Tus datos, tratados con respeto.

Quiénes somos

Class2Class ApS («Class2Class», «nosotros», «nuestro») opera la plataforma Class2Class.org. Somos una empresa danesa. El responsable del tratamiento de los datos personales tratados en la plataforma es:

Para los datos tratados por Class2Class por cuenta de un centro socio (relación responsable-encargado del tratamiento para los datos del estudiantado al amparo de un acuerdo de tratamiento de datos firmado), el centro es el responsable del tratamiento y Class2Class es el encargado. Véase el §9.

Qué cubre esta declaración

Esta declaración cubre el tratamiento de datos personales de:

• Las plataformas web de Class2Class (bajo el dominio class2class.org) y cualquier experiencia móvil asociada, incluidas las plataformas web y móviles en subdominios.
• El área de Recursos para docentes, incluida la guía de alfabetización en materia de IA y uso responsable.
• Las comunicaciones de atención al usuario a través de support@class2class.org, dpo@class2class.org, y el chatbot de soporte de la plataforma.
• Las funciones asistidas por IA descritas en el §6.

Esta declaración no cubre los datos personales tratados por los sistemas de tu propio centro ni por sitios externos a los que enlazamos. Estos se rigen por sus propios avisos de privacidad.

Qué datos personales recogemos

Buscamos recoger solo lo que necesitamos para operar la plataforma. Las categorías siguientes son exhaustivas en la fecha de esta declaración.

3.1 Lo que aportas directamente

Class2Class no recoge intencionadamente categorías especiales de datos personales (art. 9 del RGPD): salud, religión, etnia, opiniones políticas, orientación sexual, datos genéticos, datos biométricos dirigidos a identificar de manera unívoca, afiliación sindical. Cuando esa información se comparte de forma incidental en un proyecto (por ejemplo, la reflexión de un estudiante que menciona su religión o su entorno familiar), se trata con las mismas protecciones que el resto de datos personales y el docente puede eliminarla.

Las fotos y los vídeos compartidos dentro de un proyecto son contenido educativo. No se tratan con fines de identificación biométrica, no se analizan mediante sistemas de reconocimiento facial y no se usan para identificar de manera unívoca a ninguna persona. No son datos biométricos en el sentido del art. 9 del RGPD.

3.2 Lo que recogemos de forma automática

Por qué usamos datos personales y con qué base jurídica

Cuando la base jurídica es el consentimiento, puedes retirarlo en cualquier momento. Cuando la base jurídica es el interés legítimo, puedes oponerte; véase el §11.

Plazos de conservación en detalle

Conservamos los datos personales solo el tiempo que los necesitamos. A continuación están los plazos de conservación consolidados, derivados del registro de actividades de tratamiento (RAT) y del acuerdo de tratamiento de datos con las organizaciones socias.

Cuando Class2Class es el encargado del tratamiento (para los datos del estudiantado de centros socios al amparo de un acuerdo de tratamiento de datos firmado), rige el plazo de conservación previsto en ese acuerdo. Los plazos anteriores son la conservación del lado del responsable para los datos que Class2Class controla directamente.

Funciones de IA y cómo tratan tus datos

Class2Class opera las funciones de IA bajo el principio «Tú decides. La IA ayuda.» , es decir, las personas siguen siendo quienes deciden; la IA solo asiste.

6.1 Los sistemas de IA que usamos

Documentamos la base de estas clasificaciones en nuestra Evaluación de clasificación de riesgo de IA conforme al artículo 6.3, v.1.0, disponible a solicitud para las autoridades de control y los centros socios.

6.2 Nuestros compromisos sobre la IA

• Sin decisiones automatizadas sobre estudiantes. No usamos IA para tomar decisiones automatizadas sobre un estudiante: ni sobre calificaciones, ni sobre asignaciones, ni sobre conducta. Cualquier decisión que afecte materialmente a un estudiante la toma una persona.
• Sin uso de tus datos para entrenar IA. No usamos tu trabajo, tus mensajes, tus imágenes ni las grabaciones de sesiones para entrenar modelos de IA, ni nuestros ni de terceros. Esto se exige contractualmente a cada subencargado del tratamiento de IA.
• La IA se identifica. Cuando interactúas directamente con un sistema de IA en Class2Class (actualmente, el chatbot de atención al usuario), el sistema se identifica como IA antes de que empiece la conversación, conforme al artículo 50.1 del Reglamento de IA de la UE. El asistente de creación de proyectos y la función de generación de imágenes de proyecto no «interactúan directamente» en el sentido del artículo 50: son herramientas que el docente invoca y revisa; los resultados llegan al docente como sugerencias en borrador, no como conversación.
• Supervisión humana de los avisos. Ningún contenido se retira, suspende ni escala solo por un aviso de la IA: un moderador humano revisa cada aviso.
• Alfabetización en materia de IA para el personal y el profesorado. Nuestro personal completa una formación anual en alfabetización en materia de IA, Directrices éticas, salvaguarda y gestión de denuncias. El profesorado que usa funciones de IA declara, al aceptar nuestros Términos y Condiciones, que leerá y aplicará nuestra guía pública de alfabetización en materia de IA y uso responsable antes de usar funciones de IA con estudiantes.

Puedes leer la guía completa de alfabetización en materia de IA y uso responsable en nuestros Recursos para docentes.

6.3 Si no quieres que la IA trate tus datos

El chatbot de atención al usuario es una vía de entrada al soporte: puedes escribir a support@class2class.org directamente para llegar al soporte humano sin usar el chatbot. El asistente de creación de proyectos (generación de texto y de imágenes para portadas de proyecto) se activa solo cuando un docente decide invocarlo sobre un proyecto en borrador.

Infancia y menores: qué hacemos de forma distinta

Class2Class acoge a estudiantes de todas las edades, incluidos los menores de 13 años con consentimiento parental. Como la mayoría de nuestro estudiantado son menores de edad, la protección de la infancia está integrada en la plataforma, no añadida en los márgenes.

7.1 Edad mínima y verificación

La edad mínima para usar Class2Class es 13. Los estudiantes menores de 13 años pueden usar la plataforma solo cuando su docente ha obtenido el consentimiento del progenitor o tutor y lo ha confirmado en nuestro flujo de consentimiento de la plataforma. El profesorado es responsable de verificar que el estudiante tiene al menos 13 años (o de obtener el consentimiento parental para estudiantes menores de 13). Las personas adultas no pueden usar Class2Class como estudiantes.

7.2 El profesorado como puerta de entrada

El estudiantado no puede registrarse directamente. Cada cuenta de estudiante la crea y la gestiona un docente. Este modelo de puerta de entrada:

• Reduce el riesgo de que un menor comparta datos personales con nosotros sin una persona adulta al tanto
• Garantiza que cada estudiante de la plataforma está vinculado a un docente responsable de él
• Permite al profesorado eliminar contenido inapropiado de inmediato y retirar estudiantes de los proyectos cuando sea necesario

7.3 Restricciones de mensajería para menores de 13 y de 16 años

7.4 Consentimiento parental para estudiantes menores de 13 años

Para estudiantes menores de 13 años:

• El docente declara, a través del flujo de consentimiento de la plataforma, que el progenitor o tutor ha sido informado sobre Class2Class, ha entendido qué datos compartirá el estudiante y cómo usará la plataforma, y ha dado su acuerdo.
• Esta declaración se registra con la identidad del docente, la identidad del estudiante, la versión del texto de declaración mostrado y la marca de tiempo; estos registros se conservan durante 5 años tras el cierre de la cuenta del estudiante (véase el §5).
• Los marcos jurídicos reconocidos son el modelo de «autorización escolar» de COPPA en Estados Unidos y el artículo 8 del RGPD en el resto de casos (que permite al responsable del tratamiento hacer esfuerzos razonables para verificar la autoridad parental).
• El profesorado no debe confirmar el consentimiento si las familias o los tutores no han sido efectivamente informados y no han dado su acuerdo.

Si eres progenitor o tutor y quieres:

• Retirar el consentimiento: escribe a dpo@class2class.org. Bloquearemos el acceso del estudiante de inmediato. El trabajo de proyecto y los registros de aprendizaje del estudiante se conservan mientras el consentimiento esté retirado (véase el §7.5). También puedes pedir al docente de tu hijo o hija que retire el consentimiento en la plataforma: tiene funciones para hacerlo.
• Que la cuenta del estudiante se elimine por completo: escribe a dpo@class2class.org. Esto es más fuerte que retirar el consentimiento: eliminaremos la cuenta y los datos, con las excepciones de conservación exigidas por ley (véase el §5), y confirmaremos por escrito qué se ha eliminado.
• Preguntar qué datos tenemos sobre tu hijo o hija (derecho de acceso): escribe a dpo@class2class.org.
• Corregir o actualizar algo: escribe a dpo@class2class.org, o pide al docente del estudiante que actualice el registro cuando tenga la información pertinente.

Respondemos a las solicitudes parentales de derechos sobre los datos en 30 días naturales como exige el artículo 12.3 del RGPD.

7.5 Retirada del consentimiento y pantalla de bloqueo

Cuando un progenitor o tutor retira el consentimiento, el estudiante no puede navegar ni usar la plataforma: una pantalla de bloqueo impide el acceso. La cuenta en sí no se elimina mientras el bloqueo está activo; el trabajo de proyecto y los registros de aprendizaje del estudiante se conservan, de modo que el consentimiento pueda restablecerse sin pérdida del expediente educativo. El bloqueo se mantiene hasta que el docente confirma en el flujo de consentimiento que se ha obtenido de nuevo.

7.6 Resumen adaptado a la infancia

Un resumen breve y en lenguaje claro de cómo tratamos los datos de la infancia, escrito para el propio estudiantado de 13 a 18 años, está publicado en class2class.org/privacy-for-students. Animamos al profesorado a presentarlo en clase.

Transferencias internacionales: a dónde van tus datos

Class2Class es una empresa danesa. Nuestro almacenamiento principal de datos está en la Unión Europea (Supabase, región de la UE eu-west-1). Algunos de nuestros subencargados del tratamiento están establecidos fuera del Espacio Económico Europeo (EEE), por lo que una parte de tus datos personales se transfiere a Estados Unidos o a otros terceros países para prestar servicios concretos (analítica, el chatbot de atención al usuario, los proveedores de modelos que están detrás de nuestras funciones de IA, herramientas de marketing cuando has dado tu consentimiento).

Para cada subencargado establecido en Estados Unidos nos apoyamos en las cláusulas contractuales tipo de la Comisión Europea complementadas por una evaluación de impacto de la transferencia que mantenemos internamente conforme a la sentencia Schrems II y a las Recomendaciones 01/2020 del CEPD. La evaluación se revisa anualmente y ante cada cambio en la ubicación de los datos o en las condiciones contractuales de un subencargado.

Cuando un subencargado está certificado en el Marco de Privacidad de Datos UE-EE. UU. , por ejemplo Google LLC, que cubre Google Analytics, Google Cloud / BigQuery y la API Gemini de Google, nos apoyamos además en la Decisión de adecuación (UE) 2023/1795 de 10 de julio de 2023 como base principal de la transferencia. Las cláusulas contractuales tipo se mantienen como mecanismo de reserva; la evaluación de impacto de la transferencia se sigue manteniendo.

Los subencargados actuales y sus mecanismos de transferencia figuran en nuestra Lista de subencargados del tratamientopública. Puntos destacados:

• Mixpanel (EE. UU.: cláusulas contractuales tipo y evaluación de impacto de la transferencia; en retirada, sustituido por PostHog, solo datos históricos)
• CookieYes (India: cláusulas contractuales tipo y evaluación de impacto de la transferencia; plataforma de gestión del consentimiento)
• Google Analytics (EE. UU.: Google LLC certificada en el Marco de Privacidad de Datos, cláusulas contractuales tipo como reserva, evaluación de impacto de la transferencia y anonimización de IP)
• Meta (EE. UU.: cláusulas contractuales tipo y evaluación de impacto de la transferencia, solo marketing y con consentimiento)
• Chatbase (EE. UU.: cláusulas contractuales tipo, evaluación de impacto de la transferencia y compromiso contractual de no entrenar IA con datos de usuarios)
• OpenAI (EE. UU.: cláusulas contractuales tipo y evaluación de impacto de la transferencia; API estándar sin entrenamiento por defecto y con 30 días de conservación para supervisión de abusos; da servicio a la generación de texto del asistente de creación de proyectos, solo para docentes)
• Google (API Gemini) (EE. UU.: Google LLC certificada en el Marco de Privacidad de Datos, cláusulas contractuales tipo como reserva, evaluación de impacto de la transferencia y compromiso contractual de no entrenar IA con datos de usuarios; da servicio a la generación de imágenes de proyecto, solo para docentes)
• Anthropic (Claude AI) (EE. UU.: cláusulas contractuales tipo, evaluación de impacto de la transferencia y compromiso contractual de no entrenar IA con datos de usuarios; modelo por defecto para la generación de texto del asistente de creación de proyectos, solo para docentes, y para la analítica interna sobre el almacén de datos de BigQuery, solo para el personal)

Subencargados establecidos en la UE (sin transferencia fuera del EEE): Supabase (región de la UE eu-west-1: base de datos de la plataforma, autenticación, almacenamiento de archivos y tiempo real), Xano (residencia en la UE, solo vías heredadas de autenticación), Brevo, Vercel (regiones de la UE, alojamiento de la plataforma y AI Gateway), PostHog (EU Cloud, Fráncfort: analítica de uso del producto; sujeta a consentimiento, repetición de sesión desactivada), Stape (Estonia: proxy de etiquetado del lado del servidor en primera parte), Sentry (región de la UE, Fráncfort: monitorización de errores y rendimiento; sin envío de datos personales por defecto y con depuración del resto de datos de evento; conservación ≈ 30 días), Google Cloud - BigQuery (regiones de la UE para el almacén de datos centralizado), Airbyte (despliegue en la UE para los flujos ETL que cargan BigQuery).

Subencargados del tratamiento

Recurrimos a subencargados del tratamiento para prestar partes de la plataforma, por ejemplo la base de datos, el servicio de correo o el chatbot de atención al usuario. Cada subencargado:

• Ha sido evaluado antes de su contratación y, después, al menos una vez al año
• Figura públicamente en class2class.org/data-processing-agreement

Notificamos a socios y centros con al menos 30 días naturales de antelación cualquier incorporación, sustitución o cambio sustancial en la lista de subencargados, a través del contacto registrado en su acuerdo de tratamiento de datos firmado. Los socios y centros pueden oponerse por motivos razonables de protección de datos en un plazo de 15 días naturales. Las personas usuarias individuales (docentes, familias) que quieran recibir aviso de cambios sustanciales pueden escribir a dpo@class2class.org.

Cookies

Las cookies y las tecnologías similares se rigen por nuestra Política de Cookiesaparte. La Política de Cookies describe las cuatro categorías de cookies que usamos (necesarias, funcionales, estadísticas y de marketing), las cookies de cada categoría, nuestro banner de consentimiento y cómo cambiar tus preferencias en cualquier momento.

No usamos muros de cookies. Puedes usar las funciones esenciales de la plataforma sin consentir cookies no esenciales.

Tus derechos

Conforme al RGPD, tienes los siguientes derechos respecto de tus datos personales. Los respetamos todos, con las limitadas excepciones descritas en el propio RGPD (por ejemplo, cuando una solicitud de supresión entraría en conflicto con nuestras obligaciones legales).

Respondemos a las solicitudes de derechos sobre los datos en 30 días naturales desde su recepción (art. 12.3 del RGPD). Cuando una solicitud es inusualmente compleja, podemos prorrogar el plazo hasta 60 días adicionales, con aviso por escrito a ti y el motivo de la prórroga. Estas solicitudes no tienen coste, salvo cuando sean manifiestamente infundadas o excesivas.

Si tu solicitud se refiere a los datos de un menor, véase el §7.4.

Una exportación de portabilidad contiene los datos que nos facilitaste (como tu perfil, proyectos, publicaciones, reflexiones, mensajes y certificados) junto con la actividad que generaste en la plataforma. Se compone a partir de nuestra base de datos operativa y se entrega como archivo JSON (CSV a solicitud). No incluye datos que derivamos internamente, por ejemplo la analítica agregada, ni datos sobre otras personas usuarias, que quedan ambos fuera del ámbito del artículo 20.

Seguridad

Aplicamos medidas técnicas y organizativas apropiadas para proteger tus datos personales, conforme al artículo 32 del RGPD. Puntos destacados:

• Cifrado en tránsito — TLS 1.2 o superior en todas las conexiones a la plataforma.
• Cifrado en reposo — proporcionado por Supabase en la capa de almacenamiento de la UE.
• Almacenamiento de contraseñas — las contraseñas se almacenan con bcrypt, el algoritmo adaptativo moderno de hash recomendado por OWASP y por NIST SP 800-63B. El hash lo realiza Supabase Auth en la UE. Las cuentas importadas que no han iniciado sesión desde la migración se siguen verificando contra el almacén heredado de Xano hasta que esa vía se retire.
• Control de acceso basado en roles — el acceso del personal de Class2Class a datos personales está restringido por rol y queda registrado.
• Autenticación multifactor — obligatoria para el acceso administrativo a la infraestructura de la plataforma.
• Diligencia debida sobre subencargados — cada subencargado del tratamiento ha sido evaluado y tiene un acuerdo de tratamiento de datos firmado.
• Auditorías de seguridad periódicas — revisiones anuales de seguridad, complementadas con revisiones específicas ante incidentes o cambios sustanciales.
• Marcos de seguridad — nuestros controles están mapeados y se supervisan de forma continua frente a ISO 27001 y SOC 2. La auditoría de certificación ISO 27001 y la atestación SOC 2 están en curso, por lo que todavía no disponemos de ninguno de los dos informes. El estado actual de los controles se publica en nuestro Centro de Confianza.
• Respuesta a incidentes — un procedimiento documentado de respuesta a violaciones de seguridad de los datos cubre la detección, la clasificación, la notificación a la autoridad en un plazo de 72 horas conforme al art. 33 del RGPD y la comunicación a las personas afectadas conforme al art. 34 cuando resulte exigible.

Hemos completado una evaluación de impacto relativa a la protección de datos (EIPD) de la plataforma que identifica y mitiga 10 riesgos principales, con un riesgo residual global valorado como bajo a moderado (aceptable). La EIPD se revisa anualmente.

Cambios en esta declaración

Podemos actualizar esta declaración para reflejar cambios en nuestros servicios, en el derecho aplicable o en nuestros compromisos de cumplimiento.

El uso continuado de la plataforma tras el plazo de aviso constituye aceptación de la declaración revisada. Si no estás de acuerdo, puedes cerrar tu cuenta durante el plazo de aviso; véanse los Términos y Condiciones §9.5.

Accesibilidad

Nuestra Declaración de Accesibilidad independiente describe nuestro compromiso con las WCAG 2.1 nivel AA y con el Acta Europea de Accesibilidad.

Si una parte de esta declaración de Privacidad y Accesibilidad (o de cualquier otro documento que publiquemos) no te resulta accesible en su forma actual, escribe a support@class2class.org (asunto «Accesibilidad») y te la facilitaremos en un formato alternativo.

Contacto

El marco completo de denuncia se describe en el §10 de las Directrices éticas y en el Procedimiento de Gestión de Denuncias y Protección del Denunciante.

Documentos relacionados

• Términos y Condiciones v.2.0
• Política de Cookies
• Lista de subencargados del tratamiento
• Declaración de Accesibilidad
• Directrices éticas
• Código de Conducta
• Resumen de privacidad adaptado a la infancia
• Guía de alfabetización en materia de IA y uso responsable

Si alguno de estos documentos contradice esta declaración en una cuestión de fondo, aplicamos la interpretación más protectora para el interesado y resolvemos la contradicción en la siguiente revisión documental. Dínoslo en dpo@class2class.org y lo corregiremos.