Cumplimiento

Quién es responsable de qué

El centro decide qué recoge y para qué. Nosotros somos su proveedor de servicios y tratamos los registros siguiendo sus instrucciones. El software ayuda, pero el centro sigue siendo responsable de sus avisos, consentimientos y políticas. Esto no es asesoramiento jurídico.

FERPA

La FERPA afecta a las escuelas que reciben fondos del Departamento de Educación de EE. UU. Un centro de tutoría privado a menudo no está incluido, pero uno que trabaja para una escuela o un distrito sí puede estarlo. Cuando se aplica, actuamos bajo el control directo del centro, usamos los registros solo para prestar el servicio y el centro puede exportarlos o pedirnos que los eliminemos.

FERPA no cubre a todos los centros privados. Que se aplique al suyo depende de sus contratos con escuelas o distritos. No decimos que el software haga a un centro "conforme a FERPA", porque esa certificación no existe.

COPPA

Con menores de 13 años, el centro obtiene antes el consentimiento de un progenitor y nosotros tratamos los datos del niño solo para el centro. Sin anuncios, sin vender datos de menores, sin perfiles. No hay campo para fecha de nacimiento ni documento de identidad. Las familias piden al centro que revise, corrija o elimine.

California (CCPA y CPRA)

Somos proveedor de servicios: no vendemos información personal, no la compartimos para publicidad conductual entre contextos y la usamos solo para el servicio. Los derechos se explican en la Política de privacidad.

Leyes estatales de privacidad estudiantil

Varios estados tienen leyes pensadas para los datos de alumnos, dirigidas sobre todo a escuelas y a las empresas que contratan. A grandes rasgos:

• California, SOPIPA: prohíbe la publicidad dirigida, los perfiles y la venta de datos de alumnos por servicios usados con fines escolares de K-12, y exige seguridad razonable. No hacemos ninguna de las tres cosas.
• Nueva York, Education Law 2-d: se aplica a escuelas y distritos de Nueva York y a los proveedores que contratan. Un distrito puede pedir condiciones escritas de protección de datos y avisos rápidos de brechas. Si un distrito lo pide, podemos hablar de esas condiciones por escrito.
• Otros estados: Illinois, Colorado y muchos más tienen leyes parecidas. Que se aplique a un centro privado depende de sus contratos con escuelas.
• Diseñado para facilitar el cumplimiento, sin certificación: no afirmamos cumplir ninguna de estas leyes. Consulte a un abogado qué se aplica a su centro.

Correo electrónico y mensajes de texto (CAN-SPAM y TCPA)

CAN-SPAM regula el correo comercial. La TCPA regula los mensajes de texto y las llamadas. El centro es quien envía los mensajes que pide al software, así que a él le toca tener el consentimiento. El software está pensado para facilitarlo.

Accesibilidad (ADA y WCAG 2.1 AA)

Queremos que las personas con discapacidad puedan usar este sitio y las aplicaciones. Trabajamos hacia el nivel AA de WCAG 2.1, la referencia que tribunales y agencias de EE. UU. suelen usar para la ADA. No hemos hecho una auditoría de accesibilidad independiente, así que no afirmamos cumplimiento.

• En este sitio web: un enlace para saltar al contenido, textos alternativos en las imágenes, el idioma indicado en cada página y un diseño que funciona en el móvil.
• Las aplicaciones de oficina, familias y tutores aún no se han revisado con WCAG.
• ¿Ha encontrado una barrera? Use el formulario de contacto con la página y lo que falló. Intentamos responder en un día laborable y trabajar en una solución.

Pagos, impuestos y pago a tutores

Lo que hace hoy el software con el dinero y los impuestos, y lo que deja al centro y a su contable.

Controles de seguridad vigentes hoy

• El servidor decide qué ve cada persona, no solo la pantalla. El personal sin permiso de cuentas no ve el dinero.
• App de autenticación con códigos de recuperación, o un código por correo, para personal, tutores, familias y alumnos.
• Se guardan como hashes scrypt con sal. Los intentos fallidos se ralentizan y las sesiones terminan a las 12 horas.
• Cada cambio queda anotado con quién y cuándo. Solo se añade, así que las entradas no se pueden editar ni borrar.
• Todo el tráfico usa HTTPS. Las credenciales guardadas usan AES-256-GCM con una clave fuera de la base de datos. Las copias externas usan la frase del centro.
• Una copia cada noche y 14 guardadas. La última restauración de prueba fue el 5 de octubre de 2026.
• Solo el personal de oficina autorizado conecta o desconecta servicios externos, y las credenciales guardadas se muestran enmascaradas.

Lo que no afirmamos

MeetMyTutor no tiene actualmente un informe SOC 2, certificación ISO 27001, HITRUST, atestación HIPAA ni ninguna otra certificación de terceros, y no afirmamos ser «certificados FERPA» ni «certificados COPPA», porque esas certificaciones no existen. No ofrecemos un acuerdo de tratamiento de datos firmado ni respuestas a cuestionarios de seguridad, salvo que lo acordemos por escrito con la academia.

Esta página describe cómo funciona el software hoy. No es una garantía y no sustituye el asesoramiento jurídico propio de la academia.

Incidentes y contacto

Si nos enteramos de que se accedió sin permiso a los registros de una academia, se lo decimos a la academia sin demora injustificada para que pueda cumplir sus propias obligaciones con las familias.

Preguntas, avisos de seguridad y solicitudes sobre nuestras prácticas con los datos: formulario de contacto. Hay más detalle en Confianza y datos.

Cada estado de EE. UU. tiene su propia ley de notificación de brechas. Suelen pedir a quien es dueño de los datos, aquí el centro, que avise a las familias afectadas y a veces a un organismo estatal. Como conservamos los datos por cuenta del centro, le contamos lo que sabemos, pronto y por escrito, para que cumpla sus propios plazos. Esto no es asesoramiento jurídico.