Política de Privacidad, Seguridad y Condiciones de Tratamiento de Datos

1. Naturaleza del Servicio y Relación Jurídica (Art. 28 RGPD)

laagendadelinstituto.com es una plataforma SaaS (Software as a Service) de gestión logística y organizativa desarrollada y comercializada por El Proveedor para centros educativos de educación secundaria y formación profesional (en adelante, "El Cliente" o "El Centro Educativo").

En el marco de la normativa vigente de protección de datos:

• El Centro Educativo ostenta la condición exclusiva de Responsable del Tratamiento respecto a los datos personales de su personal docente y de su alumnado cargados en la plataforma.
• El Proveedor actúa strictly en calidad de Encargado del Tratamiento, procesando la información únicamente por cuenta, bajo instrucciones y en beneficio del Centro Educativo conforme al Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el Artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

Cada contratación de la suscripción al servicio incluye o formaliza el preceptivo Acuerdo de Encargo de Tratamiento (DPA) vinculante entre ambas partes.

2. Marco Normativo y Cumplimiento

La arquitectura técnica, legal y operativa de la plataforma ha sido diseñada conforme a las directrices aplicables a entidades prestadoras de servicios tecnológicos para el sector educativo público:

• Reglamento General de Protección de Datos (RGPD - UE 2016/679).
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).
• Real Decreto 311/2022 (Esquema Nacional de Seguridad - ENS).
• Criterios e Instrucciones de la Conselleria de Educación sobre el uso de aplicaciones externas en centros docentes sostenidos con fondos públicos.
• Guías de la Agencia Española de Protección de Datos (AEPD) sobre tratamiento de datos de menores y privacidad por diseño.

3. Finalidad del Tratamiento, Bases de Legitimación y Ausencia de Publicidad

El Proveedor garantiza que la plataforma se rige por los principios de limitación de la finalidad, minimización y transparencia:

• Finalidad Estrictamente Organizativa: El software se destina de forma exclusiva a la coordinación operativa interna del centro: gestión de cuadrantes de guardias, control de ausencias y sustituciones de profesorado, reservas de aulas, gestión de incidencias, gestión de actividades extraescolares y exámenes, agenda del centro.
• Bases de Legitimación del Tratamiento:
  • Consentimiento del usuario: Empleado explícitamente para realizar los tratamientos de datos en las funcionalidades específicas solicitadas por el usuario.
  • Ejecución de la relación contractual: Necesario para el mantenimiento y ejecución de la prestación del servicio organizativo acordado con el Centro Educativo.
  • Interés legítimo: Tanto del propio proveedor como del Centro Educativo para garantizar una óptima coordinación logística, seguridad operativa e itinerario del centro.
  • Cumplimiento de obligaciones legales: Aplicable al Responsable y Encargado del Tratamiento en cumplimiento de la normativa legal y educativa vigente.
• 100% Libre de Publicidad: La plataforma no contiene anuncios, patrocinios, banners comerciales ni rastreadores de comportamiento.
• Sin Comunicación a Terceros ni Comercialización: El Proveedor no vende, no cede, no comunica ni comparte los datos de los centros con terceros bajo ningún concepto (salvo obligación legal o requerimiento judicial). No se elaboran perfiles analíticos ni comerciales sobre el alumnado ni sobre el personal docente.
• Exclusión de Datos Sensibles: La plataforma no está diseñada ni autorizada para almacenar calificaciones escolares, historiales médicos, expedientes disciplinarios, informes de orientación ni faltas de asistencia curriculares. Todas estas gestiones oficiales quedan reservadas a los sistemas corporativos institucionales de la administración educativa (ITACA).

4. Tipología de Datos Tratados y Cifrado Autenticado (AES-256-GCM)

En aplicación del principio de minimización de datos (Art. 5.1.c RGPD), la plataforma procesa exclusivamente Datos de carácter general y datos de Control de presencia necesarios para la operativa diaria:

• Datos de Carácter General:
  • Personal Docente: Nombre y apellidos, DNI y correo electrónico corporativo (@edu.gva.es).
  • Alumnado: Nombre y apellidos y NIA (Número de Identificación del Alumno).
• Datos de Control de Presencia: Registros de asistencia, fichajes, partes de guardia, gestión de ausencias, horario lectivo y sustituciones del profesorado.

5. Modelo de Identificación y Autenticación de Usuarios

• Identificación por Correo Institucional: El profesorado utiliza su dirección de correo corporativo oficial (@edu.gva.es) exclusivamente como nombre de usuario para vincular su cuenta con el centro contratante.
• Independencia de la Identidad Digital Corporativa: La plataforma no accede a la Identidad Digital centralizada de la administración pública ni utiliza pasarelas de autenticación de terceros (como Microsoft Azure AD / Office 365).
• Gestión Segura de Contraseñas: Las credenciales de acceso son independientes y se custodian en los servidores mediante algoritmos de derivación de claves irreversibles con sal, inaccesibles para el personal de soporte de El Proveedor.

6. Ubicación de los Datos, Ausencia de Cesión y Seguridad Técnica

Para garantizar la integridad, confidencialidad y control absoluto del servicio frente al Centro Educativo:

• Ubicación de los Datos (EEE / España): Toda la infraestructura de servidores, almacenamiento y bases de datos se encuentra alojada físicamente dentro del Espacio Económico Europeo (EEE / España), cumpliendo rigurosamente con los estándares de seguridad de la Unión Europea.
• Sin Comunicación con Terceros: No existe comunicación, cesión ni transferencia de datos a terceros bajo ningún concepto, salvo por obligación legal o requerimiento de la autoridad competente. Tampoco se realizan transferencias internacionales de datos a terceros países fuera del EEE.
• Comunicaciones Cifradas: Todo el tráfico entre los navegadores y la plataforma se transmite mediante protocolos cifrados seguros HTTPS con TLS 1.3 / 1.2.
• Control de Accesos por Roles (RBAC): La plataforma delimita las vistas de datos según los permisos otorgados por el centro (profesor estándar, equipo directivo o administrador de la agenda).
• Registro de Trazabilidad (Logs): Se mantiene un registro interno, restringido e inalterable de actividad y accesos para auditorías organizativas y rendición de cuentas (Art. 5.2 RGPD).
• Caducidad de Sesiones: El sistema cierra automáticamente las sesiones inactivas para evitar accesos no autorizados en equipos compartidos de salas de profesorado o aulas.

7. Notificaciones Electrónicas

Las alertas y avisos generados por el software (notificación de ausencias, guardias, sustituciones, actividades extraescolares o los eventos de la agenda):

• Se dirigen únicamente a buzones de correo oficiales del personal autorizado (@edu.gva.es).
• Tienen naturaleza estrictamente transaccional y operativa, limitándose a avisos de gestión horaria o de agenda.

8. Conservación y Plazos de Supresión de Datos

• Periodo de Conservación: Los datos se mantendrán durante la vigencia del contrato de suscripción y exclusivamente durante el curso escolar activo para fines operativos del centro.
• Plazo Máximo de Supresión de Datos (Máximo 48 horas): En caso de que se presente una solicitud de supresión o borrado de datos personales por parte del usuario autorizado o del Centro Educativo, El Proveedor procederá a la supresión y eliminación efectiva de la información de todos los sistemas en un plazo máximo de 48 horas después de la petición.
• Destrucción o Devolución de Datos: A la finalización del contrato de suscripción o al término del año académico, El Proveedor procederá al borrado seguro o a la entrega de la información al Centro Educativo, conforme a lo estipulado en el Contrato de Encargo de Tratamiento (Art. 28.3.g RGPD).

9. Ejercicio de Derechos de Protección de Datos

Dado que El Centro Educativo es el Responsable del Tratamiento de los datos:

• Los interesados (docentes, así como padres, madres o representantes legales del alumnado menor de edad) deberán dirigir sus solicitudes de ejercicio de derechos de Acceso, Rectificación, Supresión, Limitación, Portabilidad y Oposición (derechos ARSULIOP) ante la Secretaría o Dirección del Centro Educativo correspondiente.
• El Proveedor, en su condición de Encargado del Tratamiento, facilitará las herramientas técnicas necesarias dentro del panel de administración para que el centro pueda atender y hacer efectivos dichos derechos de forma ágil, garantizando un tiempo de respuesta y ejecución de supresión de máximo 48 horas tras la solicitud.
• Los interesados tienen el derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través de www.aepd.es si consideran que el tratamiento de sus datos no se ajusta a la normativa vigente.