Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de Didacly es:

• Responsable: Guillermo Díaz Mesa (DIAZ MESA GUILLERMO)
• NIF: 46269773Y
• Domicilio: Calle El Alcaide, Vía G, nº 7, 14005 Córdoba
• Correo electrónico de contacto: hola@didacly.es
• Teléfono: no publicado

No se ha designado un Delegado de Protección de Datos (DPO) — su designación no es obligatoria para el tratamiento actual conforme al art. 37 RGPD, pero se valorará al pasar a explotación comercial con centros educativos.

2. Datos personales que recogemos

En Didacly recogemos y tratamos las siguientes categorías de datos personales:

2.1. Datos de docentes y usuarios registrados

• Identificación: nombre completo, dirección de correo electrónico, contraseña (hash).
• Profesionales: centro educativo, rol o puesto, comunidad autónoma, materia y etapa educativa.
• Perfil: biografía, foto de avatar, preferencias de uso y experiencia digital.
• Técnicos: dirección IP, cookies de sesión, tokens de autenticación, registros de actividad (logs).
• Financieros (si contratas suscripción): historial de transacciones, referencias de pago (gestionadas por Stripe; no almacenamos datos de tarjeta).

2.2. Datos de alumnado y menores de edad (tratamiento de alto riesgo)

Estos datos pueden incluir:

• Nombre y apellidos del alumno o alumna.
• Datos académicos: calificaciones, resultados de evaluación, rúbricas aplicadas.
• Observaciones del tutor o docente: notas de seguimiento, incidencias, sesiones de tutoría.
• Datos de asistencia y comportamiento (si el centro los registra en la Plataforma).

Base legal para el tratamiento de datos de menores: El tratamiento de datos personales de alumnado menor de edad debe fundamentarse en el cumplimiento de una obligación legal aplicable al responsable del tratamiento (art. 6.1.c RGPD) o en el consentimiento expreso del representante legal (art. 6.1.a y art. 8 RGPD), según la normativa autonómica y la política del centro educativo. El docente o centro que utilice Didacly es responsable de garantizar que dicha base legal existe antes de introducir datos de menores.

2.3. Datos de centros e instituciones educativas

• Nombre del centro, código de centro (si aplica), dirección postal y datos de contacto.
• Datos de los administradores del centro: nombre, email, rol.
• Relación de profesorado vinculado al centro y sus respectivos permisos de acceso.

2.4. Datos derivados del uso de la inteligencia artificial

• Prompts y peticiones enviadas al modelo de IA (Google Gemini).
• Resultados generados (situaciones de aprendizaje, rúbricas, exámenes, fichas) almacenados en la biblioteca del Usuario.
• Metadatos de generación: fecha, tipo de documento, materia, curso, etapa.

Los prompts enviados a Google Gemini no incluyen nombres individuales de alumnos salvo que el Usuario los incluya expresamente en el texto de la petición.

3. Finalidades del tratamiento y base legal

4. Encargados del tratamiento y comunicación de datos

Para la prestación de determinados servicios, el Titular recurre a proveedores externos que actúan como encargados del tratamiento conforme al art. 28 RGPD:

• Supabase (Supabase Inc.): alojamiento de base de datos, autenticación, almacenamiento de ficheros y funciones serverless. Sus servidores se encuentran en la UE (región de Fráncfort). Se dispone de un contrato de encargo de tratamiento.
• Google Cloud / Gemini API: generación de contenidos mediante IA. Los datos se procesan en infraestructura de Google. Recomendamos revisar el DPA de Google Cloud.
• Stripe, Inc.: procesamiento de pagos y suscripciones. Opera como encargado del tratamiento conforme a su DPA. No almacenamos datos de tarjetas.
• Resend: envío de correos electrónicos transaccionales (confirmaciones, notificaciones).
• Vercel, Inc.: hosting y despliegue de la aplicación web.
• Upstash: servicio de rate limiting (Redis) para protección contra abusos.
• Expo (Expo Push Service): envío de notificaciones push a dispositivos móviles.

No se cederán datos personales a terceros salvo en los casos anteriormente descritos, por obligación legal o con el consentimiento previo e inequívoco del Usuario.

5. Transferencias internacionales de datos

La mayoría de nuestros proveedores operan desde la Unión Europea o cuentan con garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea) para las transferencias internacionales. En particular:

• Supabase: datos alojados en la UE (Fráncfort).
• Stripe: opera con garantías adecuadas (SCCs) y certificación PCI DSS.
• Google Cloud: opera bajo el DPA de Google Cloud con SCCs incorporadas.
• Vercel: puede procesar datos en EE.UU. con base en SCCs y medidas complementarias.

6. Conservación de los datos

Los datos personales se conservarán durante los siguientes plazos:

• Datos de cuenta: mientras el Usuario mantenga una cuenta activa. Si la cuenta se elimina, los datos se suprimirán o anonimizarán en un plazo máximo de 30 días, salvo obligación legal de conservación.
• Datos de alumnado: mientras el docente mantenga al alumno en su clase dentro de la Plataforma. Si el docente elimina la clase o su cuenta, los datos del alumnado se suprimirán en un plazo máximo de 30 días.
• Documentos generados (biblioteca): mientras el Usuario decida mantenerlos. Pueden eliminarse en cualquier momento desde la interfaz de la aplicación.
• Datos financieros: conforme a la normativa fiscal española ( Ley 58/2003, de 17 de diciembre, General Tributaria), durante el plazo de 4 años desde la fecha de la operación, salvo que la normativa aplicable exija un plazo superior.
• Logs y registros técnicos: entre 30 y 90 días, salvo que deban conservarse para la investigación de incidentes de seguridad.

7. Seguridad de la información

El Titular ha implementado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, incluyendo:

• Cifrado de comunicaciones mediante TLS/SSL (HTTPS).
• Cifrado en reposo de la base de datos y almacenamiento de objetos (Supabase).
• Políticas de control de acceso basadas en roles (RLS) en la base de datos.
• Autenticación multifactor disponible para cuentas sensibles.
• Rate limiting (Upstash Redis) para prevenir abusos y ataques de fuerza bruta.
• Auditorías periódicas de seguridad y revisión de políticas de acceso.

En caso de producirse una brecha de seguridad que afecte a los datos personales de los Usuarios, el Titular se compromete a notificarlo a la Agencia Española de Protección de Datos (AEPD) en el plazo de 72 horas, y a los Usuarios afectados cuando el riesgo para sus derechos y libertades sea alto.

8. Derechos de los usuarios

De acuerdo con el RGPD y la LOPDGDD, el Usuario puede ejercer los siguientes derechos contactando con el Titular a través de soporte@didacly.es, acreditando debidamente su identidad:

• Derecho de acceso: conocer qué datos personales se están tratando y obtener copia.
• Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión ("derecho al olvido"): solicitar la eliminación de los datos cuando ya no sean necesarios para las finalidades para las que fueron recogidos.
• Derecho de oposición: oponerse al tratamiento basado en el interés legítimo o en el consentimiento.
• Derecho de limitación del tratamiento: solicitar la limitación del tratamiento en determinadas circunstancias.
• Derecho de portabilidad: recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Derecho a no ser objeto de decisiones automatizadas: Didacly no toma decisiones automatizadas que produzcan efectos jurídicos significativos sobre los Usuarios.

El ejercicio de estos derechos es gratuito. Si consideras que el tratamiento de tus datos vulnera la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

9. Cláusula específica sobre datos de alumnado y menores

Dado que Didacly puede utilizarse para introducir datos de alumnado menor de edad, se establecen las siguientes salvaguardas adicionales:

• Minimización: solo se recogerán los datos estrictamente necesarios para la finalidad educativa concreta.
• Anonimización recomendada: se recomienda utilizar códigos, iniciales o seudónimos en lugar de nombres completos siempre que sea posible.
• Control de acceso: cada docente solo puede acceder a los datos del alumnado de sus propias clases, salvo que el centro haya configurado permisos específicos de coordinación o dirección.
• Consentimiento del representante legal: el centro o docente debe garantizar que existe el consentimiento informado de los padres/madres/tutores legales, o que el tratamiento se fundamente en otra base legal aplicable (obligación legal o interés público en el ámbito educativo).
• Eliminación periódica: se recomienda eliminar los datos del alumnado al finalizar el curso académico o cuando el alumno deje de estar matriculado en la clase, salvo que el centro deba conservarlos por obligación legal.

10. Cláusula específica sobre uso de inteligencia artificial

• Los datos enviados a la API de Gemini se utilizan únicamente para generar la respuesta solicitada por el Usuario.
• Didacly no utiliza los datos de los Usuarios para entrenar o mejorar los modelos de IA de Google.
• Los outputs de IA se almacenan en la cuenta del Usuario para su posterior consulta y edición.
• El Usuario es el único responsable de revisar y validar la exactitud, adecuación pedagógica y cumplimiento normativo de los contenidos generados antes de su uso.

11. Cláusula específica sobre la conexión con Google (Calendar y Classroom)

11.1 Qué permisos se solicitan y para qué

• Identificación básica (openid, email, profile): saber con qué cuenta de Google has vinculado, para mostrártela en Ajustes y evitar que se mezclen dos cuentas.
• Eventos de calendario(calendar.events): crear, actualizar y eliminar en tu calendario principal los eventos que tú creas en Didacly. Si lo pides expresamente con «Traer los de Google», también leer los eventos de ese calendario para copiarlos a Didacly como eventos personales.
• Cursos de Classroom, sólo lectura(classroom.courses.readonly): leer la lista de cursos en los que figuras como docente, para que puedas elegir cuál importar.
• Alumnado de Classroom, sólo lectura(classroom.rosters.readonly): leer el nombre y los apellidos del alumnado de un curso, únicamente en el momento en que pulsas importar y sólo del curso que selecciones.

11.2 Qué datos se almacenan

• Los tokens de acceso y de actualización que Google entrega, cifrados con AES-256-GCM. La clave de cifrado se guarda fuera de la base de datos, de modo que una copia de seguridad filtrada no permitiría descifrarlos.
• El correo electrónico y el identificador de la cuenta de Google vinculada, y los permisos concedidos.
• El identificador del evento en Google de cada evento sincronizado, para poder actualizarlo en su sitio en vez de duplicarlo.
• El identificador del curso de Classroom importado, para que reimportarlo no cree la clase por duplicado.
• Del alumnado importado, únicamente nombre y apellidos. No se importan correos, fotografías, identificadores de Google ni ningún otro dato.

11.3 Qué NO se hace

• Nunca se escribe en Google Classroom. Los permisos son de sólo lectura.
• No se leen tareas, calificaciones, entregas, comentarios ni materiales de Classroom.
• No se accede a Gmail, Drive, Contactos ni a ningún otro servicio de Google.
• Los datos obtenidos de Google no se venden, no se ceden a terceros con fines comerciales y no se usan para publicidad ni para elaborar perfiles.
• No se utilizan para entrenar ni mejorar modelos de inteligencia artificial. Los nombres del alumnado importado reciben el mismo trato que el resto del alumnado de la Plataforma: se pseudonimizan antes de enviarse a cualquier modelo de IA (ver cláusulas 9 y 10).

11.4 Conservación y revocación

• Los tokens se conservan mientras la conexión esté activa. Al pulsar Desvincular en Ajustes se eliminan de forma inmediata y Didacly deja de poder acceder a tu cuenta de Google.
• También puedes retirar el acceso desde tu propia cuenta de Google, en myaccount.google.com/permissions. El efecto es el mismo.
• Al eliminar tu cuenta de Didacly se eliminan igualmente los tokens y los datos de la conexión.
• Los eventos que Didacly ya haya creado en tu Google Calendar siguen siendo tuyos y permanecen en tu calendario tras desvincular. Si quieres borrarlos, hazlo desde Google Calendar. Mientras la conexión esté activa, un evento que borres en Didacly se borra también en Google.
• El alumnado importado desde Classroom pasa a formar parte de tu clase en Didacly y se rige por la cláusula 9; borrarlo en Classroom no lo borra en Didacly.

11.5 Uso limitado de los datos de las API de Google

El uso y la transferencia por parte de Didacly de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).

12. Cláusula específica para beta testers

Durante la fase beta, los datos recogidos se utilizan para: (i) garantizar el funcionamiento técnico de la Plataforma; (ii) detectar errores y vulnerabilidades; (iii) recopilar feedback cualitativo y cuantitativo; y (iv) priorizar el desarrollo de funcionalidades.

Los beta testers podrán solicitar la eliminación completa de su cuenta y datos asociados en cualquier momento. Los datos agregados y anonimizados para fines estadísticos podrán conservarse una vez finalizada la fase beta.

13. Modificaciones de la política de privacidad

El Titular se reserva el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas o cambios en los tratamientos de datos. Cualquier modificación será notificada a través del correo electrónico registrado o mediante un aviso destacado en la Plataforma con al menos 15 días de antelación a su entrada en vigor.