Política de privacidad

Titulares actuales: Mikel Martin Calleja, Julen Berbetoros Villalba, Andoni Gonzalez Aguirre, Jon Albarran Lopez de Landache

NIF de los titulares: Mikel Martin Calleja: 79125635T · Julen Berbetoros Villalba: 58032306V · Andoni Gonzalez Aguirre: 72847973G · Jon Albarran Lopez de Landache: 53981083Z

Domicilio de contacto: [PENDIENTE: domicilio de contacto], [PENDIENTE: CP] Vitoria-Gasteiz (Álava)

Contacto: contacto@acadesmart.com

Tratamos los datos conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

AcadeSmart es una plataforma que usan academias para gestionar su actividad. Por eso actuamos con dos papeles distintos:

• Como responsables tratamos los datos de contacto de las academias clientes o participantes del piloto (personas administradoras), de quienes solicitan una demo o nos escriben, y los datos necesarios para gestionar la relación precontractual o contractual.
• Como encargados del tratamiento tratamos los datos que cada academia introduce en la plataforma (alumnado —incluidos menores de edad—, familias, profesorado, asistencia, calificaciones, facturación de la academia a sus alumnos…). De esos datos la responsable es la academia, y nosotros los tratamos solo siguiendo sus instrucciones, conforme al contrato de encargo de tratamiento.

Si eres alumno/a, familiar o profesor/a de una academia que usa AcadeSmart y quieres ejercer tus derechos sobre esos datos, debes dirigirte a tu academia. Nosotros la asistiremos en lo que necesite para atenderte.

• Alta y gestión de cuentas de academias: datos identificativos, de contacto y fiscales de la academia y de su persona administradora. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Gestión contractual y, cuando proceda, facturación del servicio: datos fiscales y de contacto. Durante el piloto gratuito no se activan cobros automáticos. Base jurídica: ejecución del contrato y obligación legal cuando exista facturación (arts. 6.1.b y 6.1.c RGPD).
• Solicitudes de demo y consultas: datos de contacto facilitados en el formulario. Base jurídica: medidas precontractuales a petición del interesado (art. 6.1.b RGPD).
• Seguridad del servicio: registros técnicos (IP, agente de navegador, evidencias de consentimiento). Base jurídica: interés legítimo en la seguridad y en la prueba del consentimiento (art. 6.1.f RGPD).

Conservamos los datos mientras dure la relación contractual o el piloto. Al finalizar el piloto, los datos tratados por cuenta de la academia se exportarán, devolverán o suprimirán siguiendo sus instrucciones y el acuerdo piloto. Los datos propios de contacto y gestión se conservarán durante los plazos necesarios para atender responsabilidades legales. Los datos de solicitudes de demo se conservan como máximo 12 meses si no se convierten en cliente.

No cedemos datos a terceros salvo obligación legal. Para prestar el servicio usamos proveedores que actúan como encargados (o subencargados) del tratamiento. Durante el piloto gratuito se consideran activos los marcados como necesarios para la prueba:

• Vercel Inc. — Alojamiento y ejecución de la aplicación. Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo durante el piloto.
• Supabase, Inc. — Base de datos PostgreSQL y almacenamiento técnico asociado. Ubicación: Unión Europea para la base de datos si el proyecto se configura en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo durante el piloto.
• Resend (Plus Five Five, Inc.) — Envío de correos transaccionales (verificación, avisos y facturas). Ubicación: EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo durante el piloto.
• Stripe Payments Europe, Ltd. — Cobro de la suscripción del servicio. Ubicación: Irlanda (UE). Garantías: Tratamiento dentro de la UE. No activo por defecto durante el piloto.
• Verifacti — Envío de los registros de facturación a VeriFactu (AEAT) o TicketBAI cuando la academia activa el registro fiscal: recibe los datos fiscales de las facturas que la academia emite a su alumnado. Ubicación: España (UE). Garantías: Tratamiento dentro de la UE. Activo durante el piloto.
• Upstash, Inc. — Límites de intentos de acceso y de uso de la API (guarda de forma temporal la dirección IP y el correo con el que se intenta entrar). Ubicación: Unión Europea si la base Redis se crea en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo durante el piloto.
• Scaleway SAS — Asistente IA OMI: inferencia del modelo DeepSeek en la infraestructura europea de Scaleway (Generative APIs), si la academia activa el módulo. Ubicación: Francia (UE). Garantías: Tratamiento dentro de la Unión Europea, sin transferencia internacional: contrato de encargo del artículo 28 del RGPD con el proveedor y datos excluidos del entrenamiento de modelos según sus condiciones de servicio. Activo durante el piloto.

Subencargados activos por defecto en el piloto: Vercel Inc., Supabase, Inc., Resend (Plus Five Five, Inc.), Verifacti, Upstash, Inc., Scaleway SAS.

Cuando alguno de estos proveedores trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otro mecanismo válido del capítulo V del RGPD.

AcadeSmart incluye un asistente de IA (OMI) que cada academia decide si activa: viene desactivado de fábrica y solo puede usarlo la persona administradora de la academia. Si no se activa, ningún dato sale hacia el proveedor del modelo.

Cuando está activo, para poder responder se envían al proveedor indicado en el apartado 5 únicamente los datos necesarios para la consulta:

• Nombre y apellidos del alumnado y del profesorado.
• Grupos, horarios y contenido de las sesiones.
• Asistencia, calificaciones y deberes.
• Estado de las facturas de la academia: número, importe, fechas y nombre del cliente.
• El texto de la propia pregunta que escribe la persona administradora.

No se envían en ningún caso contraseñas, correos electrónicos, teléfonos, direcciones, fechas de nacimiento, NIF, IBAN, cuotas individuales, observaciones privadas del alumnado, mensajes entre usuarios ni identificadores internos. Esta restricción no es solo una promesa: está implementada en el propio código, que corta el envío si detecta uno de esos campos en lugar de dejarlo pasar.

Las conversaciones con el asistente se guardan en la plataforma para que la persona administradora pueda consultarlas y para poder deshacer las acciones que haya realizado a través de él.

El proveedor del modelo trata los datos fuera del Espacio Económico Europeo. La transferencia se ampara en Cláusulas Contractuales Tipo y en una evaluación de impacto de la transferencia, que ponemos a disposición de cualquier academia que la solicite. Antes de activar el módulo, la academia debe informar de este tratamiento a su alumnado y familias.

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contacto@acadesmart.com, indicando el derecho que ejerces y adjuntando un medio de verificar tu identidad. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Recuerda: si tus datos los gestiona tu academia dentro de AcadeSmart (p. ej. tus calificaciones o tu asistencia), la responsable es la academia y debes dirigirte a ella.

AcadeSmart no ofrece sus servicios directamente a menores sin intervención de la academia y, cuando proceda, de su padre, madre o tutor legal. En el formulario de alumno, si el alumno es menor de edad se exige identificar al tutor y aceptar las condiciones y autorizaciones en su nombre. La academia sigue siendo responsable de determinar la base jurídica adecuada y de informar a sus alumnos y familias.

Aplicamos medidas técnicas y organizativas apropiadas: cifrado de las comunicaciones (TLS), contraseñas almacenadas con hash robusto, control de acceso por roles, aislamiento de los datos de cada academia y registro de las aceptaciones de condiciones con fecha, IP y huella del texto aceptado.

Publicaremos aquí cualquier cambio de esta política y, si el cambio es relevante, lo comunicaremos a las academias clientes por correo electrónico con antelación razonable.