Seguridad de la plataforma

Última actualización : 18/10/2026 — La seguridad de sus datos escolares es nuestra prioridad. Esta página detalla las medidas técnicas y organizativas que aplicamos.

1. Cifrado de los datos

Todas las comunicaciones entre su navegador y nuestros servidores están protegidas por el protocolo TLS 1.3, el estándar actual de cifrado de Internet.

• TLS 1.3 en todas las conexiones HTTP (HSTS activado, redirección HTTPS forzada)
• Certificados SSL renovados automáticamente (Let's Encrypt)
• Datos en reposo cifrados a nivel del sistema de archivos y de las copias de seguridad
• Cookies de sesión marcadas HttpOnly y Secure

2. Autenticación y contraseñas

Ninguna contraseña se almacena jamás en texto plano. Aplicamos las buenas prácticas de OWASP en materia de autenticación.

• Hash BCrypt con coste adaptativo (12 rondas) en todas las contraseñas
• JWT firmados para las sesiones autenticadas (expiración corta + tokens de actualización)
• Política de complejidad mínima aplicada en el registro
• Bloqueo temporal de la cuenta tras varios intentos fallidos
• Restablecimiento de contraseña mediante enlace de un solo uso, válido 1 hora

3. Alojamiento y conformidad

Nuestros servidores son operados por un proveedor de alojamiento europeo certificado, garantizando el cumplimiento del Reglamento General de Protección de Datos (RGPD).

• Ubicación: centros de datos situados en Francia
• Certificaciones del proveedor: ISO 27001, SOC 2 Type II, ISO 27017 (cloud), ISO 27018 (PII)
• Conformidad con el RGPD: registro de actividades de tratamiento, subencargados identificados, DPO localizable
• Aislamiento de red: VLAN privadas, cortafuegos de aplicaciones (WAF), protección anti-DDoS

4. Aislamiento multicentro

Cada centro dispone de un espacio estrictamente compartimentado. Sus datos son invisibles para los demás clientes de la plataforma.

• Filtro etablissementId aplicado automáticamente al 100 % de las solicitudes
• Validación del lado del servidor de las autorizaciones en cada llamada a la API (modelo zero-trust)
• Pruebas automatizadas de no regresión sobre las fugas laterales
• Sin compartir configuración, horarios o listas entre centros

5. Trazabilidad y registro de auditoría

Todas las acciones sensibles se registran y pueden ser consultadas por los administradores. Esto le permite responder a las preguntas «¿quién hizo qué y cuándo?».

• Conexiones, desconexiones, fallos de autenticación
• Creación, modificación, eliminación de usuarios
• Generación, edición, publicación, eliminación de horarios
• Exportaciones de datos, cambios de configuración
• Conservación de los registros: 13 meses como mínimo

6. Copias de seguridad y continuidad

Sus datos se respaldan varias veces al día. En caso de incidente técnico, garantizamos una restauración rápida.

• Copias incrementales cada 6 horas
• Copias completas diarias, conservadas 30 días
• Replicación geográfica en 2 centros de datos distintos
• Pruebas de restauración trimestrales documentadas
• RPO (pérdida máxima aceptable): 6 horas · RTO (tiempo de recuperación): 4 horas

7. Notificación de incidentes

En caso de incidente de seguridad que afecte a sus datos, nos comprometemos a:

• Notificar en un plazo de 24 horas a los administradores de los centros afectados
• Detallar la naturaleza del incidente, los datos afectados, las medidas correctivas
• Notificar a las autoridades competentes (RGPD: en un plazo de 72 h)
• Publicar un análisis post-mortem público en un plazo de 30 días para los incidentes graves

8. Buenas prácticas por parte del centro

La seguridad es una responsabilidad compartida. Estas son las recomendaciones que le pedimos que aplique:

• Contraseñas fuertes y únicas para cada usuario (gestor de contraseñas recomendado)
• Desactivar inmediatamente las cuentas de los usuarios que abandonan el centro
• Reservar el rol Admin a un número reducido de personas de confianza
• No compartir nunca credenciales — cree una cuenta por usuario
• Informar inmediatamente de cualquier actividad sospechosa a security@yaplanning.com