Seguridad | Aiyori

Lo que Aiyori custodia es el registro del aprendizaje de los alumnos.

Explicamos cómo lo protegemos: los principios y los mecanismos esenciales. Omitimos a propósito los detalles de configuración que podrían facilitar un uso indebido. No presentamos como hecho lo que no está hecho.

Principios básicos

Recoger poca información. El alumno puede usar Aiyori sin correo electrónico. De la fecha de nacimiento solo guardamos el año y el mes.
Limitar quién puede ver. La información de un alumno solo la ven el propio alumno, su familia y los profesores de su aula.
No conservar para siempre. Los archivos (fotos, vídeos, voz, etc.) se borran automáticamente a los 365 días.
No usar para publicidad ni rastreo. Ni la aplicación ni la Web incluyen componentes de analítica o de publicidad.

Inicio de sesión

Profesores y familias: Inician sesión con un código de 6 dígitos que llega a su correo electrónico. Al no haber contraseña, no cabe el robo de la cuenta por contraseñas reutilizadas o filtradas.
El código caduca en poco tiempo y, al emitir uno nuevo, el anterior deja de servir.
Alumnos: Inician sesión con tres datos: el código del aula, el ID y el PIN. El PIN se guarda solo en una forma que no se puede recuperar. Ni Aiyori ni el profesor pueden leerlo.
Protección ante intentos masivos: Tras varios errores seguidos, el inicio de sesión se bloquea durante un tiempo. También hay un límite en el número de códigos que se pueden emitir.
Sea cual sea el dato incorrecto (aula, ID o PIN), la respuesta es la misma, para no dar pistas.
No se revela si hay registro: La pantalla no cambia según el correo electrónico esté registrado o no.
Almacenamiento de los códigos: De los códigos de verificación y de invitación solo se guarda un valor transformado que no se puede revertir. Aunque se consulte la base de datos, no se puede conocer el código original.

Después de iniciar sesión

Caducidad de la sesión: La sesión se vuelve a comprobar a intervalos cortos. Si no se usa durante mucho tiempo, se cierra automáticamente.
Ante un uso indebido: Si hay indicios de que los datos de la sesión se han usado de forma indebida, se invalidan todas las sesiones de ese dispositivo.
Bloqueo de pantalla: Las pantallas del profesor y de la familia se pueden proteger con Face ID, Touch ID o el código del dispositivo (activado desde el principio).
Protección ante envíos suplantados: En las operaciones de escritura se comprueba que el envío procede de la propia pantalla de Aiyori (protección contra CSRF).

Separación entre aulas

Muchas aulas usan un mismo sistema. Por eso, lo que consideramos más importante es que los datos de unas y otras no se mezclen.

Mecanismo: La separación por aulas está integrada en la base del programa. Los datos de otra aula quedan fuera de alcance sin depender de cómo esté escrita cada pantalla o cada función.
Qué se ve desde otra aula: Si se indica un alumno o una tarea de otra aula, la respuesta es la misma que si no existiera. Ni siquiera se sabe si existe.
Comprobación: Cada vez que se modifica el programa se ejecutan pruebas automáticas que comprueban que no se ve nada de un aula a otra.

Quién puede ver qué

Perfil	Qué puede ver	Qué no puede hacer
Alumno	Las tareas que recibe, sus entregas y sus notas, y los mensajes con el profesor	Ver información de otros alumnos (salvo el apodo y el tiempo de las tarjetas de palabras, si el profesor decide mostrarlos). No hay pantallas relacionadas con el dinero.
Familia	Las tareas, las entregas, las notas, el registro de estudio y los mensajes con el profesor de los hijos vinculados con un código de invitación	Escribir en los mensajes. Ver información de otros niños.
Profesor del aula	Las tareas, las entregas, los mensajes y las cuotas de los alumnos de su aula	Ver información de otras aulas.
Profesor añadido	Lo mismo que el profesor del aula	Los ajustes del aula, cerrar el aula, invitar a profesores y los pagos.

Cifrado

Comunicaciones: Todo lo que circula entre el dispositivo y Aiyori va cifrado con HTTPS (TLS). También se cifran las comunicaciones con la base de datos y con el almacenamiento de archivos; no se aceptan conexiones sin cifrar.
Almacenamiento: La base de datos y el almacenamiento de archivos se guardan cifrados por completo, con un método sólido y de uso generalizado.
Nombres y correos electrónicos: Además del cifrado de todo el almacenamiento, los nombres, los correos electrónicos y otros datos similares se cifran uno por uno dentro de la aplicación antes de guardarse. No se pueden leer consultando solo la base de datos.

Archivos y vídeos

Envío y recepción: Las fotos, los PDF, la voz y los vídeos se transmiten por una vía con caducidad que solo puede usar esa persona. La vía deja de ser válida en poco tiempo.
Comprobación en cada apertura: Cada vez que se abre un archivo, se comprueba si esa persona puede verlo en ese momento.
Almacenamiento: Está configurado para que no se pueda acceder directamente desde el exterior. No hay URL públicas.
Qué se admite: Solo se admiten archivos de los formatos y tamaños establecidos. Tras recibirlos, el servidor los vuelve a comprobar.
Vídeos de clase: En cada reproducción se comprueba que esa persona puede ver ese vídeo. Sin ese permiso, el vídeo en sí no se puede obtener.
Los vídeos de clase, solo en Aiyori: Los vídeos que suben los profesores se sirven sin ningún sitio de vídeo externo. No aparecen anuncios ni vídeos recomendados. Solo cuando un profesor reparte un vídeo de YouTube se inserta el reproductor de YouTube, con la opción que no usa cookies.

Plazo de conservación y borrado

Borrado a los 365 días: Los archivos (fotos, vídeos, voz, PDF, etc.) se borran automáticamente a los 365 días de subirse. Pasado el plazo, no se pueden abrir aunque el proceso de borrado aún no se haya ejecutado.
Qué se conserva: Las notas, los comentarios, las respuestas a las preguntas y los mensajes de texto. Los vídeos de clase que el profesor marca con «Conservar como material didáctico».
Tras una baja: A los 30 días se borran las entregas, los mensajes, el registro de estudio y el nombre.
Tras el cierre del aula: Todos los alumnos pasan a estar de baja y, a los 30 días, se borra el aula entera.
Borrado por el propio usuario: Los profesores y las familias pueden eliminar su propia cuenta tras confirmarlo con un código que llega por correo.

Mecanismos para proteger a los menores

Consentimiento de la familia: Un alumno menor de 16 años no puede entregar fotos, vídeos ni voz, ni intercambiar mensajes individuales con el profesor, hasta que la familia dé el consentimiento. El consentimiento queda registrado y se puede retirar más adelante desde la Web.
Los mensajes, a la vista de la familia: La familia puede leer todos los mensajes entre su hijo y el profesor. También puede detenerlos.
Los alumnos no se conectan entre sí: No hay ninguna función para que un alumno contacte con otro.
Al salir a otro sitio: Antes de abrir un enlace a otro sitio, se muestra el destino para comprobarlo. A los menores de 13 años se les indica que lo abran junto con un adulto de casa.
Enlaces de clases en directo: Solo se admiten enlaces de Zoom, Google Meet, Microsoft Teams y Whereby.
Avisar: Si algo preocupa o ha molestado, se puede avisar a Aiyori desde la pantalla. El profesor no recibe ese aviso.
Sin asuntos de dinero: En la pantalla del alumno no aparecen cobros ni pagos.
Texto de las notificaciones: Para que se sepa de qué alumno y de qué se trata, las notificaciones incluyen el nombre visible del alumno y el título de la tarea. No incluyen el texto de los mensajes, las notas, los comentarios del profesor ni el importe de la cuota. Las familias y los profesores pueden ocultar el nombre y el título desde los ajustes. Los avisos por retraso en la cuota no llevan nombre.

Publicidad y rastreo

No mostramos publicidad. No vendemos datos. (YouTube puede añadir anuncios a los vídeos de YouTube que reparta un profesor.)
Ni la Web ni la aplicación para iPhone y iPad incluyen componentes externos (SDK o etiquetas) de analítica de uso o de publicidad. La aplicación para iPhone y iPad está hecha únicamente con las funciones estándar de Apple.
La única información que se envía a empresas externas es el correo electrónico, para enviar los correos (Amazon Web Services), y el texto de las palabras, para generar el audio de las tarjetas de palabras (Google). El texto de las palabras no contiene información de los alumnos. Cuando el profesor importa Formularios de Google, su navegador lee los formularios directamente de Google. Ni los datos de la cuenta de Google ni las respuestas de los formularios llegan a Aiyori.

Registro y supervisión

Registro de operaciones: De las correcciones, las devoluciones, el registro, la suspensión y la baja de alumnos, el restablecimiento del PIN, el consentimiento de la familia o el registro de pagos, entre otras, queda anotado quién hizo qué y cuándo. El registro solo admite añadidos: no se modifica.
Operaciones de Aiyori: Las operaciones que Aiyori realiza sobre las aulas o los datos también quedan en ese mismo registro, con su motivo.
Logs: En los logs de funcionamiento no se escriben textos de mensajes, correos electrónicos ni códigos.
Supervisión: El estado del sistema se vigila de forma continua. Si hay una anomalía, se avisa a Aiyori.
Copias de seguridad: La base de datos se copia automáticamente cada día y las copias se conservan durante un periodo determinado. Está configurada para que no se pueda borrar por error.

Dónde funciona

Ubicación de los datos: Japón (región de Tokio de Amazon Web Services).
Base de datos: Está en un lugar sin conexión directa desde internet; solo se puede acceder a ella desde el programa de Aiyori.
Programa: Funciona solo con los permisos necesarios. No funciona con permisos de administrador.
Actualizaciones: Si una versión nueva presenta problemas, se vuelve automáticamente a la anterior.
Verificación en cada cambio: Cada vez que se modifica el programa se ejecutan la comprobación de tipos y las pruebas automáticas (incluidas las de separación entre aulas, consentimiento y borrado).

Información de pago

Aiyori no guarda números de tarjeta. Tampoco tiene dónde guardarlos.
En el pago con tarjeta, los datos de la tarjeta los guarda directamente la empresa de pagos (Stripe) y la cuota va directamente a la cuenta del profesor. Nunca guardamos las cuotas.

Si ocurre un incidente

Tenemos establecido de antemano el procedimiento para el caso de que se filtre información o exista ese riesgo.
Detenemos la causa y avisamos en un plazo de 24 horas a los profesores de las aulas afectadas.
Conforme a la ley, informamos a la Comisión de Protección de Datos Personales de Japón y notificamos a los interesados y a sus familias.