Seguridad y datos
Última actualización: 11 de septiembre de 2026
En resumen
Cómo protege Incidenta la información que las instituciones le confían: dónde viven los datos, quién puede verlos, cómo se rastrea cada acción y quién los trata por cuenta nuestra. Escrito para quienes evalúan proveedores.
En esta página
1. Quién es responsable de los datos
La institución es siempre la responsable del tratamiento. Incidenta, un producto de Baind LLC, es su encargada: tratamos los reportes, los expedientes y la información del directorio únicamente según las instrucciones de la institución y solo para prestar el servicio. Nunca usamos los datos institucionales para fines propios ni los vendemos o compartimos. En Estados Unidos actuamos como “school official” conforme a FERPA cuando corresponde; en Colombia, como encargado del tratamiento conforme a la Ley 1581 de 2012. Firmamos un acuerdo de tratamiento de datos con cada institución.
2. Dónde viven los datos
Los datos de la aplicación y las evidencias cargadas se almacenan en Convex, una plataforma gestionada de base de datos y almacenamiento de archivos, en Estados Unidos. La aplicación se aloja en Vercel y la identidad la gestiona WorkOS, ambos en Estados Unidos. Los datos de cada institución están lógicamente aislados: cada registro pertenece a una sola organización y cada consulta verifica que quien pregunta pertenece a ella. Cuando aplican normas de transferencia internacional, nos apoyamos en salvaguardas como cláusulas contractuales tipo o la autorización de la institución.
3. Cifrado
- En tránsito: toda conexión con el sitio web y con la aplicación usa TLS.
- En reposo: la base de datos y el almacenamiento de archivos cifran los datos en reposo, gestionado por el proveedor de infraestructura.
- Sesiones: las sesiones de inicio de sesión viven en cookies seguras y http-only que los scripts de la página no pueden leer.
4. Quién puede ver qué
El acceso se basa en roles y se aplica en el servidor, no en la interfaz. Cada institución administra su propio directorio y asigna roles bajo el principio de mínimo privilegio: la mayoría de las personas solo puede presentar reportes y hacer seguimiento a los suyos; el contenido de los casos solo es visible para el personal asignado a atenderlos y para la dirección designada por la institución; y administrar el directorio no otorga por sí mismo acceso a los expedientes. La institución puede cambiar o revocar roles en cualquier momento.
Los reportes anónimos solo son visibles para las personas autorizadas a tomarlos, nunca en la vista de quien reporta. El personal inicia sesión con su cuenta institucional de Google Workspace o Microsoft 365, así que el acceso termina cuando la institución desactiva la cuenta.
5. Trazabilidad
Cada acción sobre un caso queda registrada con quién la hizo y cuándo: cambios de estado, asignaciones, evidencias, notas, conclusiones. Los expedientes cerrados se archivan en lugar de borrarse, de modo que la institución siempre tiene un registro que puede presentar ante una auditoría, una autoridad o una familia.
6. Encargados (subprocesadores)
Los proveedores que tratan datos institucionales o personales por cuenta nuestra. Esta lista coincide con la Política de Privacidad.
| Proveedor | Propósito | Ubicación |
|---|---|---|
| Convex | Base de datos y almacenamiento de archivos/evidencias | Estados Unidos |
| Vercel | Alojamiento del sitio y de la aplicación | Estados Unidos |
| WorkOS | Autenticación, identidad e inicio de sesión único | Estados Unidos |
| Resend | Correo transaccional y de notificaciones | Estados Unidos |
| PostHog | Analítica del sitio web (sin datos personales) | Estados Unidos / UE |
| Cal.com | Agenda de las llamadas reservadas desde el sitio web | Estados Unidos |
7. Preguntas que nos suelen hacer
¿Tienen alguna certificación de seguridad?
Todavía no. Somos un equipo pequeño en beta privada y preferimos decirlo a insinuar lo contrario. Nuestros proveedores de infraestructura tienen sus propias certificaciones, a las que podemos remitirte. Incidenta está diseñada para apoyar las obligaciones de las instituciones bajo FERPA y COPPA en Estados Unidos y la Ley 1581 en Colombia.
¿Cuánto tiempo conservan nuestros datos y podemos llevárnoslos?
Mientras la institución usa el servicio y durante un periodo razonable después; luego se eliminan o se devuelven según el acuerdo. Los expedientes pueden conservarse más tiempo cuando las obligaciones legales o de protección de la institución lo exigen; esa decisión es de la institución. El directorio y los datos de casos pueden exportarse en Excel o CSV en cualquier momento, y puede solicitarse la eliminación completa al terminar la relación.
¿Qué pasa si hay una violación de datos?
Notificamos a la institución afectada sin dilación indebida, con lo que sabemos, lo que estamos haciendo y lo que recomendamos. La institución decide, con nuestro apoyo, las notificaciones a familias y autoridades conforme a FERPA, a las leyes estatales de privacidad estudiantil de EE. UU. que apliquen o a la Ley 1581 de Colombia.
¿Cómo construyen y publican los cambios?
Seguimos un ciclo de vida de desarrollo de software definido: cada cambio se revisa y pasa verificaciones automáticas antes de poder publicarse, las dependencias de terceros se monitorean en busca de vulnerabilidades conocidas, los cambios se prueban en un entorno separado antes de producción y las publicaciones a producción son controladas y versionadas.
¿Cómo reporto una vulnerabilidad?
Escribe a contacto@incidenta.co con los detalles. Agradecemos los reportes de buena fe, leemos todos y te avisaremos cuando el problema esté resuelto.
8. Documentos a solicitud
El acuerdo de tratamiento de datos, la lista de encargados como documento y las respuestas a tu cuestionario de seguridad están disponibles a solicitud en contacto@incidenta.co o en la llamada que agendes con nosotros.