Quién ve qué en tu colegio.

El docente

Ve a los alumnos a los que da clase. Cuando un alumno cambia de grupo o se da de baja, deja de ver la ficha de ese alumno.

Salud y resoluciones judiciales

Los datos de salud, los informes psicopedagógicos y las resoluciones judiciales no los ve ningún docente. Quien puede consultarlos lo hace con verificación en dos pasos, y cada consulta queda registrada.

Las conversaciones

Ningún docente puede mantener una conversación privada con un alumno menor: el tutor legal está siempre en copia, o la conversación es de grupo.

Una queja

Si la dirección tiene que leer una conversación por una queja o para proteger a un alumno, lo hace indicando un motivo, hilo a hilo, y queda en el registro.

Denunciar y bloquear

Quien recibe un mensaje fuera de lugar puede denunciarlo, o denunciar la conversación entera. La denuncia va a la dirección del colegio, no a Auladia: la dirección la lee, y queda registrado, y decide una sola vez si oculta el mensaje, avisa a quien lo escribió, le restringe la escritura unos días o la desestima. Quien es parte de una denuncia no puede resolverla. Una familia también puede silenciar o bloquear la conversación con un docente, y un docente puede bloquearla indicando el motivo; de cada bloqueo, la dirección recibe el aviso. El canal con secretaría no se bloquea nunca.

A los 14 años

A partir de los 14, el alumno puede tener cuenta propia, sin ver nada de la economía familiar.

A los 18 años

La cuenta pasa a ser del alumno, sola, el día que los cumple. Decide, tutor a tutor, si los padres pueden seguir viendo sus datos y, aparte, si pueden hacer trámites en su nombre. Por defecto, ni una cosa ni la otra, y puede retirarlo cuando quiera. Quien paga sigue viendo sus recibos.

Las familias, y los alumnos a partir de los 14 años, pueden eliminar su cuenta desde la app o desde la web. El acceso se retira al instante, y ningún camino vuelve a abrirlo. El personal del centro lo pide al centro, que tramita la baja.

Los datos que tiene el colegio son otra cosa: la petición de supresión llega a la dirección de cada centro, que tiene un mes para responder y conserva lo que la ley le obliga a conservar, como el expediente académico.

Cada progenitor tiene su acceso, sus avisos y sus recibos. Si pagan la mitad cada uno, cada uno recibe el suyo y no ve el del otro. El reparto se hace al céntimo: las dos partes suman exactamente la cuota.

Una orden de alejamiento o una restricción de recogida se registra con la referencia y la fecha. Según lo que diga la resolución, la persona deja de ver los datos del menor, de recibir avisos o de poder recogerlo. El sistema nunca revela que hay una restricción: la respuesta es la misma que si el dato no existiera.

En la puerta, la conserjería sabe quién puede recoger a cada alumno. Si alguien no puede, lo sabe sin conocer el motivo.

Con cada cambio del programa, una batería de pruebas comprueba que ningún colegio puede ver los datos de otro. Y antes de cada versión nueva, una pasada de pruebas entra con cada rol de un colegio de prueba y repasa lo que tiene que poder hacer y lo que no.

También lo hemos probado con un colegio inventado muy grande: 3.301 alumnos y 70.902 recibos.

21.900

llamadas a las 448 funciones del sistema intentaron leer datos de otro centro en la última revisión completa. Ninguna devolvió nada.

398

situaciones del colegio, rol a rol, en cada versión nueva.

343

de esas situaciones son cosas que alguien NO tiene que poder hacer, y se comprueba que no puede.

Son pruebas, no clientes: todavía no hay ningún colegio usando Auladia en producción.

La producción está preparada en Amazon Web Services, en una región de la Unión Europea, y las copias cifradas van a otra región de la Unión Europea. Los campos más delicados (documento de identidad, cuenta bancaria, salud y resoluciones judiciales) van cifrados con una clave propia de cada colegio.

Las copias de seguridad caducan en 30 días como máximo. Dirección, secretaría y administración entran con verificación en dos pasos, las sesiones del personal se cierran solas y los archivos que suben las familias pasan por un antivirus.

No usamos los datos de tu colegio para entrenar ninguna inteligencia artificial. Auladia no usa ninguna.

La producción está preparada, pero no en marcha: se pone en marcha con el primer colegio, y todavía no hay ninguno.

Los datos del colegio son del colegio. Lo regula un contrato de encargo del tratamiento, que firmamos antes de cargar ningún dato real, con la lista de proveedores que intervienen.

Si el colegio deja el servicio, se lleva todos sus datos en archivos abiertos: las tablas en CSV y JSON con la descripción de cada campo, las facturas, los recibos, los boletines y los certificados en PDF, los registros de VERI*FACTU, los ficheros de las remesas tal como fueron al banco, los documentos y las fotos. La dirección lo pide desde la pantalla de exportación y lo descarga por un enlace temporal. Después, los datos se borran, salvo lo que la ley obliga a conservar.

Si la descarga de un paquete muy grande se corta, vuelve a empezar: cada enlace admite cinco descargas en 24 horas, y se puede crear otro.

Esquema Nacional de Seguridad

Muchas de las medidas ya están aplicadas (verificación en dos pasos, registro de accesos, cifrado, mínimo privilegio). La certificación es el paso formal siguiente.

Auditoría de accesibilidad de la app

La haremos antes de llegar a los centros públicos.

Compromiso de disponibilidad

Lo publicaremos cuando podamos medirlo en producción.