1. Quién responde por los datos
Responsable y Encargado del tratamiento:
Gustavo Castro Estacio, persona natural.
Domicilio: Santander de Quilichao, Cauca, Colombia.
Dirección para notificaciones: Calle 6A No. 3-161, barrio La Pradera, Santander de Quilichao, Cauca, Colombia.
Correo electrónico: edunexus.comercial@gmail.com · Teléfono: 312 811 7951
Sitio web: https://edunexus.com.co
En adelante, y para efectos de este documento, GeaPlus.
2. Para qué sirve este documento
Esta política explica qué datos personales trata la plataforma GeaPlus, con qué finalidad, quién puede verlos, cuánto tiempo se conservan y cómo cualquier persona puede conocer, actualizar, rectificar o suprimir los suyos. Se expide en cumplimiento del artículo 17, literal k, de la Ley 1581 de 2012 y del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 (que compiló el Decreto 1377 de 2013).
Le aplica a toda persona cuyos datos se traten dentro de la plataforma: estudiantes, acudientes o representantes legales, docentes, directores de grupo, coordinadores, rectores y funcionarios de secretarías de educación.
3. Dos papeles distintos, y por qué importa
La ley distingue entre quien decide qué datos se recogen y para qué (el Responsable) y quien los procesa por cuenta del primero (el Encargado). GeaPlus ocupa los dos papeles, según de qué datos se trate:
- Los datos académicos del colegio — estudiantes, acudientes, docentes, calificaciones, asistencia, planes de mejoramiento, PIAR. Aquí el colegio es el Responsable y GeaPlus es únicamente el Encargado: no decide qué se recoge ni para qué, y solo trata esos datos siguiendo las instrucciones del colegio y lo pactado en el contrato.
- Los datos que GeaPlus recoge por su cuenta — nombre, cargo, correo y teléfono de rectores y coordinadores con quienes tiene trato comercial o de soporte, y las cuentas de administración de la plataforma. Aquí GeaPlus es el Responsable.
4. Definiciones
| Término | Qué significa |
|---|---|
| Titular | La persona a quien se refieren los datos. Un estudiante es el titular de sus notas. |
| Tratamiento | Cualquier cosa que se haga con el dato: recogerlo, guardarlo, usarlo, consultarlo, enviarlo o borrarlo. |
| Responsable | Quien decide sobre la base de datos y su tratamiento. Para los datos académicos, el colegio. |
| Encargado | Quien trata los datos por cuenta del Responsable. Para los datos académicos, GeaPlus. |
| Dato sensible | El que afecta la intimidad o cuyo uso indebido puede generar discriminación: salud, origen étnico, religión, orientación sexual, afiliación política o sindical, datos biométricos. |
| Autorización | El permiso previo, expreso e informado del titular (o de su representante legal, si es menor de edad) para tratar sus datos. |
| Aviso de privacidad | El resumen corto que se le muestra al titular cuando no es posible ponerle a la vista toda esta política. |
| Transmisión | Enviar datos a un Encargado para que los trate por cuenta del Responsable; la información sigue bajo control del Responsable. |
| Transferencia | Enviar datos a otro Responsable, dentro o fuera del país. |
5. Qué datos trata la plataforma
| Titular | Datos que se tratan |
|---|---|
| Estudiante | Nombres y apellidos; tipo y número de documento; curso, grado y sede; correo de acceso creado por el colegio; calificaciones por período y materia; logros e indicadores; inasistencias; las excusas que envía su acudiente (fechas, motivo general y una explicación breve); observaciones del director de grupo; planes de mejoramiento individual y sus acciones; entregas de tareas, evaluaciones y mensajes del aula virtual; cuando el colegio lo registra, las barreras y los ajustes razonables del PIAR; cuando el colegio usa el módulo de orientación escolar, las remisiones a orientación y los registros de acompañamiento que escribe el orientador (numeral 8); y, si el colegio decide usarla, una fotografía para la ficha del estudiante, que solo se sube con la autorización de su acudiente. |
| Acudiente o representante legal | Nombres y apellidos; tipo y número de documento; parentesco con el estudiante; correo electrónico; teléfono. |
| Docente, director de grupo, coordinador, rector, secretaría académica y orientación escolar | Nombres y apellidos; documento; correo de acceso; cursos y materias asignados; el registro de las acciones que realiza dentro de la plataforma (quién calificó, quién editó, quién abrió un registro de orientación, cuándo); y, del rector, la imagen de su firma, si el colegio decide subirla para que salga en boletines y certificados. |
| Funcionario de secretaría de educación | Nombres y apellidos; correo de acceso; y los colegios que la secretaría le asigne. |
Datos que la plataforma NO guarda
- Diagnósticos clínicos, historias clínicas, informes de profesionales de la salud o cualquier documento médico, tampoco como soporte de una excusa: el soporte (incapacidad, constancia de una cita) se entrega en físico al colegio y no se sube a la plataforma. El módulo de inclusión (PIAR) registra únicamente la barrera que encuentra el estudiante y el ajuste razonable que se acuerda. Lo clínico se queda en la carpeta física del colegio, con quien debe tenerlo.
- Origen racial o étnico, convicciones religiosas, filosóficas o políticas, pertenencia a sindicatos u organizaciones sociales, orientación sexual ni datos biométricos. La fotografía de la ficha, cuando el colegio la sube, sirve solo para que los docentes reconozcan al estudiante: no se usa para reconocimiento facial ni para identificar a nadie de forma automática, y no se envía a ningún servicio de inteligencia artificial.
- Datos financieros, bancarios o de medios de pago de las familias. La plataforma no procesa pagos.
- Ubicación en tiempo real de ninguna persona.
6. Para qué se usan
Los datos se tratan únicamente para prestar el servicio educativo y administrar la vida académica de la institución. En concreto:
- Registrar y calcular calificaciones, promedios y desempeños conforme a las reglas de evaluación que define cada colegio.
- Generar boletines e informes académicos.
- Registrar la asistencia y las inasistencias.
- Identificar oportunamente a los estudiantes en riesgo académico y hacer seguimiento a sus planes de mejoramiento.
- Construir y consultar el Plan Individual de Ajustes Razonables (PIAR), conforme al Decreto 1421 de 2017.
- Apoyar la labor de orientación escolar: recibir las remisiones de docentes y directivos, registrar el acompañamiento a cada estudiante y, cuando corresponda, la activación de la ruta de atención integral para la convivencia escolar de la Ley 1620 de 2013.
- Operar el aula virtual: material de clase, tareas con entrega y evaluaciones en línea.
- Dar a las familias acceso a la información académica de sus hijos y comunicarles novedades.
- Crear y recuperar las credenciales de acceso y enviarlas por correo electrónico.
- Entregar a las secretarías de educación información agregada de cobertura de los colegios que estén bajo su jurisdicción, sin detalle individual de los estudiantes.
- Atender el soporte técnico, mantener la seguridad del servicio y cumplir obligaciones legales.
No se usan los datos de los estudiantes ni de sus familias con fines publicitarios, comerciales o de perfilamiento, ni se venden, alquilan o ceden a terceros.
7. Datos de niños, niñas y adolescentes
El artículo 7 de la Ley 1581 de 2012 prohíbe el tratamiento de datos personales de menores de edad, salvo los de naturaleza pública. El artículo 2.2.2.25.2.9 del Decreto 1074 de 2015 precisa que ese tratamiento sí es posible cuando responde al interés superior del niño y respeta sus derechos fundamentales.
El tratamiento que hace esta plataforma cumple esa condición: su objeto es la prestación del servicio educativo y el seguimiento del derecho a la educación del propio menor. Aun así, se aplican tres reglas:
- La autorización la otorga el representante legal (el acudiente), por escrito, antes de crear la cuenta del estudiante. El formato está anexo a esta política.
- Se escucha al menor según su madurez y capacidad, como lo exige el decreto.
- El colegio conserva la prueba de la autorización y debe poder exhibirla cuando el titular o la autoridad la pidan.
8. Datos sensibles, el PIAR y la orientación escolar
El módulo de inclusión fue diseñado deliberadamente para no almacenar datos de salud. Registra tres cosas: la barrera que el estudiante encuentra para aprender, el ajuste razonable que se acuerda, y quién lo propuso y cuándo.
Si un colegio escribe en un campo de texto libre información que revele la condición de salud o la discapacidad de un estudiante, esa información es un dato sensible y queda sujeta a dos reglas adicionales: responder esas preguntas es facultativo, y se requiere la autorización explícita del representante legal. GeaPlus recomienda expresamente no registrar ese tipo de información en la plataforma.
Registros de orientación escolar
Cuando el colegio lo usa, el orientador escolar registra en la plataforma el acompañamiento que hace a cada estudiante: la fecha, el tipo de encuentro, el motivo (académico, convivencia, familiar, emocional, salud u otro), lo que ocurrió, los acuerdos y las remisiones externas. Esa información puede contener datos sensibles y por eso tiene reglas propias, construidas en el sistema y comprobadas con pruebas:
- Solo la lee el orientador escolar de ese colegio. No la leen el rector, el coordinador, los docentes, el director de grupo, la secretaría académica, el estudiante ni su familia, y tampoco aparece en boletines, certificados, reportes ni descargas.
- El director de grupo y el coordinador solo ven que el estudiante está en acompañamiento de orientación y, si el orientador la escribe, una recomendación para el aula. Nada del contenido.
- Quien remite a un estudiante (un docente que le da clase, el director de grupo o el coordinador) escribe lo que observó, y después solo ve si la remisión fue recibida.
- Cada vez que alguien abre el registro de un estudiante queda constancia de quién fue y cuándo, y el propio orientador puede consultarla.
- Nada de orientación se envía nunca a un servicio de inteligencia artificial.
- Como en el PIAR, GeaPlus recomienda no registrar diagnósticos clínicos, historias clínicas ni informes de profesionales de la salud: lo clínico se queda en la carpeta física del colegio. Si el registro revela la salud, la vida familiar u otra información sensible de un estudiante, el colegio, como Responsable, debe contar con la autorización explícita del representante legal para tratarla, salvo en los casos en que la ley no exige esa autorización (artículo 6 de la Ley 1581 de 2012). Responder a preguntas sobre datos sensibles es siempre facultativo.
9. Inteligencia artificial
La plataforma usa un servicio externo de inteligencia artificial (Google, a través de su interfaz de programación Gemini) para cinco funciones de apoyo. El resto de la plataforma funciona sin ella.
Cada colegio decide si la activa. Mientras un colegio la tenga desactivada, ninguna de estas funciones se ejecuta y no sale de la plataforma ningún dato hacia el proveedor.
| Función | Qué se envía al proveedor |
|---|---|
| Generar preguntas de evaluación | El tema que escribe el docente y, si la elige, la competencia. Ningún dato de ningún estudiante. |
| Sugerir la calificación de una respuesta abierta | El enunciado de la pregunta y la respuesta que escribió el estudiante, sin su nombre. La nota la decide siempre el docente. |
| Retroalimentación para el estudiante | El primer nombre del estudiante, su desempeño por competencia y su promedio del período. |
| Lectura de riesgo de entregas | Las señales que la plataforma ya calculó: tareas sin entregar, entregas tardías, evaluaciones sin presentar y promedio. Los estudiantes viajan como «Estudiante 1», «Estudiante 2»; los nombres se reemplazan antes de enviar y se vuelven a poner en el servidor al recibir la respuesta. Además, solo se ejecuta cuando el docente la pide expresamente. |
| Tutor de la materia, en el aula virtual | La materia, el grado, la pregunta que escribe el estudiante y la conversación previa, sin su nombre. |
De las cinco funciones, una sola envía un dato que identifique al estudiante: la retroalimentación, que incluye su primer nombre. En ninguna se envían apellidos, número de documento, dirección, correo ni teléfono.
Nada del PIAR, ninguna barrera, ningún ajuste razonable, nada de orientación escolar y ningún dato de salud se envía nunca a un servicio de inteligencia artificial.
El servicio opera en su modalidad pagada, en la cual el proveedor no utiliza el contenido enviado para entrenar ni mejorar sus modelos y lo conserva solo por un período limitado con fines de seguridad. En la modalidad gratuita, en cambio, los términos del proveedor permiten el uso del contenido para mejorar sus productos y su revisión por personas, lo que no es compatible con esta política.
10. Quién puede ver qué
La separación de la información no es una promesa general: está construida en el sistema y comprobada con pruebas que intentan romperla. Las reglas son:
- Cada colegio ve solo lo suyo. Ningún usuario de una institución puede acceder a la información de otra, aunque conozca la dirección exacta de la página.
- El docente ve los estudiantes de los cursos donde tiene materias asignadas, y dentro de ellos solo su materia.
- El director de grupo ve todo su curso, incluida la observación del boletín.
- El coordinador administra su colegio completo, salvo los registros de orientación escolar. Los certificados los descargan él y la secretaría académica.
- El rector tiene los mismos permisos que el coordinador, incluida la misma restricción sobre orientación. Su nombre y, si el colegio la sube, la imagen de su firma salen en boletines, certificados y libros de calificaciones; esa imagen se guarda en un almacenamiento privado y solo se usa dentro de esos documentos.
- La secretaría académica matricula estudiantes, actualiza sus datos y los de sus acudientes, y expide boletines, certificados y libros de calificaciones. No ve las calificaciones en pantalla, el PIAR, los seguimientos, las observaciones, los planes de mejoramiento ni la orientación escolar.
- El orientador escolar ve los estudiantes de su colegio, su situación académica, su PIAR y los registros de orientación (numeral 8). No modifica calificaciones.
- El reporte completo del curso en Excel lo descarga completo el coordinador; el director de grupo lo recibe sin la información del PIAR ni los datos de contacto de estudiantes y acudientes, que sigue consultando en la plataforma. Cada hoja del archivo advierte que contiene datos personales de menores de edad, y cada descarga queda registrada con quién la hizo y cuándo.
- La fotografía del estudiante es opcional y la suben el coordinador o el director de grupo, declarando que el colegio tiene la autorización del acudiente; esa declaración queda registrada con quién la hizo y cuándo. Se guarda en un almacenamiento privado —nunca en una dirección pública—, solo la ven quienes pueden ver al estudiante, se le quitan al guardarla los datos que trae del celular (como el lugar donde se tomó), y se borra cuando se quita de la ficha o se elimina al estudiante.
- Las excusas las escribe el acudiente y las leen completas el director de grupo y el coordinador, que reciben el soporte en físico y la aceptan o no. Los demás docentes del curso solo ven que hay una excusa para ese día, sin el motivo ni la explicación.
- El estudiante ve lo suyo y nada de sus compañeros.
- El acudiente ve lo de sus hijos y solo lo de sus hijos. No tiene acceso al boletín en PDF, que entrega el colegio.
- La secretaría de educación ve cobertura agregada de los colegios que se le asignen, uno por uno; el detalle se detiene en el curso, y de inclusión solo ve cobertura agregada.
11. Derechos de los titulares
Conforme al artículo 8 de la Ley 1581 de 2012, toda persona tiene derecho a:
- Conocer, actualizar y rectificar sus datos personales.
- Solicitar prueba de la autorización que otorgó, salvo cuando la ley no la exige.
- Ser informada, previa solicitud, sobre el uso que se les ha dado a sus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite ante el Responsable o el Encargado.
- Revocar la autorización o solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías legales. La supresión no procede cuando exista un deber legal o contractual de conservar la información.
- Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
12. Cómo ejercer esos derechos, y en cuánto tiempo
Canal de atención: correo electrónico edunexus.comercial@gmail.com, con el asunto «Protección de datos». También puede dirigirse directamente a su colegio, que es el Responsable de los datos académicos.
La solicitud debe indicar el nombre del titular, su documento, el colegio, qué se pide y una dirección de respuesta.
| Tipo de solicitud | Plazo legal |
|---|---|
| Consulta (artículo 14) | Se atiende en máximo diez (10) días hábiles. Si no es posible, se informa al interesado y se resuelve dentro de los cinco (5) días hábiles siguientes al vencimiento del primer término. |
| Reclamo (artículo 15) | Se atiende en máximo quince (15) días hábiles. Si no es posible, se informa y se resuelve dentro de los ocho (8) días hábiles siguientes al vencimiento del primer término. |
| Reclamo incompleto | Se solicita completarlo dentro de los cinco (5) días siguientes a su recepción. Si pasan dos (2) meses sin que el interesado responda, se entiende que desistió. |
| Mientras se resuelve un reclamo | El dato en discusión queda marcado con la leyenda «reclamo en trámite» en un término no mayor a dos (2) días hábiles. |
13. Seguridad de la información
Medidas que están en operación hoy:
- Acceso con cuenta individual y contraseña. Cada acción queda asociada a quien la realizó.
- Conexión cifrada (HTTPS) con certificado propio del dominio edunexus.com.co.
- Separación estricta por institución, verificada ruta por ruta: 203 rutas del sistema revisadas una por una, 64 pruebas automáticas que intentan acceder a lo que no corresponde, y 10 fallos introducidos a propósito en el código de permisos, los diez detectados por esas pruebas.
- Base de datos y almacenamiento de archivos en plan pago, con disco persistente, sin fecha de expiración.
- Respaldo completo descargable bajo demanda, que el sistema verifica antes de entregarlo y se niega a entregar si la verificación falla.
- Registro de errores con código de incidente y aviso al administrador.
Medidas comprometidas, con fecha, antes de la puesta en marcha del primer colegio:
- Respaldos automáticos programados, adicionales al respaldo bajo demanda y al que realiza el proveedor de infraestructura.
- Procedimiento documentado de atención de incidentes de seguridad, con reporte a la Superintendencia de Industria y Comercio cuando corresponda, conforme al artículo 17, literal n, de la Ley 1581.
14. Dónde viven los datos y quién más los procesa
La plataforma se apoya en proveedores de infraestructura que actúan como encargados y están obligados contractualmente a guardar confidencialidad y a aplicar medidas de seguridad:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Render | Alojamiento de la aplicación, base de datos y archivos subidos | Estados Unidos |
| Backblaze | Copia de seguridad diaria de la base de datos y de los archivos subidos, en un depósito privado y por conexión cifrada | Estados Unidos |
| Funciones de inteligencia artificial descritas en el numeral 9 | Estados Unidos | |
| Proveedor de correo | Envío de credenciales y notificaciones a las familias | Estados Unidos |
Transferencia internacional
Los Estados Unidos figuran en la lista de países que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección de datos personales (Circular Externa 005 de 2017, numeral 3.2). Por esa razón, el envío de datos a esos proveedores no requiere declaración de conformidad previa ante la Superintendencia.
15. Cuánto tiempo se conservan y cuándo se borran
- Mientras esté vigente el contrato con el colegio, la información académica se conserva completa: la historia académica de un estudiante tiene valor durante toda su permanencia en la institución y después de ella.
- Terminado el contrato, GeaPlus entrega al colegio un respaldo completo y verificado de su información, dentro de los treinta (30) días siguientes.
- Entregado y confirmado el respaldo, los datos del colegio se suprimen de los sistemas de GeaPlus dentro de los sesenta (60) días siguientes, salvo que una norma obligue a conservarlos por más tiempo.
- Los registros de orientación escolar y las remisiones se conservan con la historia del estudiante en el colegio y se suprimen junto con él. Las cuentas que los escribieron no se pueden eliminar mientras existan, para que no se pierda quién los registró.
- Los datos de contacto comercial de rectores y coordinadores se conservan mientras exista relación o interés legítimo, y se suprimen cuando el titular lo solicite.
16. Registro Nacional de Bases de Datos
Conforme al Decreto 090 de 2018, la obligación de inscribir las bases de datos en el Registro Nacional de Bases de Datos recae sobre las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y sobre las personas jurídicas de naturaleza pública. Las personas naturales quedan expresamente excluidas, por lo que GeaPlus no está obligado a ese registro mientras opere bajo esa forma. Si en el futuro se constituye una sociedad que supere ese umbral, deberá hacerlo.
Esto no exime al colegio: si la institución es de naturaleza pública, el registro de sus bases de datos es obligación suya como Responsable.
17. Vigencia y cambios
Esta política rige desde el 4 de octubre de 2026 y permanece vigente mientras la plataforma esté en operación. Cualquier cambio sustancial en la identificación del responsable o en la finalidad del tratamiento se comunicará a los titulares antes de aplicarlo, por correo electrónico y mediante aviso dentro de la plataforma, conforme al parágrafo del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.
Las bases de datos sujetas a esta política permanecerán vigentes mientras sea necesario para cumplir las finalidades descritas en el numeral 6.
Versión 1.7, del 15 de octubre de 2026. La plataforma cambia su nombre comercial de EduNexus a GeaPlus. Mientras se habilita la dirección nueva, se sigue entrando por edunexus.com.co y el canal de atención es el mismo. No cambia la finalidad del tratamiento ni la identificación del Responsable.
Versión 1.6, del 15 de octubre de 2026. Los numerales 5 y 10 incorporan las excusas de inasistencia que envía el acudiente desde la plataforma, sin archivos: el soporte se entrega en físico. Forman parte de la finalidad ya descrita de registrar la asistencia y las inasistencias, así que no cambia la finalidad del tratamiento ni la identificación del Responsable.
Versión 1.5, del 14 de octubre de 2026. Incorpora los roles de rector, secretaría académica y orientación escolar (numerales 5 y 10), la imagen de la firma del rector en los documentos, y una finalidad nueva: el apoyo a la orientación escolar, con sus reglas de reserva (numerales 6, 8, 9 y 15). Por tratarse de una finalidad nueva, se comunica a los titulares antes de aplicarla, conforme al numeral 17. No cambia la identificación del Responsable.
Versión 1.4, del 11 de octubre de 2026. Los numerales 5 y 10 incorporan la fotografía opcional de la ficha del estudiante: solo con autorización del acudiente, privada, sin uso para reconocimiento facial ni para inteligencia artificial, y borrada junto con el estudiante. No cambia la finalidad del tratamiento ni la identificación del Responsable.
Versión 1.3, del 10 de octubre de 2026. El numeral 10 precisa quién descarga el reporte completo del curso en Excel y con qué información. No cambia la finalidad del tratamiento ni la identificación del Responsable.
Versión 1.2, del 9 de octubre de 2026. Cambia la identificación del Responsable del tratamiento y su canal de atención. Este cambio se comunica a los titulares antes de aplicarlo, conforme al parágrafo del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y al primer párrafo de este numeral.
Versión 1.1, del 9 de octubre de 2026. El numeral 9 pasa a describir las cinco funciones de inteligencia artificial que tiene la plataforma —la versión 1.0 describía tres— y detalla qué se envía al proveedor en cada una. Se confirma que el servicio opera en modalidad pagada, lo que en la versión 1.0 era un compromiso con fecha.