# Cómo Coursebox protege tus datos > Respondo, en lenguaje sencillo, las preguntas que los compradores de nivel empresarial realmente me hacen sobre cómo Coursebox gestiona sus datos. **Author:** Toni Arrebola **Published:** 2026-08-07 **Updated:** 2026-09-17 **Categories:** Company Updates --- Soy el CTO de Coursebox AI, lo que significa que paso buena parte de mi tiempo en demostraciones para clientes empresariales. Y casi siempre surge la misma pregunta: _¿podemos confiarles nuestros datos?_ Es una pregunta justa. Cuando los cursos que creas contienen el conocimiento propio de tu empresa, los registros de tus estudiantes y tu propiedad intelectual de formación, necesitas saber exactamente dónde vive esa información y quién puede acceder a ella. Así que, en lugar de esconder las respuestas en un documento de políticas, aquí tienes las preguntas que de verdad nos hacen, respondidas sin rodeos. ## ¿Coursebox usa mis datos para entrenar modelos de IA? No. Utilizamos Microsoft Azure OpenAI y Google Gemini bajo acuerdos empresariales. Tanto Microsoft como Google declaran que las instrucciones, entradas y resultados generados de los clientes no se usan para reentrenar sus modelos públicos. Eso está en el contrato, no en una nota al pie. Nuestra política es la misma: tu contenido y los datos de tus estudiantes no se usan para entrenar ni ajustar (fine-tune) los modelos de Coursebox, salvo que lo autorices explícitamente por escrito para un fin determinado. En cuanto a [la generación de videos con IA](https://www.coursebox.ai/es/ia-creador-de-videos) a través de HeyGen, obtuvimos por escrito en febrero de 2026 la confirmación de que nuestra cuenta empresarial de API está completamente excluida de todo proceso de entrenamiento de modelos. Tu contenido genera respuestas para tus estudiantes. Eso es todo lo que hace. ## ¿Dónde se alojan mis datos? Desde mayo de 2026, todos los portales nuevos de Coursebox funcionan sobre [Google Cloud Platform](https://cloud.google.com). Estamos migrando desde nuestra antigua infraestructura de OVH Francia para ofrecer a los clientes una base de cumplimiento más sólida. Los centros de datos de GCP cuentan con certificación ISO 27001, ISO 27017 e ISO 27018. La región predeterminada es Francia, así que los clientes de la UE obtienen almacenamiento intracomunitario sin tener que solicitarlo. Si tu organización tiene requisitos propios de ubicación geográfica o residencia de datos, puedes elegir una región distinta de GCP. Vale la pena decirlo con claridad: el procesamiento de IA a través de Azure OpenAI se ejecuta de forma predeterminada en regiones de EE. UU., al amparo de las Standard Contractual Clauses (SCC) y una evaluación de impacto de la transferencia. El procesamiento de IA en la región de la UE está disponible cuando lo necesites. Si requieres alojamiento o procesamiento en un país concreto, habla con tu gestor de cuenta de Coursebox o escribe a support@coursebox.ai ## ¿Cómo se cifran mis datos? Los datos en reposo se cifran con AES-256, gestionado por Google Cloud. Los datos en tránsito usan TLS 1.2 o superior. Las contraseñas se protegen con hash mediante bcrypt y nunca se almacenan en texto plano. Las copias de seguridad también están cifradas. Las copias diarias se conservan 14 días de forma predeterminada, con un objetivo de punto de recuperación (RPO) de 24 horas y un objetivo de tiempo de recuperación (RTO) de 12 horas. Las cuentas empresariales con base de datos dedicada cuentan con recuperación a un punto en el tiempo, retención ampliable hasta 30 días, y objetivos más estrictos: menos de una hora para el RPO y menos de cuatro horas para el RTO. ## ¿Los datos de mi organización están aislados de los de otros clientes? Sí, pero la forma en que lo hacemos depende de tu plan. La mayoría de las cuentas funcionan sobre una arquitectura multiinquilino (multi-tenant). Tus datos, tus configuraciones y tus claves de API pertenecen únicamente a tu organización, y el sistema garantiza que ningún otro inquilino pueda verlos, tocarlos o acceder a ellos. Los clientes empresariales que prefieren una separación a nivel de infraestructura, en lugar de una separación forzada dentro de un sistema compartido, pueden operar en una instancia dedicada con su propia base de datos, completamente independiente. En términos simples, piénsalo como un edificio de apartamentos. La mayoría de los inquilinos comparten el edificio, que es la infraestructura, pero tu apartamento es tuyo, igual que su cerradura. Una instancia dedicada es tener tu propio edificio. ## ¿Qué proveedores de IA y de datos usa Coursebox, y qué hacen con mis datos? Estos son todos los proveedores de IA de la plataforma y lo que hace cada uno. Microsoft Azure OpenAI se encarga de la generación de cursos, la redacción con IA, las evaluaciones y los chatbots del tutor con IA. El procesamiento ocurre dentro de la infraestructura empresarial de Azure, y Microsoft no usa los datos de los clientes para entrenar sus modelos. Google Gemini Pro genera las imágenes con IA de los materiales del curso. Las instrucciones pasan por la API y los resultados permanecen en tu entorno de Coursebox. Google no usa los datos de los clientes para entrenar sus modelos. Microsoft Azure Neural Text-to-Speech convierte el texto del curso en locuciones. Ese audio se procesa dentro de Azure y no se usa para reentrenar modelos públicos. Mistral extrae texto e imágenes incrustadas de los documentos que subes, como archivos PDF. Todo lo extraído permanece en nuestra propia infraestructura sobre Google Cloud. HeyGen impulsa el video con avatar de IA. Como se mencionó antes, nuestra cuenta empresarial está excluida de todos los procesos de entrenamiento de HeyGen, confirmado por escrito en febrero de 2026. Plain AI, que funciona sobre Anthropic Claude, impulsa nuestro chatbot de soporte para administradores. Según los términos empresariales de Plain AI y de Anthropic, los datos de los clientes no se usan para entrenar modelos base públicos. ## ¿Coursebox cumple con el RGPD? Sí. Coursebox Pty Ltd ha sido evaluada y certificada formalmente en cumplimiento del RGPD por American Quality Standards Registrars (AQSR), acreditada por el United States Accreditation Council (USAC). Los datos del certificado: - Número de certificado: 17412 - Fecha de registro: 11 de junio de 2025 - Fecha de recertificación: 10 de junio de 2028 Puedes comprobarlo tú mismo en [www.aqsrworld.com](https://www.aqsrworld.com) usando el número de certificado 17412. También cumplimos con los Australian Privacy Principles, y aplicamos el mismo estándar de protección de datos a todos los clientes, estén donde estén, no solo dentro de la UE. ## ¿Qué ocurre si hay una brecha de seguridad? Contamos con un proceso documentado de respuesta a incidentes con cuatro pasos: contención, evaluación del impacto, notificación al cliente y, por último, una revisión posterior al incidente. Los plazos se fijan según la gravedad. Los incidentes críticos, como accesos no autorizados o pérdida de datos, se notifican a los clientes afectados dentro de las 4 horas siguientes a su detección. Los posibles compromisos de alta prioridad, dentro de 12 horas. Las vulnerabilidades de menor prioridad, dentro de 24 horas. Un informe completo por escrito llega dentro de los 5 días hábiles posteriores a la resolución. Para clientes empresariales, podemos comprometernos a notificar dentro de 8 horas hábiles como parte del acuerdo empresarial. En los últimos 12 meses no hemos tenido ningún incidente de seguridad exitoso ni ninguna brecha de datos. ## ¿Cómo protege Coursebox contra amenazas específicas de la IA, como la inyección de instrucciones (prompt injection)? Utilizamos Microsoft Azure AI Content Safety, que incluye Prompt Shields. Estas herramientas detectan los intentos de inyección de instrucciones y los bloquean antes de que lleguen al modelo. A la salida, tanto Azure OpenAI como Gemini aplican filtrado de contenido que detiene código malicioso, discurso de odio y contenido dañino antes de que llegue a tus usuarios. Limitamos la frecuencia de solicitudes (rate limiting) en nuestros endpoints de inicio de sesión y generación, para que los intentos de fuerza bruta no lleguen lejos, y vigilamos el uso de la API en la capa de gateway en busca de picos inusuales. El texto de entrada se valida y estructura en el back-end de nuestra aplicación antes de que cualquier modelo lo reciba. ## ¿Qué pasa con las alucinaciones de la IA? Las alucinaciones son parte de cómo funcionan los modelos de lenguaje de gran tamaño. No podemos eliminarlas. Lo que sí podemos hacer es reducir el margen que tienen: anclamos cada generación estrictamente a los parámetros del curso y a los objetivos de aprendizaje que nos indicas, aplicamos restricciones a nivel de sistema y usamos temperaturas de inferencia bajas para mantener la consistencia. La salvaguarda más importante es la revisión humana. Todo el contenido de curso generado por IA pasa por una persona antes de que lo vean los estudiantes, y el autor del curso puede editar cualquier parte. Diseñamos la plataforma para que la decisión final siempre la tome una persona. ## ¿Coursebox ofrece una garantía de tiempo de actividad? Sí. Tus estudiantes necesitan un acceso confiable, así que mantenemos un objetivo de nivel de servicio (SLO) del 99 % de tiempo de actividad. Coursebox funciona principalmente sobre Google Cloud Platform, con Amazon Web Services cubriendo servicios de apoyo en regiones de la UE. Dos aspectos de esa infraestructura hacen la mayor parte del trabajo. El primero es la redundancia. Google distribuye las cargas de trabajo entre varios centros de datos físicos, así que si un servidor o un centro de datos completo falla, otro lo reemplaza y tus estudiantes ni lo notan. El segundo es el mantenimiento en vivo. Google puede realizar actualizaciones rutinarias y reparaciones de hardware sin poner nuestros servidores fuera de línea, lo que elimina la mayoría de las causas de caídas inesperadas. Nuestra recuperación ante desastres se apoya en todo eso. Las copias de seguridad se ejecutan de forma continua y se almacenan en ubicaciones geográficamente separadas. En el peor de los casos, ante una interrupción regional, podemos levantar una copia nueva de nuestra infraestructura en otra región en cuestión de minutos. ## ¿Coursebox se somete a pruebas independientes de vulnerabilidades de seguridad? Sí. Realizamos pruebas de penetración anuales a cargo de terceros. La más reciente concluyó en junio de 2026. ## ¿Mi organización puede desactivar funciones específicas de IA? Sí. Algunas funciones de IA son opcionales y se pueden configurar o desactivar a nivel empresarial para ajustarse a tus requisitos de cumplimiento. Los clientes empresariales también pueden usar su propia clave de API de OpenAI y ejecutar su propia configuración de modelo. Mantenemos la capacidad de restringir o suspender cualquier integración de IA cuando existan motivos legales, de seguridad o de cumplimiento que lo requieran. ## ¿Coursebox tiene una política de gobernanza de IA? Sí. Evaluamos los posibles riesgos de cada función de IA antes de lanzarla, aplicamos controles de cambio a las actualizaciones de IA relevantes, mantenemos una documentación interna proporcional al riesgo de cada función, y ofrecemos canales para que los clientes reporten problemas de calidad o seguridad de la IA. Nuestra [política de IA responsable](https://support.coursebox.ai/article/privacy-security) sigue el NIST AI Risk Management Framework, la Recomendación de la OECD sobre Inteligencia Artificial, la Recomendación de la UNESCO sobre la Ética de la Inteligencia Artificial, y el Voluntary AI Safety Standard de Australia. Las obligaciones de transparencia de la EU AI Act se aplican a partir del 2 de agosto de 2026. Desde esa fecha, mostraremos un aviso de IA contextualizado en cada lugar donde los estudiantes interactúen con una función de IA, y en los videos generados por IA. Sé que una lista de políticas no siempre transmite tranquilidad. Lo que sí puedo decirte es esto: decisiones como migrar a Azure OpenAI, elegir Google Cloud para el alojamiento o excluirnos de todos los procesos de entrenamiento de proveedores que encontramos, no las tomamos porque una lista de cumplimiento nos lo exigiera. Las tomamos porque nuestros clientes nos hicieron preguntas difíciles y quisimos responderlas con honestidad. Si tu pregunta no está aquí, escríbenos a support@coursebox.ai. Preferimos que preguntes a que te quedes con la duda.