Política de Privacidad

El prestador del servicio Beetic (en adelante, «Beetic» o el «Prestador») es Raúl Aguilar Membrado, con NIF/DNI 44528356B, y domicilio a efectos de notificaciones que se facilitará a solicitud del interesado a través de legal@beetic.es, con los siguientes canales de contacto en materia de privacidad: privacy@beetic.es y dpo@beetic.es.

A efectos del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), es esencial distinguir:

• Responsable del tratamiento: el docente usuario o la institución educativa (centro) que decide los fines y medios del tratamiento de los datos del alumnado en el marco de la actividad educativa.
• Encargado del tratamiento: Beetic, cuando trata datos personales del alumnado y de la comunidad educativa por cuenta del Responsable, de forma estricta y limitada a las instrucciones documentadas de este, conforme al artículo 28 del RGPD.

Esta Política se aplica al tratamiento de datos personales realizado a través de Beetic (panel docente, aplicaciones asociadas y comunicaciones del Servicio). Complementa los Términos y Condiciones y el Acuerdo de Encargado del Tratamiento (DPA).

Respecto de los datos de cuenta, facturación y soporte de profesores y centros (Clientes), Beetic puede actuar como Responsable del tratamiento de dichos datos de relación contractual. Respecto de los datos del alumnado introducidos o gestionados en la Plataforma con fines educativos, Beetic actúa como Encargado.

Las obligaciones detalladas de Beetic como Encargado (seguridad, confidencialidad, subencargados, asistencia, supresión o devolución de datos al finalizar la relación, etc.) se formalizan en el DPA, de conformidad con el artículo 28.3 del RGPD.

4.1. Datos de profesores, administradores y Clientes (Beetic como Responsable)

• Prestación del Servicio y cuenta de usuario: alta, autenticación, gestión de la organización y del plan. Base: ejecución del contrato (art. 6.1.b RGPD).
• Facturación y obligaciones legales: cobros, facturas y contabilidad. Base: contrato y obligación legal (arts. 6.1.b y 6.1.c RGPD).
• Soporte, seguridad y mejora del Servicio: atención a incidencias, prevención de abuso y mejora en forma agregada o seudonimizada cuando sea posible. Base: interés legítimo (art. 6.1.f RGPD), con ponderación de derechos.
• Cookies no esenciales: solo con consentimiento (art. 6.1.a RGPD). Ver Política de Cookies.

4.2. Datos del alumnado (Beetic como Encargado)

El tratamiento se realiza por cuenta del Responsable para finalidades educativas definidas por este (seguimiento del aprendizaje, calificaciones, gamificación, participación en Live Mode, etc.). La base jurídica del tratamiento frente al interesado la determina el Responsable (centro o docente legitimado), sin que Beetic la sustituya.

5.1. Usuarios docentes y de centro

• Identificación y contacto: nombre, apellidos, correo electrónico, teléfono (opcional).
• Datos de cuenta y autenticación: credenciales, proveedor de identidad (p. ej. Google o Microsoft), registros de acceso.
• Datos profesionales: centro, rol, preferencias de idioma.
• Datos de facturación y pago: razón social, NIF/CIF, dirección de facturación e historial de suscripción (el número completo de tarjeta no es almacenado por Beetic cuando el pago se procesa mediante pasarela certificada).

5.2. Alumnado

• Datos de identificación escolar habituales: nombre y apellidos u otros identificadores internos que el Responsable decida utilizar.
• Datos académicos y de uso: calificaciones, progreso, entregas, participación en actividades y métricas de gamificación asociadas a la cuenta o a la sesión.
• Como regla de minimización del Servicio, Beetic no exige ni almacena el correo electrónico del alumno para el acceso pedagógico ordinario. El acceso del alumnado se articula mediante credenciales, códigos o PIN provistos por el docente o el centro.

5.3. Datos técnicos

• Identificadores de sesión, dirección IP, tipo de dispositivo y registros técnicos necesarios para la seguridad y el funcionamiento (incluyendo conexiones en tiempo real del Live Mode).

Beetic aplica el principio de minimización (art. 5.1.c RGPD) respecto de los datos de menores:

• no se exige correo del alumno para el uso ordinario del Servicio;
• se desaconseja el uso de nombres completos o datos identificativos innecesarios en seudónimos del Live Mode;
• no se utilizan datos de alumnado para publicidad comportamental dirigida a menores ni para cesiones comerciales a terceros.

El Responsable (docente o centro) es quien debe asegurar la legitimación del tratamiento y la información a interesados o tutores legales conforme a su política institucional y a la normativa educativa y de protección de datos.

El Modo Live es una funcionalidad de interacción en tiempo real concebida como un entorno privado y cerrado de aula. El acceso a una sesión Live está estrictamente restringido al alumnado que se encuentra previamente registrado y matriculado en el curso o clase correspondiente.

• Acceso restringido y autenticado: Ninguna persona ajena al curso o que no haya sido dada de alta por el centro o el docente en dicha clase puede acceder a la sesión.
• Sincronización por PIN: El PIN o código de sala actúa como un identificador temporal de sesión para sincronizar la actividad en tiempo real entre los alumnos autenticados de ese grupo.
• Tratamiento de datos y juego: Durante la sesión se tratan únicamente los datos de participación, respuestas y puntuaciones vinculados al perfil del alumno matriculado, con la exclusiva finalidad pedagógica de la actividad.

Beetic aplica medidas técnicas y organizativas apropiadas al riesgo, entre otras: cifrado en tránsito (HTTPS/TLS), control de acceso por roles, segregación de entornos, copias de seguridad, registro de eventos de seguridad y procedimientos de gestión de incidentes.

Las contraseñas de las cuentas de usuario se almacenan mediante algoritmos de resumen criptográfico unidireccional (actualmente bcrypt), de forma que Beetic no conserva ni puede recuperar la contraseña en texto claro. El Usuario es responsable de elegir contraseñas robustas y de no compartirlas.

En caso de brecha de seguridad con riesgo para los derechos y libertades de las personas, Beetic actuará conforme a los artículos 33 y 34 del RGPD y colaborará con el Responsable cuando el incidente afecte a datos tratados por cuenta de este.

Los datos se conservan solo durante el tiempo necesario para cada finalidad y, en su caso, durante los plazos de prescripción de responsabilidades legales.

• Cuenta de Cliente y Servicio activo: mientras exista la relación contractual y la cuenta no se cancele.
• Facturación: conforme a la normativa fiscal y mercantil aplicable.
• Datos del alumnado (como Encargado): durante la vigencia del encargo y según las instrucciones del Responsable.
• Tras la baja del Usuario o la finalización del contrato: Beetic procederá a la supresión o, cuando el Responsable lo solicite y sea técnicamente viable, a la devolución de los datos personales tratados por su cuenta, sin conservar copias, salvo el bloqueo o conservación exigidos por una obligación legal o para el ejercicio o defensa de reclamaciones.
• Registros de acceso: 90 días desde cada inicio de sesión; caducan automáticamente.
• Notificaciones de la plataforma: 180 días.
• Partidas Live Mode: 12 meses (sesión, participantes y respuestas).
• Registros dados de baja (matrículas, progreso y asistencia eliminados por el docente): 12 meses de periodo de gracia para poder revertir la baja; después se eliminan definitivamente.
• Cuentas de alumnado inactivas: 3 años sin actividad y sin ninguna matrícula vigente. Un alumno matriculado nunca se ve afectado por este plazo.
• Borradores y trabajos temporales de BeeAI y códigos de vinculación familiar: caducan automáticamente a corto plazo.
• Logs de seguridad: el tiempo mínimo necesario para detectar e investigar incidentes.

Beetic no vende datos personales. Pueden acceder a los datos:

• personal autorizado de Beetic bajo obligación de confidencialidad;
• proveedores que actúan como subencargados (hosting, correo transaccional, pagos, almacenamiento de archivos, etc.), vinculados por contrato y limitados a lo necesario para el Servicio;
• administraciones públicas cuando exista obligación legal;
• personal autorizado del centro según los roles configurados por el Responsable.

Los subencargados actuales son: Render (alojamiento del servidor), MongoDB Atlas (base de datos), Vercel (alojamiento de los frontales web), Google Cloud (almacenamiento de archivos, notificaciones push y funciones de inteligencia artificial «BeeAI»), Microsoft (inicio de sesión y conectores educativos, solo si se activan), Twilio SendGrid (correo transaccional) y Stripe (pagos de suscripciones; no trata datos del alumnado). La lista nominal completa, con el servicio, las categorías de datos y la garantía aplicable a cada uno, figura en la cláusula 8.1 del Acuerdo de Encargado (DPA), que se actualiza con un preaviso mínimo de 30 días ante cualquier cambio.

Todo el almacenamiento de datos se realiza en la Unión Europea: la base de datos está alojada en Irlanda, el servidor de la plataforma en Fráncfort (Alemania) y los archivos del alumnado —materiales y trabajos entregados— en Madrid (España).

Aun así, algunos de los proveedores indicados en la sección 10 tienen su matriz en Estados Unidos y pueden acceder puntualmente a los sistemas para tareas de soporte o administración, y las funciones de inteligencia artificial y de notificaciones se prestan desde infraestructura global. En la medida en que ello suponga una transferencia fuera del Espacio Económico Europeo, se ampara en:

• la Decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), respecto de los proveedores certificados en dicho marco; y
• las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, incorporadas a los acuerdos de encargo con cada proveedor, junto con medidas suplementarias (cifrado en tránsito y en reposo, control de accesos y seudonimización del alumnado en las funciones de IA).

Puede solicitar copia de las garantías aplicables en privacy@beetic.es.

Los interesados pueden ejercer los derechos reconocidos por el RGPD y la LOPDGDD:

• Acceso, Rectificación, Supresión (cancelación), Oposición, Limitación del tratamiento y Portabilidad, cuando procedan.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos en los términos del artículo 22 del RGPD (Beetic no adopta, por sí misma, decisiones exclusivamente automatizadas de ese tipo sobre el alumnado).
• Retirar el consentimiento cuando esa sea la base jurídica, sin efectos retroactivos.

Cuando el tratamiento se realice por cuenta del centro o del docente (datos de alumnado), el canal preferente para el ejercicio de derechos es el Responsable del tratamiento. Beetic asistirá al Responsable, en la medida de lo posible, para atender las solicitudes que le sean reenviadas.

Respecto de los datos de cuenta y facturación del Usuario frente a Beetic como Responsable, puede dirigirse a privacy@beetic.es o dpo@beetic.es, acreditando su identidad.

Delegado de Protección de Datos o función de privacidad equivalente: dpo@beetic.es.

El interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es), sin perjuicio de cualquier otro recurso administrativo o judicial.

Beetic podrá actualizar esta Política para reflejar cambios legales, técnicos o del Servicio. La fecha de «Última actualización» indica la versión vigente. Cuando los cambios sean sustanciales, se informará por medios razonables (aviso en la Plataforma o correo a administradores).