Gobernanza y evidencia

Esta página reúne las superficies que sostienen el cumplimiento del día a día: los encargados de tratamiento y sus contratos del Art. 15 bis, las capacitaciones del personal con su evidencia, los documentos de autoridad de los apoderados, el catálogo de gobernanza (categorías de datos, políticas de retención, destinos, delegados) y los reportes descargables.

Encargados (Art. 15 bis)

curl -G "https://app.edugoverna.com/api/processors" \
  -H "x-api-key: {tu_api_key}" \
  -d uncoveredOnly=true

{
  "processors": [
    {
      "id": "td5a…",
      "name": "Plataforma LMS",
      "destinationType": "processor",
      "countryCode": "CL",
      "residencyClass": "cross_border_managed",
      "criticality": "medium",
      "isSubprocessor": false,
      "dataAccess": { "linked": true, "sensitive": false },
      "covered": false,
      "expiringSoon": false,
      "contract": {
        "versionNumber": 1,
        "status": "in_negotiation",
        "clauses": ["objeto", "finalidad", "deber_de_secreto"],
        "missingClauses": ["duracion", "tipos_de_datos", "…"],
        "effectiveFrom": null,
        "executedAt": null
      },
      "verification": {
        "state": "never",
        "lastPerformedAt": null,
        "lastOutcome": null,
        "nextDueAt": null
      }
    }
  ]
}

Rutas del encargado

Capacitaciones

curl "https://app.edugoverna.com/api/training-sessions" \
  -H "x-api-key: {tu_api_key}"

{
  "trainingSessions": [
    {
      "id": "ts21…",
      "title": "Capacitación anual 2026",
      "topic": "Qué se puede y qué no con datos de estudiantes",
      "heldAt": "2026-03-15T12:00:00.000Z",
      "trainerName": "Estudio Jurídico Pérez",
      "attendeeCount": 42,
      "evidenceArtifactId": "ar54…",
      "nextDueAt": "2027-03-15T12:00:00.000Z",
      "createdBy": "dpo@colegioandes.cl"
    }
  ]
}

Documentos de autoridad

curl -G "https://app.edugoverna.com/api/records/authority-documents" \
  -H "x-api-key: {tu_api_key}" \
  -d verificationStatus=pending

{
  "documents": [
    {
      "id": "ad83…",
      "guardianshipId": "gd12…",
      "documentType": "resolucion_judicial",
      "issuingAuthority": "Juzgado de Familia de Santiago",
      "artifactId": "ar62…",
      "verificationStatus": "pending",
      "issuedAt": "2026-06-01T12:00:00.000Z",
      "guardianshipStatus": "active",
      "relationshipType": "madre",
      "studentSummary": { "referenceCode": "EST-2026-0412", "displayName": "Martina Rojas" },
      "guardianSummary": { "referenceCode": "APO-2026-0311", "displayName": "Carolina Fuentes" }
    }
  ],
  "meta": {
    "totalMatchedCount": 3,
    "nextCursor": null,
    "filteredRestrictedCount": 0
  }
}

El mismo archivo de rutas ofrece POST /records/verifications y POST /records/verifications/:id/complete (verificaciones de identidad de titulares, subjects.write) y POST /records/enrollments (matrículas, students.write).

Catálogo de gobernanza

GET /governance/catalog (con processing_activities.read) devuelve, en cuatro arreglos, los bloques de configuración que el RAT referencia:

• dataCategories — categorías de datos con su sensibilidad (sensitivityLevel, isSensitive, requiresExpressConsent) y retención por defecto.
• retentionPolicies — políticas de retención (retentionDays, actionAfterRetention, triggerEvent).
• transferDestinations — destinos de transferencia (los mismos que la página de encargados enriquece).
• policyDocuments — documentos de política con su versión vigente y si hay aprobación pendiente.

La EIPD mínima del núcleo

Una actividad cuyo screening del Art. 15 ter da required no se publica sin evaluación de impacto. Estas dos rutas existen para que una organización sin el módulo EIPD pueda cumplir esa exigencia: registran los contenidos mínimos del artículo, sin escenarios, matriz ni aprobación (eso vive en /api/dpia, con licencia). Aceptan sesión o API key.

El POST responde 201 y el PATCH 200, ambos con la evaluación tal como quedó (sin envoltorio): id, assessmentCode (folio EIPD-AAAA-NNNN), status (nace en draft), los cuatro textos y metadata. riskLevel ya no se acepta: el núcleo no tiene escenarios de los que derivarlo. El PATCH sobre una evaluación approved, superseded o archived responde 409 DPIA_LOCKED.

Qué cuenta para publicar. La guarda de POST /processing-activities/:id/versions sólo cuenta una evaluación viva (draft, in_review, approved o under_revision) con summary, necessityAssessment y proportionalityAssessment escritos. Sin ninguna viva responde 409 DPIA_REQUIRED; con una viva a la que le falta contenido, 409 DPIA_INCOMPLETE:

{
  "error": {
    "code": "DPIA_INCOMPLETE",
    "message": "A la evaluación de impacto le faltan contenidos que exige el Art. 15 ter: …",
    "details": {
      "assessmentId": "5c0e…",
      "assessmentCode": "EIPD-2026-0007",
      "missing": ["necessityAssessment", "proportionalityAssessment"]
    }
  }
}

missing usa los nombres de campo, así que se completa con un PATCH sobre assessmentId y se vuelve a publicar.

Reportes de cumplimiento

curl -X POST "https://app.edugoverna.com/api/reports/generate" \
  -H "Cookie: {sesion_de_consola}" \
  -H "Content-Type: application/json" \
  -d '{ "reportType": "arco_compliance", "format": "csv" }'

{
  "report": {
    "id": "rp44…",
    "reportType": "arco_compliance",
    "format": "csv",
    "title": "Reporte de cumplimiento",
    "periodFrom": null,
    "periodTo": null,
    "generatedAt": "2026-08-25T15:00:00.000Z",
    "sizeBytes": 18240,
    "contentType": "text/csv"
  }
}

GET /reports lista los generados (paginado con meta) y GET /reports/:artifactId/download entrega el archivo.

Paneles de resumen

Dos lecturas agregadas, ambas sólo disponibles con sesión de la consola:

• GET /dashboard/overview — el panel del colegio: summary con conteos por dominio (subjects, activities, dpia, processors, governance, cases, consents), actividad reciente, plazos próximos y acciones prioritarias. Cada bloque trae available y devuelve null (no 0) en los conteos que la persona no puede ver.
• GET /network/overview — para organizaciones de tipo red (sostenedores): sólo conteos por colegio miembro (totals y el mismo summary por colegio), nunca datos de titulares de los colegios.

Para la auditoría fina de accesos y eventos, GET /audit/events y GET /audit/sensitive-access-events (con audit.read, sesión) complementan estos paneles.