Política de privacidad

El responsable de los datos de tu cuenta es el titular del servicio:

Titular

Pendiente de completar por el titular del servicio.

NIF

Pendiente de completar por el titular del servicio.

Domicilio

Pendiente de completar por el titular del servicio.

Correo electrónico

dragoadri@gmail.com

Para los datos de tu alumnado, tú o tu centro decidís para qué se usan y nosotros los tratamos por encargo.

• Tu cuenta: correo, nombre y la contraseña cifrada (nunca en claro).
• Si entras con Google: Google nos da tu nombre, tu correo y un identificador de tu cuenta de Google. Guardamos solo el correo y ese identificador, nunca tu contraseña de Google ni sus permisos.
• Si entras con Microsoft: Microsoft nos da tu nombre, tu correo y los identificadores de tu cuenta y de tu organización. Guardamos solo el correo y esos dos identificadores, nunca tu contraseña de Microsoft ni sus permisos.
• La conexión con Canvas: el permiso de tu centro o tu token personal, cifrados y solo para tu Canvas; nunca tu contraseña de Canvas. Al desconectar se borra.
• Lo que la app guarda para ti: borradores, rúbricas, asistencia, exámenes y conversaciones con el asistente.
• Tu plan, tus pagos y cuántos usos de IA gastas cada mes. Los pagos los gestiona Stripe: nosotros no vemos tu tarjeta.
• El día de tu última actividad y, si se diera el caso, el bloqueo de la cuenta.
• Registros de seguridad (entradas, cambios de contraseña), sin tu dirección IP en claro.

Antes de enviar un texto a la IA, la app cambia los nombres, los correos y los teléfonos de tu lista de Canvas por seudónimos. Un apodo o una firma que el alumno escriba dentro de su entrega no se cambian. La IA también ve las capturas de las entregas: antes, la app tapa los nombres que lee en ellas; una firma a mano, una foto o un texto muy pequeño pueden quedar sin tapar. La IA propone y tú decides: nada se publica en Canvas sin tu aprobación.

La IA es Claude, de Anthropic, en Estados Unidos, que no usa estos textos para entrenar sus modelos. Puedes apagar la IA en una asignatura con «Sin IA» y ver el texto exacto que se envió en Ajustes > Privacidad.

Los nombres y correos de tu lista de Canvas se cambian por seudónimos antes de salir. El texto de las entregas va seudonimizado a Anthropic, en Estados Unidos, y sus capturas con los nombres tapados donde la app los lee (puede escaparse alguno). Si un alumno firma con un apodo dentro del texto, eso no se cambia.

Puedes apagar la IA en una asignatura con «Sin IA», y tu centro puede pedir el contrato de encargo del tratamiento (DPA) con el plan Centro.

Texto provisional pendiente de revisión legal.

Si contratas un plan de pago, el pago lo procesa Stripe Payments Europe, Ltd. (Irlanda). Escribes los datos de tu tarjeta en la página de Stripe: nosotros nunca los vemos. De Stripe recibimos un identificador de cliente, el plan, el precio, el estado de la suscripción y sus fechas, y una huella cifrada de la tarjeta para la regla de una prueba por tarjeta.

Para cobrar, emitir las facturas y gestionar tu suscripción, Stripe trata tus datos por encargo nuestro. Para prevenir el fraude, cumplir sus propias obligaciones legales (por ejemplo, contra el blanqueo de capitales) y mantener su red de pagos, Stripe es responsable independiente, con su propia política de privacidad (stripe.com/privacy). Stripe puede llevar datos a Estados Unidos con las garantías del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo.

Con qué base: el contrato (art. 6.1.b del RGPD) para cobrarte; la obligación legal (art. 6.1.c) para facturar y conservar las facturas; el interés legítimo (art. 6.1.f) para prevenir el fraude y para guardar la prueba de que aceptaste las condiciones de contratación: la fecha, la versión de las condiciones y el plan.

Cuánto tiempo: las facturas y los datos de los cobros, 6 años (art. 30 del Código de Comercio) y, a efectos fiscales, mientras Hacienda pueda revisarlos, en general 4 años desde que acaba el plazo de declarar cada impuesto (arts. 66 y 70 de la Ley General Tributaria). Si borras la cuenta, borramos tu cliente en Stripe, pero Stripe conserva las facturas para esas obligaciones. La prueba de tu aceptación se borra con tu cuenta y sigue en el registro de actividad hasta 5 años.

Para que cada persona y cada tarjeta prueben un plan una sola vez, guardamos una huella cifrada e irreversible (HMAC) de tu correo normalizado y de la tarjeta de la prueba, sin el correo ni el número de la tarjeta. Se guarda 730 días, también si borras la cuenta, por interés legítimo en prevenir el fraude.

Texto provisional pendiente de revisión legal.

Registramos cada acción de tu cuenta que cambia algo o saca datos: la hora, la acción, los objetos tuyos a los que afecta (curso, tarea, examen), la dirección IP, el navegador y la sesión. Nunca el contenido de las entregas ni datos de tu alumnado.

Para qué: la seguridad del servicio, investigar incidentes y poder demostrar qué pasó ante una reclamación. Base: interés legítimo (art. 6.1.f del RGPD); tras la baja se conserva para la defensa ante reclamaciones (art. 17.3.e).

Cuánto: 24 meses completo; después se tachan la IP y el navegador y se guarda hasta 5 años desde su fecha. Si hay una reclamación o un requerimiento, se conserva lo de esa cuenta mientras dure.

Prevención del fraude: con ese mismo registro, sin recoger nada más, el servicio busca señales de uso raro (muchas cuentas desde la misma dirección IP, una cuenta usada desde varios países en poco tiempo, un uso de la IA, unas correcciones o unas descargas muy por encima de lo normal, intentos de entrada fallidos, altas con correos de usar y tirar o entradas de madrugada desde una red nueva) para evitar que una cuenta se comparta, se revenda o se use de forma fraudulenta. El administrador ve la actividad de cada cuenta (qué acción, sobre qué asignatura o tarea, cuántas, cuándo y desde qué IP y país), nunca el contenido de las entregas, los comentarios ni los mensajes. Una señal es un aviso que revisa una persona; ninguna bloquea la cuenta por sí sola. Base: interés legítimo en prevenir el fraude (art. 6.1.f del RGPD). Plazos: los de arriba.

Integridad: cada fila va encadenada a la anterior y cada día se ancla con una firma que recibe el titular por correo; así se detecta si alguien lo cambia. Solo lo ve el administrador del servicio, que recibe por correo las alertas de seguridad, sin datos de tu alumnado.

Tus derechos: tu registro va en la descarga de tus datos desde Tu cuenta y puedes comprobarlo tú. Puedes oponerte (art. 21), aunque en un registro de seguridad suelen prevalecer motivos legítimos imperiosos, y pedir su supresión con la excepción del art. 17.3.e.

Texto provisional pendiente de revisión legal.

En las páginas públicas (la portada, los precios, la ayuda, las páginas legales, entrar y crear cuenta) contamos las visitas sin cookies y sin guardar nada en tu navegador para medirlas (la web sí guarda en tu navegador el idioma y el tema que eliges). De cada visita guardamos el día, la hora de entrada y de salida en tramos de 10 minutos, la web de la que llegas (solo su dominio), la campaña si el enlace la trae (utm), el tipo de dispositivo, la familia del navegador y del sistema, el país si lo indica nuestro proveedor de red, y las pantallas que ves y los botones de alta que pulsas, en orden y sin horas. Nunca tu dirección IP ni el texto completo de tu navegador.

Para unir las pantallas de una misma visita usamos una clave que sale de tu IP y tu navegador mezclados con un valor secreto del día. Ese valor se borra al acabar el día: desde entonces nadie, tampoco nosotros, puede saber qué visitas eran tuyas ni seguirte de un día a otro, salvo la visita en la que creas la cuenta o entras, que queda unida a tu cuenta durante 90 días. Los robots solo se cuentan.

Si tu navegador envía la señal Global Privacy Control (GPC) o «No rastrear» (DNT), las páginas no envían nada y tu visita solo se suma a un recuento. Para qué: saber cómo llegan los docentes y mejorar las páginas. Base: interés legítimo (art. 6.1.f del RGPD). Cuánto: las visitas, 90 días; los totales por día, 25 meses.

Texto provisional pendiente de revisión legal.

Solo usamos cookies técnicas propias, necesarias para el servicio: __Host-sid mantiene tu sesión; __Host-signup protege el enlace que confirma tu correo; __Host-gstate, __Host-mstate y __Host-gfill protegen durante unos minutos la entrada con Google o Microsoft, y __Host-profesia-admin, la sesión del panel de administración (solo administradores). No usamos cookies de publicidad, de análisis ni de terceros.

Tu navegador guarda además, en su almacenamiento local, tu idioma, el tema claro u oscuro y preferencias de la interfaz, como los avisos que ya cerraste. Se queda en tu navegador.

Cloudflare, que protege la web, puede poner cookies técnicas de seguridad (como __cf_bm) para distinguir a las personas de los robots.

Todo esto es estrictamente necesario para el servicio que pides, así que la ley no exige pedirte permiso (art. 22.2 de la LSSI) y no mostramos un aviso de cookies. La medición de visitas funciona sin cookies, como se explica arriba.

Texto provisional pendiente de revisión legal.

Si creas la cuenta durante una visita medida, tu cuenta guarda la web de la que llegaste, la campaña y la primera pantalla que viste, para saber qué canales traen docentes. Nunca la clave de la visita. Se borra con tu cuenta.

Texto provisional pendiente de revisión legal.

Cuando abres tu Panel con Canvas conectado, guardamos de cada asignatura en la que eres docente o ayudante: su nombre, su código, el periodo y sus fechas, su estado en Canvas, tu papel y cuántos alumnos tiene (solo la cifra), con la primera y la última vez que la vimos. También el nombre de «Tu centro» si lo pusiste. Nunca quién es tu alumnado ni nada de lo que entrega.

Para qué: dar soporte, saber qué centros y asignaturas usan el servicio y cuidarlo. Base: interés legítimo (art. 6.1.f del RGPD). Se actualiza como mucho una vez por hora, una asignatura que no vuelve a verse se borra a los 2 años y todo se borra al momento con tu cuenta. Va en la descarga de tus datos.

El administrador del servicio ve de cada cuenta el correo, el plan, los pagos y los usos de IA; cómo entra (contraseña o Google, las últimas entradas, las sesiones abiertas, sus redes y navegadores); su centro y su Canvas, y las asignaturas que imparte con cuántos alumnos tienen. Es para dar soporte y cuidar el servicio. El panel de administración no muestra los datos de tu alumnado ni los contenidos de tus asignaturas. Cada vez que abre tus datos, y cada acción suya, queda registrada.

Para prestarte el servicio que contratas (contrato), para proteger las cuentas (interés legítimo) y para facturar (obligación legal).

Mientras tengas la cuenta. Al borrarla se borra todo al momento. Hacemos una copia de seguridad cada día, en el mismo servidor y cifrada en lo sensible: se guardan las de los últimos 14 días y una al mes durante 6 meses, así que una cuenta borrada sigue en las copias hasta que caducan; si hubiera que restaurar una, tu cuenta se vuelve a borrar. Los registros de seguridad se guardan 12 meses y las facturas, 6 años, como se explica en «Pagos con Stripe».

Puedes descargar tus datos («Exportar mis datos»), corregirlos y borrarlos («Borrar cuenta») desde Tu cuenta.

Para ejercer cualquier otro derecho (acceso, rectificación, supresión, portabilidad, oposición y limitación, arts. 15 a 22 del RGPD), escríbenos al correo de arriba. Si no te atendemos bien, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

El proveedor de IA puede tratar los textos, ya seudonimizados, fuera de la Unión Europea, con las garantías de las cláusulas contractuales tipo. La lista está en «Encargados».