Contrato de transmisión de datos personales
En pocas palabras. Los datos de sus estudiantes son de su institución educativa, que es la responsable de ellos. PIAR 360 es el encargado: los guarda y los trata solo para que sus docentes elaboren el PIAR, con las medidas de seguridad que se describen aquí, y no los usa para nada más.
El contrato se acepta en línea, al crear la cuenta o dentro de la plataforma. Queda constancia de la fecha, la versión del texto, la dirección IP, el navegador y el nombre de quien acepta. Si su institución prefiere firmarlo en papel, imprima esta página.
1. Partes
| Rol | Quién |
|---|---|
| Responsable del tratamiento | La institución educativa, pública o privada, que registra en PIAR 360 los datos de sus estudiantes. Actúa por medio de su rector(a), representante legal o la persona que ella delegue, y por medio de los docentes y directivos que usan la plataforma con su autorización. |
| Encargado del tratamiento | Esteban Giraldo Casas – NeuroEs, persona natural domiciliada en Colombia, que opera la plataforma PIAR 360 (piar360.com). |
| Canal de contacto del encargado | Formulario de contacto de piar360.com. Toda comunicación sobre este contrato se envía por ese canal. |
2. Objeto
La institución transmite al encargado, y el encargado trata por cuenta de la institución, los datos personales necesarios para elaborar, guardar, actualizar, descargar y hacer seguimiento al Plan Individual de Ajustes Razonables (PIAR) de sus estudiantes, conforme al Decreto 1421 de 2017 (incorporado al Decreto 1075 de 2015) y a la Ley Estatutaria 1618 de 2013.
El encargado no decide para qué se usan los datos: sigue las instrucciones de la institución, expresadas en este contrato y en el uso que sus usuarios hacen de la plataforma.
3. Finalidades permitidas
El encargado solo trata los datos para:
- Elaborar el PIAR en el formato del Ministerio de Educación Nacional, con su valoración pedagógica, ajustes razonables, acta de acuerdo y seguimiento.
- Redactar borradores con inteligencia artificial cuando un usuario lo pide (botones de redactar, «Mejorar con IA» y «Completar»).
- Leer los documentos que un usuario adjunta (función «Leer documento») con el único fin de extraer el texto útil para el PIAR. El archivo no se guarda.
- Generar los archivos Word y PDF del PIAR y el respaldo de la cuenta.
- Enviar a los usuarios de la institución los correos del servicio: recuperación de la contraseña y recordatorios de PIAR sin descargar.
- Atender las solicitudes de soporte de los usuarios.
- Mantener la seguridad, las copias de respaldo y la continuidad del servicio.
- Mostrar a la propia institución estadísticas agregadas de su uso.
Queda prohibido al encargado usar los datos para fines comerciales o publicitarios, para perfilar a estudiantes o familias, para entrenar modelos de inteligencia artificial, y venderlos, cederlos o compartirlos con terceros distintos de los subencargados de la cláusula 8.
4. Datos y titulares
| Titulares | Datos |
|---|---|
| Estudiantes, en su mayoría niños, niñas y adolescentes | Nombre, tipo y número de documento, fecha y lugar de nacimiento, grado y grupo; condición o discapacidad; datos de salud: diagnóstico y código CIE-10, entidad que lo atiende, terapias, medicamentos con dosis y horario, apoyos técnicos y recomendaciones; dirección, barrio, teléfono, EPS y nivel del Sisbén si la institución los registra; valoración pedagógica, ajustes, compromisos y seguimiento. |
| Madres, padres, cuidadores y acudientes | Nombre, documento, teléfono, correo, nivel educativo, ocupación y parentesco. |
| Personal de la institución que usa la plataforma | Nombre, correo, cargo, institución, teléfono y documento si los registra, contraseña (guardada como huella bcrypt), fechas de acceso, descargas realizadas y constancias de aceptación. |
| Documentos adjuntos | Certificados, informes de terapia o valoraciones que un usuario adjunta para que la IA los lea. Se procesan en memoria y no se guardan. |
Los datos de salud y de discapacidad son datos sensibles (artículo 5 de la Ley 1581 de 2012) y los de niños, niñas y adolescentes tienen protección reforzada (artículo 7 de la misma ley y Sentencia C-748 de 2011): su tratamiento debe responder a su interés superior y asegurar el respeto de sus derechos fundamentales.
5. Obligaciones de la institución (responsable)
- Contar con la autorización previa, expresa e informada de las madres, los padres o los representantes legales para tratar los datos de los estudiantes, incluidos los de salud, con el fin de elaborar el PIAR, e informarles que la plataforma la opera un encargado y que los datos se alojan en Estados Unidos. Debe conservar prueba de esa autorización (artículo 9 y artículo 17, literal b, de la Ley 1581 de 2012).
- Recordar a las familias que no están obligadas a autorizar el tratamiento de datos sensibles (artículo 6 de la Ley 1581 de 2012).
- Registrar solo los datos que el PIAR necesita y pedir a sus usuarios que no adjunten ni escriban información que no haga falta.
- Dar acceso a la plataforma solo a personas autorizadas y pedir que se cierre la cuenta de quien deje de trabajar en la institución.
- Atender las consultas y los reclamos de los titulares, con el apoyo del encargado.
- Tener su propia política de tratamiento de datos y cumplir sus demás deberes como responsable (artículo 17 de la Ley 1581 de 2012), incluido el Registro Nacional de Bases de Datos cuando le aplique.
6. Obligaciones del encargado
Además de los deberes del artículo 18 de la Ley 1581 de 2012, el encargado se compromete a lo que exige el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015: dar tratamiento a los datos, a nombre de la institución, conforme a los principios que los protegen; salvaguardar la seguridad de las bases de datos, y guardar confidencialidad sobre el tratamiento. En concreto:
- Garantizar a los titulares el ejercicio pleno y efectivo del derecho de hábeas data.
- Conservar la información con las medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (cláusula 7).
- Actualizar, rectificar o suprimir los datos oportunamente y, cuando la institución se lo pida, dentro de los cinco (5) días hábiles siguientes a la solicitud.
- Tramitar las consultas y los reclamos de los titulares en los términos de la ley.
- Aplicar su política de tratamiento y sus procedimientos internos de seguridad.
- Registrar la leyenda «reclamo en trámite» o «información en discusión judicial» cuando corresponda, y abstenerse de circular información cuyo bloqueo haya ordenado la Superintendencia de Industria y Comercio.
- Permitir el acceso a la información únicamente a quien pueda tener acceso a ella.
- Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información, y cumplir sus instrucciones y requerimientos.
- Tratar los datos solo para las finalidades de la cláusula 3 y según las instrucciones de la institución.
7. Medidas de seguridad
| Medida | Cómo se aplica hoy |
|---|---|
| Cifrado en tránsito | Todo el tráfico va por HTTPS (TLS 1.2 o 1.3). Las llamadas a los subencargados también van cifradas. |
| Cifrado en reposo de los campos sensibles | AES-256-GCM por columna para el documento, la dirección, el barrio, el teléfono, la EPS, el Sisbén y la categoría de discapacidad del estudiante, y para el diagnóstico, el CIE-10, la entidad, las terapias, la medicación, los apoyos técnicos, las recomendaciones de salud y los datos de contacto de la familia. La clave está fuera de la base de datos y del código. |
| Archivos cifrados | Los archivos subidos a la plataforma se guardan cifrados con AES-256-GCM y solo se entregan, con sesión iniciada, a usuarios de la institución del estudiante. |
| Acceso | Correo y contraseña (mínimo 8 caracteres, guardada con bcrypt). Las sesiones vencen a los 7 días y se cierran todas al cambiar la contraseña. Límite de intentos fallidos de ingreso. |
| Aislamiento por institución | Cada usuario solo ve y modifica los estudiantes y los PIAR de su propia institución. |
| Base de datos no expuesta | PostgreSQL solo acepta conexiones desde el mismo servidor; el puerto de la aplicación tampoco está abierto a internet. |
| Copias de respaldo | Copia diaria de la base en el servidor, con catorce días de historial y verificación de integridad, y una copia diaria fuera del servidor cifrada con GPG con una clave que el servidor no tiene. |
| Registros | Se registran las descargas de PIAR y de respaldos y las constancias de aceptación. Los registros del servidor no guardan el contenido de las respuestas de la IA. |
| Fallo cerrado | Si la clave de cifrado no está disponible, la plataforma rechaza guardar datos sensibles en lugar de guardarlos sin cifrar. |
El nombre y el apellido del estudiante no se cifran, porque la plataforma busca y ordena por ellos. La institución puede registrar a un estudiante con un código (por ejemplo, «Estudiante 001») en lugar del nombre real.
8. Subencargados
La institución autoriza al encargado a apoyarse en los siguientes proveedores, que tratan los datos solo para prestar su servicio y bajo sus propias obligaciones contractuales de seguridad y confidencialidad:
| Proveedor | Para qué | Qué datos recibe | Dónde |
|---|---|---|---|
| Hostinger International Ltd. | Alojamiento del servidor (VPS) | Toda la información de la plataforma, con los campos sensibles y los archivos cifrados. | Phoenix, Arizona, Estados Unidos |
| Anthropic, PBC | Inteligencia artificial (redactar, mejorar, completar y leer documentos) | Solo lo que se envía cuando un usuario pulsa uno de esos botones (ver la política, sección 4). Según sus condiciones comerciales, no usa esos datos para entrenar sus modelos. | Estados Unidos |
| Resend, Inc. | Envío de correos del servicio | Correo y nombre del usuario; los recordatorios incluyen el nombre y el grado del estudiante cuyo PIAR está sin descargar. | Estados Unidos |
| Google LLC (Gmail) | Buzón de correo del encargado | Los mensajes que los usuarios envían por el formulario de soporte y la copia externa diaria, cifrada con GPG con una clave que Google no tiene. | Estados Unidos |
Si el encargado incorpora o cambia un subencargado, lo publicará en la política de tratamiento y pedirá de nuevo la aceptación de este contrato al ingresar. La institución puede oponerse y terminar el contrato según la cláusula 17.
9. Transmisión internacional
Los datos se alojan y se procesan en Estados Unidos. Estados Unidos figura entre los países con nivel adecuado de protección de datos según la Superintendencia de Industria y Comercio (Circular Única, Título V, numeral 3.2), de modo que la transmisión es permitida por el artículo 26 de la Ley 1581 de 2012. Además, este contrato cumple el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, por lo cual, conforme al artículo 2.2.2.25.5.1, esta transmisión entre responsable y encargado no requiere ser informada al titular ni contar con su consentimiento; aun así, PIAR 360 la informa en su política para que las familias la conozcan.
10. Confidencialidad
El encargado guarda reserva sobre toda la información que trata, también después de terminado el contrato (artículo 4, literal h, de la Ley 1581 de 2012). Solo el encargado y quien él autorice para tareas técnicas, bajo el mismo deber de reserva, pueden acceder a la infraestructura. Fuera del soporte que pida la propia institución, de la seguridad del servicio o de una obligación legal, el encargado no consulta el contenido de los PIAR.
11. Incidentes de seguridad
Si el encargado detecta un acceso no autorizado, una pérdida o una alteración de los datos de la institución, se lo informará sin demora injustificada y a más tardar dentro de los tres (3) días hábiles siguientes a su detección, por el correo con el que se registró el usuario que aceptó este contrato. Le dirá qué pasó, qué datos se vieron afectados, qué medidas tomó y qué recomienda hacer. También informará a la Superintendencia de Industria y Comercio en los términos que esta señale.
12. Derechos de los titulares
La plataforma permite a la institución atender por sí misma buena parte de las solicitudes: descargar en cualquier momento el respaldo con todos los PIAR y datos de la institución, corregir cualquier dato y eliminar cuentas. Si un titular escribe directamente al encargado, este le dará traslado a la institución dentro de los cinco (5) días hábiles siguientes y la apoyará para responder dentro de los plazos de la ley: diez (10) días hábiles para consultas y quince (15) para reclamos (artículos 14 y 15 de la Ley 1581 de 2012).
13. Información de salud
PIAR 360 guarda la información de salud que el PIAR necesita, como parte del expediente escolar del estudiante. No es una historia clínica ni PIAR 360 es prestador de servicios de salud: las historias clínicas las abren y custodian los prestadores de salud, conforme a la Resolución 1995 de 1999 y la Ley 2015 de 2020. La institución no debe cargar historias clínicas completas, sino lo que el PIAR pide: diagnóstico, atención, terapias, medicación, apoyos y recomendaciones para el aula.
14. Duración
El contrato rige desde su aceptación y mientras la institución o sus usuarios tengan cuentas activas en PIAR 360. Termina cuando se elimina la última cuenta de la institución, cuando la institución lo pida por el canal de contacto o cuando el encargado deje de prestar el servicio, con aviso previo de treinta (30) días calendario en este último caso.
15. Devolución y supresión de los datos
- Devolución: antes de terminar, cualquier usuario puede descargar el respaldo (un archivo ZIP con todos los PIAR de la institución en Word y sus datos en texto), que se abre sin la plataforma.
- Supresión: al eliminar la última cuenta de la institución, la plataforma borra de inmediato de la base activa la institución, sus estudiantes, sus PIAR, ajustes, actas y seguimientos. Si quedan otros usuarios, se conservan los datos de la institución porque ellos siguen trabajando con ellos.
- Copias de respaldo: las copias diarias del servidor se sobrescriben a los catorce (14) días. Las copias cifradas fuera del servidor se conservan por un máximo de treinta (30) días y luego se eliminan.
- Constancias: se conservan las constancias de aceptación de este contrato y de la política (fecha, versión, IP, navegador, nombre y correo de quien aceptó), como prueba de la autorización y del contrato.
16. Auditoría
La institución puede pedir, por el canal de contacto, información sobre las medidas de seguridad, los subencargados, las constancias de aceptación de sus usuarios y el registro de descargas de sus PIAR. El encargado responderá dentro de los quince (15) días hábiles siguientes. El encargado mantiene un estudio de impacto de privacidad del tratamiento con inteligencia artificial, conforme a la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio, y lo pone a disposición de la institución o de la autoridad que lo solicite.
17. Cambios al contrato
Si el contrato cambia, se publicará aquí la nueva versión con su fecha y se pedirá a los usuarios que la acepten al ingresar. Si la institución no está de acuerdo, puede terminar el contrato y descargar antes su respaldo.
18. Ley aplicable
Este contrato se rige por la ley colombiana, en particular la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones de la Superintendencia de Industria y Comercio, autoridad de protección de datos personales.
19. Aceptación
El contrato se acepta por medios electrónicos, con plena validez según la Ley 527 de 1999: al crear la cuenta, marcando las casillas correspondientes, o dentro de la plataforma cuando se pide. Un rector(a), coordinador(a) o administrador(a) puede aceptarlo además en nombre de la institución desde Mi cuenta. PIAR 360 guarda la constancia de cada aceptación.
Si la institución prefiere una versión firmada, imprima esta página, fírmela y envíela escaneada por el canal de contacto.
Cargo:
Institución y código DANE:
Firma y fecha:
Operador de PIAR 360
Documento:
Firma y fecha:
Política de tratamiento de datos