1. Responsable del tratamiento
El responsable del tratamiento de datos en este sitio web y dentro de la infraestructura de OhayoSchool es:
OhayoEducation GmbH i. G., c/o Heidelberg Intelligence Holding GmbH i. G., Dietmar-Hopp-Allee 23, 69190 Walldorf, Alemania
Representada por: Nicolas Richter
Correo electrónico: info@ohayoschool.com
2. Contacto en materia de protección de datos
Para todas las cuestiones sobre protección de datos y para ejercer sus derechos como interesado, puede contactar con nosotros en datenschutz@ohayoschool.com.
En cuanto se haya designado un delegado de protección de datos, sus datos de contacto se añadirán aquí.
3. Qué datos tratamos
3.1 Datos del alumnado
- Nombre y apellidos, clase, fecha de nacimiento
- Resultados de evaluaciones cognitivas (seudonimizados, solo con consentimiento)
- Datos de progreso de aprendizaje de las aplicaciones de práctica (tipo de tarea, resultado, tiempo empleado)
- Datos de asistencia y ausencias (registro de clase)
3.2 Datos del profesorado
- Nombre y apellidos, dirección de correo electrónico
- Cualificaciones, carga lectiva, disponibilidad
- Contenidos de las clases y datos de planificación
3.3 Datos de las familias
- Nombre y apellidos, dirección de correo electrónico, número de teléfono
- Historial de comunicación a través del portal de familias
- Justificaciones de ausencia y justificantes de ausencia
3.4 Datos técnicos
- Dirección IP (anonimizada a los 7 días)
- Tipo de navegador, sistema operativo
- Datos de sesión (hora de inicio de sesión, duración de la sesión)
3.5 Consultas a través del sitio web (formulario de demo)
Cuando solicita una demo a través de nuestro sitio web, tratamos los datos que nos facilita (nombre, dirección de correo electrónico, número de teléfono si procede, centro, tipo de centro, rol y su mensaje) para gestionar su consulta y ponernos en contacto con usted. La base jurídica es el art. 6, apartado 1, letra b), del RGPD (medidas precontractuales a petición suya). Los datos se almacenan en nuestro sistema de gestión de clientes y se eliminan en cuanto dejan de ser necesarios para gestionar su consulta y no existen obligaciones legales de conservación, o antes en cualquier momento a petición suya (basta con un correo electrónico a datenschutz@ohayoschool.com).
4. Bases jurídicas del tratamiento
- Art. 6, apartado 1, letra b), del RGPD (ejecución de un contrato): el tratamiento es necesario para ejecutar el contrato de uso con el centro.
- Art. 6, apartado 1, letra a), del RGPD (consentimiento): las evaluaciones cognitivas solo se realizan con el consentimiento expreso de los padres, las madres o los tutores legales.
- Art. 6, apartado 1, letra f), del RGPD (interés legítimo): los datos técnicos se tratan para mantener el servicio en funcionamiento y corregir errores.
- Art. 6, apartado 1, letra c), del RGPD (obligación legal): los datos de facturación se conservan conforme a la normativa fiscal.
5. Destinatarios de los datos
Los datos personales solo se comunican a las siguientes categorías de destinatarios:
- Proveedor de alojamiento (servidores ubicados en Alemania)
- El centro correspondiente como cliente (conforme al contrato de encargo de tratamiento)
Los datos no se comunican a terceros con fines publicitarios o de marketing. Los datos no se transfieren a terceros países fuera de la UE/EEE.
6. Conservación y eliminación
- Datos del alumnado: se eliminan al final del curso escolar, salvo que se aplique una obligación legal de conservación. Los perfiles cognitivos se eliminan de inmediato si se retira el consentimiento.
- Datos del profesorado: se eliminan al terminar la relación laboral, a más tardar 3 meses después del fin del contrato.
- Datos de las familias: se eliminan cuando el hijo o la hija deja el centro.
- Datos técnicos: las direcciones IP se anonimizan a los 7 días. Los datos de sesión se eliminan a los 90 días.
- Al finalizar el contrato: exportación completa de los datos previa solicitud. Eliminación irrevocable de todos los datos a los 90 días.
7. Sus derechos
Como interesado, usted tiene los siguientes derechos:
- Acceso (art. 15 RGPD): puede solicitar en cualquier momento información sobre los datos personales que conservamos sobre usted.
- Rectificación (art. 16 RGPD): tiene derecho a que se corrijan los datos inexactos.
- Supresión (art. 17 RGPD): puede solicitar la eliminación de sus datos, salvo que lo impidan obligaciones legales de conservación.
- Limitación (art. 18 RGPD): puede solicitar que se limite el tratamiento.
- Portabilidad de los datos (art. 20 RGPD): tiene derecho a recibir sus datos en un formato estructurado y de lectura mecánica.
- Oposición (art. 21 RGPD): puede oponerse al tratamiento de sus datos por motivos relacionados con su situación particular.
- Retirada del consentimiento (art. 7, apartado 3, RGPD): puede retirar en cualquier momento cualquier consentimiento que haya otorgado, con efecto para el futuro.
- Reclamación (art. 77 RGPD): tiene derecho a presentar una reclamación ante una autoridad de control. La autoridad competente es el Comisionado estatal de Protección de Datos y Libertad de Información de Baden-Württemberg.
8. Cookies y análisis web
En la aplicación OhayoSchool (tras iniciar sesión) solo utilizamos cookies técnicamente necesarias (una cookie de sesión para la autenticación); allí no se realiza ningún análisis web.
Realizamos el análisis del alcance y del uso de nuestro sitio web público íntegramente por nuestra cuenta, en nuestros propios servidores en Alemania. No se utiliza ningún servicio de análisis o publicidad de terceros: ni servicios de análisis web de un proveedor externo, ni rastreadores de redes sociales, ni cookies publicitarias. Los datos ni se transfieren a terceros países ni se comunican a terceros. El análisis consta de dos niveles distintos.
8.1 Estadísticas básicas anónimas (sin cookies, sin consentimiento)
Cuando visita nuestras páginas públicas, registramos eventos como visualizaciones de página, clics en botones, formularios enviados, descargas y enlaces salientes, cada uno con la ruta de la página, el referente (solo el dominio), los parámetros de campaña (utm_*), una clase aproximada de dispositivo y el origen aproximado (país, región, ciudad). También registramos el tiempo que permanece en una página y la profundidad de desplazamiento alcanzada, mediciones técnicas de la velocidad de carga y mensajes de error abreviados cuando falla un script de nuestro sitio. Esta información se genera únicamente durante la visualización de la página, en la memoria de su navegador; se utiliza para medir la calidad de las páginas y detectar fallos técnicos.
Deducimos el origen a partir de su dirección IP consultándola brevemente en una base de datos de geolocalización almacenada localmente en nuestro servidor; para ello no se consulta ningún servicio externo y solo se almacena la ubicación aproximada, nunca la dirección IP ni una posición exacta. Para ello no se almacena nada en su dispositivo ni se lee nada de él (ni cookies ni almacenamiento local); el § 25 TDDDG no se ve afectado.
Para distinguir las visitas repetidas dentro de un mismo día, generamos un hash corto a partir de su dirección IP, el agente de usuario y un valor aleatorio que cambia a diario y luego se descarta. La propia dirección IP solo se usa brevemente en memoria y nunca se almacena. Este hash corto nos permite reconstruir la secuencia de visualizaciones de página dentro de un día para comprender los recorridos habituales por nuestro sitio web. Una vez descartado cada día el valor aleatorio, el hash ya no puede atribuirse a ninguna persona ni vincularse entre días; en este nivel no existe vínculo con usted como persona ni con una consulta. Conservamos los eventos en bruto durante un máximo de 14 meses; después solo permanecen cifras diarias agregadas sin ninguna referencia personal.
La base jurídica es nuestro interés legítimo en medir y mejorar nuestra oferta (art. 6, apartado 1, letra f), del RGPD). Si su navegador envía una señal Global Privacy Control o Do Not Track, la tratamos como una oposición (art. 21, apartado 5, del RGPD) y tampoco registramos estas estadísticas básicas. Además, puede oponerse al tratamiento en cualquier momento sin formalidades (datenschutz@ohayoschool.com).
8.2 Estadísticas ampliadas con reconocimiento (solo con su consentimiento)
Solo si selecciona «Aceptar» en el banner informativo (art. 6, apartado 1, letra a), del RGPD y § 25, apartado 1, TDDDG) tratamos además:
- Reconocimiento: una cookie propia (oa_vid, identificador aleatorio, duración de 13 meses) vincula sus visitas entre sesiones; un identificador de sesión en el almacenamiento de sesión de la pestaña del navegador mantiene unida la sesión actual. Otra cookie (oa_consent) solo almacena su decisión (13 meses si consiente, 6 meses si la rechaza).
- Perfil de uso: sesiones con las páginas que ha visitado, tiempo en la página y tiempo real de lectura, profundidad de desplazamiento, qué secciones de una página ha visto y durante cuánto tiempo, y posiciones de los clics (mapas de calor). En cada clic registramos también en qué elemento ha hecho clic: su identificador técnico y su etiqueta visible. Además detectamos indicios de problemas de usabilidad (clics repetidos en el mismo lugar, clics en elementos que no responden), indicios de que tiene intención de abandonar la página, la copia de pasajes de texto (solo la longitud, nunca el contenido), el cambio a otra pestaña, y el tamaño de ventana, la resolución de pantalla y el idioma configurado de su navegador. Registramos asimismo su historial de origen y de campaña (primer y último contacto).
- Comportamiento en formularios sin contenido: registramos qué campos de formulario selecciona, cuánto tiempo permanece en ellos, cuántos campos rellena y en qué campo abandona eventualmente una entrada. El contenido de sus entradas nunca se registra ni se transmite, ni el texto ni los valores seleccionados ni parte alguna de ellos.
- Vínculo con su consulta: si nos envía el formulario de demo, vinculamos el historial recopilado con este consentimiento (incluidas las visitas anteriores al envío) a su ficha de contacto en nuestro sistema interno de ventas. Nuestro personal comercial ve entonces su actividad en el sitio web en la ficha y recibe notificaciones, por ejemplo cuando vuelve a visitar nuestra página de precios. La finalidad es preparar y personalizar su asesoramiento (art. 6, apartado 1, letra a), del RGPD, y además la letra b) cuando se está iniciando un contrato).
No se graba la sesión de su pantalla. La información de ubicación de la sección 8.1 no se utiliza en este nivel. Almacenamos eventos individuales en este nivel durante un máximo de 24 meses; después se eliminan o se agregan automáticamente.
Retirada: en cualquier momento y con efecto para el futuro en ohayoschool.com/about/legal/cookie-settings (también mediante «Configuración de cookies» en el pie de página), si lo desea incluida la eliminación inmediata de todo su historial de visitas. Tras la retirada, el registro en este nivel se detiene en el lado del servidor; la cookie se elimina.
8.3 Parámetros de campaña en las consultas por formulario
Con independencia de su consentimiento, cuando envía un formulario añadimos a su consulta los parámetros de campaña contenidos en la barra de direcciones (utm_source, utm_medium, utm_campaign) para poder atribuir su origen. La base jurídica es el inicio de un contrato (art. 6, apartado 1, letra b), del RGPD).
9. Categoría especial: evaluaciones cognitivas
Los resultados de las evaluaciones cognitivas se tratan como datos especialmente sensibles:
- Tratamiento solo con el consentimiento expreso e informado de los padres, las madres o los tutores legales
- Seudonimización a nivel de base de datos: no es posible deducir los nombres reales
- Acceso solo por parte del docente de la clase correspondiente y del propio niño o niña
- Sin comunicación a terceros
- Eliminación inmediata si se retira el consentimiento
- Los modelos de IA se entrenan con datos anonimizados y agregados, nunca con datos individuales
10. Encargo de tratamiento
Los centros utilizan OhayoSchool sobre la base de un encargo de tratamiento conforme al art. 28 del RGPD. Un contrato de encargo de tratamiento forma parte de cada contrato de uso. El centro sigue siendo el responsable del tratamiento en el sentido del RGPD; OhayoSchool es el encargado del tratamiento.
11. Medidas técnicas y organizativas
- Cifrado de todos los datos en tránsito (TLS 1.3) y en reposo (AES-256)
- Servidores ubicados exclusivamente en Alemania
- Arquitectura de microservicios: cada servicio solo tiene acceso a los datos que necesita para su función
- Auditorías de seguridad y pruebas de penetración periódicas
- Copias de seguridad cifradas automatizadas
- Control de acceso basado en roles (RBAC)
12. Cambios en esta política de privacidad
Nos reservamos el derecho de actualizar esta política de privacidad para adaptarla a cambios en la legislación o en nuestro servicio. Siempre encontrará la versión vigente en esta página. En caso de cambios sustanciales, lo notificaremos por correo electrónico a los usuarios registrados.