Tus datos están seguros
Evalmee está alojado en Francia, cumple el RGPD y sigue la recomendación de la CNIL —la autoridad francesa de protección de datos— sobre la supervisión remota de los exámenes en línea.
Página actualizada el 14 de agosto de 2026. Los textos citados se consultaron en esa fecha.
¿Dónde se alojan los datos de Evalmee?
Las respuestas de los participantes, los resultados y las grabaciones de supervisión remota se alojan en Francia, en Scaleway y en la región AWS eu-west-3 (París). Ninguna réplica fuera de Europa, copias de seguridad incluidas. Algunos servicios técnicos periféricos pueden implicar una transferencia regulada, que se detalla más abajo.
No utilizamos ninguna región estadounidense ni asiática para los datos de examen.
Scaleway
Proveedor de alojamiento francés, certificado ISO/IEC 27001 para sus centros de datos
Scaleway security →¿Y las transferencias fuera de la Unión Europea?
Seamos precisos en lugar de tranquilizadores. Los datos de examen no salen de Francia. Tres herramientas periféricas —Cloudflare (protección de red), Sentry (informes de errores) y Stripe (pagos)— están establecidas en la UE, pero pertenecen a grupos estadounidenses: cuando hay una transferencia, queda amparada por las cláusulas contractuales tipo de la Comisión Europea, como recuerda el artículo 5 de la recomendación de la CNIL. Nuestra lista pública de subprocesadores indica, para cada uno, el país de establecimiento. Dónde declara alojar sus datos cada una de las otras seis plataformas francesas se recoge, fuente por fuente, en la comparativa de plataformas de examen en línea.
Una precisión útil: la certificación ISO/IEC 27001 mencionada más arriba es la de Scaleway, nuestro proveedor de alojamiento. Cubre sus centros de datos y sus procesos, no el software Evalmee. Evalmee no está certificado ISO 27001 en su propio nombre; véase la sección «¿Qué certificaciones tiene Evalmee?».
¿Cómo se cifran los datos?
En tránsito, todo el tráfico pasa por HTTPS con TLS 1.2 o TLS 1.3. En reposo, los datos sensibles se cifran con AES-256 y las contraseñas se guardan con hash. Es exactamente la medida que el artículo 6 de la recomendación de la CNIL espera de un dispositivo de supervisión remota.
En detalle:
- En tránsito: protocolo HTTPS (TLS 1.2 / TLS 1.3) en todo el tráfico, sin excepción
- En reposo: cifrado AES-256 para los datos sensibles, hash para las contraseñas
- Copias de seguridad cifradas, conservadas en la misma zona geográfica que los datos de producción
¿Cómo se protege la infraestructura?
Nuestra infraestructura aplica una defensa en profundidad: protección DDoS en la entrada, red privada aislada, acceso a los servidores por clave, vigilancia de las vulnerabilidades y registro de los accesos. Ninguna de estas medidas basta por sí sola; es su superposición la que reduce la superficie de ataque.
En concreto:
- Todos los servicios funcionan detrás de Cloudflare (protección DDoS integrada, limitación de tasa)
- Red privada virtual (VPC) con firewall que controla el tráfico entrante y saliente
- Acceso a los servidores limitado a los miembros autorizados, mediante clave SSH (sin contraseña)
- Registro de los accesos a los datosPista de auditoríaRegistro con marca de tiempo de todos los sucesos de una sesión: conexión, visualización de cada pregunta, respuestas sucesivas, incidencias de red, acciones del supervisor. Es lo que permite reconstruir una prueba impugnada y responder a una reclamación de otro modo que de memoria., conforme a la recomendación de la CNIL sobre la trazabilidad de los accesos (délibération n° 2021-122 du 14 octobre 2021)
- Vigilancia automática de las vulnerabilidades de los componentes de software (CVE)
- Equipo formado en las vulnerabilidades OWASP Top 10 (auditorías periódicas del código y de la infraestructura)
¿Qué dice la CNIL sobre la supervisión remota de los exámenes en línea?
El 8 de junio de 2023, la CNIL adoptó la délibération n° 2023-058 (recomendación de la CNIL n.º 2023-058, de 8 de junio de 2023), publicada en el Journal officiel —el boletín oficial francés— n.º 0203 del 2 de septiembre de 2023 (texto n.º 63). No prohíbe la supervisión remota: exige que sea proporcionada a lo que realmente está en juego en la prueba y describe las modalidades que considera aceptables. Es el texto de referencia en Francia.
La recomendación se aplica a «todo tipo de examen o certificación, organizado por un centro público o por una entidad privada». Recuerda además algo que no podemos hacer en tu lugar: el centro que organiza la prueba es el responsable del tratamiento y Evalmee solo es su encargado del tratamiento. Nuestro trabajo consiste en ofrecerte ajustes que te permitan mantenerte dentro de ese marco.
El principio de proporcionalidad, en dos frases
La CNIL pide que «el análisis de la eficacia y de la proporcionalidad de un dispositivo de supervisión remota de exámenes [se realice] de forma global y no medida por medida» (§ 33), y que la elección de las herramientas «se valore a la luz del contexto y de lo que está en juego en la prueba» (§ 34). Una vigilancia reforzada resulta apropiada para una prueba de acceso a una escuela; un examen de práctica, en cambio, «debería realizarse sin supervisión remota».
| Recomendación de la CNIL | Ref. | Lo que hace Evalmee |
|---|---|---|
| Ajustar el dispositivo a lo que está en juego en la prueba y prescindir de la supervisión remota cuando ese riesgo es bajo | § 33-34 | Cada dispositivo —pantalla completa, alerta al salir de la pantalla, grabación de pantalla, videovigilancia, verificación de identidad— se configura prueba por prueba. Nada está activado por defecto, y Evalmee nunca activa estas opciones por iniciativa propia. |
| Controlar la actividad del candidato a través de la plataforma, detectando o bloqueando el acceso a otras pestañas | § 35 | Pantalla completa obligatoria y alerta cada vez que se sale de la pantalla. Las capturas de pantalla se disparan por un evento —salida de la pantalla completa, cambio a otra aplicación, extensión de navegador sospechosa— y no por un flujo de video continuo de la pantalla. |
| Excluir todo análisis automático del comportamiento de los candidatos: frecuencia de pulsación, dirección de la mirada, emociones | § 36-37 | Evalmee no analiza ni la dirección de la mirada, ni las emociones, ni la dinámica de tecleo. Ninguna de estas tecnologías existe en el producto, ni siquiera como opción. |
| No dejar nunca que un dispositivo automático decida por sí solo: toda decisión debe ir precedida de una verificación humana | § 38 | Una alerta abre un pasaje que revisar, nunca una sanción. La decisión corresponde a quien supervisa o al tribunal, en directo mediante el chat integrado o en diferido sobre la línea de tiempo de la prueba. |
| Dar preferencia al cotejo documental para verificar la identidad y regular estrictamente cualquier tratamiento biométrico | § 43-47 | En el producto estándar, la verificación de identidad de Evalmee es un cotejo documental visual, resuelto por el examinador, y no se calcula ni se almacena ninguna plantilla biométrica. En el plan Organización, una validación automatizada de identidad puede desplegarse bajo cotización, con las condiciones del § 45. |
| Fijar los plazos de conservación antes de la puesta en marcha y limitarlos | § 48-49 | Los datos de imagen y audio de la supervisión remota se eliminan por defecto al cabo de tres meses, plazo que corresponde a la tramitación de las impugnaciones. En el plan Organisation puede fijarse contractualmente otro plazo, sin superar nunca los doce meses. |
| Cifrar los datos en tránsito y en reposo, restringir los accesos de lectura y registrarlos | § 53-56 | TLS 1.2/1.3 en tránsito, AES-256 en reposo. Las grabaciones solo son accesibles para los examinadores de la organización cliente; Evalmee nunca accede a ellas, salvo necesidad técnica estricta y bajo control de confidencialidad. |
| Regular las transferencias de datos fuera de la Unión Europea | § 51 | Los datos de examen permanecen en Francia. Las escasas transferencias ligadas a herramientas periféricas están cubiertas por las cláusulas contractuales tipo. |
Leer la délibération n° 2023-058 en cnil.fr →
Los párrafos citados remiten a la numeración de la recomendación publicada por la CNIL. Esta lectura es la nuestra y no compromete a la CNIL: como responsable del tratamiento, te corresponde llevar a cabo tu propio análisis, junto con tu delegado de protección de datos, y realizar en su caso la evaluación de impactoEvaluación de impacto (AIPD)Análisis de impacto relativo a la protección de los datos: según la CNIL, una herramienta que permite construir un tratamiento conforme al RGPD y respetuoso con la vida privada. Se exige para los tratamientos que puedan generar un riesgo elevado para los derechos y libertades de las personas afectadas. prevista en el § 32.
¿Evalmee utiliza reconocimiento facial?
En el producto estándar no —planes Mini, Pro y Max—: ahí la verificación de identidad es un cotejo documental que el examinador compara a simple vista y decide él mismo, la primera modalidad que cita la CNIL en el § 43 de su recomendación. En el plan Organisation, una validación automatizada de identidad puede desplegarse bajo cotización: se limita a establecer la identidad del candidato, antes de la prueba o después como opción, y nunca se usa para vigilarlo durante la prueba.
En un terreno donde muchos proveedores siguen siendo vagos, esto es exactamente lo que ocurre:
- El participante fotografía con la cámara web su documento de identidad o su credencial de estudiante, junto con una o varias fotos de referencia de su rostro.
- El examinador compara visualmente ambas imágenes y decide. En el producto estándar, ninguna IA valida el documento en su lugar: la validación es humana de principio a fin.
- En el producto estándar no se calcula ni se almacena ninguna plantilla biométrica. La recomendación de la CNIL prohíbe expresamente que los proveedores de supervisión remotaSupervisión remota (proctoring)Conjunto de dispositivos que permiten vigilar a un candidato que se examina fuera de un centro de examen: captación de video y audio, control de la pantalla, detección de comportamientos atípicos. El nivel elegido debe seguir siendo proporcionado a lo que está en juego y a los datos que lleva a recoger. constituyan tales bases (§ 46).
- Ningún análisis automático del comportamientoProctoring automatizadoVigilancia realizada por algoritmos que analizan el flujo de video, el sonido y la actividad del equipo para señalar sucesos atípicos: rostro ausente, segunda persona, cambio de ventana. Las alertas producidas son indicios que hay que instruir, nunca una prueba de fraude por sí mismas. La automatización recae en el análisis, nunca en la decisión: sacar una consecuencia de una alerta sin que una persona la haya examinado sería una decisión enteramente automatizada, regulada por el artículo 22 del RGPD.: ni dirección de la mirada, ni detección de emociones, ni dinámica de tecleo. La CNIL recomienda no recurrir a ello (§ 37); nosotros no lo ofrecemos.
- Las únicas señales automáticas se refieren a la actividad dentro de la prueba —salida de la pantalla completa, cambio a otra aplicación—, es decir, lo que la CNIL sitúa entre las modalidades proporcionadas para una vigilancia reforzada (§ 35).
Una salvedad, y preferimos escribirla a callarla: en el plan Organisation, una validación de identidad automatizadaAutenticación del candidatoVerificación de que quien se examina es realmente la persona inscrita: identificadores nominativos, conexión mediante el directorio de la institución, control de un documento de identidad, a veces comparación biométrica. El nivel de verificación se ajusta a lo que está en juego y a los datos que legitima tratar. puede desplegarse bajo cotización. Se limita a establecer la identidad del candidato —antes de la prueba o, como opción, después— y nunca sirve para vigilarlo durante la prueba. Nunca se activa sin una decisión explícita del centro y sigue sujeta a las condiciones acumulativas del § 45: una única verificación, un número de candidatos muy elevado, una alternativa siempre disponible y una información previa a los candidatos.
¿Cuánto tiempo se conservan las grabaciones?
Los datos de imagen y audio procedentes de la supervisión remota se eliminan por defecto al cabo de tres meses, plazo que corresponde a la tramitación de las impugnaciones. Las entregas, las respuestas y las notas siguen el plazo que tú fijes: tú eres el responsable del tratamiento y Evalmee no conserva nada por iniciativa propia.
- Supervisión remota (cámara web, micrófono, capturas de pantalla): eliminación por defecto a los tres meses.
- Plan Organisation: puede fijarse contractualmente un plazo distinto, sin superar nunca los doce meses.
- Entregas, respuestas, notas y metadatos: el plazoPlazo de conservaciónTiempo durante el cual unos datos personales pueden permanecer en base activa. La CNIL recuerda que lo determina la finalidad del tratamiento: al término de ese plazo los datos deben suprimirse, anonimizarse o archivarse, lo que afecta directamente a las grabaciones de supervisión remota. lo define el centro examinador.
- Acceso restringido a los examinadores de la organización cliente, con posible registro de las consultas.
- Descarga, difusión o reutilización externa prohibidas, salvo obligación legal o requerimiento judicial.
¿Cuál es la política de IA de Evalmee?
Evalmee utiliza modelos de OpenAI para acelerar la redacción y la corrección. No se les transmite ningún dato identificativo, ningún dato de cliente sirve para entrenar modelos y la corrección asistida de una pregunta abierta sigue estando sujeta a la validación de un corrector humano.
Nuestros compromisos:
- Ningún dato identificativo de los clientes se transmite a OpenAI ni a otro proveedor de IA externo
- Tus datos nunca se utilizan para entrenar modelos de IA
- Las llamadas a la IA se limitan a contenidos no personales (texto de las preguntas, estructura del cuestionario)
- La corrección de preguntas abiertas asistida por IACorrección asistida por IAPrecorrección de las respuestas redactadas por un modelo de lenguaje, que propone una nota y una justificación que el corrector valida, modifica o rechaza. La decisión sigue siendo humana: lo que la IA hace ganar es la primera pasada sobre el examen, nunca la responsabilidad de la nota. siempre la valida un corrector: ninguna nota se asigna automáticamente a una respuesta redactada
¿Quiénes son los subprocesadores de Evalmee?
La lista completa es pública y se mantiene actualizada. Nombra cada proveedor, su finalidad y su país de establecimiento, tal como exige el artículo 28 del RGPD. Solo compartimos tus datos con los socios estrictamente necesarios para la prestación del servicio.
Una lista pública vale más que una promesa general: tu delegado de protección de datos puede leerla sin pedírnosla y comprobar por sí mismo que en ella no figura ningún proveedor de verificación biométrica. Consultar la lista completa de nuestros subprocesadores
¿Evalmee ofrece un acuerdo de encargo del tratamiento (DPA)?
Sí. Facilitamos un acuerdo de encargo del tratamiento conforme al artículo 28 del RGPD: responsabilidades de cada parte, plazos de conservación, medidas de seguridad y subencargados. Se firma antes de la puesta en producción, sin coste adicional y sea cual sea tu plan.
El DPA es el documento que reclamará tu delegado de protección de datos. Preferimos que esté sobre la mesa desde la fase de evaluación y no la víspera de la firma.
Para obtener una versión firmada, contáctanos.
¿Evalmee cumple el RGPD?
Evalmee está diseñado para que tu centro pueda tratar datos de examen conforme al RGPD: minimización, alojamiento en Francia, derechos de las personas y notificación de las violaciones de datos. Ahora bien, el cumplimiento se juzga tratamiento por tratamiento, y el responsable eres tú.
Nuestros compromisos como encargado del tratamiento:
- Tratar únicamente los datos estrictamente necesariosMinimización de los datosPrincipio del RGPD según el cual, en la formulación de la CNIL, los datos de carácter personal deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan. Aplicado a la supervisión remota, ordena recoger solo lo que justifica la prueba. para la prestación del servicio
- Garantizar tus derechos de acceso, rectificación, portabilidad y supresión
- Mantener los datos de examen en Francia y amparar en cláusulas contractuales tipo las escasas transferencias ligadas a las herramientas periféricas
- Notificar sin demora cualquier violación de datos, para que puedas cumplir el plazo de 72 horas del artículo 33 del RGPD
- Garantizar el acceso del estudiante a los datos recogidos durante la supervisión remota, que la CNIL exige en toda circunstancia (§ 16)
Para ejercer tus derechos o para cualquier pregunta relacionada con tus datos, contáctanos.
Las preguntas sobre protección de datos tienen un punto de contacto único, atendido por nuestro equipo: contact@evalmee.com.
¿Qué certificaciones tiene Evalmee?
Ninguna, hasta la fecha, en su propio nombre. Preferimos escribirlo claramente antes que apropiarnos de la de un tercero: las certificaciones citadas en esta página son las de nuestros proveedores de alojamiento y cubren su ámbito, no el nuestro.
Aquello a lo que sí nos comprometemos
- Alojamiento de los datos de examen en Francia, en Scaleway y AWS (región eu-west-3)
- Cifrado TLS 1.2 / 1.3 en tránsito, AES-256 en reposo
- Acuerdo de encargo del tratamiento conforme al artículo 28 del RGPD, facilitado a petición
- Lista pública y fechada de los subprocesadores
- Página de estado de los servicios abierta a todo el mundo
Lo que no tenemos
- SOC 2, Tipo I o Tipo II: Evalmee no está auditado SOC 2
- ISO/IEC 27001: la certificación citada en esta página es la de Scaleway, nuestro proveedor de alojamiento, y no la de Evalmee
- Alojamiento de datos de salud (HDS): Evalmee no está certificado HDS y no está destinado a tratar datos de salud
- SecNumCloud: Evalmee no cuenta con la cualificación SecNumCloud de la ANSSI, la agencia francesa de ciberseguridad
Si alguno de estos marcos condiciona tu compra, dínoslo desde el primer contacto. Preferimos advertírtelo pronto antes que dejar que lo descubras al final del proceso.
¿Cuál es la disponibilidad del servicio?
A 14 de agosto de 2026, la página de estado pública de Evalmee muestra un 100 % de disponibilidad registrada en los últimos noventa días para cada uno de sus siete componentes, incluida la supervisión remota. Es una medición observada sobre una ventana móvil, no un compromiso contractual.
No comercializamos ningún SLA en los planes de autoservicio. Lo que publicamos es el estado real de los servicios y el historial de incidencias, actualizado automáticamente. Esa es la fuente que te invitamos a consultar: resulta más útil que una cifra congelada en un folleto.
Ver el estado de los servicios de Evalmee →
Un compromiso contractual de disponibilidad puede negociarse en el marco del plan Organisation. Fuera de ese marco, ningún SLA acompaña a las suscripciones.
Fuentes y textos de referencia
Las afirmaciones normativas de esta página remiten a los textos que figuran a continuación. Cada enlace se verificó en la fecha indicada.
CNIL — Délibération n° 2023-058 du 8 juin 2023 portant adoption d'une recommandation relative aux modalités de mise en œuvre des dispositifs de télésurveillance pour les examens en ligne (recomendación de la CNIL n.º 2023-058, de 8 de junio de 2023, sobre las modalidades de aplicación de los dispositivos de supervisión remota en los exámenes en línea)
Consultado el 14 de agosto de 2026
CNIL — Télésurveillance des examens en ligne : la CNIL publie une recommandation (nota de la CNIL sobre la publicación de su recomendación)
https://www.cnil.fr/fr/telesurveillance-des-examens-en-ligne-la-cnil-publie-une-recommandation
Consultado el 14 de agosto de 2026
Légifrance — Délibération n° 2023-058, texto publicado en el Journal officiel francés n.º 0203 del 2 de septiembre de 2023, texto n.º 63
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000048038547
Consultado el 14 de agosto de 2026
Légifrance — Artículo D. 611-12 del code de l'éducation, el Código de Educación francés — validación de los estudios mediante exámenes organizados a distancia en formato digital
https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000034485782
Consultado el 14 de agosto de 2026
Ministerio francés de Enseñanza Superior e Investigación, DGESIP — Fiche 6 — Évaluer et surveiller à distance, plan de continuité pédagogique (ficha 6 del plan francés de continuidad pedagógica: evaluar y supervisar a distancia)
https://services.dgesip.fr/fichiers/Fiche_6_-_Evaluer_et_surveiller_a_distance.pdf
Consultado el 14 de agosto de 2026
EUR-Lex — Reglamento (UE) 2016/679 (RGPD), en particular sus artículos 9, 22, 28, 32 y 33
https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32016R0679
Consultado el 14 de agosto de 2026
Scaleway — Seguridad y resiliencia de la infraestructura de Scaleway
https://www.scaleway.com/en/security-and-resilience/
Consultado el 14 de agosto de 2026
Evalmee — Política de privacidad de Evalmee (encargado del tratamiento)
https://evalmee.notion.site/CHARTE-DE-CONFIDENTIALIT-25902ccf87f54af78b17fc1b30182d56
Consultado el 14 de agosto de 2026
Evalmee — Lista de subprocesadores de Evalmee
Consultado el 14 de agosto de 2026
Evalmee — Controlar y verificar la identidad de los participantes — centro de ayuda de Evalmee
https://help.evalmee.com/fr/articles/0824750-controler-et-verifier-lidentite-des-participants
Consultado el 14 de agosto de 2026
Preguntas frecuentes sobre seguridad y RGPD
- ¿La supervisión remota de exámenes a distancia cumple el RGPD?
- Sí, siempre que sea proporcionada. La CNIL, la autoridad francesa de protección de datos, la regula mediante su délibération n° 2023-058 du 8 juin 2023 (recomendación de la CNIL n.º 2023-058, de 8 de junio de 2023): el dispositivo debe elegirse en función de lo que está en juego en la prueba, debe excluirse todo análisis automático del comportamiento de los candidatos y el centro —responsable del tratamiento— debe informar a los candidatos con antelación.
- ¿Evalmee utiliza reconocimiento facial?
- En el producto estándar no —planes Mini, Pro y Max—: ahí la verificación de identidad se basa en un cotejo documental, el participante muestra su documento de identidad a la cámara web, el examinador compara visualmente y decide él mismo, y no se calcula ni se conserva ninguna plantilla biométrica. En el plan Organización, una validación automatizada de identidad puede desplegarse bajo cotización: se limita a establecer la identidad del candidato, antes de la prueba o después como opción, y nunca se usa para vigilarlo durante la prueba. Las condiciones de ese despliegue están escritas en la página de seguridad.
- ¿Dónde se alojan los datos de Evalmee?
- En Francia, en Scaleway y en la región AWS eu-west-3 (París), copias de seguridad incluidas. Los datos de examen no salen del territorio francés. Algunas herramientas periféricas —Cloudflare, Sentry, Stripe— pueden implicar una transferencia amparada por las cláusulas contractuales tipo de la Comisión Europea.
- ¿Cuánto tiempo conserva Evalmee las grabaciones de supervisión remota?
- Los datos de imagen y audio procedentes de la supervisión remota se eliminan por defecto al cabo de tres meses, plazo que corresponde a la tramitación de las impugnaciones. En el plan Organisation puede fijarse contractualmente otro plazo, sin superar nunca los doce meses.
- ¿Evalmee está certificado ISO 27001 o SOC 2?
- No. Evalmee no posee hoy ninguna certificación de seguridad en su propio nombre: ni SOC 2, ni ISO/IEC 27001, ni HDS, ni SecNumCloud. La certificación ISO/IEC 27001 mencionada en nuestra página de seguridad es la de Scaleway, nuestro proveedor de alojamiento, y cubre sus centros de datos.
- ¿Evalmee ofrece un acuerdo de encargo del tratamiento (DPA)?
- Sí, sin coste adicional y sea cual sea el plan. Nuestro acuerdo de encargo del tratamiento cumple el artículo 28 del RGPD: fija las responsabilidades de cada parte, los plazos de conservación, las medidas de seguridad y la lista de subencargados, que además es pública.
- ¿Evalmee garantiza un nivel de disponibilidad contractual?
- No en los planes de autoservicio: no llevan asociado ningún compromiso de nivel de servicio. Evalmee publica en cambio una página de estado abierta a todo el mundo, que muestra la disponibilidad registrada en los últimos noventa días y el historial de incidencias. En el plan Organisation puede negociarse un SLA.
¿Tienes alguna pregunta sobre seguridad?
Nuestro equipo te responde rápidamente. Para las preguntas sobre protección de datos, escribe directamente a contact@evalmee.com.