Política de tratamiento y protección de datos personales

1. Objetivo

Establecer las reglas aplicables al tratamiento de datos personales asociado a Ixmucané por parte de MentuLabs en el marco del contrato GU-T1344-P002 con el Banco Interamericano de Desarrollo (BID), procurando que el tratamiento sea limitado al propósito del piloto, seguro, transparente y proporcional a los riesgos de la información tratada.

Ixmucané es un asistente conversacional operado a través de WhatsApp para apoyar a docentes de sexto grado y directores de escuelas públicas de Guatemala en la prevención de la deserción escolar y la transición de estudiantes hacia el nivel de educación secundaria. El piloto se implementa en coordinación con el Ministerio de Educación de Guatemala (MINEDUC).

2. Alcance

Esta política aplica al personal, contratistas y colaboradores de MentuLabs que intervengan en el diseño, operación, soporte, monitoreo, seguridad o evaluación de Ixmucané, así como a los proveedores tecnológicos autorizados que participen en actividades de tratamiento de datos personales para la prestación del servicio.

La política cubre el tratamiento realizado a través del chatbot de WhatsApp, la infraestructura tecnológica que soporta la solución, los registros operativos y de uso, y los procesos de monitoreo y evaluación vinculados al piloto.

3. Roles y gobernanza del tratamiento

BID. En el marco del contrato GU-T1344-P002, el tratamiento de datos personales realizado por MentuLabs se efectúa por cuenta del BID y únicamente para el propósito permitido y bajo los parámetros definidos para la prestación del servicio.

MentuLabs. Actúa como encargado o procesador de los datos personales tratados en nombre del BID. No utiliza los datos para fines propios, comerciales, de marketing, investigación independiente, entrenamiento de modelos o finalidades distintas a las necesarias para ejecutar el piloto, salvo instrucción o autorización expresa del BID cuando corresponda.

MINEDUC. Participa como socio implementador y fuente de los datos de contacto de los docentes y directores participantes, de acuerdo con la gobernanza del proyecto.

Proveedores tecnológicos o sub-operadores. MentuLabs solo utilizará terceros que ofrezcan garantías suficientes de protección de datos y que estén sujetos a obligaciones de confidencialidad, seguridad y limitación de finalidad equivalentes a las exigidas contractualmente. Las incorporaciones o sustituciones de sub-operadores se gestionarán conforme al contrato y a las aprobaciones del BID que resulten aplicables.

4. Definiciones

Dato personal. Cualquier información relacionada con una persona natural identificada o identificable, directa o indirectamente.

Dato sensible. Dato personal que, por su naturaleza, requiere salvaguardas reforzadas, incluyendo información sobre salud, origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, vida sexual u orientación sexual y datos relativos a condenas o delitos.

Encargado o procesador. Persona u organización que trata datos personales por cuenta y bajo instrucción de quien define las finalidades y parámetros esenciales del tratamiento.

Sub-operador. Tercero autorizado que trata datos personales para apoyar al encargado en la prestación del servicio.

Seudonimización. Sustitución de identificadores directos por un código o identificador interno, manteniendo separada la información adicional que permitiría reidentificar a la persona.

Anonimización. Proceso irreversible mediante el cual la información deja de poder asociarse razonablemente con una persona identificada o identificable.

Filtración o incidente de datos. Evento de seguridad que ocasione o pueda ocasionar destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales.

Tratamiento. Cualquier operación sobre datos personales, incluyendo recolección, registro, almacenamiento, consulta, uso, transmisión, análisis, seudonimización, anonimización, supresión o destrucción.

5. Principios aplicables

Finalidad y propósito permitido. Los datos se tratan exclusivamente en la medida necesaria para ejecutar las obligaciones del proyecto y prestar el servicio acordado con el BID.

Minimización. Se recolecta y utiliza únicamente la información necesaria para la operación, contextualización, monitoreo y evaluación del piloto.

Confidencialidad. El acceso se limita al personal autorizado que requiere conocer la información para prestar el servicio y que está sujeto a obligaciones de confidencialidad.

Seguridad. Se aplican medidas técnicas y organizacionales proporcionales a la naturaleza de la información y a los riesgos del tratamiento.

Transparencia. Los participantes son informados sobre el propósito de Ixmucané, el uso de sus datos y el carácter voluntario de su participación.

Supervisión humana. Ixmucané genera orientaciones y recomendaciones; las decisiones sobre estudiantes, prácticas pedagógicas o actuaciones institucionales corresponden a las personas responsables.

Protección reforzada de menores. Ixmucané no interactúa directamente con estudiantes. Cualquier información incidental sobre estudiantes se minimiza y protege mediante seudonimización y controles de acceso.

No reutilización. Los datos personales del piloto no se venden, ceden, licencian ni utilizan para marketing, fines comerciales, investigación propia o entrenamiento general de modelos.

6. Datos tratados y finalidades

No se incorporan a la plataforma registros estudiantiles provenientes de sistemas de información del MINEDUC, números de identificación de estudiantes, apellidos, expedientes académicos, direcciones exactas, datos biométricos, fotografías, datos de salud ni geolocalización precisa como parte del diseño previsto del piloto.

7. Recolección, participación y uso de la información

MINEDUC proporciona a MentuLabs los datos de contacto de los docentes y directores participantes conforme a la coordinación del proyecto. MentuLabs utiliza estos datos para enviar la invitación y operar Ixmucané a través de WhatsApp.

La participación de docentes y directores es voluntaria. La invitación debe explicar qué es Ixmucané, quiénes participan en el proyecto, para qué se utilizará la información y que el participante puede dejar de participar. La información recolectada directamente de los usuarios durante las conversaciones se limita al propósito del piloto.

Cuando un usuario introduce información en texto libre, MentuLabs aplica controles orientados a reducir el envío de identificadores directos al modelo de inteligencia artificial y a limitar el contexto compartido al mínimo necesario para generar la respuesta.

8. Información relacionada con estudiantes menores de edad

Ixmucané no está dirigido a estudiantes y no establece comunicación directa con menores de edad. El piloto no registra estudiantes como usuarios ni conecta la solución con sistemas de matrícula, asistencia, calificaciones o evaluación de MINEDUC.

Si un docente menciona de forma incidental el nombre de pila de un estudiante durante una conversación, el diseño previsto contempla sustituirlo por un identificador interno y mantener la información identificable separada de los datos de actividad y analítica. Los reportes y análisis del piloto operan sobre información agregada o seudonimizada.

Los usuarios deben evitar compartir datos sensibles o identificadores innecesarios de estudiantes. Si se recibe incidentalmente información sensible, MentuLabs aplicará restricciones y salvaguardas adicionales acordes con la naturaleza del dato y procurará su minimización o redacción cuando corresponda.

9. Inteligencia artificial y supervisión humana

Uso limitado. La inteligencia artificial se utiliza para generar respuestas y recomendaciones dentro del propósito del piloto, apoyándose en contenidos preparados o validados para el proyecto.

No entrenamiento con datos personales del piloto. Los datos personales de docentes, directores o información incidental sobre estudiantes no se utilizan para entrenar modelos generales ni para beneficio de terceros.

Minimización frente al modelo. Antes de enviar texto libre al proveedor del modelo, se aplican mecanismos de filtrado o redacción y se remite únicamente el contexto mínimo necesario, sin identificadores directos.

Decisión humana. Ixmucané no adopta decisiones automatizadas con efectos significativos sobre docentes, directores o estudiantes. Las acciones sugeridas son orientativas y el docente conserva plena discreción sobre si actuar y cómo hacerlo.

Transparencia. El usuario debe conocer que está interactuando con un sistema basado en inteligencia artificial.

10. Canales, almacenamiento y proveedores tecnológicos

Infraestructura. Los datos se almacenan en infraestructura de nube operada por MentuLabs sobre servicios de terceros. El diseño del piloto contempla Amazon Web Services (AWS) para la infraestructura de nube.

WhatsApp. Los mensajes transitan por WhatsApp Business Platform, operada por Meta, antes de llegar a los sistemas de MentuLabs.

Proveedor del modelo de IA. El contenido necesario para generar respuestas puede ser procesado por un proveedor de modelo de inteligencia artificial bajo condiciones que prohíben el uso de los datos para entrenamiento y contemplan retención mínima o nula, de acuerdo con los acuerdos aplicables.

Gestión de sub-operadores. MentuLabs exige a los proveedores que tratan datos personales garantías suficientes de seguridad y confidencialidad, impone obligaciones contractuales equivalentes y gestiona su incorporación o sustitución conforme a los requerimientos contractuales del BID.

11. Medidas de seguridad

MentuLabs aplica medidas técnicas y organizacionales orientadas a proteger la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales. Entre las medidas previstas para Ixmucané se encuentran:

Cifrado. Datos cifrados en tránsito mediante TLS 1.2 o superior y en reposo mediante AES-256 en bases de datos, almacenamiento de objetos y respaldos.

Control de acceso. Accesos basados en roles y principio de mínimo privilegio; autenticación multifactor para consolas, repositorios y herramientas administrativas; acceso a producción justificado, temporal y registrado.

Separación lógica. Información identificable separada de los datos de actividad y analítica mediante identificadores internos.

Trazabilidad y monitoreo. Registros de auditoría sobre accesos a datos personales, cambios de configuración y operaciones administrativas, junto con monitoreo de eventos de seguridad.

Desarrollo seguro. Revisión de código, ramas protegidas, análisis de dependencias y secretos, separación de ambientes y prohibición de utilizar datos reales de estudiantes en desarrollo o pruebas.

Gestión de vulnerabilidades. Procesos para identificar vulnerabilidades y revisar periódicamente la eficacia de las medidas de seguridad; a solicitud del BID, apoyo a análisis de vulnerabilidades o pruebas de penetración conforme al contrato.

Continuidad. Respaldos cifrados y procedimientos de restauración y recuperación frente a incidentes físicos o técnicos.

Confidencialidad del personal. Todo personal autorizado se encuentra sujeto a compromisos de confidencialidad y acceso limitado a la necesidad de conocer.

12. Acceso, analítica y reportes

El acceso a datos personales se restringe al personal autorizado de MentuLabs y a los sub-operadores necesarios para prestar el servicio. Ningún rol de negocio debe acceder a datos crudos de estudiantes.

Los análisis de uso y los reportes de seguimiento y evaluación del piloto se preparan utilizando información agregada o seudonimizada. Los reportes a MINEDUC y a la gobernanza del proyecto se entregan de forma agregada, salvo que una obligación contractual o una instrucción válida del BID requiera otro tratamiento permitido.

13. Derechos y solicitudes de los titulares

Las personas pueden formular solicitudes relacionadas con sus datos personales, incluyendo acceso, rectificación, supresión u oposición cuando corresponda. En el marco del contrato, si MentuLabs recibe una solicitud de un titular respecto de datos tratados por cuenta del BID, la remitirá al BID sin demora indebida y, a más tardar, dentro de las 72 horas siguientes, informará al titular que la solicitud ha sido remitida y colaborará con el BID en su atención.

Canal de contacto de MentuLabs: Diego Felipe Gallo — oficial.datospersonales@mentu.co

Oficial de protección de datos del BID: dataprivacy@iadb.org

14. Gestión de incidentes y filtraciones de datos

Ante una filtración de datos o el conocimiento de un incumplimiento de las obligaciones de protección de datos, MentuLabs activará su procedimiento de respuesta a incidentes, adoptará medidas razonables para investigar, contener, mitigar y remediar el impacto, y cooperará con las solicitudes razonables de información y asistencia del BID.

MentuLabs notificará al BID sin demora indebida y, en todo caso, a más tardar dentro de las 48 horas siguientes a tener conocimiento de la filtración o incumplimiento, conforme a los requisitos contractuales aplicables.

15. Conservación, anonimización y eliminación

Los datos personales se conservan únicamente durante el tiempo necesario para ejecutar el piloto y cumplir el propósito permitido. Para el piloto, la retención operativa prevista es inferior a seis meses, sin perjuicio de las instrucciones contractuales del BID o de obligaciones legales que exijan una conservación mínima adicional.

Durante la iniciativa, la información incidental sobre estudiantes se mantiene seudonimizada. Al cierre, el historial de uso destinado a análisis puede anonimizarse de manera irreversible mediante la eliminación de identificadores personales y la destrucción de la tabla de correspondencia, de modo que deje de constituir dato personal.

La eliminación comprende, según corresponda, la base de datos de producción y réplicas, almacenamiento de archivos u objetos, cachés y colas, registros de aplicación que contengan datos personales y solicitudes documentadas de eliminación a terceros que actúen como sub-operadores. Los respaldos operan bajo una retención rotativa aproximada de 30 a 35 días y expiran por ciclo.

Al terminar o expirar los servicios que impliquen tratamiento de datos personales, MentuLabs devolverá o destruirá los datos bajo su poder, custodia o control según instruya el BID y, si se solicita, confirmará por escrito el cumplimiento. Solo podrán conservarse datos durante el período mínimo necesario para cumplir una obligación legal aplicable, manteniéndolos con acceso restringido y las medidas de seguridad correspondientes.

16. Documentación, auditoría y mejora continua

Registro del tratamiento. MentuLabs conserva documentación adecuada sobre las actividades de tratamiento realizadas para Ixmucané.

Evaluación de controles. Las medidas de seguridad se revisan periódicamente y se ajustan cuando cambian los riesgos o la arquitectura de la solución.

Auditoría. A solicitud del BID, MentuLabs pondrá a disposición la información y registros necesarios para demostrar o evaluar el cumplimiento de sus obligaciones contractuales de protección de datos.

Sub-operadores. MentuLabs podrá ser requerido para verificar o evidenciar el cumplimiento de las obligaciones de protección de datos por parte de los sub-operadores utilizados en el servicio.

17. Solicitudes de terceros y divulgaciones obligatorias

Si MentuLabs recibe una solicitud de un tercero para ejercer derechos legales sobre datos personales tratados en el marco del servicio, notificará al BID de conformidad con el contrato. Si una norma u orden válida obliga a divulgar información, MentuLabs limitará la divulgación a los datos estrictamente necesarios y adoptará medidas razonables para preservar su protección.

18. Vigencia y actualización

Esta política rige desde su aprobación y publicación. Será revisada cuando cambien de forma material el alcance del piloto, las categorías de datos, los canales de tratamiento, los proveedores tecnológicos, la arquitectura de seguridad o los requerimientos contractuales aplicables.