Infraestructura y jurisdicción

Para qué es esta página

Explica dónde está y bajo qué jurisdicción funciona la infraestructura de cada producto de Coraula, y qué medidas aplicamos para que un gobierno de fuera de la Unión Europea no pueda acceder a los datos de nuestros clientes ni llevárselos de forma contraria al Derecho de la Unión o de España. Es la información que pide el artículo 28 del Reglamento (UE) 2023/2854 (Reglamento de Datos), y las Condiciones Generales del Servicio la citan en su cláusula 10.

Los proveedores que tratan datos personales, con su país y sus garantías, tienen su propia página: «Proveedores que tratan datos».

La infraestructura, producto a producto

Producto	Qué hace y dónde	Jurisdicción
Coraula Central	La aplicación, la base de datos y los archivos que se suben funcionan en servidores de Arsys en España. Ahí se guardarán también las copias de seguridad diarias a las que CRUD se compromete (cláusula 13 de las Condiciones Generales).	España (Unión Europea)
Coraula Live	Las clases en directo pasan por servidores de Arsys en España, que también graban y procesan las sesiones. Las grabaciones que se reproducen se guardan en el almacenamiento R2 de Cloudflare con jurisdicción europea, que garantiza que se guardan en centros de datos de la Unión Europea. La descarga se genera en el navegador a partir de esa misma grabación. La copia de trabajo de cada grabación, con cada participante por separado, se guarda en Arsys, en España. R2 se contrata directamente con Cloudflare, Inc., y la jurisdicción europea garantiza dónde se guardan las grabaciones, no por dónde pasan las peticiones para verlas, que Cloudflare puede procesar en su red mundial.	España y Unión Europea para el almacenamiento. Cloudflare, Inc. tiene su sede en Estados Unidos, y su acuerdo de tratamiento prevé tratar datos fuera del Espacio Económico Europeo, con el Marco de Privacidad de Datos UE-EE. UU. y, si dejara de aplicarse, cláusulas contractuales tipo
Coraula Translate	La aplicación y los proyectos se guardan en Arsys, en España. El texto que se traduce se envía al servicio de traducción automática de Microsoft (Azure Translator) por su punto de acceso europeo, que atiende la petición en centros de datos de Microsoft en la Unión Europea (sus regiones Francia Central y Europa Occidental). Las imágenes que se traducen se envían a un modelo de inteligencia artificial a través de OpenRouter, Inc., en Estados Unidos, que las pasa al proveedor de ese modelo.	España para el almacenamiento y Unión Europea para la traducción del texto. La traducción de las imágenes no se garantiza dentro de la Unión Europea: la procesan OpenRouter y el proveedor del modelo, fuera de ella. Por eso Translate, entero, no puede garantizar que todo el tratamiento se quede en la Unión Europea
Coraula SCORM	Todavía no se contrata dentro de Coraula. Esta página se actualizará cuando se pueda.

Servicios comunes a todos los productos. Los nombres de dominio los resuelve Cloudflare (DNS), que también presta la verificación contra robots de algunos formularios (Turnstile); los dos funcionan sobre su red mundial. Los correos de la plataforma se envían con el servicio de correo de Hostinger International Ltd., una empresa de Chipre que usa a su vez proveedores, algunos de ellos estadounidenses.

Medidas contra el acceso de gobiernos de fuera de la Unión Europea

Ningún proveedor puede prometer que un gobierno extranjero no pedirá nunca nada. Lo que sí hacemos es esto:

Técnicas

• Los datos de los clientes se guardan en España y, en el caso de las grabaciones, en la Unión Europea.
• Todo viaja cifrado entre tu navegador y la plataforma.
• Las grabaciones no son públicas: sólo se entregan con direcciones firmadas y de validez limitada, de modo que ningún enlace sirve de forma permanente.
• Las contraseñas, claves y secretos se guardan cifrados o transformados de forma que no se pueden leer.
• El acceso a los servidores y a los datos está limitado a las personas de CRUD que lo necesitan, y queda registrado.

Organizativas

• Si una autoridad de fuera de la Unión Europea nos pidiera datos de un cliente, sólo los entregaríamos cuando lo permita el Derecho de la Unión o de España, por ejemplo a través de un acuerdo internacional de cooperación aplicable.
• Revisaríamos cada petición, entregaríamos sólo lo mínimo imprescindible y se lo comunicaríamos al cliente, salvo que la ley nos lo prohíba.

Contractuales

• Preferimos proveedores con infraestructura en la Unión Europea, y elegimos en cada uno las opciones que guardan los datos en ella cuando las hay, como la jurisdicción europea de Cloudflare R2.
• Nuestros proveedores están obligados por contrato a tratar los datos de nuestros clientes siguiendo nuestras instrucciones. Con una salvedad que conviene conocer: el contrato de Cloudflare le permite usar los datos que genera el tráfico por su red para mantener y mejorar sus servicios, y en la verificación contra robots (Turnstile) usa las señales que recoge también para mejorar su detección, por su cuenta.
• El acuerdo de tratamiento de Cloudflare (apartado 8) la obliga a avisarnos en cuanto un tercero, también un gobierno, le pida datos que trata por nuestra cuenta, salvo que la ley se lo prohíba; a decirle que no puede entregarlos sin nuestro consentimiento y a entregar, si tiene que hacerlo, sólo lo mínimo; y, si la petición de un gobierno choca con otra ley aplicable, a recurrirla hasta la apelación antes de entregar nada. Publica cada seis meses un informe de transparencia con esas peticiones.

Cuando esto cambie

Si cambia la jurisdicción de la infraestructura de un producto, publicaremos una versión nueva de esta página. Si el cambio afecta a dónde se guardan los datos que nos has confiado, no es un cambio de esta página, sino de tu contrato, y te lo comunicaremos antes.