Seguridad y Cumplimiento Legal

Protección de datos, privacidad estudiantil y marco normativo de Profe Neuro Plus

✅ Auditoría de Seguridad: Mayo 2026 · 0 vulnerabilidades

Autenticación

Autenticación basada en tokens JWT con expiración automática.
Sesiones de usuario gestionadas por la plataforma Base44 con estándares OAuth 2.0.
Tokens de integración (Google Classroom, Microsoft 365) cifrados en reposo y nunca expuestos al frontend.
Todas las funciones backend validan la identidad del usuario antes de procesar solicitudes (auth guard en cada endpoint).
Rotación de tokens de refresco implementada para integraciones OAuth de terceros.

Row-Level Security (RLS) aplicado a todas las entidades: cada docente solo accede a sus propios datos.
Los registros de chat, plantillas, rúbricas y solicitudes de calificación están aislados por email del creador.
Los tokens OAuth de Google Classroom y Microsoft 365 son accesibles únicamente por el usuario propietario.
Las publicaciones de la comunidad siguen un modelo de moderación antes de ser visibles para otros.
Ningún dato de un docente es accesible por otro sin permisos explícitos de administrador.

Profe Neuro Plus es una herramienta exclusiva para docentes — los estudiantes no tienen acceso directo a la plataforma.
No se recopilan datos personales de menores de edad en ningún punto del sistema.
Los trabajos estudiantiles subidos para calificación se procesan y eliminan; no se almacenan datos identificables del alumno.
Cumplimiento con FERPA: los registros educativos son tratados conforme a los principios de confidencialidad.
Cumplimiento con COPPA: no existe registro ni recopilación de información de menores de 13 años.
Los docentes son los únicos responsables del manejo de datos estudiantiles en sus propios sistemas institucionales.

Todo el tráfico usa HTTPS/TLS 1.3 — las comunicaciones en texto plano están bloqueadas.
Todos los webhooks entrantes se validan mediante firma criptográfica antes de procesar cualquier evento.
El puente de servicio wmClassroomBridge requiere un secreto compartido (x-bridge-secret) en cada solicitud.
Cabeceras CORS configuradas estrictamente: solo orígenes autorizados pueden llamar a los endpoints.
Los endpoints de administración validan role === 'admin' antes de ejecutar operaciones privilegiadas.
Funciones de backend sin usuario autenticado retornan 401 Unauthorized inmediatamente.

El agente ProfeIA tiene un system prompt protegido con bloqueo de jailbreak y restricción de persona.
Ningún prompt del sistema es revelado, repetido ni referenciado ante solicitudes de usuarios.
Los agentes IA operan dentro de un ámbito curricular estricto: K-9, MINEDUCYT, El Salvador.
Instrucciones de inyección de prompt ('ignora tus instrucciones') son tratadas como consultas normales.
El modelo de IA no tiene acceso a datos de otros docentes ni a información sensible fuera del contexto del usuario.
Toda generación de contenido incluye marca de origen IA y aviso de revisión obligatoria.

Ley de Fomento a la Inteligencia Artificial de El Salvador (Decreto No. 23) — transparencia y uso ético.
Política de Educación Inclusiva MINED El Salvador / Ley de Equiparación de Oportunidades (Decreto 888).
Reglamento General de Protección de Datos (GDPR) — principios de minimización y propósito aplicados.
Family Educational Rights and Privacy Act (FERPA) — confidencialidad de registros educativos.
Children's Online Privacy Protection Act (COPPA) — prohibición de datos de menores.
Plataforma registrada ante ANIA y operando bajo supervisión del marco normativo salvadoreño de IA.
NeuroEcosystem Institute es una organización sin fines de lucro 501(c)(3) reconocida federalmente, vigente desde el 18 de abril de 2026. EIN: 42-2050405.

Documento técnico de seguridad · Profe Neuro Plus · 2026

Llévalo más lejos — familias reciben apoyo personalizado en neuroecoglobal.org