Quién trata datos por cuenta nuestra.
Class2Class contrata a un conjunto reducido de proveedores de confianza para prestar partes de la plataforma: la base de datos, el servicio de correo, el chatbot de atención, las funciones de IA. Todos están en esta lista, con su ubicación, su mecanismo de transferencia y las garantías contractuales que hemos establecido.
Acuerdos firmados
Cada subencargado del tratamiento ha firmado un contrato por escrito con Class2Class que le impone las mismas obligaciones de protección de datos que nosotros aceptamos frente a ti, conforme al art. 28(2) a (4) del RGPD.
UE primero
El backend, el almacén de datos, el alojamiento del frontend de IA, el ETL y el correo funcionan todos en la UE. Las transferencias a Estados Unidos usan cláusulas contractuales tipo, el Marco de Privacidad de Datos UE-EE. UU. cuando resulta aplicable, y un Transfer Impact Assessment (evaluación de impacto de la transferencia).
Sin entrenamiento de IA
Cada subencargado del tratamiento de IA (Chatbase, OpenAI, Google Gemini, Anthropic) tiene prohibido por contrato usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros.
Aviso de 30 días
Los centros socios reciben aviso de cualquier incorporación, sustitución o cambio material con al menos 30 días naturales de antelación, y disponen de una ventana de 15 días para oponerse por motivos razonables.
Diecisiete subencargados del tratamiento, organizados por lo que hacen.
Haz clic en cualquier proveedor para abrir directamente su documentación de privacidad o su acuerdo de tratamiento de datos.
Xano
Solo autenticación heredada. Xano ya no sirve datos de la plataforma. Se accede a él en dos casos concretos durante la migración a Supabase: verificar la contraseña de una cuenta importada que todavía no se ha convertido, y resolver una sesión heredada. Ambas vías están en retirada.
Vercel
Infraestructura de alojamiento y entorno de ejecución perimetral para la plataforma Class2Class, y la AI Gateway que encamina nuestras funciones de IA hacia sus proveedores de modelos.
Supabase
Base de datos de la plataforma, autenticación, almacenamiento de archivos y servicios en tiempo real. A medida que la plataforma migra desde Xano, aquí es donde residen los datos de cuenta, de proyecto y de mensajes.
CookieYes
Plataforma de gestión del consentimiento: almacena y respeta tus decisiones de consentimiento de cookies en todo el sitio. La propia cookie de consentimiento es estrictamente necesaria.
Sentry
Monitorización de errores y rendimiento: captura informes de excepciones y caídas para que podamos mantener la plataforma estable. Alojado en la región de la UE de Sentry (Fráncfort). Por defecto no se envían datos personales y el resto de los datos del evento se depuran antes del envío; los eventos se canalizan a través de un proxy propio en nuestro dominio. La conservación es la predeterminada del plan Developer de Sentry, unos 30 días.
Chatbase
Chatbot de atención al cliente con IA. Sistema AI-01 de nuestro inventario de IA.
OpenAI
API de LLM a la que se accede a través de la AI Gateway de Vercel como proveedor alternativo para la generación de texto del Project Creation Assistant cuando el modelo por defecto no está disponible. Solo para docentes. Sistema AI-02.
Google (API de Gemini)
Generación de imágenes para portadas de proyecto (Gemini 2.5 Flash, «Nano Banana»), y proveedor de texto alternativo al que se accede a través de la AI Gateway de Vercel. Solo por invocación del docente. Sistemas AI-04 y AI-02.
Anthropic (Claude)
Modelo por defecto para las funciones de texto del Project Creation Assistant (Claude Haiku), al que se accede a través de la AI Gateway de Vercel, solo para docentes. También es el asistente que el equipo de Class2Class usa para consultar el almacén de datos. Sistemas AI-02 y AI-05.
PostHog
Analítica de uso del producto dentro de la plataforma, sucesora de Mixpanel. Sujeta a consentimiento; la repetición de sesión y la captura de excepciones están desactivadas.
Stape
Proxy de etiquetado del lado del servidor y de primera parte, que reenvía eventos de analítica desde un subdominio de Class2Class, manteniendo el etiquetado de primera parte y sujeto a consentimiento.
Mixpanel
Analítica de producto, en retirada. Ya no coloca cookies en la plataforma; los datos históricos se conservan solo en el almacén de datos y están cubiertos por el calendario de conservación de la Política de Privacidad.
Google Analytics
Analítica web del sitio de marketing. Anonimización de IP activada.
Google Cloud — BigQuery
Almacén de datos centralizado para datos de producto, marketing y uso de la plataforma. Solo analítica interna.
Airbyte
Plataforma ETL: mueve datos de Mixpanel, Google Analytics, Search Console, Meta Ads y Xano hacia BigQuery.
Brevo
Correo transaccional y de marketing: correos de restablecimiento de contraseña, anuncios de programas, boletines con consentimiento previo.
Meta
Píxel de marketing y publicidad, solo con consentimiento, nunca se activa sin consentimiento explícito de cookies.
Los 17 subencargados del tratamiento en un solo lugar.
Para centros socios, autoridades y auditores que quieren la vista completa en una sola tabla.
| # | Subencargado del tratamiento | Servicio | Ubicación | Mecanismo de transferencia | Referencia |
|---|---|---|---|---|---|
| 1 | Xano (Xano, Inc.) | Solo cola de autenticación heredada: verificación de contraseña de cuentas importadas sin convertir, y resolución de sesiones heredadas | Unión Europea | No aplicable — almacenamiento en la UE | Aviso de privacidad |
| 2 | Brevo (Sendinblue SAS) | Correo transaccional y de marketing | Unión Europea | No aplicable — almacenamiento en la UE | Política de privacidad |
| 3 | Mixpanel (Mixpanel, Inc.) | Analítica de producto, en retirada; sustituida por PostHog (solo datos históricos) | Estados Unidos | CCT + TIA | Acuerdo |
| 4 | Google Analytics (Google LLC) | Analítica web | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA + anonimización de IP | Privacidad |
| 5 | Meta (Meta Platforms, Inc.) | Píxel de marketing, publicidad (con consentimiento) | Estados Unidos | CCT + TIA | Acuerdo |
| 6 | Chatbase (Chatbase, Inc.) | Chatbot de atención al cliente con IA (sistema AI-01) | Estados Unidos | CCT + TIA + prohibición contractual de entrenamiento de IA | Privacidad |
| 7 | OpenAI (OpenAI, L.L.C.) | Proveedor de LLM alternativo para la generación de texto del asistente de creación de proyectos, vía la AI Gateway; solo para docentes (sistema AI-02) | Estados Unidos | CCT + TIA · API estándar: sin entrenamiento por defecto · conservación de 30 días para vigilancia de abusos | Privacidad y acuerdo |
| 8 | Google — API de Gemini (Google LLC) | Generación de imágenes para portadas de proyecto (sistema AI-04); proveedor de texto alternativo vía la AI Gateway (sistema AI-02); solo para docentes | Estados Unidos | DPF UE-EE. UU. (Google LLC) + CCT como alternativa + TIA + prohibición contractual de entrenamiento de IA | Acuerdo |
| 9 | Vercel (Vercel, Inc.) | Alojamiento y entorno de ejecución perimetral de la plataforma; AI Gateway que encamina las funciones de IA hacia los proveedores de modelos | Unión Europea | No aplicable — regiones de la UE configuradas | Acuerdo |
| 10 | Google Cloud — BigQuery (Google LLC) | Almacén de datos para analítica de producto, marketing y uso de la plataforma; solo personal interno | Unión Europea | Regiones de la UE configuradas · DPF (Google LLC) para cualquier tratamiento en el plano de control | Resumen del RGPD |
| 11 | Airbyte (Airbyte, Inc.) | Plataforma ETL: mueve datos hacia BigQuery de forma programada | Región de la UE | CCT + TIA si se produce alguna transferencia a Estados Unidos; en caso contrario, residencia en la UE | Protección de datos |
| 12 | Anthropic (Anthropic PBC — Claude) | LLM por defecto para la generación de texto del asistente de creación de proyectos vía la AI Gateway, solo para docentes (sistema AI-02); asistente del almacén de datos para el equipo (sistema AI-05) | Estados Unidos | CCT + TIA + Términos Comerciales de Anthropic con prohibición de entrenamiento de IA | Información legal |
| 13 | PostHog (PostHog, Inc.) | Analítica de uso del producto dentro de la plataforma (sucesora de Mixpanel); sujeta a consentimiento, repetición de sesión desactivada | Unión Europea (EU Cloud, Fráncfort) | No aplicable — EU Cloud configurada; CCT como alternativa para cualquier acceso al plano de control desde Estados Unidos; prohibición contractual de entrenamiento de IA | Acuerdo |
| 14 | CookieYes (Synconize Solutions Pvt. Ltd.) | Plataforma de gestión del consentimiento: almacena y respeta las decisiones de consentimiento de cookies | India | CCT + TIA | Acuerdo |
| 15 | Stape (Stape OÜ) | Proxy de etiquetado del lado del servidor y de primera parte: reenvía eventos de analítica | Unión Europea (Estonia) | No aplicable — almacenamiento en la UE | Condiciones |
| 16 | Sentry (Functional Software, Inc.) | Monitorización de errores y rendimiento: sin datos personales por defecto y con depuración de los datos del evento; conservación ≈ 30 días (predeterminada del plan Developer) | Unión Europea (región de la UE, Fráncfort) | No aplicable — región de la UE configurada; CCT como alternativa para cualquier acceso al plano de control desde Estados Unidos | Acuerdo |
| 17 | Supabase (Supabase, Inc.) | Base de datos de la plataforma, autenticación, almacenamiento de archivos y servicios en tiempo real | Unión Europea | No aplicable — región de la UE (eu-west-1) | Acuerdo |
Qué significa «subencargado del tratamiento» en lenguaje claro
Un subencargado del tratamiento es un servicio de un tercero que usamos para prestar alguna parte de la plataforma Class2Class: por ejemplo, la base de datos que almacena tu cuenta, el servicio de correo que te envía un enlace para restablecer la contraseña, o la herramienta de analítica que nos ayuda a entender qué funciones usa realmente el profesorado. Cada subencargado del tratamiento de esta lista:
- Ha firmado un contrato por escrito con Class2Class que le exige proteger tus datos con el mismo estándar que aplicamos nosotros
- Está en esta lista porque desempeña una función concreta que no podemos desempeñar nosotros a nuestra escala
- Se revisa antes de la contratación y al menos una vez al año a partir de entonces
No vendemos tus datos personales a nadie, y ningún subencargado del tratamiento de esta lista usa datos de Class2Class para entrenar modelos de IA, ni propios ni de terceros.
Transferencias internacionales y Transfer Impact Assessments
Cuando un subencargado del tratamiento está establecido fuera del Espacio Económico Europeo (EEE), nos apoyamos en un mecanismo de transferencia válido del capítulo V del RGPD. Los mecanismos que usamos, en orden de preferencia:
- Marco de Privacidad de Datos UE-EE. UU. (DPF) , para los subencargados del tratamiento certificados en el DPF, la Decisión de Adecuación (UE) 2023/1795 de la Comisión Europea, de 10 de julio de 2023, proporciona una base de adecuación para las transferencias a Estados Unidos. Google LLC (que cubre Google Analytics, Google Cloud / BigQuery y la API de Gemini de Google) está certificada en el DPF.
- Cláusulas contractuales tipo (CCT) , se usan como mecanismo principal para los subencargados del tratamiento estadounidenses no certificados en el DPF (Mixpanel, Meta, Chatbase, OpenAI, Anthropic) y para CookieYes (India), y como alternativa para los certificados en el DPF y para el acceso incidental al plano de control de proveedores alojados en la UE (por ejemplo, PostHog y Sentry).
- Transfer Impact Assessment (TIA) , complementaria en todos los casos, de acuerdo con la sentencia Schrems II y las Recomendaciones 01/2020 del CEPD. La TIA se mantiene internamente y se facilita a los centros socios cuando lo solicitan de forma razonable.
Subencargados del tratamiento de IA: garantías adicionales
Class2Class usa funciones de IA conforme al principio «Tú decides. La IA ayuda.» , el profesorado y el equipo siguen siendo quienes deciden, la IA es solo asistencia. Cuando un subencargado del tratamiento de IA trata datos personales por cuenta nuestra:
- El contrato prohíbe al subencargado del tratamiento usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros
- El sistema de IA se clasifica como no de alto riesgo (o de riesgo limitado en los sistemas que interactúan directamente con personas usuarias) conforme al Reglamento de IA de la UE, y está documentado en nuestro inventario de sistemas de IA y en la evaluación del artículo 6(3)
- Cuando un sistema interactúa directamente con una persona física, se identifica como IA antes de que empiece la conversación, conforme al artículo 50 del Reglamento de IA de la UE
Los subencargados del tratamiento de IA actuales de esta lista son Chatbase (riesgo limitado, atención al cliente, sistema AI-01), OpenAI (API de LLM, solo para docentes, no de alto riesgo conforme al art. 6(3)(b), sistema AI-02), Google (Gemini) (generación de imágenes, solo para docentes, no de alto riesgo conforme al art. 6(3)(b), sistema AI-04), y Anthropic (Claude) (analítica interna, solo para el equipo, sin aplicabilidad del anexo III, sin obligación del artículo 50, sistema AI-05).
Vercel, Google Cloud (BigQuery) y Airbyte no son subencargados del tratamiento de IA: Vercel es infraestructura de alojamiento, BigQuery es un almacén de datos y Airbyte es una plataforma ETL. Ninguno de ellos entrena modelos de IA con datos de Class2Class.
Preguntas que hacen los centros socios y las autoridades.
¿Por qué algunos subencargados del tratamiento están establecidos en Estados Unidos?
Algunos servicios especializados de los que dependemos (API de LLM, ciertas herramientas de analítica, el chatbot de atención) no están disponibles con operación exclusivamente en la UE a nuestra escala. Cuando transferimos a Estados Unidos, nos apoyamos en el Marco de Privacidad de Datos UE-EE. UU. (cuando el proveedor está certificado en el DPF), en cláusulas contractuales tipo y en un Transfer Impact Assessment complementado conforme a Schrems II y a las Recomendaciones 01/2020 del CEPD.
La TIA se mantiene internamente y se comparte con los centros socios cuando lo solicitan de forma razonable.
¿Cómo me avisaréis cuando esta lista cambie?
Los centros socios reciben aviso con al menos 30 días naturales de antelación a través del contacto registrado en su acuerdo de tratamiento de datos firmado. Los centros pueden oponerse a un cambio propuesto por motivos razonables de protección de datos en un plazo de 15 días naturales.
Las personas usuarias individuales (docentes, familias) que quieran recibir aviso de cambios materiales pueden escribir a dpo@class2class.org y las añadiremos a la lista de avisos.
¿Alguno de estos subencargados del tratamiento entrena modelos de IA con nuestros datos?
No. Los cuatro subencargados del tratamiento de IA que usamos (Chatbase, OpenAI, Google Gemini y Anthropic) tienen prohibido por contrato usar datos de Class2Class para entrenar cualquier modelo de IA, propio o de terceros.
En el caso concreto de OpenAI, usamos la API estándar, que no entrena por defecto; OpenAI conserva los datos de solicitud y respuesta de la API durante 30 días para vigilancia de abusos (como encargado del tratamiento, con finalidad de seguridad) y después los elimina. El apéndice D.6 de nuestro acuerdo de tratamiento de datos tiene el detalle contractual.
¿Dónde se almacenan realmente los datos del estudiantado de mi centro?
La ubicación principal de los datos de cuenta, el contenido de proyectos y los mensajes de la plataforma es Supabase en la UE (región eu-west-1). Xano todavía conserva datos de autenticación heredada en la UE hasta que se retiren sus vías de autenticación restantes. Algunos datos operativos y de analítica circulan por subencargados del tratamiento establecidos en Estados Unidos, con las garantías descritas más arriba.
Para los centros en los que las transferencias a Estados Unidos no sean aceptables para ningún tipo de dato, escribid a dpo@class2class.org y podemos hablar de qué flujos de datos se pueden desactivar (analítica, píxel de marketing) manteniendo la plataforma funcional en lo esencial.
¿Puedo obtener una copia del Transfer Impact Assessment?
Sí, los centros socios pueden solicitar una copia de la TIA vigente en dpo@class2class.org. Se revisa anualmente y ante cada cambio en la ubicación de datos o en las condiciones contractuales de un subencargado del tratamiento.
¿Cómo me opongo a un cambio de subencargado del tratamiento?
Los centros socios disponen de 15 días naturales desde el aviso para oponerse por motivos razonables de protección de datos. Escribid a dpo@class2class.org con el fundamento de vuestra oposición y trabajaremos con vosotros en una salida: pueden ser garantías contractuales adicionales, un subencargado del tratamiento alternativo o, en casos excepcionales, la terminación de la relación.
¿Tienes una pregunta sobre subencargados del tratamiento?
Ya sea que seas un centro socio haciendo diligencia debida, una autoridad realizando una auditoría, o un docente que quiere entender quién gestiona sus datos, estaremos encantados de responder. Escribe directamente a nuestro delegado de protección de datos.
- Delegado de protección de datosGiancarlo Mena — dpo@class2class.org
- Centros sociosVuestro gestor de cuenta designado, o dpo@class2class.org
- Preocupación generalsupport@class2class.org
- Preocupación sobre el director ejecutivoRevisor Independiente — class2class.org@gmail.com
- Presentar una reclamaciónDatatilsynet — dt@datatilsynet.dk
¿Buscas el acuerdo de tratamiento de datos completo?
Si vuestro centro se está preparando para incorporarse a Class2Class, escribid a nuestro delegado de protección de datos a dpo@class2class.org para obtener la plantilla vigente del acuerdo. Cubre en el apéndice C a todos los subencargados del tratamiento de esta lista, con cláusulas contractuales tipo, mecanismos de transferencia, plazos de notificación de violaciones y medidas técnicas y organizativas específicas de IA.
Escribir al delegado de protección de datos