Política de privacidad

1. Qué datos tratamos

• Datos mínimos de cuenta y contacto.
• Datos del representante legal y trazabilidad de los consentimientos.
• Respuestas, resultados, necesidades de apoyo y evolución competencial.
• Mensajes al tutor y respuestas abiertas.
• Datos técnicos mínimos necesarios para autenticación, seguridad y auditoría.

2. Para qué los usamos

Los datos se utilizan para activar y gestionar la cuenta; realizar diagnósticos iniciales y periódicos; seleccionar actividades; ofrecer feedback; programar repasos; permitir la intervención del tutor humano; atender solicitudes de derechos; prevenir accesos no autorizados; mantener copias de seguridad y trazabilidad; y obtener métricas agregadas del piloto.

3. Base jurídica

La base jurídica se determina según cada finalidad. En el piloto, el tratamiento directamente vinculado a la participación del menor se apoya en la autorización o consentimiento del representante legal cuando resulta aplicable; determinadas operaciones necesarias para prestar el servicio se vinculan a la relación de servicio; y las medidas estrictamente necesarias para proteger la seguridad del sistema pueden apoyarse en el interés legítimo del responsable, previa ponderación. El uso opcional del apoyo conversacional con IA se registra separadamente y la plataforma sigue siendo utilizable sin dicho apoyo.

4. Protección reforzada de menores

El piloto exige la intervención del representante legal para todos los participantes menores. Se aplica minimización desde el diseño: se solicita el año de nacimiento en lugar de la fecha completa cuando es suficiente, no se solicita domicilio del menor, no se utilizan rankings públicos y no se realizan inferencias sobre salud, personalidad, emociones o categorías sensibles.

5. Seguridad y cifrado

Los identificadores directos, datos de contacto, año de nacimiento, respuestas abiertas, mensajes, notas y determinados indicadores de rendimiento se almacenan cifrados a nivel de aplicación mediante claves separadas de la base de datos. Las contraseñas se almacenan únicamente mediante hash Argon2; no son recuperables en texto claro. La base de datos y Redis no se publican en puertos del servidor, el acceso se limita por roles, los enlaces de invitación son de un solo uso y los backups se generan cifrados. El servicio debe exponerse públicamente únicamente mediante HTTPS/TLS.

6. Seudonimización y analítica

Las relaciones internas usan identificadores técnicos en lugar de nombres. Los indicadores que necesitan ser consultables para la lógica de aprendizaje se separan de los identificadores directos. No se incorporan herramientas publicitarias, píxeles de seguimiento ni analítica comercial de terceros en el MVP.

7. Inteligencia artificial

Si el representante legal autoriza el apoyo con IA, la aplicación envía únicamente el contexto pedagógico imprescindible y evita transmitir identidad real, correo electrónico, domicilio o fecha de nacimiento completa. La IA no participa durante los diagnósticos, no adopta decisiones académicas definitivas y sus respuestas pueden ser revisadas por el tutor humano. El contenido generado para el catálogo entra siempre como borrador y no se publica automáticamente.

8. Destinatarios y encargados

Pueden intervenir proveedores de infraestructura, correo o servicios de IA cuando estén configurados por el responsable y en la medida necesaria para prestar el servicio. Deberán formalizarse las relaciones de encargo y, si existiesen transferencias internacionales, aplicar las garantías exigibles. La configuración concreta de proveedores debe documentarse en el registro interno de tratamientos antes de abrir el piloto.

9. Conservación

Los datos se conservarán mientras la cuenta participe en el piloto y durante el periodo adicional estrictamente necesario para atender obligaciones legales, incidencias o evaluación del propio piloto. Las solicitudes de supresión disponen de un flujo específico y su ejecución elimina en cascada la información personal asociada, conservando únicamente trazabilidad técnica mínima cuando exista una razón legítima para ello.

10. Derechos y reclamaciones

Los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad pueden ejercerse escribiendo a gaelika@gaelika.es o utilizando la sección “Mis datos”. Cuando el tratamiento se base en consentimiento, puede retirarse sin afectar a la licitud de lo realizado con anterioridad. También puede presentarse una reclamación ante la Agencia Española de Protección de Datos.

11. Cookies

El MVP utiliza exclusivamente cookies técnicas necesarias para sesión, autenticación y protección frente a ataques CSRF. No utiliza cookies publicitarias ni de perfilado comercial.

Última actualización: 2026-10-09. Esta política debe completarse con los datos societarios definitivos y la relación real de encargados antes de la apertura pública del piloto.