0. Definiciones
- Examinador: persona (docente, formador, miembro de un centro de evaluación, de un organismo de formación o de un organismo de certificación profesional) que crea, configura, administra y/o corrige Evaluaciones; responsable del tratamiento en el sentido del RGPD.
- Participante: persona (estudiante, aprendiz, candidato) que realiza una Evaluación en la Plataforma.
- Evaluación: toda prueba, examen, cuestionario de opción múltiple, ejercicio o certificación disponible en la Plataforma.
- Datos de imagen: imágenes y videos procedentes de la cámara web, en su caso el audio del micrófono, y las capturas de la pantalla de examen activadas por un evento técnico, utilizados en el marco de la supervisión remota. Las modalidades de verificación de la identidad son objeto de la sección 3 bis.
- Eventos técnicos: hechos deterministas que se producen en el equipo del Participante durante la prueba (salida de la ventana de examen, apertura de otra aplicación, salida de la pantalla completa, evento de copiar y pegar, presencia de una segunda pantalla, detección de una extensión de navegador sospechosa), con marca de tiempo.
- Puntaje de riesgo: valor calculado a partir de los solos eventos técnicos anteriores, destinado a llamar la atención de un examinador. No constituye ni una decisión ni una prueba.
1. Funciones y responsabilidades
Examinador = responsable del tratamiento. La institución/organización (o el Examinador individual) determina los fines, las bases jurídicas y los plazos de conservación de los datos de prueba (exámenes entregados, respuestas, calificaciones, metadatos) e informa a los Participantes.
Evalmee = encargado del tratamiento, en el sentido del artículo 28 del RGPD. Actuamos únicamente siguiendo instrucciones del Examinador, conforme al DPA, sin determinar fines propios ni fijar plazos autónomos, salvo mención expresa a continuación para los datos de imagen de proctoring.
Evalmee nunca conserva ni explota esos datos con fines distintos de la prestación del servicio de supervisión remota.
Para sus propios tratamientos — el sitio evalmee.com, las cuentas de los Examinadores, la facturación, la asistencia y la seguridad de la Plataforma — Evalmee es responsable del tratamiento. La sección 12 está dedicada a ellos y contiene la información que le incumbe por ese título.
Los Examinadores utilizan la plataforma bien a título individual (contrato directo), bien dentro de una organización (plan Organización, bajo cotización).
Evalmee no activa ninguna opción por iniciativa propia, no decide ninguna configuración en lugar del Examinador, y no formula ninguna recomendación sobre las modalidades de supervisión: estas corresponden únicamente al responsable del tratamiento y a su delegado de protección de datos.
Política de privacidad de los Examinadores. Cada Examinador, como responsable del tratamiento, está obligado a proporcionar a sus Participantes su propia política de privacidad, que describa los tratamientos que aplica a través de la Plataforma Evalmee (fines, bases jurídicas, plazos de conservación, derechos de las personas).
Corresponde al Examinador, responsable del tratamiento, informar a los Participantes de las modalidades de supervisión remota antes de la prueba. Para ayudarlo a cumplir esa obligación de información, Evalmee pone a su disposición un modelo de política de privacidad y un modelo de cláusula informativa para los candidatos.
2. Bases jurídicas
La base jurídica de los tratamientos de evaluación y de supervisión remota la determina el Examinador, responsable del tratamiento. En la práctica, se trata de la misión de interés público (artículo 6.1.e del RGPD) para una institución pública, o de la ejecución del contrato (artículo 6.1.b) para un organismo privado, siempre que las modalidades de examen estén fijadas y sean conocidas por el Participante antes de su inscripción.
El consentimiento del Participante no es una base válida para el dispositivo de supervisión remota: lo que hace oponible el dispositivo es la información previa, no la aceptación. Un examen no se rechaza libremente, y un acuerdo que no se puede rechazar no es un consentimiento.
Las bases que siguen solo se recuerdan a título descriptivo; Evalmee no elige ninguna.
- Contrato: ejecución de los servicios de evaluación en línea entre el Examinador y sus Participantes (p. ej. creación de cuenta, realización/corrección).
- Interés legítimo: invocado por Evalmee únicamente para los tratamientos de los que ella misma es responsable (cuentas de los Examinadores, facturación, soporte, seguridad de la Plataforma, comunicaciones técnicas), nunca sobre los datos de prueba ni sobre los datos de supervisión remota, que no se utilizan con ninguna otra finalidad que la prestación del servicio.
- Obligación legal: obligaciones contables/fiscales, respuestas a requerimientos legales, conservación en caso de litigio.
- Misión de interés público: cuando el Examinador público la invoca explícitamente para sus tratamientos.
- Consentimiento: únicamente para las cookies no esenciales del sitio de marketing.
Cuando el proctoring (cámara web, micrófono) está activado, se apoya en la base jurídica elegida y documentada por el Examinador, que informa previamente de ello a los Participantes. Evalmee actúa únicamente como ejecutor técnico.
3. Datos tratados (categorías)
Ninguna decisión automatizada. Los eventos técnicos y el puntaje de riesgo se reúnen en un informe de integridad accesible únicamente a los examinadores del Examinador. Constituyen indicios que investigar, nunca una prueba autónoma: el puntaje no interrumpe ninguna prueba y no señala a nadie por sí solo. Una verificación humana tiene lugar sistemáticamente antes de toda decisión o de toda modificación de las condiciones de examen de un candidato: ninguna decisión que produzca efectos jurídicos se toma sobre la única base de un tratamiento automatizado (artículo 22 del RGPD).
- Cuentas y pruebas: identidad e identificadores del Participante, vinculaciones, respuestas, calificaciones, metadatos de la prueba.
- Eventos técnicos del equipo (según las opciones activadas por el Examinador), con marca de tiempo: salida de la ventana de examen, apertura de otra aplicación, salida de la pantalla completa, evento de copiar y pegar, presencia de una segunda pantalla, detección de una extensión de navegador sospechosa.
- Capturas de la pantalla de examen activadas únicamente por alguno de esos eventos: no hay flujo de video continuo de la pantalla.
- Puntaje de riesgo: valor calculado a partir de esos solos eventos. Evalmee no realiza ningún análisis automático del comportamiento — ni dirección de la mirada, ni emociones, ni cadencia de tecleo — y ese análisis no existe en el producto bajo ninguna forma, ni siquiera opcional.
- Supervisión remota opcional (activada por el Examinador): datos de imagen procedentes de la cámara web y datos de audio procedentes del micrófono, grabados durante la prueba. Cuando esas opciones están activadas, pueden captarse de manera incidental elementos del entorno del Participante o personas presentes junto a él; el Examinador informa de ello a los Participantes.
- Verificación de la identidad: fotografías del documento de identidad y del rostro — ver la sección 3 bis.
- Soporte y calidad de servicio: metadatos de tickets, intercambios vinculados a la asistencia.
- Sitio de marketing: cookies y rastreadores tal como se describen en la sección 13.
La activación del proctoring (cámara web/micrófono) es visible para el Participante y es objeto de una información previa por parte del Examinador. Evalmee nunca activa esas opciones por iniciativa propia.
3 bis. Verificación de la identidad del Participante
Estándar, todos los planes — cotejo documental. Cuando el Examinador activa esta opción, el Participante fotografía antes de la prueba su documento de identidad (cédula de identidad, pasaporte o credencial de estudiante) y su rostro. Un examinador de la organización cliente compara visualmente ambas imágenes: es un cotejo documental realizado por un supervisor, la primera de las modalidades que cita la CNIL, la autoridad francesa de protección de datos. No se calcula ni se almacena ninguna plantilla biométrica: esas fotografías no constituyen datos biométricos en el sentido del artículo 9 del RGPD, y por lo tanto no hay que recabar ningún consentimiento específico por ese concepto. Evalmee aloja esas fotografías por cuenta del Examinador, no las valida y no accede a ellas fuera de una necesidad técnica estricta.
Opción, plan Organización bajo cotización — verificación automatizada. El Examinador puede solicitar la activación de una verificación de identidad automatizada, operada por un proveedor especializado. Esta opción trata datos biométricos en el sentido del artículo 9 del RGPD. Está desactivada de forma predeterminada, solo es accesible en el plan Organización y únicamente se activa a petición expresa del Examinador. La CNIL subordina su uso a condiciones acumulativas (§ 45) que el Examinador debe verificar bajo su responsabilidad: una sola verificación al inicio de la prueba, un número de candidatos muy elevado, una alternativa humana siempre disponible para el candidato que la solicite, y una información previa. Se apoya en una base propia en virtud del artículo 9 del RGPD, determinada y documentada por el Examinador. No se constituye ninguna base de plantillas biométricas (§ 46). Este dispositivo nunca se utiliza para vigilar al Participante durante la prueba.
La elección entre ambas modalidades corresponde al responsable del tratamiento y a su delegado de protección de datos; Evalmee configura una u otra sin recomendarla ni desaconsejarla.
4. Acceso a las grabaciones de proctoring
Cuando el Examinador activa el proctoring, las grabaciones son accesibles para los usuarios Examinadores del cliente:
- Cuenta individual: el único usuario Examinador.
- Cuenta de organización: los usuarios Examinadores habilitados de la organización cliente, y solo ellos.
Las grabaciones están reservadas a un uso interno por el Examinador en el marco de la evaluación y de la prevención del fraude. Toda descarga, difusión o reutilización externa está prohibida salvo obligación legal o requerimiento judicial. El acceso a las grabaciones y su consulta son objeto de un registro de accesos, en las condiciones de la recomendación de la CNIL sobre el registro de accesos (délibération n° 2021-122 du 14 octobre 2021); los registros de acceso se conservan de seis meses a un año.
Evalmee nunca accede a las grabaciones, salvo necesidad técnica estricta (mantenimiento, soporte) y bajo control de confidencialidad.
5. Conservación y supresión
Principio. El Examinador define los plazos de conservación de los datos de las pruebas (exámenes entregados, respuestas, calificaciones, metadatos) y realiza las exportaciones/supresiones según sus políticas. Evalmee no realiza ninguna conservación autónoma de esos datos.
Excepción (supervisión remota). Los datos de imagen y de audio procedentes de las funcionalidades de supervisión remota se suprimen al cabo de 3 meses en todos los planes, plazo que corresponde al tratamiento de las eventuales impugnaciones.
En el plan Organización, el plazo lo fija la organización cliente, responsable del tratamiento, antes de la aplicación del tratamiento (§ 48), siempre que siga siendo proporcionado y sea comunicado a los Participantes por su Examinador.
En caso de sospecha de fraude, la conservación no excede los plazos de los procedimientos disciplinario o contencioso — en principio dos meses. A petición del Examinador, los datos del expediente afectado se conservan hasta el término del procedimiento iniciado y, durante este, no se modifican ni se suprimen. Corresponde al Examinador formular esa petición antes del vencimiento de la supresión.
6. Derechos de las personas
Toda persona dispone, sobre los datos que la conciernen, de un derecho de acceso, de un derecho de rectificación, de un derecho de supresión, de un derecho a la limitación del tratamiento, de un derecho a la portabilidad y de un derecho de oposición. Cuando un tratamiento se basa en el consentimiento, este puede retirarse en cualquier momento, sin que ello cuestione lo hecho anteriormente.
Para los datos de prueba y de supervisión remota, esas solicitudes deben dirigirse con prioridad al Examinador (responsable del tratamiento). Evalmee asiste al Examinador en su tramitación: dpo@evalmee.com y support@evalmee.com.
Si un Participante contacta directamente a Evalmee, su solicitud se transmite sin demora al Examinador correspondiente, que sigue siendo el único competente para responderla.
Para los tratamientos de los que Evalmee es ella misma responsable (sección 12), el interlocutor es Evalmee directamente.
No se toma ninguna decisión exclusivamente automatizada que produzca efectos jurídicos: toda decisión final corresponde al Examinador.
El acceso del Participante a los datos recogidos sobre él en el marco de la supervisión remota está garantizado en toda circunstancia: Evalmee pone a disposición del Examinador los medios técnicos para restituírselos.
7. Reclamación ante una autoridad de control
Si consideras que tus datos no se tratan como deberían tratarse, puedes presentar una reclamación ante una autoridad de protección de datos — en particular la del país de tu residencia habitual, la de tu lugar de trabajo, o la del lugar donde se habría cometido la infracción (artículo 77 del RGPD).
En Francia, esta autoridad es la Commission nationale de l'informatique et des libertés (CNIL): cnil.fr/fr/plaintes. En España, es la Agencia Española de Protección de Datos (AEPD): www.aepd.es. La lista de las autoridades de los demás países del Espacio Económico Europeo la publica el Comité Europeo de Protección de Datos.
Al estar Evalmee establecida en Francia, la CNIL es su autoridad de control principal en el sentido del artículo 56 del RGPD. Eso no quita nada a lo anterior: tu autoridad nacional sigue siendo tu interlocutor, residas donde residas.
No se exige ningún trámite previo ante nosotros. Preferimos, sin embargo, resolver nosotros mismos lo que pueda resolverse: escribe a dpo@evalmee.com.
8. Menores de edad
Cuando los Participantes son menores de edad, el Examinador adapta la información entregada a su edad e informa a los titulares de la patria potestad de las modalidades de evaluación y de supervisión remota, antes de la inscripción. Aprecia bajo su responsabilidad la proporcionalidad de las opciones activadas respecto de la edad de los candidatos y recaba, en su caso y únicamente cuando la ley aplicable lo exige, la autorización parental requerida.
Evalmee no interviene en ese trámite.
9. Seguridad e incidentes
Evalmee aplica medidas técnicas y organizativas adaptadas a la naturaleza de los tratamientos: cifrado en tránsito (TLS 1.2/1.3) y en reposo (AES-256); contraseñas convertidas en hash; copias de seguridad cifradas; red privada segmentada y cortafuegos; protección contra DDoS; acceso a los servidores por clave; vigilancia de las vulnerabilidades publicadas.
Evalmee no posee ninguna certificación a título propio: ni SOC 2, ni ISO 27001, ni HDS, ni SecNumCloud — la certificación ISO 27001 que a veces se cita es la de su proveedor de alojamiento Scaleway.
En caso de incidente de seguridad que afecte a datos personales, Evalmee notifica sin dilación indebida al Examinador y le proporciona la información necesaria para sus propias obligaciones reglamentarias.
Evalmee no informa directamente a los Participantes, salvo si la reglamentación aplicable lo exige.
El Examinador informa a continuación a los Participantes afectados, conforme a la reglamentación.
10. Encargados y transferencias
Evalmee puede recurrir a subencargados para el alojamiento, el envío de correos transaccionales, el soporte, la analítica de producto, el monitoreo y la distribución de contenidos.
Los datos de prueba y de supervisión remota se alojan en Francia (Scaleway; AWS región eu-west-3, París), sin replicación fuera de Europa, copias de seguridad incluidas. No son objeto de ninguna transferencia fuera de la Unión Europea.
Tres herramientas periféricas — Cloudflare (protección de red), Sentry (informes de error), Stripe (pago) — están establecidas en la UE pero pertenecen a grupos estadounidenses y no acceden a los datos de prueba; cuando hay una transferencia implicada, se encuadra en las Cláusulas Contractuales Tipo de la Comisión Europea.
La Lista de subencargados de Evalmee (subprocessors) se mantiene actualizada.
11. IA y corrección asistida
Evalmee puede recurrir a servicios de IA (p. ej. OpenAI/ChatGPT) para asistir al Examinador en la corrección y en la entrega de retroalimentación pedagógica. Este tratamiento persigue exclusivamente los fines siguientes, en interés del Participante:
- Correcciones más precisas y más equitativas, ayudando a objetivar la apreciación y a homogeneizar los criterios;
- Retroalimentación más detallada y aprovechable, que incluya la explicación de los errores y pistas de mejora para favorecer el progreso del Participante;
- Ayuda al Examinador, que conserva en toda circunstancia el control de la calificación y de las decisiones pedagógicas.
Datos utilizados. Los contenidos transmitidos a los servicios de IA no son nominativos: no incluyen ni nombre, ni identificador, ni datos de contacto del Participante o del Examinador. La IA no interviene en ningún momento en la supervisión remota y ninguna calificación se atribuye automáticamente a una respuesta redactada.
Ningún entrenamiento de modelos. Los datos transmitidos nunca se utilizan para entrenar los modelos de los proveedores de IA.
Ninguna decisión automatizada. La IA no emite decisiones que produzcan efectos jurídicos: toda decisión final (calificación, validación, sanción) corresponde al Examinador.
Base jurídica. Este tratamiento lo realiza Evalmee en calidad de encargado del tratamiento, sobre la base jurídica determinada por el Examinador, responsable del tratamiento, y documentada por él.
12. Los tratamientos de los que Evalmee es ella misma responsable
Para el sitio evalmee.com, las cuentas de los Examinadores, la facturación, la asistencia y la seguridad de la Plataforma, Evalmee no sigue las instrucciones de nadie: es responsable del tratamiento. La información que sigue es, por lo tanto, la suya. El responsable es FD EDU, cuyos datos completos figuran en la sección 14.
Fines y bases jurídicas.
- Crear y gestionar una cuenta de Examinador, y prestar la Plataforma — ejecución del contrato (artículo 6.1.b del RGPD).
- Facturar, llevar la contabilidad y conservar los documentos obligatorios — obligación legal.
- Responder a las solicitudes de asistencia, de contacto o de demostración — ejecución del contrato, o interés legítimo en responder a quien nos escribe.
- Asegurar la seguridad de la Plataforma: registros técnicos, prevención de abusos, detección y tratamiento de incidentes — interés legítimo en proteger el servicio y a sus usuarios.
- Informar a nuestros clientes de las evoluciones del servicio y enviarles las comunicaciones técnicas necesarias — ejecución del contrato.
- Prospectar organizaciones y medir la audiencia del sitio — interés legítimo, y consentimiento para los rastreadores que lo exigen (sección 13).
Origen de los datos. Nos llegan de la propia persona, o de la organización que abrió una cuenta para uno de sus colaboradores. Los datos de los Participantes, por su parte, nos llegan del Examinador: nunca los recogemos por iniciativa propia.
Carácter obligatorio. La información solicitada al abrir una cuenta es necesaria para la prestación del servicio: sin ella, el contrato no puede ejecutarse. Las demás informaciones son facultativas, y su ausencia no tiene ninguna otra consecuencia.
Destinatarios. Nuestros equipos, dentro de los límites de lo que su misión exige, y los subencargados mencionados en la sección 10. Ningún dato se vende, se alquila ni se cede a terceros, con fines publicitarios ni de ningún otro tipo.
Plazos de conservación.
- Cuenta y facturación: durante la vigencia del contrato, y después el tiempo necesario para la tramitación de las reclamaciones y de los litigios; los documentos contables se conservan diez años, como la ley lo impone.
- Asistencia: el tiempo de tramitar la solicitud, y de extraer de ella las enseñanzas de calidad de servicio.
- Prospección, solicitudes de contacto y de demostración: como máximo tres años desde el último contacto, y suprimidas sin demora si la persona se opone.
- Registros técnicos de seguridad: de seis meses a un año.
Ninguna decisión automatizada. Ninguna decisión que produzca efectos jurídicos o que te afecte de manera significativa se toma sobre esos datos mediante un tratamiento exclusivamente automatizado, y no hay ninguna elaboración de perfiles con ese fin.
Tus derechos. Para esos tratamientos, tu interlocutor es Evalmee directamente, en dpo@evalmee.com: acceso, rectificación, supresión, limitación, portabilidad, oposición, y retiro del consentimiento cuando el tratamiento se apoya en él. La vía de la reclamación ante una autoridad de control queda abierta en cualquier caso (sección 7).
13. Cookies y rastreadores
Una cookie es un pequeño archivo que un sitio deposita en tu dispositivo y vuelve a leer en tus visitas siguientes. La norma aplicable en Francia es el artículo 82 de la ley francesa de protección de datos (loi Informatique et Libertés): los rastreadores estrictamente necesarios para la prestación del servicio que solicitas se instalan sin consentimiento; los demás requieren tu acuerdo previo.
En el sitio evalmee.com. Medimos la audiencia del sitio con Staminads, servido desde nuestra propia infraestructura (staminads.evalmee.io). Cuenta las páginas vistas, la profundidad de lectura y algunas acciones voluntarias — un clic en « prueba gratuita », un cambio de idioma, el uso de una herramienta gratuita. Las estadísticas producidas sirven para saber qué páginas son útiles, nunca para reconocer a una persona de un sitio a otro. No cargamos ninguna red publicitaria ni ningún píxel de red social.
Tres páginas del sitio, y solo tres, integran un módulo de terceros que puede depositar sus propios rastreadores cuando lo utilizas: la reserva de cita para una demostración (HubSpot), la página de los seminarios web (Contrast) y la página de las novedades (Featurebase). Esos módulos solo se cargan en esas páginas.
En la aplicación app.evalmee.com.
- Estrictamente necesarios — sesión y autenticación (
remember_user_token,_evalmee_session,ahoy*), asistencia en línea Crisp (crisp*). - Medición de uso — PostHog (
ph_*), para entender qué funcionalidades sirven. - Diagnóstico técnico — Sentry (
gsID,sentry-sc,AMP_*), para recibir los informes de error. - Publicidad — ninguno.
Los rastreadores de medición y de diagnóstico se limitan estrictamente al análisis técnico y a la mejora del servicio. Nunca se utilizan con fines publicitarios, ni para elaborar el perfil individual de un Participante, ni para seguir a alguien en otros sitios.
13.1 Cómo rechazar las cookies
Todo navegador permite, en sus ajustes de privacidad, bloquear las cookies o borrar las que ya están depositadas; la mayoría permite también aceptar solo las del sitio visitado. Si bloqueas los rastreadores estrictamente necesarios, la aplicación deja de poder funcionar: no permanecerás conectado de una página a otra.
Para que dejemos toda medición de audiencia que te concierna, basta con escribirnos a dpo@evalmee.com.
14. Quiénes somos, y cómo contactarnos
Responsable del tratamiento — FD EDU, sociedad por acciones simplificada con un capital social de 1 000 €, domicilio social: 3 Rue Joliot Curie, 91190 Gif-sur-Yvette, Francia. RCS Évry 884 027 079, IVA FR78884027079. Evalmee es la marca bajo la cual explota la Plataforma.
- Delegado de protección de datos (DPO): dpo@evalmee.com
- Soporte: support@evalmee.com
- Contacto general: contact@evalmee.com
15. Actualizaciones de la Política
Podemos actualizar la presente Política. En caso de cambio material, informamos a los Examinadores por correo electrónico a las direcciones de administrador conocidas.
Los Examinadores son responsables de retransmitir esa información a los Participantes.
La mención Última actualización se actualiza. El historial de versiones está disponible previa solicitud a dpo@evalmee.com.
16. Nuestra lectura de la recomendación de la CNIL
La CNIL adoptó el 8 de junio de 2023 la délibération n° 2023-058, que recomienda las modalidades de aplicación de los dispositivos de supervisión remota de los exámenes en línea. Es el texto de referencia en Francia, donde Evalmee está establecida, y nuestras decisiones de diseño se alinean con él.
Nuestra lectura detallada de esa recomendación está publicada en nuestra página Seguridad, punto por punto. Es la nuestra y no compromete a la CNIL: como responsable del tratamiento, corresponde al Examinador realizar su propio análisis, con su delegado de protección de datos.