Quién trata datos por cuenta nuestra.
Class2Class contrata a un conjunto reducido de proveedores de confianza para prestar partes de la plataforma: la base de datos, el servicio de correo, el chatbot de atención, las funciones de IA. Todos están en esta lista, con su ubicación, su mecanismo de transferencia y las garantías contractuales que hemos establecido.
Acuerdos firmados
Cada subencargado del tratamiento ha firmado un contrato por escrito con Class2Class que le impone las mismas obligaciones de protección de datos que nosotros aceptamos frente a ti, conforme al art. 28(2) a (4) del RGPD.
UE primero
El backend, el almacén de datos, el alojamiento del frontend de IA, el ETL y el correo funcionan todos en la UE. Las transferencias a Estados Unidos usan cláusulas contractuales tipo, el Marco de Privacidad de Datos UE-EE. UU. cuando resulta aplicable, y un Transfer Impact Assessment (evaluación de impacto de la transferencia).
Sin entrenamiento de IA
Cada subencargado del tratamiento de IA (Chatbase, OpenAI, Google Gemini, Anthropic) tiene prohibido por contrato usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros.
Aviso de 30 días
Los centros socios reciben aviso de cualquier incorporación, sustitución o cambio material con al menos 30 días naturales de antelación, y disponen de una ventana de 15 días para oponerse por motivos razonables.
Diecinueve subencargados del tratamiento, organizados por lo que hacen.
Haz clic en cualquier proveedor para abrir directamente su documentación de privacidad o su acuerdo de tratamiento de datos.
Xano
Solo autenticación heredada. Xano ya no sirve datos de la plataforma. Se accede a él en dos casos concretos durante la migración a Supabase: verificar la contraseña de una cuenta importada que todavía no se ha convertido, y resolver una sesión heredada. Ambas vías están en retirada.
Vercel
Infraestructura de alojamiento y entorno de ejecución perimetral para la plataforma Class2Class, y la AI Gateway que encamina nuestras funciones de IA hacia sus proveedores de modelos.
Supabase
Base de datos de la plataforma, autenticación, almacenamiento de archivos y servicios en tiempo real. A medida que la plataforma migra desde Xano, aquí es donde residen los datos de cuenta, de proyecto y de mensajes.
CookieYes
Plataforma de gestión del consentimiento: almacena y respeta tus decisiones de consentimiento de cookies en todo el sitio. La propia cookie de consentimiento es estrictamente necesaria.
Sentry
Monitorización de errores y rendimiento: captura informes de excepciones y caídas para que podamos mantener la plataforma estable. Alojado en la región de la UE de Sentry (Fráncfort). Por defecto no se envían datos personales y el resto de los datos del evento se depuran antes del envío; los eventos se canalizan a través de un proxy propio en nuestro dominio. La conservación es la predeterminada del plan Developer de Sentry, unos 30 días.
Chatbase
Chatbot de atención al cliente con IA. Sistema AI-01 de nuestro inventario de IA.
OpenAI
API de LLM a la que se accede a través de la AI Gateway de Vercel como proveedor alternativo para la generación de texto del Project Creation Assistant cuando el modelo por defecto no está disponible. Solo para docentes. Sistema AI-02.
Google (API de Gemini)
Generación de imágenes para portadas de proyecto (Gemini 2.5 Flash, «Nano Banana»), y proveedor de texto alternativo al que se accede a través de la AI Gateway de Vercel. Solo por invocación del docente. Sistemas AI-04 y AI-02.
Anthropic (Claude)
Modelo por defecto para las funciones de texto del Project Creation Assistant (Claude Haiku), al que se accede a través de la AI Gateway de Vercel, solo para docentes. También es el asistente que el equipo de Class2Class usa para consultar el almacén de datos. Sistemas AI-02 y AI-05.
PostHog
Analítica de producto alojada en la UE, en la plataforma y el sitio web. Las cookies, el almacenamiento persistente y la identificación de cuentas requieren consentimiento Estadístico. La analítica limitada sin cookies se basa en el interés legítimo de mejorar el servicio. Los mapas de calor de docentes requieren consentimiento Estadístico; los del alumnado y todas las grabaciones están desactivados.
Stape
Proxy de etiquetado del lado del servidor y de primera parte, que reenvía eventos de analítica desde un subdominio de Class2Class, manteniendo el etiquetado de primera parte y sujeto a consentimiento.
Mixpanel
Analítica de producto, en retirada. Ya no coloca cookies en la plataforma; los datos históricos se conservan solo en el almacén de datos y están cubiertos por el calendario de conservación de la Política de Privacidad.
Google Analytics
Analítica web y de la plataforma. Para docentes con sesión iniciada que aceptan cookies estadísticas, vinculada a un número de cuenta seudónimo. Nunca se carga en sesiones de estudiantes. Anonimización de IP activada.
Google Tag Manager
Gestión de etiquetas: carga las etiquetas de Google Analytics y Google Ads que cuentan con consentimiento en el sitio de marketing y en la plataforma. Nunca se carga en sesiones de estudiantes.
Google Cloud — BigQuery
Almacén de datos centralizado para datos de producto, marketing y uso de la plataforma. Solo analítica interna.
Airbyte
Plataforma ETL: mueve datos de Mixpanel, Google Analytics, Search Console, Meta Ads y Xano hacia BigQuery.
Brevo
Correo transaccional y de marketing: correos de restablecimiento de contraseña, anuncios de programas, boletines con consentimiento previo.
Meta
Píxel de marketing y publicidad, solo con consentimiento, nunca se activa sin consentimiento explícito de cookies. En el caso de los docentes que aceptaron Marketing, nuestro servidor también comunica el registro y el perfil completado a través de la API de Conversiones (correo electrónico con hash, identificadores de clic, dirección IP y agente de usuario del navegador). Nunca estudiantes.
Google Ads
Medición publicitaria para docentes que aceptaron Marketing: avisos de registro con un correo electrónico con hash y el identificador de clic del anuncio (conversiones mejoradas). Nunca estudiantes.
Los 19 subencargados del tratamiento en un solo lugar.
Para centros socios, autoridades y auditores que quieren la vista completa en una sola tabla.
| # | Subencargado del tratamiento | Servicio | Ubicación | Mecanismo de transferencia | Referencia |
|---|---|---|---|---|---|
| 1 | Xano (Xano, Inc.) | Solo cola de autenticación heredada: verificación de contraseña de cuentas importadas sin convertir, y resolución de sesiones heredadas | Unión Europea | No aplicable — almacenamiento en la UE | Aviso de privacidad |
| 2 | Brevo (Sendinblue SAS) | Correo transaccional y de marketing | Unión Europea | No aplicable — almacenamiento en la UE | Política de privacidad |
| 3 | Mixpanel (Mixpanel, Inc.) | Analítica de producto, en retirada; sustituida por PostHog (solo datos históricos) | Estados Unidos | CCT + TIA | Acuerdo |
| 4 | Google Analytics (Google LLC) | Analítica web y de la plataforma; para docentes con sesión iniciada y consentimiento de Estadísticas, vinculada a un número de cuenta seudónimo; nunca estudiantes | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA + anonimización de IP | Privacidad |
| 5 | Meta (Meta Platforms, Inc.) | Píxel de marketing, publicidad y API de Conversiones (con consentimiento); en el caso de los docentes, los eventos de servidor incluyen un correo electrónico con hash, identificadores de clic, dirección IP y agente de usuario; nunca estudiantes | Estados Unidos | CCT + TIA | Acuerdo |
| 6 | Chatbase (Chatbase, Inc.) | Chatbot de atención al cliente con IA (sistema AI-01) | Estados Unidos | CCT + TIA + prohibición contractual de entrenamiento de IA | Privacidad |
| 7 | OpenAI (OpenAI, L.L.C.) | Proveedor de LLM alternativo para la generación de texto del asistente de creación de proyectos, vía la AI Gateway; solo para docentes (sistema AI-02) | Estados Unidos | CCT + TIA · API estándar: sin entrenamiento por defecto · conservación de 30 días para vigilancia de abusos | Privacidad y acuerdo |
| 8 | Google — API de Gemini (Google LLC) | Generación de imágenes para portadas de proyecto (sistema AI-04); proveedor de texto alternativo vía la AI Gateway (sistema AI-02); solo para docentes | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA + prohibición contractual de entrenamiento de IA | Acuerdo |
| 9 | Vercel (Vercel, Inc.) | Alojamiento y entorno de ejecución perimetral de la plataforma; AI Gateway que encamina las funciones de IA hacia los proveedores de modelos | Unión Europea | No aplicable — regiones de la UE configuradas | Acuerdo |
| 10 | Google Cloud — BigQuery (Google LLC) | Almacén de datos para analítica de producto, marketing y uso de la plataforma; solo personal interno | Unión Europea | Regiones de la UE configuradas · DPF (Google LLC) para cualquier tratamiento en el plano de control | Resumen del RGPD |
| 11 | Airbyte (Airbyte, Inc.) | Plataforma ETL: mueve datos hacia BigQuery de forma programada | Región de la UE | CCT + TIA si se produce alguna transferencia a Estados Unidos; en caso contrario, residencia en la UE | Protección de datos |
| 12 | Anthropic (Anthropic PBC — Claude) | LLM por defecto para la generación de texto del asistente de creación de proyectos vía la AI Gateway, solo para docentes (sistema AI-02); asistente del almacén de datos para el equipo (sistema AI-05) | Estados Unidos | CCT + TIA + Términos Comerciales de Anthropic con prohibición de entrenamiento de IA | Información legal |
| 13 | PostHog (PostHog, Inc.) | Analítica de producto alojada en la UE, en la plataforma y el sitio web. Las cookies, el almacenamiento persistente y la identificación de cuentas requieren consentimiento Estadístico. La analítica limitada sin cookies se basa en el interés legítimo de mejorar el servicio. Los mapas de calor de docentes requieren consentimiento Estadístico; los del alumnado y todas las grabaciones están desactivados. | Unión Europea (EU Cloud, Fráncfort) | No aplicable — EU Cloud configurada; CCT como alternativa para cualquier acceso al plano de control desde Estados Unidos; prohibición contractual de entrenamiento de IA | Acuerdo |
| 14 | CookieYes (Synconize Solutions Pvt. Ltd.) | Plataforma de gestión del consentimiento: almacena y respeta las decisiones de consentimiento de cookies | India | CCT + TIA | Acuerdo |
| 15 | Stape (Stape OÜ) | Proxy de etiquetado del lado del servidor y de primera parte: reenvía eventos de analítica | Unión Europea (Estonia) | No aplicable — almacenamiento en la UE | Condiciones |
| 16 | Sentry (Functional Software, Inc.) | Monitorización de errores y rendimiento: sin datos personales por defecto y con depuración de los datos del evento; conservación ≈ 30 días (predeterminada del plan Developer) | Unión Europea (región de la UE, Fráncfort) | No aplicable — región de la UE configurada; CCT como alternativa para cualquier acceso al plano de control desde Estados Unidos | Acuerdo |
| 17 | Supabase (Supabase, Inc.) | Base de datos de la plataforma, autenticación, almacenamiento de archivos y servicios en tiempo real | Unión Europea | No aplicable — región de la UE (eu-west-1) | Acuerdo |
| 18 | Google Ads (Google LLC) | Conversiones mejoradas para la medición publicitaria, solo para docentes que aceptan Marketing: correo electrónico con hash, identificadores de clic, agente de usuario del navegador y dirección IP fuera del EEE, el Reino Unido y Suiza; nunca estudiantes | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA | Acuerdo |
| 19 | Google Tag Manager (Google LLC) | Gestión de etiquetas que carga las etiquetas de analítica y publicidad que cuentan con consentimiento en el sitio de marketing y en la plataforma; nunca se carga en sesiones de estudiantes | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA | Acuerdo |
Qué significa «subencargado del tratamiento» en lenguaje claro
Un subencargado del tratamiento es un servicio de un tercero que usamos para prestar alguna parte de la plataforma Class2Class: por ejemplo, la base de datos que almacena tu cuenta, el servicio de correo que te envía un enlace para restablecer la contraseña, o la herramienta de analítica que nos ayuda a entender qué funciones usa realmente el profesorado. Cada subencargado del tratamiento de esta lista:
- Ha firmado un contrato por escrito con Class2Class que le exige proteger tus datos con el mismo estándar que aplicamos nosotros
- Está en esta lista porque desempeña una función concreta que no podemos desempeñar nosotros a nuestra escala
- Se revisa antes de la contratación y al menos una vez al año a partir de entonces
No vendemos tus datos personales a nadie, y ningún subencargado del tratamiento de esta lista usa datos de Class2Class para entrenar modelos de IA, ni propios ni de terceros.
Transferencias internacionales y Transfer Impact Assessments
Cuando un subencargado del tratamiento está establecido fuera del Espacio Económico Europeo (EEE), nos apoyamos en un mecanismo de transferencia válido del capítulo V del RGPD. Los mecanismos que usamos, en orden de preferencia:
- Marco de Privacidad de Datos UE-EE. UU. (DPF) , para los subencargados del tratamiento certificados en el DPF, la Decisión de Adecuación (UE) 2023/1795 de la Comisión Europea, de 10 de julio de 2023, proporciona una base de adecuación para las transferencias a Estados Unidos. Google LLC (que cubre Google Analytics, Google Ads, Google Tag Manager, Google Cloud / BigQuery y la API de Gemini de Google) está certificada en el DPF.
- Cláusulas contractuales tipo (CCT) , se usan como mecanismo principal para los subencargados del tratamiento estadounidenses no certificados en el DPF (Mixpanel, Meta, Chatbase, OpenAI, Anthropic) y para CookieYes (India), y como alternativa para los certificados en el DPF y para el acceso incidental al plano de control de proveedores alojados en la UE (por ejemplo, PostHog y Sentry).
- Transfer Impact Assessment (TIA) , complementaria en todos los casos, de acuerdo con la sentencia Schrems II y las Recomendaciones 01/2020 del CEPD. La TIA se mantiene internamente y se facilita a los centros socios cuando lo solicitan de forma razonable.
Subencargados del tratamiento de IA: garantías adicionales
Class2Class usa funciones de IA conforme al principio «Tú decides. La IA ayuda.» , el profesorado y el equipo siguen siendo quienes deciden, la IA es solo asistencia. Cuando un subencargado del tratamiento de IA trata datos personales por cuenta nuestra:
- El contrato prohíbe al subencargado del tratamiento usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros
- El sistema de IA se clasifica como no de alto riesgo (o de riesgo limitado en los sistemas que interactúan directamente con personas usuarias) conforme al Reglamento de IA de la UE, y está documentado en nuestro inventario de sistemas de IA y en la evaluación del artículo 6(3)
- Cuando un sistema interactúa directamente con una persona física, se identifica como IA antes de que empiece la conversación, conforme al artículo 50 del Reglamento de IA de la UE
Los subencargados del tratamiento de IA actuales de esta lista son Chatbase (riesgo limitado, atención al cliente, sistema AI-01), OpenAI (API de LLM, solo para docentes, no de alto riesgo conforme al art. 6(3)(b), sistema AI-02), Google (Gemini) (generación de imágenes, solo para docentes, no de alto riesgo conforme al art. 6(3)(b), sistema AI-04), y Anthropic (Claude) (analítica interna, solo para el equipo, sin aplicabilidad del anexo III, sin obligación del artículo 50, sistema AI-05).
Vercel, Google Cloud (BigQuery) y Airbyte no son subencargados del tratamiento de IA: Vercel es infraestructura de alojamiento, BigQuery es un almacén de datos y Airbyte es una plataforma ETL. Ninguno de ellos entrena modelos de IA con datos de Class2Class.
Preguntas que hacen los centros socios y las autoridades.
¿Por qué algunos subencargados del tratamiento están establecidos en Estados Unidos?
Algunos servicios especializados de los que dependemos (API de LLM, ciertas herramientas de analítica, el chatbot de atención) no están disponibles con operación exclusivamente en la UE a nuestra escala. Cuando transferimos a Estados Unidos, nos apoyamos en el Marco de Privacidad de Datos UE-EE. UU. (cuando el proveedor está certificado en el DPF), en cláusulas contractuales tipo y en un Transfer Impact Assessment complementado conforme a Schrems II y a las Recomendaciones 01/2020 del CEPD.
La TIA se mantiene internamente y se comparte con los centros socios cuando lo solicitan de forma razonable.
¿Cómo me avisaréis cuando esta lista cambie?
Los centros socios reciben aviso con al menos 30 días naturales de antelación a través del contacto registrado en su acuerdo de tratamiento de datos firmado. Los centros pueden oponerse a un cambio propuesto por motivos razonables de protección de datos en un plazo de 15 días naturales.
Las personas usuarias individuales (docentes, familias) que quieran recibir aviso de cambios materiales pueden escribir a dpo@class2class.org y las añadiremos a la lista de avisos.
¿Alguno de estos subencargados del tratamiento entrena modelos de IA con nuestros datos?
No. Los cuatro subencargados del tratamiento de IA que usamos (Chatbase, OpenAI, Google Gemini y Anthropic) tienen prohibido por contrato usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros.
En el caso concreto de OpenAI, usamos la API estándar, que no entrena por defecto; OpenAI conserva los datos de solicitud y respuesta de la API durante 30 días para vigilancia de abusos (como encargado del tratamiento, con finalidad de seguridad) y después los elimina. El apéndice D.6 de nuestro acuerdo de tratamiento de datos tiene el detalle contractual.
¿Dónde se almacenan realmente los datos del estudiantado de mi centro?
La ubicación principal de los datos de cuenta, el contenido de proyectos y los mensajes de la plataforma es Supabase en la UE (región eu-west-1). Xano todavía conserva datos de autenticación heredada en la UE hasta que se retiren sus vías de autenticación restantes. Algunos datos operativos y de analítica circulan por subencargados del tratamiento establecidos en Estados Unidos, con las garantías descritas más arriba.
Para los centros en los que las transferencias a Estados Unidos no sean aceptables para ningún tipo de dato, escribid a dpo@class2class.org y podemos hablar de qué flujos de datos se pueden desactivar (analítica, píxel de marketing) manteniendo la plataforma funcional en lo esencial.
¿Puedo obtener una copia del Transfer Impact Assessment?
Sí, los centros socios pueden solicitar una copia de la TIA vigente en dpo@class2class.org. Se revisa anualmente y ante cada cambio en la ubicación de datos o en las condiciones contractuales de un subencargado del tratamiento.
¿Cómo me opongo a un cambio de subencargado del tratamiento?
Los centros socios disponen de 15 días naturales desde el aviso para oponerse por motivos razonables de protección de datos. Escribid a dpo@class2class.org con el fundamento de vuestra oposición y trabajaremos con vosotros en una salida: pueden ser garantías contractuales adicionales, un subencargado del tratamiento alternativo o, en casos excepcionales, la terminación de la relación.
¿Tienes una pregunta sobre subencargados del tratamiento?
Ya sea que seas un centro socio haciendo diligencia debida, una autoridad realizando una auditoría, o un docente que quiere entender quién gestiona sus datos, estaremos encantados de responder. Escribe directamente a nuestro delegado de protección de datos.
- Delegado de protección de datosGiancarlo Mena — dpo@class2class.org
- Centros sociosVuestro gestor de cuenta designado, o dpo@class2class.org
- Preocupación generalsupport@class2class.org
- Preocupación sobre el director ejecutivoRevisor Independiente — class2class.org@gmail.com
- Presentar una reclamaciónDatatilsynet — dt@datatilsynet.dk
Analítica de producto y mapas de calor de PostHog
Usamos PostHog EU Cloud para analizar el uso y rendimiento de la plataforma y el sitio público. Con consentimiento estadístico puede usar cookies propias y almacenamiento del navegador; la identificación con la cuenta se limita a sesiones con consentimiento. Sin ese consentimiento usamos analítica limitada sin cookies para mejorar el servicio conforme a nuestros intereses legítimos. Evaluamos necesidad, proporcionalidad y tus derechos por separado del consentimiento para almacenar o acceder a información en tu dispositivo. Puedes oponerte escribiendo a dpo@class2class.org.
En el modo sin cookies no asignamos un identificador persistente del navegador ni creamos un perfil vinculado a la cuenta. PostHog trata la dirección IP y el user-agent para calcular un hash en el servidor con una sal que cambia cada día. Es medición limitada, no publicidad, y no permite seguir al mismo visitante entre días o dispositivos. Las cookies estadísticas siguen requiriendo consentimiento. Respetamos las señales de privacidad del navegador.
Los mapas de calor de la plataforma registran coordenadas de interacción de docentes conectados con consentimiento estadístico. Excluyen estudiantes y sesiones sin conexión o sin resolver. Se enmascaran el texto y los atributos. Project Viewed y Join Project Clicked son eventos de producto con el identificador del proyecto, enviados solo a PostHog para docentes conectados con consentimiento estadístico; no se envían a plataformas publicitarias.
Las grabaciones y la repetición de sesiones permanecen desactivadas. Antes de un piloto completaremos la evaluación inicial de impacto, publicaremos la configuración aprobada y los avisos actualizados y avisaremos con 14 días a los usuarios y 30 a las escuelas asociadas. El piloto propuesto incluye solo docentes conectados con consentimiento, texto, entradas e imágenes totalmente enmascarados, contenido sensible excluido, sin captura de red ni consola, acceso restringido al equipo de producto y conservación de 30 días. Este aviso no activa ninguna grabación.
¿Buscas el acuerdo de tratamiento de datos completo?
Si vuestro centro se está preparando para incorporarse a Class2Class, escribid a nuestro delegado de protección de datos a dpo@class2class.org para obtener la plantilla vigente del acuerdo. Cubre en el apéndice C a todos los subencargados del tratamiento de esta lista, con cláusulas contractuales tipo, mecanismos de transferencia, plazos de notificación de violaciones y medidas técnicas y organizativas específicas de IA.
Escribir al delegado de protección de datos