Seguridad

Lo que hacemos para proteger tus exámenes y los datos de tus candidatos. Si necesitas más detalles para una revisión de seguridad, escribe a [email protected] y responderemos a tu cuestionario.

Alojamiento y red

• La aplicación, la base de datos y los archivos se ejecutan en un servidor dedicado de OVHcloud en Estados Unidos.
• Todo el tráfico pasa por Cloudflare, que ofrece protección contra ataques DDoS y un firewall de aplicaciones web.
• Todas las conexiones usan HTTPS (TLS). Se indica a los navegadores que usen solo HTTPS (HSTS), y las cookies de inicio de sesión están marcadas como Secure y HttpOnly.

Cuentas e inicio de sesión

• Las contraseñas nunca se almacenan en un formato legible: las contraseñas de las cuentas se convierten en hash con PBKDF2-SHA256, una sal aleatoria y 600 000 iteraciones; las contraseñas de candidatos y supervisores se convierten en hash del mismo modo.
• Tras varios intentos fallidos de inicio de sesión, se rechazan los siguientes intentos para esa cuenta durante 15 minutos.
• Los docentes y supervisores solo ven la contraseña de un candidato en el momento en que se crea o se restablece, para imprimirla o enviarla; después no se puede consultar.
• Las organizaciones pueden permitir que su personal inicie sesión con Google en lugar de con una contraseña.

Acceso a los datos

• Las pruebas, los exámenes y los candidatos de cada organización están separados por cuenta. El personal que invita una organización solo accede a los exámenes y las materias que tiene asignados; los supervisores solo ven las salas de su examen.
• Las capturas de pantalla de supervisión, las respuestas subidas por los candidatos y las fotos de los candidatos solo se sirven a personas con sesión iniciada que gestionan ese examen, nunca a través de un enlace público, y ni Cloudflare ni el navegador las almacenan en caché.
• El acceso al servidor y a la base de datos de producción está limitado al equipo de operaciones de TEX Vietnam JSC y protegido con claves SSH.

Integridad de los exámenes

• Cada candidato puede recibir una versión barajada de la prueba. El Servicio detecta cuándo un segundo dispositivo inicia sesión con el mismo candidato y cuándo un candidato sale de la ventana del examen, y lo muestra a los supervisores en directo.
• Supervisión de pantalla opcional, verificación facial (desactivada por defecto) y configuración de Safe Exam Browser.
• En las salas donde no se puede permitir perder la conexión a Internet, el servidor de exámenes sin conexión realiza el examen en tu red local.

Minimización y conservación de datos

• Las alertas y capturas de pantalla de supervisión se eliminan automáticamente 90 días después de la fecha del examen.
• Las respuestas de los candidatos nunca se envían a proveedores de IA, y no usamos el contenido de los clientes para entrenar modelos de IA.
• No almacenamos los datos de las tarjetas de pago: los pagos los gestiona Paddle, nuestro vendedor registrado (merchant of record).

Copias de seguridad y recuperación

• Se hace una copia de seguridad diaria de la base de datos, y las copias se conservan durante 14 días, almacenadas por separado del servidor de aplicaciones. Las restauraciones se prueban.

Incidentes

Si detectamos una violación de la seguridad que afecte a datos personales, lo notificamos a las organizaciones afectadas sin dilación indebida y, en cualquier caso, en un plazo de 48 horas, como se establece en nuestro DPA, y a las autoridades cuando sea obligatorio.

Notificar una vulnerabilidad

Si crees que has encontrado un problema de seguridad, escribe a [email protected] con los detalles. Danos un plazo razonable para corregirlo antes de divulgarlo, y no accedas a datos de otros clientes ni interrumpas exámenes mientras haces pruebas. Acusaremos recibo de tu informe en un plazo de 3 días hábiles.