Seguridad de la plataforma y uso de datos

ProfeMax guarda información académica de menores de edad. Esa es la razón por la que la seguridad no es aquí un apartado de marketing: es una condición para que la plataforma pueda existir. Esta página explica qué hacemos, en concreto.

1. Protección de su cuenta

• Contraseñas cifradas con Argon2id. Se guarda una huella irreversible, nunca la contraseña. Si alguien accediera a la base de datos, no encontraría contraseñas que usar.
• Límite de intentos. El acceso, el registro y la verificación del código de seguridad tienen tope de intentos por cuenta y por dirección, para frenar los ataques por fuerza bruta.
• Segundo factor de autenticación (TOTP) en las cuentas administrativas, con códigos de recuperación guardados también cifrados.
• Código de seguridad propio del docente para las acciones delicadas de su cuenta.
• Recuperación de contraseña segura: el enlace es de un solo uso, caduca en poco tiempo, se guarda cifrado y, al usarlo, cierra todas las sesiones abiertas —porque quien recupera su contraseña suele hacerlo precisamente porque sospecha de un acceso ajeno—.
• Revocación de sesiones: podemos invalidar de inmediato los accesos de una cuenta comprometida.

2. Datos en tránsito y en reposo

• Todo el tráfico viaja cifrado con HTTPS/TLS. No hay acceso por conexión insegura.
• La plataforma envía cabeceras de seguridad estrictas, incluida una política de contenido que bloquea la ejecución de código no autorizado en la página.
• El acceso entre el sitio web y la plataforma está restringido a orígenes autorizados.
• Las credenciales de los servicios que usamos se gestionan como secretos, fuera del código.

3. Quién ve qué

El control de acceso no es un adorno de la interfaz: está impuesto en el servidor, en cada petición.

Aislamiento entre centros. El sistema está construido para que desde un centro no se pueda deducir siquiera si un estudiante concreto existe en otro. Es una protección específica para menores, y fue objeto de corrección expresa en nuestra revisión de seguridad.

4. Registro de auditoría

Las acciones sensibles —cambios de permisos, publicaciones y reaperturas del registro, accesos administrativos, modificaciones de cuentas— quedan registradas con su autor, su fecha y su contexto. Sirve para investigar cualquier incidente y para responder a la pregunta «¿quién hizo esto?» con un dato, no con una suposición.

5. Archivos que sube

• Se comprueba el tipo real del archivo por su firma binaria, no por la extensión ni por lo que declare el navegador.
• Los documentos se sirven de forma que no puedan ejecutarse en el navegador de otro usuario.
• Hay límites de tamaño y de formato para evitar abusos del almacenamiento.

6. Seguridad y la inteligencia artificial

• Al asistente se le envía solo el texto necesario: grado, asignatura, tema y currículo. Nunca listados de estudiantes, calificaciones ni asistencia.
• Su contenido no se usa para entrenar modelos.
• Lo que el modelo devuelve no puede escribir por su cuenta en el catálogo curricular ni en datos de otros usuarios: pasa por las mismas validaciones que cualquier otra entrada.
• Cada llamada queda contabilizada, visible para el docente y para su centro.

7. Continuidad y copias

La plataforma se ejecuta sobre infraestructura gestionada en la nube, con la redundancia de ese proveedor. Aun así, le damos un consejo que vale para cualquier sistema: descargue y conserve lo que le importe —el registro impreso, los boletines del período, sus planificaciones en PDF—. ProfeMax facilita esa descarga en todas las pantallas precisamente para eso.

8. Revisión de seguridad

ProfeMax fue sometida a una auditoría de seguridad integral que revisó autenticación, autorización, exposición de datos, subida de archivos, dependencias y privacidad de menores. Los hallazgos de código detectados se corrigieron y se verificaron contra la aplicación en funcionamiento, no solo por inspección.

Entre las correcciones aplicadas:

• Eliminación de credenciales fijas y de valores por defecto en los secretos.
• Límite de intentos en todos los puntos sensibles.
• Validación estricta de las subidas de archivos.
• Cierre de la fuga que permitía deducir en qué centro estaba un menor.
• Auditoría, revocación de sesiones y segundo factor en cuentas privilegiadas.
• Cabeceras de seguridad y restricción de orígenes.
• Recuperación de contraseña verificada por correo, sin intervención manual.

La seguridad no se termina nunca: seguimos revisando dependencias y ampliando controles de forma continua.

9. Lo que nunca hacemos

• No vendemos sus datos ni los de sus estudiantes.
• No los cedemos a terceros con fines comerciales o publicitarios.
• No entrenamos modelos de inteligencia artificial con su contenido.
• No perfilamos a menores ni tomamos decisiones automatizadas sobre ellos.
• No le pediremos su contraseña por correo, teléfono ni WhatsApp. Nunca. Si alguien lo hace en nuestro nombre, no somos nosotros.

10. Lo que le pedimos a usted

La mitad de la seguridad está de su lado, y no es una fórmula: es cierto.

• Use una contraseña única para ProfeMax, que no repita en otros servicios.
• No comparta su cuenta con colegas: si otra persona necesita acceso, que tenga la suya.
• Cierre sesión en computadoras compartidas, sobre todo en la sala de profesores.
• Desconfíe de los correos que le pidan credenciales, aunque parezcan nuestros.
• Avísenos de inmediato si sospecha de un acceso ajeno.

11. Incidentes

Si ocurriera una brecha de seguridad que afecte a datos personales, se lo comunicaremos a usted y a su centro: qué pasó, qué datos se vieron implicados, qué hicimos y qué le recomendamos hacer. Y lo notificaremos a las autoridades cuando corresponda.

12. Reportar una vulnerabilidad

Si encuentra un fallo de seguridad, escríbanos a info@profemax.com con el asunto «Seguridad» y una descripción de cómo reproducirlo. Le pedimos que:

• Nos dé un plazo razonable para corregirlo antes de hacerlo público.
• No acceda, modifique ni descargue datos de otras personas.
• No degrade el servicio ni interrumpa el trabajo de otros docentes.

Agradecemos de verdad estos avisos y respondemos a todos.