Política de privacidad

• Responsable: [PENDIENTE: razón social]
• NIF: [PENDIENTE: NIF]
• Domicilio: [PENDIENTE: domicilio]
• Correo para privacidad y ejercicio de derechos: [PENDIENTE: email de privacidad]
• Plataforma: Discerni (http://localhost:3000)

Delegado de protección de datos. No hemos designado delegado de protección de datos porque no estamos en ninguno de los supuestos que lo hacen obligatorio (art. 37.1 RGPD y art. 34 LOPDGDD): no somos un centro docente de enseñanzas regladas ni una autoridad pública, y no hacemos una observación habitual y sistemática de personas a gran escala. [REVISAR ASESORÍA: confirmar al crecer el volumen de alumnos o de programas para empresas, por el registro de dedicación con IP] Cualquier consulta sobre privacidad va al correo indicado arriba.

• Cuenta: nombre, apellidos, correo, contraseña (solo su huella cifrada con bcrypt, nunca la contraseña), foto y biografía si las añades, idioma y tema preferidos, rol, fecha de alta y de último acceso. Si entras con Google, Apple o el inicio de sesión único de tu organización (SSO/SAML/OIDC) o desde el campus de tu organización (LTI), los identificadores que ese proveedor nos envía.
• Seguridad: segundo factor de autenticación (el secreto TOTP cifrado y la huella de los códigos de recuperación) y registros de auditoría de acciones relevantes con la dirección IP desde la que se hicieron.
• Aprendizaje: matrículas, progreso por módulo y lección, intentos de cuestionarios y exámenes con sus respuestas, nota, hora de inicio y de entrega, trabajos entregados y su calificación, asistencia a sesiones en directo, puntos y logros, notas personales, certificados emitidos.
• Dedicación (desde el 16 de octubre de 2026): sesiones de estudio con hora de inicio y fin, tiempo acreditado por lección, dirección IP y navegador (agente de usuario). Sirve de evidencia de que has hecho la formación.
• Programas oficiales (solo en cursos impartidos con una entidad que expide su propio certificado): DNI o NIE, que figura en ese certificado, y la confirmación de que has cumplimentado sus encuestas.
• Pagos: curso, importe, método (PayPal o Bizum), estado, identificador de la orden de PayPal o concepto del Bizum, y fecha. No vemos ni guardamos los datos de tu tarjeta ni de tu cuenta bancaria.
• Participación: preguntas y respuestas en las lecciones, votos, prompts y proyectos que compartes, respuestas a encuestas de curso, solicitudes de ayuda y notificaciones.
• Asistente de IA: las preguntas que escribes al asistente de la lección o de ayuda. En nuestro servidor solo guardamos un registro de uso (modelo, número de fragmentos de texto procesados y coste), no el texto de la conversación; el historial se queda en tu navegador. Si usas el Playground con tu propia clave de Anthropic o de Google, la guardamos cifrada para poder usarla en tu nombre.
• Aceptaciones legales: qué versión de estas condiciones y de esta política aceptaste y cuándo y, al comprar, tu consentimiento para empezar el curso de inmediato.

• Prestarte el servicio que contratas: crear tu cuenta, darte acceso a los cursos, guardar tu progreso, corregir tus cuestionarios, emitir certificados, darte soporte y el asistente de IA. Base: ejecución del contrato (art. 6.1.b RGPD).
• Cobrar y facturar los cursos de pago y cumplir las obligaciones contables y fiscales. Base: contrato (art. 6.1.b) y obligación legal (art. 6.1.c RGPD; Código de Comercio y Ley General Tributaria).
• Registrar la dedicación y conservar evidencias de formación para justificar ante tu empresa, la entidad que organiza un programa oficial o quien financie el curso que la formación se ha realizado. Base: contrato (art. 6.1.b) y, cuando la formación es bonificada o subvencionada, obligación legal de justificación (art. 6.1.c). [REVISAR ASESORÍA: base aplicable en cada programa y si, para empresas y programas oficiales, actuamos como encargado de la entidad organizadora]
• DNI/NIE en programas oficiales: identificarte en el certificado que expide la entidad. Base: contrato (art. 6.1.b) y la normativa del programa (art. 6.1.c).
• Seguridad de la plataforma: segundo factor, registros de auditoría, limitación de intentos, prevención del fraude y del uso indebido. Base: interés legítimo en proteger el servicio y a sus usuarios (art. 6.1.f RGPD y considerando 49).
• Comunicaciones de servicio por correo: confirmaciones de pago, recuperación de contraseña, avisos de tus cursos. Base: contrato (art. 6.1.b). No enviamos publicidad; si algún día lo hacemos, te pediremos consentimiento (art. 21 de la Ley 34/2002, LSSI).
• Medir el uso de la plataforma de forma agregada para mejorarla (ver «Analítica»). Base: interés legítimo (art. 6.1.f RGPD), con datos que no te identifican.
• Dejar constancia de tus aceptaciones y atender reclamaciones. Base: obligación legal (art. 6.1.c; art. 103.m del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios, TRLGDCU) e interés legítimo en poder defendernos (art. 6.1.f).

Cuando nos apoyamos en el interés legítimo puedes oponerte (ver «Tus derechos»). Tus datos no se usan para entrenar modelos de inteligencia artificial.

El asistente de las lecciones y el de ayuda funcionan, por defecto, con modelos de lenguaje abiertos que ejecutamos en nuestros propios servidores en España: el texto que escribes no sale de nuestra infraestructura. Si en algún momento configuramos un modelo de un proveedor externo para estos asistentes, se aplicará lo dicho en «Destinatarios» sobre Anthropic y lo indicaremos aquí.

El Playground te permite usar modelos de Anthropic o de Google con tu propia clave: en ese caso el texto se envía a ese proveedor en tu nombre y bajo el contrato que tú tienes con él.

Las respuestas de la IA no deciden nada sobre ti. No te puntúan, no te aprueban ni te suspenden y no influyen en tu certificado. Algunos cuestionarios los redacta el equipo docente con ayuda de la IA, pero se corrigen comparando tu respuesta con la opción correcta fijada de antemano, sin IA.

La plataforma sí aplica reglas automáticas y previsibles: corrige los cuestionarios de opción múltiple, abre el módulo siguiente cuando apruebas y emite el certificado cuando se cumplen los criterios del curso (por ejemplo, aprobar el examen final o alcanzar una dedicación mínima). No son decisiones que produzcan efectos jurídicos ni te afecten significativamente de modo similar en el sentido del art. 22 RGPD, pero aun así puedes pedir que una persona del equipo docente revise cualquier resultado y expresar tu punto de vista. [REVISAR ASESORÍA: confirmar que el certificado de un programa oficial no entra en el art. 22]

No vendemos ni cedemos tus datos. Los ven, en lo necesario, el equipo docente de tus cursos y, si tu empresa u organización te ha dado de alta, sus responsables de formación (tu progreso y dedicación en los cursos que te asigna). En los programas oficiales, la entidad que expide el certificado recibe los datos necesarios para emitirlo. Los comunicaremos a autoridades, jueces o tribunales cuando una ley lo exija.

Además usamos estos proveedores, con contrato de encargo del tratamiento (art. 28 RGPD) cuando tratan datos por nuestra cuenta:

• Alojamiento: servidores propios ubicados en España. La plataforma, la base de datos, las copias de seguridad, los modelos de IA y la analítica corren en nuestra infraestructura; no usamos una nube de terceros para guardar tus datos.
• Cloudflare, Inc. (EE. UU.): red de entrega y túnel por el que pasa todo el tráfico de la web hasta nuestros servidores (cifrado, protección frente a ataques). Trata, en tránsito, tu IP y el contenido de las peticiones. Encargado del tratamiento.
• Resend (EE. UU.): envío de los correos de servicio. Recibe tu nombre, tu correo y el contenido del mensaje. Encargado del tratamiento.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo): cobro de los pagos con PayPal o tarjeta. PayPal trata los datos de pago como responsable independiente según su propia política; nosotros solo recibimos el resultado y el identificador de la orden.
• Bizum: el pago lo haces desde tu banco al número que te indicamos; tu banco y el nuestro tratan la operación como responsables independientes. Vemos el importe, el concepto y el nombre del ordenante para confirmar el pago.
• Anthropic (EE. UU.): generación de contenidos de los cursos por el equipo docente. No le enviamos datos de alumnos. Solo recibiría preguntas de alumnos si se configurase como motor del asistente (ver «Inteligencia artificial»); en ese caso, como encargado del tratamiento y sin uso para entrenamiento.
• Microsoft (servicio de voz de Edge): convierte en audio la narración de las lecciones. Solo recibe el texto del curso desde nuestro servidor, nunca datos tuyos.
• Contenidos incrustados (YouTube, Vimeo, Loom, Gamma, Canva, Google Docs, Miro, Figma, Prezi): algunas lecciones muestran contenidos alojados en estas plataformas. No se cargan al abrir la lección, solo cuando pulsas para verlos; en ese momento tu navegador se conecta con ellas, que reciben tu IP y pueden instalar sus propias cookies (ver la política de cookies). Actúan como responsables independientes.

Cloudflare, Resend y, en su caso, Anthropic están en Estados Unidos o pueden acceder a los datos desde allí. Estas transferencias se amparan en:

• la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión, art. 45 RGPD) para los proveedores adheridos a él; y
• en su defecto o como garantía adicional, las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914, art. 46.2.c RGPD).

[REVISAR ASESORÍA: verificar la adhesión vigente de cada proveedor al Marco de Privacidad y tener firmados sus contratos de encargo con cláusulas tipo antes de vender] Puedes pedirnos copia de las garantías en el correo de privacidad.

• Cuenta: mientras la mantengas. Al darte de baja borramos tus datos de acceso e identificación (correo, nombre, contraseña, foto, claves y segundo factor).
• Evidencias de formación (matrículas, progreso, dedicación, intentos de examen, certificados y, en programas oficiales, DNI/NIE): 4 años desde que termina el curso, para poder justificar la formación. Pasado ese plazo se eliminan o anonimizan.
• Dirección IP de las sesiones de estudio: se anonimiza a los 12 meses; el resto de la evidencia (fechas y tiempos) sigue el plazo anterior.
• Registros técnicos (logs del servidor): 90 días.
• Pagos y facturación: 6 años (art. 30 del Código de Comercio) y, en todo caso, mientras puedan comprobarse por la Agencia Tributaria (art. 66 de la Ley General Tributaria).
• Aceptaciones legales: mientras dure la relación y, después, durante el plazo de prescripción de las acciones que puedan derivarse de ella.
• Participación (comentarios, prompts, proyectos): mientras tengas cuenta o hasta que los borres; tras la baja aparecen como «Usuario eliminado».

Cuando un dato deja de ser necesario pero la ley nos obliga a guardarlo, lo bloqueamos (art. 32 LOPDGDD): lo apartamos del uso ordinario y solo puede consultarse para atender a jueces, tribunales, al Ministerio Fiscal o a las administraciones competentes durante el plazo de prescripción. Después se destruye.

[REVISAR ASESORÍA: plazos de evidencias (4 años), IP (12 meses) y logs (90 días) tomados de la política de retención en preparación; confirmar el plazo de justificación de cada financiador]

Puedes ejercer en cualquier momento, sin coste, los derechos de:

• acceso a tus datos (art. 15 RGPD);
• rectificación de los inexactos (art. 16);
• supresión (art. 17);
• limitación del tratamiento (art. 18);
• portabilidad, en un formato estructurado y de uso común (art. 20);
• oposición a los tratamientos basados en el interés legítimo (art. 21);
• no ser objeto de decisiones basadas únicamente en el tratamiento automatizado (art. 22) y obtener intervención humana;
• retirar el consentimiento que hayas dado, sin que afecte a lo hecho antes (art. 7.3).

Desde tu perfil (Perfil → Datos y privacidad) puedes descargar tus datos y eliminar tu cuenta tú mismo. Para todo lo demás, escribe a [PENDIENTE: email de privacidad] desde el correo de tu cuenta indicando qué derecho ejerces; si no podemos comprobar que eres tú, te pediremos que acredites tu identidad. Respondemos en un mes, ampliable dos meses más en casos complejos avisándote (art. 12.3 RGPD; art. 12 LOPDGDD).

Supresión y evidencias de formación. Si pides que borremos tus datos mientras sigue corriendo el plazo de conservación de las evidencias, no las borramos de inmediato: las bloqueamos (art. 32 LOPDGDD). Dejan de usarse y de verse en la plataforma y solo se conservan para las autoridades o para defender reclamaciones hasta que termina el plazo; entonces se destruyen. Lo mismo con los datos de pago.

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es) (art. 77 RGPD). Te agradeceremos que antes nos escribas para intentar resolverlo.

Para crear una cuenta hay que tener al menos 14 años: es la edad a partir de la cual la ley española permite a un menor consentir por sí mismo el tratamiento de sus datos (art. 7.1 LOPDGDD, en aplicación del art. 8 RGPD). Al registrarte declaras cumplirla. Si sabemos que una cuenta es de un menor de 14 años sin autorización de sus padres o tutores, la cancelaremos.

Los cursos de pago solo puede comprarlos una persona mayor de edad. Un menor de entre 14 y 18 años puede estudiar un curso que haya comprado o le haya asignado su padre, madre, tutor o su centro. [REVISAR ASESORÍA: si se admiten compras de menores con autorización y cómo verificarla]

Para saber qué partes de la plataforma funcionan medimos el uso con Umami, una herramienta de analítica que alojamos nosotros mismos: los datos no salen de nuestra infraestructura ni se comparten con terceros.

No usa cookies ni guarda nada en tu navegador, y no te identifica: no registra tu nombre, tu correo, tu identificador de usuario ni tu dirección IP. Solo cuenta hechos agregados (páginas vistas, registros, cursos empezados o completados, compras) asociados al curso, nunca a la persona. Respetamos la señal «No rastrear» (Do Not Track) de tu navegador.

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD): cifrado en tránsito, contraseñas con huella bcrypt, secretos cifrados con AES-256-GCM, segundo factor de autenticación, control de acceso por roles, limitación de intentos, registros de auditoría y copias de seguridad en nuestra propia infraestructura. Si sufrimos una violación de seguridad que suponga un riesgo para ti, lo comunicaremos a la AEPD y, cuando proceda, a ti (arts. 33 y 34 RGPD).

Si la cambiamos, publicaremos la nueva versión aquí con su fecha y su número de versión. Si el cambio es relevante (nuevas finalidades, nuevos destinatarios o un nuevo responsable), te avisaremos por correo o en la plataforma antes de que se aplique.