Nimbi trata datos de estudiantes y funcionarios por cuenta de cada institución, que sigue siendo la responsable de esos datos. Aquí resumimos cómo los protegemos. El detalle está en los documentos que entregamos a cada institución antes de firmar.
Nimbi actúa como encargado del tratamiento y la institución como responsable. No usamos los datos para fines propios, no los cruzamos entre instituciones y cada contrato incluye un acuerdo de tratamiento de datos (DPA).
Solo un equipo reducido de Nimbi accede al ambiente de producción, bajo el principio de mínimo privilegio y con revisión periódica de los accesos. Los ambientes de desarrollo y pruebas no usan datos reales.
Las comunicaciones viajan cifradas (TLS 1.3) y los datos se guardan cifrados (AES-256) con claves gestionadas en AWS. Respaldos automáticos diarios con 14 días de retención y versionado de archivos.
Agentic Insight no envía al proveedor de IA nombres, documentos de identidad, correos ni teléfonos: se enmascaran antes de salir de nuestra infraestructura. El proveedor no usa los datos para entrenar sus modelos, y los resultados son información para tu equipo, no decisiones automáticas sobre las personas.
Amazon Web Services (Estados Unidos), proveedor con certificaciones ISO/IEC 27001 y SOC 1, 2 y 3. Tu institución no necesita infraestructura propia ni VPN: basta un navegador actualizado.
Aplicación distribuida en tres zonas de disponibilidad con escalamiento automático, probada con 1.000 usuarios simultáneos. Compromiso de disponibilidad mensual de 99 % según el Acuerdo de Nivel de Servicio.
Defensa contra ataques de denegación de servicio (AWS Shield), firewall de aplicaciones (AWS WAF) y reglas de red restrictivas.
Disponibilidad, errores de aplicación e infraestructura supervisados de forma continua, con reportes de disponibilidad a solicitud.
Plan de continuidad con objetivo de recuperación de 4 horas para la plataforma completa (RTO) y pérdida máxima tolerable de 24 horas de datos (RPO), con pruebas de restauración al menos una vez al año.
Roles y permisos definidos por tu institución (consulta, operativo, administrador), con vistas restringidas para datos sensibles o financieros cuando lo requieras. Inicio de sesión único con Azure Active Directory o Google, usando el doble factor que ya tiene tu institución, o autenticación local con contraseñas protegidas con funciones de hash.
Ley 19.628 y preparados para la Ley 21.719, vigente desde el 1 de diciembre de 2026, con delegado de protección de datos designado.
Ley 1581 de 2012 y su reglamentación.
Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Ley 29733 de Protección de Datos Personales.
Nuestras políticas toman como marco de referencia los controles de ISO/IEC 27001 y los principios del GDPR. La plataforma opera en Estados Unidos y las bases legales de esa transferencia por país quedan cubiertas en el acuerdo de tratamiento de datos.
Control de versiones, revisión de código obligatoria por una persona distinta del autor, despliegue a producción solo desde el ambiente de pruebas, análisis estático del código y de sus dependencias, y credenciales fuera del código fuente.
Procedimiento formal de respuesta: detección, contención, notificación a tu institución dentro de las 24 horas desde que Nimbi toma conocimiento, colaboración para que la institución notifique a autoridades y titulares, y análisis de causa raíz con medidas correctivas. Simulacros al menos una vez al año.
Prueba de penetración anual, ejecutada por un tercero independiente o por el equipo de ciberseguridad de la institución cliente, con remediación verificada. Evaluaciones automatizadas con calificación A y A+ (Qualys SSL Labs, Mozilla HTTP Observatory, ImmuniWeb). Tu institución puede auditar a Nimbi una vez al año con 30 días de aviso.
Los datos se eliminan dentro de 30 días, respaldos incluidos, con certificado de eliminación a solicitud. Antes de eso, la institución recibe una copia de su información en los formatos acordados.
AWS (infraestructura), Sentry (monitoreo de errores) y Google Analytics (métricas de uso). Meta (WhatsApp) y OpenAI (Agentic Insight) solo cuando tu institución habilita ese canal o ese producto. Cualquier cambio se avisa con anticipación y la institución tiene 15 días para oponerse. Nimbi responde por sus proveedores como si realizara el tratamiento directamente.
Dos usos con reglas distintas: modelos predictivos que ordenan a quién gestionar y agentes que leen conversaciones para proponer tareas. En los dos, la decisión sobre cada estudiante la toma una persona.
Los modelos predictivos se construyen con el historial de tu institución y no se comparten ni se mezclan con los de otra. El puntaje muestra sus factores: no hay caja negra.
Antes de enviar el texto de una llamada, un chat o un ticket al proveedor del modelo de lenguaje, Nimbi enmascara nombres, números de identificación y datos de contacto. El proveedor no usa tus datos para entrenar sus modelos y los elimina en 30 días, con certificado.
La IA prioriza y propone; un responsable de tu institución decide y ejecuta. Ningún estudiante recibe una acción automática por un puntaje.
Sin datos reales en demostraciones ni ambientes de prueba. Te avisamos de cada subprocesador nuevo con 15 días para oponerte, y puedes auditar el tratamiento una vez al año, con 30 días de aviso.
Contacto de privacidad y seguridad: soporte@nimbi.cl
