Política de privacidad

Responsable: Neurentic, S.L.

NIF: B05747001

Domicilio social: Calle Beethoven, 8, 3.º dcha., 01012 Vitoria-Gasteiz (Álava)

Contacto: contacto@acadesmart.com

Tratamos los datos conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

AcadeSmart es una plataforma que usan academias para gestionar su actividad. Por eso actuamos con dos papeles distintos:

• Como responsables tratamos los datos de contacto de las academias clientes (personas administradoras), de quienes nos escriben, y los datos necesarios para gestionar la relación precontractual o contractual.
• Como encargados del tratamiento tratamos los datos que cada academia introduce en la plataforma (alumnado —incluidos menores de edad—, familias, profesorado, asistencia, calificaciones, facturación de la academia a sus alumnos…). De esos datos la responsable es la academia, y nosotros los tratamos solo siguiendo sus instrucciones, conforme al contrato de encargo de tratamiento.

Si eres alumno/a, familiar o profesor/a de una academia que usa AcadeSmart y quieres ejercer tus derechos sobre esos datos, debes dirigirte a tu academia. Nosotros la asistiremos en lo que necesite para atenderte.

• Alta y gestión de cuentas de academias: datos identificativos, de contacto y fiscales de la academia y de su persona administradora. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Gestión contractual y, cuando proceda, facturación del servicio: datos fiscales y de contacto, y los del medio de pago cuando la academia contrate un plan. Base jurídica: ejecución del contrato y obligación legal cuando exista facturación (arts. 6.1.b y 6.1.c RGPD).
• Consultas: los datos de contacto y el contenido de los mensajes que nos envíes. Base jurídica: medidas precontractuales a petición del interesado (art. 6.1.b RGPD).
• Seguridad del servicio: registros técnicos (IP, agente de navegador, evidencias de consentimiento). Base jurídica: interés legítimo en la seguridad y en la prueba del consentimiento (art. 6.1.f RGPD).

Qué cookies y almacenamiento local usa la web, para qué y durante cuánto tiempo se explica en la Política de cookies.

Conservamos los datos mientras dure la relación contractual. Al terminar, los datos tratados por cuenta de la academia se exportarán, devolverán o suprimirán siguiendo sus instrucciones y el contrato de encargo de tratamiento. Los datos propios de contacto y gestión se conservarán durante los plazos necesarios para atender responsabilidades legales. Los de las consultas de quien no llega a ser cliente se conservan como máximo 12 meses.

No cedemos datos a terceros salvo obligación legal. Para prestar el servicio usamos proveedores que actúan como encargados (o subencargados) del tratamiento:

• Vercel Inc. — Alojamiento y ejecución de la aplicación. Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo.
• Supabase, Inc. — Base de datos PostgreSQL y almacenamiento técnico asociado. Ubicación: Unión Europea para la base de datos si el proyecto se configura en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo.
• Resend (Plus Five Five, Inc.) — Envío de correos transaccionales (verificación, avisos y facturas). Ubicación: EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo.
• Stripe Payments Europe, Ltd. — Cobro de la suscripción del servicio. Ubicación: Irlanda (UE). Garantías: Tratamiento dentro de la UE. No activo hoy: solo recibirá datos si se activa el servicio que presta.
• Cloudflare, Inc. — Almacenamiento de los ficheros del archivo documental (Cloudflare R2). Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea y adhesión de Cloudflare, Inc. al Data Privacy Framework UE-EE. UU.. No activo hoy: solo recibirá datos si se activa el servicio que presta.
• Verifacti — Envío de los registros de facturación a VeriFactu (AEAT) o TicketBAI cuando la academia activa el registro fiscal: recibe los datos fiscales de las facturas que la academia emite a su alumnado. Ubicación: España (UE). Garantías: Tratamiento dentro de la UE. Activo.
• Upstash, Inc. — Límites de intentos de acceso y de uso de la API (guarda de forma temporal la dirección IP y el correo con el que se intenta entrar). Ubicación: Unión Europea si la base Redis se crea en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo.
• Scaleway SAS — Asistente IA NEURI: inferencia del modelo DeepSeek en la infraestructura europea de Scaleway (Generative APIs), si la academia activa el módulo, y para responder a las preguntas que la dirección de una academia nueva le haga sobre las funciones en la pantalla de bienvenida. Ubicación: Francia (UE). Garantías: Tratamiento dentro de la Unión Europea, sin transferencia internacional: contrato de encargo del artículo 28 del RGPD con el proveedor y datos excluidos del entrenamiento de modelos según sus condiciones de servicio. Activo.
• Google Ireland Limited — Entrega de los avisos al móvil (Firebase Cloud Messaging): recibe el identificador del aparato y el título y el texto del aviso. Ubicación: Irlanda (UE) con tratamiento por Google LLC en EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea incorporadas al contrato de Firebase, más la adhesión de Google LLC al Data Privacy Framework UE-EE. UU. (decisión de adecuación de 10 de julio de 2023); se minimiza además lo transmitido: un titular sin el contenido del mensaje y un identificador técnico del aparato. Activo.

Proveedores que reciben datos hoy: Vercel Inc., Supabase, Inc., Resend (Plus Five Five, Inc.), Verifacti, Upstash, Inc., Scaleway SAS, Google Ireland Limited.

Cuando alguno de estos proveedores trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otro mecanismo válido del capítulo V del RGPD.

AcadeSmart incluye un asistente de IA (NEURI) que cada academia decide si activa: viene desactivado de fábrica y solo puede usarlo la persona administradora de la academia. Si no se activa, ningún dato sale hacia el proveedor del modelo.

Cuando está activo, para poder responder se envían al proveedor indicado en el apartado 5 únicamente los datos necesarios para la consulta:

• Nombre y apellidos del alumnado y del profesorado.
• Grupos, horarios y contenido de las sesiones.
• Asistencia, calificaciones y deberes.
• Estado de las facturas de la academia: número, importe, fechas y nombre del cliente.
• El texto de la propia pregunta que escribe la persona administradora.

No se envían en ningún caso contraseñas, correos electrónicos, teléfonos, direcciones, fechas de nacimiento, NIF, IBAN, cuotas individuales, observaciones privadas del alumnado, mensajes entre usuarios ni identificadores internos. Esta restricción no es solo una promesa: está implementada en el propio código, que corta el envío si detecta uno de esos campos en lugar de dejarlo pasar.

Las conversaciones con el asistente se guardan en la plataforma para que la persona administradora pueda consultarlas y para poder deshacer las acciones que haya realizado a través de él.

La inferencia del modelo se ejecuta en la infraestructura europea de Scaleway SAS, en Francia, tal y como figura en la lista del apartado 5: los datos no salen del Espacio Económico Europeo y no hay ninguna transferencia internacional que amparar. El proveedor los trata como encargado, con un contrato del artículo 28 del RGPD, y sus condiciones de servicio excluyen estos datos del entrenamiento de modelos. Antes de activar el módulo, la academia debe informar de este tratamiento a su alumnado y familias.

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contacto@acadesmart.com, indicando el derecho que ejerces y adjuntando un medio de verificar tu identidad. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Recuerda: si tus datos los gestiona tu academia dentro de AcadeSmart (p. ej. tus calificaciones o tu asistencia), la responsable es la academia y debes dirigirte a ella.

AcadeSmart no ofrece sus servicios directamente a menores sin intervención de la academia y, cuando proceda, de su padre, madre o tutor legal. En el formulario de alumno, si el alumno es menor de edad se exige identificar al tutor y aceptar las condiciones y autorizaciones en su nombre. La academia sigue siendo responsable de determinar la base jurídica adecuada y de informar a sus alumnos y familias.

Aplicamos medidas técnicas y organizativas apropiadas: cifrado de las comunicaciones (TLS), contraseñas almacenadas con hash robusto, control de acceso por roles, aislamiento de los datos de cada academia y registro de las aceptaciones de condiciones con fecha, IP y huella del texto aceptado.

Publicaremos aquí cualquier cambio de esta política y, si el cambio es relevante, lo comunicaremos a las academias clientes por correo electrónico con antelación razonable.