Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de Didacly es:

• Responsable: Guillermo Díaz Mesa (DIAZ MESA GUILLERMO)
• NIF: 46269773Y
• Domicilio: Calle El Alcaide, Vía G, nº 7, 14005 Córdoba
• Correo electrónico de contacto: hola@didacly.es
• Teléfono: no publicado

No se ha designado un Delegado de Protección de Datos (DPO) — su designación no es obligatoria para el tratamiento actual conforme al art. 37 RGPD, pero se valorará al pasar a explotación comercial con centros educativos.

2. Datos personales que recogemos

En Didacly recogemos y tratamos las siguientes categorías de datos personales:

2.1. Datos de docentes y usuarios registrados

• Identificación: nombre completo, dirección de correo electrónico, contraseña (hash).
• Profesionales: centro educativo, rol o puesto, comunidad autónoma, materia y etapa educativa.
• Perfil: biografía, foto de avatar, preferencias de uso y experiencia digital.
• Técnicos: dirección IP, cookies de sesión, tokens de autenticación, registros de actividad (logs).
• Financieros (si contratas suscripción): historial de transacciones, referencias de pago (gestionadas por Stripe; no almacenamos datos de tarjeta).

2.2. Datos de alumnado y menores de edad (tratamiento de alto riesgo)

Estos datos pueden incluir:

• Nombre y apellidos del alumno o alumna.
• Datos académicos: calificaciones, resultados de evaluación, rúbricas aplicadas.
• Observaciones del tutor o docente: notas de seguimiento, incidencias, sesiones de tutoría.
• Datos de asistencia y comportamiento (si el centro los registra en la Plataforma).

Base legal para el tratamiento de datos de menores: El tratamiento de datos personales de alumnado menor de edad debe fundamentarse en el cumplimiento de una obligación legal aplicable al responsable del tratamiento (art. 6.1.c RGPD) o en el consentimiento expreso del representante legal (art. 6.1.a y art. 8 RGPD), según la normativa autonómica y la política del centro educativo. El docente o centro que utilice Didacly es responsable de garantizar que dicha base legal existe antes de introducir datos de menores.

2.3. Datos de centros e instituciones educativas

• Nombre del centro, código de centro (si aplica), dirección postal y datos de contacto.
• Datos de los administradores del centro: nombre, email, rol.
• Relación de profesorado vinculado al centro y sus respectivos permisos de acceso.

2.4. Datos derivados del uso de la inteligencia artificial

• Prompts y peticiones enviadas a los modelos de IA (a través del enrutador Requesty; ver el apartado 4).
• Resultados generados (situaciones de aprendizaje, rúbricas, exámenes, fichas) almacenados en la biblioteca del Usuario.
• Metadatos de generación: fecha, tipo de documento, materia, curso, etapa.

En las peticiones a la IA el alumnado viaja pseudonimizado: identificadores del tipo A1, A2, nunca sus nombres reales.

2.5. Solicitudes de acceso a la beta (lista de espera)

Mientras la beta sea por invitación, los formularios «Solicitar acceso» y «Entrar en la beta» de la web (y el de aviso de la biblioteca pública) solo piden tu correo electrónico.

• Responsable: Guillermo Díaz Mesa, con los datos de contacto del apartado 1.
• Datos: la dirección de correo que escribes y la fecha de la solicitud. No se piden otros datos ni se usan para elaborar perfiles.
• Finalidad: guardar tu solicitud en la lista de espera y escribirte para darte acceso cuando haya plaza. No se usa para enviarte publicidad ni boletines.
• Base jurídica: tu consentimiento (art. 6.1.a RGPD), que das al enviar el formulario después de leer esta información. Puedes retirarlo en cualquier momento escribiendo a hola@didacly.es, sin que ello afecte a la licitud del tratamiento anterior.
• Destinatarios: no se ceden a terceros. El correo se guarda en la base de datos del servicio (Supabase, servidores en la Unión Europea) y, si te escribimos, el envío puede pasar por nuestro proveedor de correo; ambos actúan como encargados del tratamiento (ver el apartado 4 y la lista de subencargados).
• Conservación: mientras dure la fase beta por invitación, salvo que antes nos pidas que lo borremos. Si recibes acceso y creas tu cuenta, a partir de ese momento se aplican los plazos de los datos de cuenta (apartado 6). Al terminar la beta se suprimen los correos de la lista que no hayan pasado a ser una cuenta.
• Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad, en hola@didacly.es (apartado 8), y reclamación ante la AEPD.

3. Finalidades del tratamiento y base legal

4. Encargados del tratamiento y comunicación de datos

Para la prestación de determinados servicios, el Titular recurre a proveedores externos que actúan como encargados del tratamiento conforme al art. 28 RGPD:

• Requesty: Toda la inteligencia artificial del servicio: generación de textos (situaciones de aprendizaje, rúbricas, informes, fichas) y cálculo de embeddings para la búsqueda documental. Es un enrutador: no ejecuta el modelo, lo reenvía al operador de inferencia que nombra la petición.
• Vercel: Alojamiento y ejecución de la aplicación web.
• Sentry: Registro de los errores técnicos de la aplicación (una pantalla que no carga, una operación que falla) para poder detectarlos y corregirlos.
• Resend: Envío de correo transaccional: confirmación de cuenta, invitaciones al centro y códigos de verificación.
• Stripe: Cobro de las suscripciones y gestión de la facturación.
• Supabase: Base de datos y autenticación: almacenamiento de todos los datos del servicio.

La relación completa —empresa, datos que trata cada uno, dónde y con qué garantías— está en la lista de subencargados, actualizada el 05/10/2026.

No se cederán datos personales a terceros salvo en los casos anteriormente descritos, por obligación legal o con el consentimiento previo e inequívoco del Usuario.

5. Transferencias internacionales de datos

La mayoría de nuestros proveedores operan desde la Unión Europea o cuentan con garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea) para las transferencias internacionales. En particular:

• Requesty: A diferencia del enrutador anterior, aquí el operador no lo elige la pasarela: lo fija el identificador del modelo en cada llamada, de modo que ninguna petición puede acabar en un operador que no esté en la lista de abajo.
• Vercel: El tratamiento se realiza en la UE. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Vercel.
• Sentry: Los datos se almacenan en la UE. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Sentry.
• Resend: Cláusulas Contractuales Tipo del DPA de Resend.
• Stripe: Cláusulas Contractuales Tipo del DPA de Stripe.
• Supabase: Los datos se almacenan y procesan en Irlanda. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Supabase.

6. Conservación de los datos

Los datos personales se conservarán durante los siguientes plazos:

• Datos de cuenta: mientras el Usuario mantenga una cuenta activa. Si la cuenta se elimina, los datos se suprimirán o anonimizarán en un plazo máximo de 30 días, salvo obligación legal de conservación.
• Datos de alumnado: mientras el docente mantenga al alumno en su clase dentro de la Plataforma. Si el docente elimina la clase o su cuenta, los datos del alumnado se suprimirán en un plazo máximo de 30 días.
• Documentos generados (biblioteca): mientras el Usuario decida mantenerlos. Pueden eliminarse en cualquier momento desde la interfaz de la aplicación.
• Datos financieros: conforme a la normativa fiscal española ( Ley 58/2003, de 17 de diciembre, General Tributaria), durante el plazo de 4 años desde la fecha de la operación, salvo que la normativa aplicable exija un plazo superior.
• Solicitudes de acceso a la beta: mientras dure la fase beta por invitación o hasta que pidas su supresión; al terminar la beta se suprimen las que no hayan pasado a ser una cuenta (apartado 2.5).
• Logs y registros técnicos: entre 30 y 90 días, salvo que deban conservarse para la investigación de incidentes de seguridad.

7. Seguridad de la información

El Titular ha implementado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, incluyendo:

• Cifrado de comunicaciones mediante TLS/SSL (HTTPS).
• Cifrado en reposo de la base de datos y almacenamiento de objetos (Supabase).
• Políticas de control de acceso basadas en roles (RLS) en la base de datos.
• Autenticación multifactor disponible para cuentas sensibles.
• Límites de peticiones por usuario y por conexión para prevenir abusos y ataques de fuerza bruta.
• Auditorías periódicas de seguridad y revisión de políticas de acceso.

En caso de producirse una brecha de seguridad que afecte a los datos personales de los Usuarios, el Titular se compromete a notificarlo a la Agencia Española de Protección de Datos (AEPD) en el plazo de 72 horas, y a los Usuarios afectados cuando el riesgo para sus derechos y libertades sea alto.

8. Derechos de los usuarios

De acuerdo con el RGPD y la LOPDGDD, el Usuario puede ejercer los siguientes derechos contactando con el Titular a través de hola@didacly.es, acreditando debidamente su identidad:

• Derecho de acceso: conocer qué datos personales se están tratando y obtener copia.
• Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión ("derecho al olvido"): solicitar la eliminación de los datos cuando ya no sean necesarios para las finalidades para las que fueron recogidos.
• Derecho de oposición: oponerse al tratamiento basado en el interés legítimo o en el consentimiento.
• Derecho de limitación del tratamiento: solicitar la limitación del tratamiento en determinadas circunstancias.
• Derecho de portabilidad: recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Derecho a no ser objeto de decisiones automatizadas: Didacly no toma decisiones automatizadas que produzcan efectos jurídicos significativos sobre los Usuarios.

El ejercicio de estos derechos es gratuito. Si consideras que el tratamiento de tus datos vulnera la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (se abre en una pestaña nueva).

9. Cláusula específica sobre datos de alumnado y menores

Dado que Didacly puede utilizarse para introducir datos de alumnado menor de edad, se establecen las siguientes salvaguardas adicionales:

• Minimización: solo se recogerán los datos estrictamente necesarios para la finalidad educativa concreta.
• Anonimización recomendada: se recomienda utilizar códigos, iniciales o seudónimos en lugar de nombres completos siempre que sea posible.
• Control de acceso: cada docente solo puede acceder a los datos del alumnado de sus propias clases, salvo que el centro haya configurado permisos específicos de coordinación o dirección.
• Consentimiento del representante legal: el centro o docente debe garantizar que existe el consentimiento informado de los padres/madres/tutores legales, o que el tratamiento se fundamente en otra base legal aplicable (obligación legal o interés público en el ámbito educativo).
• Eliminación periódica: se recomienda eliminar los datos del alumnado al finalizar el curso académico o cuando el alumno deje de estar matriculado en la clase, salvo que el centro deba conservarlos por obligación legal.

10. Cláusula específica sobre uso de inteligencia artificial

• Los datos enviados a los modelos de IA se utilizan únicamente para generar la respuesta solicitada por el Usuario.
• Didacly no utiliza los datos de los Usuarios para entrenar o mejorar modelos de IA.
• Los outputs de IA se almacenan en la cuenta del Usuario para su posterior consulta y edición.
• El Usuario es el único responsable de revisar y validar la exactitud, adecuación pedagógica y cumplimiento normativo de los contenidos generados antes de su uso.

11. Cláusula específica sobre la conexión con Google (Calendar y Classroom)

11.1 Qué permisos se solicitan y para qué

• Identificación básica (openid, email, profile): saber con qué cuenta de Google has vinculado, para mostrártela en Ajustes y evitar que se mezclen dos cuentas.
• Eventos de calendario(calendar.events): crear, actualizar y eliminar en tu calendario principal los eventos que tú creas en Didacly. Si lo pides expresamente con «Traer los de Google», también leer los eventos de ese calendario para copiarlos a Didacly como eventos personales.
• Cursos de Classroom, sólo lectura(classroom.courses.readonly): leer la lista de cursos en los que figuras como docente, para que puedas elegir cuál importar.
• Alumnado de Classroom, sólo lectura(classroom.rosters.readonly): leer el nombre y los apellidos del alumnado de un curso, únicamente en el momento en que pulsas importar y sólo del curso que selecciones.

11.2 Qué datos se almacenan

• Los tokens de acceso y de actualización que Google entrega, cifrados con AES-256-GCM. La clave de cifrado se guarda fuera de la base de datos, de modo que una copia de seguridad filtrada no permitiría descifrarlos.
• El correo electrónico y el identificador de la cuenta de Google vinculada, y los permisos concedidos.
• El identificador del evento en Google de cada evento sincronizado, para poder actualizarlo en su sitio en vez de duplicarlo.
• El identificador del curso de Classroom importado, para que reimportarlo no cree la clase por duplicado.
• Del alumnado importado, únicamente nombre y apellidos. No se importan correos, fotografías, identificadores de Google ni ningún otro dato.

11.3 Qué NO se hace

• Nunca se escribe en Google Classroom. Los permisos son de sólo lectura.
• No se leen tareas, calificaciones, entregas, comentarios ni materiales de Classroom.
• No se accede a Gmail, Drive, Contactos ni a ningún otro servicio de Google.
• Los datos obtenidos de Google no se venden, no se ceden a terceros con fines comerciales y no se usan para publicidad ni para elaborar perfiles.
• No se utilizan para entrenar ni mejorar modelos de inteligencia artificial. Los nombres del alumnado importado reciben el mismo trato que el resto del alumnado de la Plataforma: se pseudonimizan antes de enviarse a cualquier modelo de IA (ver cláusulas 9 y 10).

11.4 Conservación y revocación

• Los tokens se conservan mientras la conexión esté activa. Al pulsar Desvincular en Ajustes se eliminan de forma inmediata y Didacly deja de poder acceder a tu cuenta de Google.
• También puedes retirar el acceso desde tu propia cuenta de Google, en myaccount.google.com/permissions. El efecto es el mismo.
• Al eliminar tu cuenta de Didacly se eliminan igualmente los tokens y los datos de la conexión.
• Los eventos que Didacly ya haya creado en tu Google Calendar siguen siendo tuyos y permanecen en tu calendario tras desvincular. Si quieres borrarlos, hazlo desde Google Calendar. Mientras la conexión esté activa, un evento que borres en Didacly se borra también en Google.
• El alumnado importado desde Classroom pasa a formar parte de tu clase en Didacly y se rige por la cláusula 9; borrarlo en Classroom no lo borra en Didacly.

11.5 Uso limitado de los datos de las API de Google

El uso y la transferencia por parte de Didacly de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google (se abre en una pestaña nueva), incluidos sus requisitos de Uso Limitado (Limited Use).

12. Cláusula específica para beta testers

Durante la fase beta, los datos recogidos se utilizan para: (i) garantizar el funcionamiento técnico de la Plataforma; (ii) detectar errores y vulnerabilidades; (iii) recopilar feedback cualitativo y cuantitativo; y (iv) priorizar el desarrollo de funcionalidades.

Los beta testers podrán solicitar la eliminación completa de su cuenta y datos asociados en cualquier momento. Los datos agregados y anonimizados para fines estadísticos podrán conservarse una vez finalizada la fase beta.

13. Modificaciones de la política de privacidad

El Titular se reserva el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas o cambios en los tratamientos de datos. Cualquier modificación será notificada a través del correo electrónico registrado o mediante un aviso destacado en la Plataforma con al menos 15 días de antelación a su entrada en vigor.