción del colegio, conforme al contrato de prestación de servicios suscrito con él.
  • Como responsable del tratamiento de los datos que se recogen directamente en el sitio público de EduConnect — por ejemplo, al registrar una cuenta en /subscribe, solicitar una demostración o agendar una cita — antes de que exista un colegio configurado en la plataforma. En ese caso EduConnect, [razón social del proveedor], decide las finalidades de ese tratamiento.

Puede contactarnos en [correo de contacto] para cualquier solicitud relacionada con esta política, sin perjuicio de que, si el dato corresponde a un estudiante o acudiente ya matriculado, la solicitud pueda redirigirse al colegio como responsable.

2. Marco legal

Este tratamiento se rige por la Ley 1581 de 2012, el Decreto 1377 de 2013 y demás normas que las desarrollen o modifiquen, que regulan el derecho de habeas data en Colombia. Dado que la mayoría de los titulares de la información académica gestionada en EduConnect son menores de edad, el tratamiento se realiza respetando su interés superior y con el consentimiento de sus padres, madres o representantes legales, quienes autorizan el tratamiento al momento de la matrícula.

3. Datos que se recolectan

Según el rol del usuario, EduConnect trata las siguientes categorías de datos:

  • Datos de identificación: nombres, tipo y número de documento, fecha de nacimiento, dirección, teléfono, correo electrónico.
  • Datos académicos: matrícula, calificaciones, asistencia, tareas y entregas, horarios, plan de estudios.
  • Datos comportamentales: anotaciones del Observador estudiantil (llamados de atención, felicitaciones, acuerdos de convivencia).
  • Comunicaciones: mensajes internos entre usuarios de la plataforma y comunicados institucionales.
  • Datos de acudientes: información de padres/madres y su vínculo con el estudiante.
  • Datos de uso: registros técnicos de acceso a la plataforma (auditoría de seguridad).

4. Uso de inteligencia artificial

EduConnect ofrece asistentes basados en inteligencia artificial (para docentes, coordinadores, padres y estudiantes) que responden preguntas usando información real del colegio. Estos asistentes utilizan un proveedor externo de procesamiento de lenguaje natural (OpenRouter, con sede en Estados Unidos), al cual se envían fragmentos de la información académica descrita en la sección anterior — nombres, materias, tareas, calificaciones y, en el caso del asistente institucional para personal directivo, listados de estudiantes matriculados — con el único fin de generar una respuesta a la pregunta formulada.

El Observador estudiantil (datos comportamentales) está explícitamente excluido de la información que se envía a estos asistentes de IA, dado su carácter especialmente sensible tratándose de menores de edad. Las anotaciones del Observador solo pueden consultarse directamente en la plataforma por los usuarios autorizados para verlas.

Las solicitudes a OpenRouter se realizan con la configuración de no-retención (data collection: deny), restringiendo el enrutamiento a proveedores de inferencia que no almacenan ni utilizan los mensajes para entrenar sus modelos. Si ningún proveedor compatible con esa configuración está disponible en un momento dado, el sistema puede usar como respaldo Google Gemini, únicamente cuando el colegio o EduConnect han habilitado esa clave con un nivel de facturación que, según la política de Google AI Studio, no usa las consultas para entrenar sus modelos. [Confirmar adicionalmente la política de privacidad vigente de OpenRouter y de Google y, si aplica, formalizar un acuerdo de encargo de tratamiento de datos con cada proveedor.]

5. Terceros que procesan datos por encargo

  • OpenRouter (Estados Unidos) — enrutamiento a modelos de lenguaje para los asistentes de IA, según se describe en la sección 4.
  • Google (Gemini / AI Studio) (Estados Unidos) — proveedor de respaldo para los mismos asistentes de IA, solo cuando OpenRouter no tiene un endpoint compatible con la configuración de no-retención disponible.
  • Cloudflare R2 / almacenamiento compatible con S3 — almacenamiento de documentos, fotografías y archivos adjuntos (matrícula, tareas, comunicados), en un bucket privado con acceso restringido y autenticado mediante enlaces firmados y temporales.
  • Proveedor de correo electrónico transaccional (hoy, servidor SMTP) — envío de notificaciones y correos transaccionales (recuperación de contraseña, comunicados, recordatorios de tareas).
  • Servicio de notificaciones push (Web Push / VAPID) — envío de notificaciones del navegador cuando el usuario las autoriza explícitamente.
  • Moodle — cuando el colegio tiene habilitado el campus virtual, para el acceso mediante inicio de sesión único (token de servicio web) a los cursos alojados en esa plataforma.

6. Finalidad del tratamiento

Los datos se tratan exclusivamente para la gestión académica y administrativa del colegio: matrícula, registro académico, comunicación entre la institución y las familias, seguimiento del proceso educativo, y el funcionamiento de las herramientas de la plataforma descritas en esta política.

7. Derechos de los titulares

Como titular de los datos (o representante legal de un menor titular), usted tiene derecho a conocer, actualizar, rectificar y solicitar la supresión de sus datos personales, así como a revocar la autorización otorgada para su tratamiento, en los términos de la Ley 1581 de 2012. Para ejercer estos derechos puede escribir a [correo de contacto].

8. Seguridad de la información

El colegio y EduConnect implementan medidas técnicas razonables para proteger los datos personales: cifrado en tránsito, control de acceso basado en roles, almacenamiento de archivos en un bucket privado con acceso mediante enlaces firmados y temporales, y segmentación de la información entre colegios en instalaciones que atienden a más de una institución.