Política de Tratamiento y Protección de Datos Personales
En Rubiku, la protección de los datos personales es un compromiso ético y formativo. Este documento explica de manera clara, transparente y directa cómo cuidamos, procesamos y protegemos la información de estudiantes, docentes, familias, colegios y creadores en todo nuestro ecosistema digital.
01. Roles: el Colegio es Responsable, Rubiku es Encargado
La Ley 1581 de 2012 (art. 3) distingue dos figuras: el Responsable del Tratamiento, que decide sobre la base de datos y su tratamiento, y el Encargado del Tratamiento, que trata los datos por cuenta del Responsable. En Rubiku los roles son:
| Plataforma | Responsable | Encargado |
|---|---|---|
| Rubiku GO (gestión escolar, Prisma (bienestar), Reportes y Remisiones, boletines y demás módulos institucionales) | El Colegio que contrata el servicio | Rubiku |
| Rubiku Ability, Piki y solicitudes de acceso hechas directamente a Rubiku | Rubiku | Proveedores tecnológicos de Rubiku (ver sección 13) |
Datos de contacto de Rubiku:
- Correo electrónico oficial de Habeas Data: privacidad@rubiku.co y soporte@rubiku.co
- Línea de atención directa: (+57) 300 954 5672
- Sitio Web Oficial: rubiku.co
- Domicilio: Bogotá D.C., República de Colombia.
02. Principios Rectores de Privacidad
De acuerdo con la Ley 1581 de 2012 de la República de Colombia y los estándares internacionales de privacidad por diseño (GDPR), el tratamiento de información en Rubiku se sujeta a los siguientes principios:
- Principio de Finalidad Pedagógica: La recolección de información responde exclusivamente al propósito formativo, de gestión académica y bienestar comunitario contratado.
- Principio de Libertad y Consentimiento: No se realiza tratamiento de datos sin el consentimiento previo, expreso e informado del titular o de su representante legal. En Rubiku GO esa autorización la obtiene y conserva el Colegio; en las aplicaciones directas (Ability, Piki), Rubiku.
- Principio de Veracidad o Calidad: La información sujeta a tratamiento debe ser verídica, completa, exacta, actualizada y comprensible.
- Principio de Transparencia: El titular puede solicitar en cualquier momento información sobre el tratamiento que reciben sus datos.
- Principio de Acceso y Circulación Restringida: Los datos personales no están disponibles en internet ni en medios masivos, salvo que el titular de manera expresa y en entornos de red social como Ability Music decida compartir su perfil.
- Principio de Confidencialidad y Seguridad: Todo el personal de Rubiku y los terceros tecnológicos están obligados a guardar estricta reserva y secreto profesional.
- Principio de Minimización: Solo se solicita la cantidad mínima indispensable de datos requeridos para que cada app funcione correctamente.
03. Tratamiento Especial de Niños, Niñas y Adolescentes (NNA)
Para garantizar un entorno digital seguro, formativo y protector:
- Consentimiento Institucional y Parental: En las plataformas escolares (Rubiku GO y Spark), el Colegio es la entidad encargada de recabar y custodiar la autorización informada de los padres, madres o representantes legales de los menores antes de su registro en la plataforma.
- Prohibición Terminante de Monetización o Publicidad: Rubiku JAMÁS vende, arrienda, comercializa ni cede datos de menores de edad a terceros. No implementamos redes de publicidad programática de terceros, ni cookies de rastreo publicitario, ni perfilamiento con fines comerciales o de consumo.
- Minimización y Privacidad en el Aula: En los espacios lúdicos y de robótica, fomentamos el uso de alias, avatares y códigos de grupo para evitar la exposición pública innecesaria de nombres completos o documentos de identidad de los menores.
04. Tratamiento de Datos Ultrasensibles en la Capa Thinking (Rubiku GO)
La Capa Thinking de Rubiku GO incluye módulos de misión crítica que manejan información sensible de salud física, bienestar socioemocional, convivencia e inclusión de los estudiantes. Estos módulos cuentan con un protocolo de blindaje técnico y legal reforzado:
• Datos tratados: Historial clínico de triage escolar, registro de alergias graves, medicamentos que deben suministrarse en horario escolar bajo prescripción médica, antecedentes patológicos y atenciones de emergencia.
• Finalidad: Preservar la vida, salud y atención oportuna del menor dentro del colegio (Resolución 1995 de 1999).
• Acceso Restringido: Estos registros solo los ven Enfermería, la Rectoría (gestión de emergencias y reportes institucionales), Orientación, el propio estudiante y sus acudientes verificados. Son invisibles para docentes, coordinadores académicos, secretaría, conductores y compañeros. Cuando sea necesario para la seguridad del estudiante (por ejemplo, una alergia grave), Enfermería comparte con sus docentes una alerta operativa sin detalle clínico.
• Datos tratados: Notas clínicas de orientación escolar, seguimiento socioemocional, expedientes PIAR (Decreto 1421 de 2017) y alertas familiares.
• Reserva Legal y Secreto Profesional (Ley 1090 de 2006, art. 2 num. 5): Las notas de sesión y los informes solo los ven Psicología/Orientación y el propio estudiante. Ni la Rectoría ni otras autoridades escolares tienen acceso a ellos. La información solo se revela con autorización del estudiante o de su representante legal, cuando no hacerlo causaría un daño evidente al estudiante o a terceros, o por orden judicial.
• Inclusión sin Estigmatización: A los docentes de aula solo se transmiten los ajustes pedagógicos metodológicos, manteniendo bajo estricta reserva los diagnósticos psiquiátricos o clínicos.
• Datos tratados: Tipificación de situaciones Tipo I, II y III, actas del Comité Escolar de Convivencia y acuerdos formativos.
• No Revictimización y Anonimato: En casos de acoso escolar, ciberacoso o agresiones, se prohíbe la confrontación de la víctima y se custodia la identidad de víctimas y testigos bajo estricta reserva para proteger su dignidad e integridad psicológica.
• Acceso del Comité (Decreto 1965 de 2013): Los casos solo los ven el Comité Escolar de Convivencia (Convivencia, Coordinación y Rectoría) y Orientación. Los docentes pueden reportar situaciones, pero no consultan los casos de otros estudiantes. Los presuntos delitos se remiten a las autoridades competentes según la ruta de atención.
05. Datos Recolectados por Cada Aplicación
Rubiku recopila exclusivamente los datos idóneos y proporcionales para cada módulo del ecosistema:
| Aplicación | Población / Usuarios | Tipos de Datos Recopilados | Propósito Primario |
|---|---|---|---|
| Rubiku GO | Rectoría, Docentes, Estudiantes, Familias | Nombres, correo institucional, rol, grado, asistencias, notas, citaciones disciplinarias. | Gestión de la vida académica y convivencia escolar unificada. |
| Rubiku GO (Mesas de trabajo y Paper colaborativo) | Estudiantes integrantes de una mesa, Docentes, Personal con archivos compartidos | Nombre, textos, dibujos y tareas creados en equipo, quién escribió cada párrafo, y presencia en línea (quién está conectado y en qué herramienta). Sin grabación de audio ni video. | Trabajo colaborativo bajo supervisión docente. Solo un docente abre una mesa y elige a sus integrantes; al cerrarla, el equipo deja de poder editar. |
| Rubiku GO (Salud/Psic.) | Enfermería, Psicología, Acudientes | Fichas clínicas escolares, prescripciones médicas, notas de orientación emocional. | Salud escolar, atención de emergencias y bienestar socioemocional. |
| Rubiku Ability (Music) | Músicos, Estudiantes de música, Creadores | Perfil artístico, pistas de audio, videos tutoriales, comentarios técnicos de retroalimentación. | Red social creativa, aprendizaje musical y colaboración entre bandas. |
| Rubiku Piki | Administradores comunitarios, Colaboradores | Nombres de miembros, registro de aportes, cuotas comunitarias, libros de transacciones. | Transparencia financiera, analíticas y gestión ordenada de miembros. |
| Rubiku Spark / Base | Estudiantes y Docentes de Robótica/STEM | Avatar lúdico, nivel de XP, logros desbloqueados, avances en retos y proyectos físicos. | Aulas gamificadas, retroalimentación diagnóstica y pensamiento computacional. |
06. Finalidades Exclusivas del Tratamiento
Rubiku trata la información personal únicamente para:
- Proveer, mantener, actualizar y dar soporte técnico a las aplicaciones y servicios contratados.
- Generar reportes pedagógicos, sábanas de notas y consolidados académicos autorizados para las directivas escolares.
- Facilitar canales de comunicación institucional directa y segura entre colegios y familias.
- Prevenir fraudes, ataques cibernéticos, trampas en evaluaciones o vulneraciones al sistema.
- Cumplir con órdenes legítimas emanadas de autoridades judiciales o administrativas colombianas competentes.
07. Medidas Técnicas y Ciberseguridad
La infraestructura de Rubiku se apoya en servicios en la nube de clase mundial (Google Cloud / Firebase) y aplica las siguientes salvaguardas:
- Cifrado en Tránsito y en Reposo: Todas las comunicaciones se realizan bajo protocolo criptográfico seguro HTTPS/TLS 1.3.
- Control de Acceso Basado en Roles (RBAC): Cada usuario accede única y exclusivamente a los datos que su perfil formal requiere (ej. enfermeros solo ven fichas de enfermería).
- Reglas de Seguridad en Base de Datos: Reglas estrictas a nivel de servidor (Firestore Security Rules) que impiden accesos o lecturas no autenticadas desde el navegador.
- Copias de Seguridad Cifradas: Resguardos periódicos para garantizar la disponibilidad y continuidad del servicio ante eventualidades.
08. Procedimiento para Ejercer Derechos ARCO (Habeas Data)
Cualquier titular de información (o su representante legal en caso de menores de edad) tiene derecho a Conocer, Actualizar, Rectificar y Solicitar la Supresión de sus datos personales, así como a revocar la autorización otorgada.
Canal Oficial y Requisitos
Para las aplicaciones directas de Rubiku (Ability, Piki), o para que traslademos su solicitud, escriba a privacidad@rubiku.co incluyendo:
- Nombre completo e identificación del titular y del acudiente (si es menor).
- Colegio o aplicación de Rubiku a la que pertenece la cuenta.
- Descripción clara y concisa de la consulta, corrección o solicitud de supresión.
- Documentos de soporte o acreditación de parentesco si actúa como representante legal.
Tiempos de Respuesta
- Consultas de información: Plazo máximo de respuesta de diez (10) días hábiles contados a partir de su radicación.
- Reclamos, rectificaciones y solicitudes de supresión: Plazo máximo de quince (15) días hábiles. De requerir plazo adicional justificado, se notificará al peticionario antes del vencimiento del término inicial.
Si considera que su reclamo no fue atendido conforme a la ley, puede acudir ante la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio (SIC) en www.sic.gov.co.
09. Ciclo Escolar, Retención y Depuración
- Reinicio Anual Escolar: En las aplicaciones institucionales de ciclo anual (Rubiku GO y Spark), los datos pedagógicos operativos se archivan y reinician al cierre del año escolar del Colegio.
- Período de Gracia: El Colegio cuenta con un plazo de 30 días calendario tras el cierre lectivo para descargar y respaldar las sábanas de notas y evidencias en sus propios sistemas.
- Conservación Obligatoria: Los registros contables y logs mínimos de seguridad requeridos por ley se conservan durante los términos previstos por las normas tributarias y penales colombianas, tras lo cual se eliminan de forma segura o se someten a anonimización irreversible.
10. Deberes del Colegio como Responsable (Rubiku GO)
Al contratar Rubiku GO, el Colegio asume frente a su comunidad y a las autoridades los deberes del Responsable (Ley 1581 de 2012, art. 17). En particular, el Colegio:
- Obtiene y conserva las autorizaciones de los titulares y, para los menores de edad, de sus representantes legales, escuchando la opinión del menor según su madurez (Decreto 1074 de 2015, art. 2.2.2.25.2.9). Para los datos sensibles (salud, psicología, creencias, etc.) informa que responder es facultativo.
- Publica su propia política de tratamiento de datos y el aviso de privacidad para su comunidad, en la que menciona a Rubiku como Encargado.
- Presenta los soportes y reportes: es quien entrega a familias y autoridades las pruebas de autorización y realiza los reportes legales que correspondan (por ejemplo, el Registro Nacional de Bases de Datos ante la SIC cuando le aplique, y la notificación de incidentes de seguridad).
- Atiende consultas y reclamos de su comunidad en los plazos legales, con el apoyo técnico de Rubiku.
- Asigna los roles con responsabilidad: decide quién de su personal tiene cada rol en la plataforma (Rectoría, Orientación, Enfermería, etc.) y responde por el uso que su personal haga de Rubiku y de la información a la que accede.
- Registra solo la información necesaria, veraz y actualizada, para las finalidades educativas y de bienestar del servicio.
- Activa las rutas legales (convivencia escolar, protección de la niñez, salud) cuando la información registrada lo exija.
11. Deberes de Rubiku como Encargado
Como Encargado (Ley 1581 de 2012, art. 18), Rubiku se compromete a:
- Tratar los datos solo por cuenta del Colegio y para las finalidades del servicio contratado; nunca para fines propios, publicitarios ni comerciales.
- Mantener medidas de seguridad técnicas y administrativas (sección 07), incluido el control de acceso por rol descrito en la sección 12.
- Guardar confidencialidad e impedir el acceso no autorizado, incluso entre colegios: cada institución solo puede ver su propia información.
- Informar al Colegio sin demora cualquier incidente de seguridad que afecte sus datos, para que el Colegio cumpla sus deberes de reporte.
- Apoyar al Colegio en la atención de consultas y reclamos, trasladando las solicitudes que reciba (sección 08).
- Al terminar el servicio, entregar al Colegio su información y eliminarla de la plataforma, salvo lo que la ley obligue a conservar (sección 09).
12. Quién Puede Ver Qué (Datos Sensibles)
Rubiku aplica el principio de acceso y circulación restringida (Ley 1581, art. 4) con reglas de seguridad en el servidor: cada rol solo ve lo que necesita para su función.
| Información | Quién puede verla | Quién NO puede verla |
|---|---|---|
| Notas e informes de Psicología/Orientación | Psicología/Orientación y el propio estudiante | Rectoría, coordinaciones, docentes, demás staff, otras familias |
| Atenciones de Enfermería y ficha médica | Enfermería, Rectoría, Orientación, el estudiante y su familia verificada | Docentes (reciben solo alertas operativas), coordinación académica, secretaría, conductores, otras familias |
| Casos de Convivencia | Comité de Convivencia (Convivencia, Coordinación, Rectoría) y Orientación | Docentes no involucrados, secretaría, estudiantes, otras familias |
| Consejería pastoral | La capellanía que la registra | Todos los demás roles |
| Notas, boletines y avisos | Docentes y directivos del colegio, el estudiante y su familia verificada | Otras familias, otros estudiantes, otros colegios |
| Boletines oficiales para familias | Incluyen de Bienestar solo aspectos positivos y un resumen general | Nunca incluyen diagnósticos, atenciones de salud ni casos de convivencia |
| Mesas de trabajo (documento, pizarra y tareas del equipo) | Los integrantes de la mesa, el docente que la abrió, Coordinación Académica y Rectoría | Estudiantes que no hacen parte de la mesa, familias, otros docentes, otros colegios |
| Mesas de seguimiento (casos especiales, p. ej. un estudiante que estudia desde otro país) | Las abren Coordinación, Orientación/Psicología o Rectoría, y solo las ven las personas que ellos agregan (docentes, el estudiante, su familia) y la Rectoría | Otros estudiantes, otras familias, docentes no agregados, otros colegios. No reemplazan los registros de Bienestar, que conservan su propia privacidad |
| Llamadas de voz y video desde el chat | Solo el personal del colegio puede iniciarlas, con otros miembros del personal o con familias. Las familias y los estudiantes solo contestan | No hay llamadas por chat entre estudiantes, entre familias, ni del personal con estudiantes: con estudiantes, las videollamadas se hacen en una Mesa de trabajo, que siempre incluye a un docente o directivo |
| Reuniones virtuales | Las crea el personal. Entran los invitados o, si el organizador lo decide, cualquier persona del colegio que tenga el enlace, y solo cuando un organizador la inicia. El registro guarda tema, fecha, organizadores e invitados | Personas de otros colegios y quienes no fueron invitados (salvo reuniones abiertas al colegio con enlace) |
| Audio y video de llamadas y reuniones | Solo los participantes conectados en ese momento | Nadie más. Rubiku no recibe ni guarda el audio ni el video: viajan cifrados directamente entre los equipos de los participantes. Si una reunión usa un enlace externo (Google Meet, YouTube, Zoom o Teams), ese servicio aplica sus propias condiciones |
| Grabaciones de llamadas y reuniones | Solo quien inició la llamada o un organizador de la reunión, siempre del personal (nunca un estudiante), puede grabar, y el archivo queda únicamente en su equipo. Todos los participantes ven el aviso "Grabando" mientras se graba | Rubiku no sube, no almacena ni tiene copia de ninguna grabación |
Grabación de llamadas con menores de edad: antes de grabar, Rubiku le recuerda a quien graba que debe contar con la autorización de los padres o acudientes de los menores que participan. La grabación es responsabilidad de quien la hace y del Colegio: debe usarse solo con fines pedagógicos o institucionales, no publicarse en redes sociales ni compartirse fuera del Colegio, guardarse en un lugar seguro y eliminarse cuando ya no sea necesaria (Ley 1581 de 2012, art. 7, y Código de la Infancia y la Adolescencia).
13. Proveedores, Inteligencia Artificial y Transferencia Internacional
- Infraestructura: Rubiku aloja la información en Google Cloud / Firebase, que actúa como subencargado bajo sus condiciones de protección de datos. Sus servidores pueden estar en Estados Unidos, país declarado con nivel adecuado de protección por la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017).
- Pulido de boletines (Áureo): al servicio de inteligencia artificial no se envía el nombre del estudiante (se reemplaza por un marcador) ni ninguna información de Bienestar: solo notas, niveles de desempeño y los textos pedagógicos de los docentes. El resultado es un borrador que revisa y aprueba el personal del Colegio.
- Asistente Aurora: procesa lo que el usuario escribe para responderle. El personal del Colegio no debe escribir en Aurora datos sensibles ni información que identifique a estudiantes (salud, psicología, convivencia).
- Llamadas de voz y video: el audio y el video viajan cifrados (WebRTC, DTLS-SRTP) directamente entre los equipos. Cuando la red del colegio o del celular no permite una conexión directa, la llamada puede pasar por un servidor de retransmisión (TURN) que reenvía los datos cifrados sin poder verlos ni guardarlos. Firebase solo guarda los datos técnicos para conectarse, que se borran al terminar la llamada.
- Sin venta de datos: Rubiku no vende, arrienda ni cede datos personales a terceros.