Política de privacidad

1. Quién es el responsable de los datos

2. A quién va dirigida y quién es el titular de la cuenta

La plataforma la usan niños y adolescentes, con frecuencia neurodivergentes. La cuenta la crea siempre un adulto: el padre, la madre o el tutor legal del alumno. Al crear el perfil del alumno, ese adulto declara que ejerce la patria potestad o la tutela y da el permiso para tratar sus datos (art. 7.2 de la Ley Orgánica 3/2018, LOPDGDD, para menores de 14 años). Como medida de protección, pedimos ese permiso del adulto también cuando el alumno tiene 14 años o más.

Hoy la plataforma está en fase de pruebas y no tiene planes de pago. Las reglas de uso están en las Condiciones de uso.

3. Qué datos tratamos

3.1 Los que facilita el adulto

• De la cuenta: el correo electrónico con el que entras. No usamos contraseñas: para entrar te enviamos un código de un solo uso a ese correo.
• Del perfil del alumno: su nombre de pila, su edad, su curso y sus intereses, y tu relación con él (patria potestad o tutela).
• De los permisos: qué permisos diste o retiraste, cuándo, en qué versión de los textos y en qué idioma. No guardamos tu dirección IP para esto.
• Del cuestionario inicial: las respuestas sobre cómo atiende, lee, se concentra, vive los errores y qué asignaturas le cuestan o se le dan bien, y quién las respondió (el alumno, el adulto o los dos juntos). Con ellas construimos su perfil de aprendizaje (el «Neuro Perfil»). El cuestionario puede incluir una pregunta opcional sobre diagnóstico o apoyo en el colegio: ver el apartado 4.

3.2 Los que genera el alumno al estudiar

• Lo que el alumno escribe al tutor y lo que el tutor responde, los ejercicios que hace y sus resultados, y su avance por asignatura.
• Un resumen de cada sesión (temas tratados, qué le costó, qué le interesa) para que el tutor recuerde y se adapte. Esto forma parte de su perfil de aprendizaje: sirve solo para enseñarle mejor, nunca para clasificarle ni para nada comercial.

3.3 Técnicos

• Los que hacen falta para que la sesión funcione y sea segura: la sesión de acceso, registros de errores y de seguridad del servidor y el tipo de navegador.

Lo que no pedimos: informes médicos o psicopedagógicos ni datos bancarios (no hay pagos). Te pedimos que no los introduzcas en la plataforma.

4. Datos de salud del alumno (categoría especial)

Un diagnóstico o una sospecha de neurodivergencia es un dato relativo a la salud y recibe protección reforzada (art. 9 del RGPD). Por eso:

• Es opcional y va con un permiso aparte. La pregunta sobre diagnóstico o apoyo en el colegio solo se trata si das un permiso explícito, separado y sin marcar de antemano (art. 9.2.a RGPD). Sin ese permiso, la respuesta no se guarda. Negarte no quita ninguna función: el tutor se adapta con las respuestas del cuestionario, no con una etiqueta.
• Se guarda aparte, en un registro separado del resto del perfil y con acceso más restringido.
• Puedes retirar el permiso cuando quieras desde los ajustes de la cuenta o escribiendo a equipo@neurodiversidadconarte.com.
• Lo que el alumno cuente en sus sesiones. No se lo pedimos; si aparece, se queda en su conversación con las mismas garantías y nunca se usa para clasificarle clínicamente.

Con o sin ese dato, no diagnosticamos, no etiquetamos ni segmentamos al alumno por su salud, y ningún dato de salud se usa para publicidad ni se comunica a terceros, salvo a los encargados que hacen funcionar el servicio (apartado 8).

5. Para qué usamos los datos y con qué base legal

No hacemos marketing con los datos del alumno. Ni publicidad, ni comunicaciones comerciales, ni perfiles con fines comerciales, ni cesión a terceros con esos fines. El adulto titular solo recibe correos relacionados con la cuenta.

6. Señales de malestar emocional y aviso a la familia

El tutor está pensado para niños que a veces lo pasan mal estudiando. Por eso, además de enseñar, presta atención al tono de lo que el alumno escribe:

• Frustración o bloqueo: el tutor para la tarea, ofrece herramientas de regulación (respirar, moverse, descansar, ponerle nombre a lo que siente) y retoma después.
• Señales de riesgo (mucho malestar, ideas de hacerse daño o indicios de que alguien le hace daño): el tutor se detiene, le acompaña y le anima a hablar con un adulto de confianza, y avisamos por correo al adulto titular de la cuenta para que busque un rato tranquilo para hablar con el alumno. El aviso no incluye lo que el alumno escribió. Si lo que ha contado apunta a que el daño viene de casa, el aviso no va a la familia: lo revisa una persona de nuestro equipo.
• Peligro inmediato: el tutor indica el teléfono de emergencias 112.

Estas detecciones son automáticas y pueden equivocarse en los dos sentidos. Ninguna es un diagnóstico ni una decisión con efectos jurídicos sobre el alumno (art. 22 RGPD): son una forma de que un adulto se entere a tiempo. Cada aviso queda anotado (fecha, nivel y resultado del envío, sin el texto del alumno) para poder comprobar que el sistema funcionó.

7. Inteligencia artificial: qué modelos, dónde y con qué límites

Toda la inteligencia artificial de la plataforma se ejecuta en Amazon Bedrock, el servicio de modelos de Amazon Web Services (AWS), en regiones de la Unión Europea (con Fráncfort, Alemania, como región principal). Lo que el alumno escribe no sale de la Unión Europea para ser procesado por la IA. Las peticiones pasan antes por una pasarela propia, en nuestros servidores de Alemania, configurada para enviar el tráfico solo a regiones europeas.

• Los modelos corren dentro de AWS, no en los servidores de quien los fabrica. Anthropic y Cohere no tienen acceso a las peticiones ni a las respuestas. AWS actúa como encargado del tratamiento (art. 28 RGPD) y no usa los datos para entrenar modelos. Nosotros tampoco usamos las conversaciones para entrenar ningún modelo.
• Lo que no reciben: el nombre del adulto, el correo electrónico ni los datos de acceso a la cuenta.
• No usamos modelos de Google (Gemini) en ninguna parte de la plataforma: sus condiciones no permiten usarlos en servicios que utilizan menores.
• Es una IA, y se dice. El tutor recuerda al alumno que habla con una inteligencia artificial, no con una persona.
• Sin decisiones automatizadas con efectos jurídicos. La IA enseña y adapta la explicación; no evalúa oficialmente, no certifica ni decide nada sobre el alumno fuera de la clase.

8. Quién más accede a los datos

Trabajamos con proveedores que actúan como encargados del tratamiento, por cuenta nuestra y con contrato conforme al art. 28 RGPD. Ninguno recibe los datos para fines propios.

También pueden acceder a los datos las autoridades públicas cuando exista obligación legal. No vendemos ni cedemos datos a terceros.

9. Transferencias internacionales

La base de datos y nuestros servidores están en Alemania, y la inteligencia artificial se procesa en regiones de la Unión Europea: ahí no hay transferencia internacional. Los proveedores que están en Estados Unidos —el correo y el DNS— se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión (UE) 2021/914), complementadas cuando procede por la adhesión del proveedor al EU-US Data Privacy Framework (Decisión de Ejecución (UE) 2023/1795) y por evaluaciones de impacto de la transferencia.

Elegimos la Unión Europea para la base de datos y para la IA precisamente por tratarse de menores. Puedes pedir copia de las garantías escribiendo a equipo@neurodiversidadconarte.com.

10. Cuánto tiempo conservamos los datos

Terminados los plazos, los datos que la ley obligue a conservar quedan bloqueados —inaccesibles para el uso ordinario y disponibles solo para jueces, Fiscalía, Administraciones Públicas y la AEPD— y después se destruyen.

11. Tus derechos y los del alumno

Como titular de la cuenta puedes ejercer, gratis, los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, sobre tus datos y sobre los del alumno, y retirar el consentimiento en cualquier momento, sin que eso afecte a lo tratado antes. Un alumno de 14 años o más puede ejercerlos también por sí mismo.

• Retirar los permisos: desde los ajustes de la cuenta, con el botón «Retirar el permiso», o por correo.
• Cómo: escribiendo a equipo@neurodiversidadconarte.com desde el correo de la cuenta e indicando el derecho que ejerces.
• Identificación: normalmente basta con escribir desde el correo registrado. Solo pediremos documentación si hay dudas razonables sobre tu identidad.
• Plazo: respondemos en un mes, prorrogable dos meses más en casos complejos, avisándote dentro del primero (art. 12.3 RGPD).

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.

12. Cookies y almacenamiento local

La plataforma no usa cookies de análisis ni de publicidad. Las que usa son técnicas y están explicadas en la Política de cookies.

13. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD): cifrado en tránsito, acceso sin contraseñas mediante códigos de un solo uso, reglas en la base de datos para que cada familia solo pueda ver lo suyo, el dato de salud separado y con acceso más restringido, control de acceso por roles y contratos de encargo con los proveedores. Si una violación de seguridad afectase a los datos del alumno, la notificaríamos a la AEPD y, cuando proceda, a las familias (arts. 33 y 34 RGPD).

14. Cambios en esta política

Cada versión de esta política tiene un número y una fecha. Si el cambio es sustancial —nuevas finalidades, nuevos proveedores de IA, cambio de responsable o de base jurídica— te lo pediremos de nuevo al entrar en la plataforma y te avisaremos por correo. Los cambios menores se publican aquí con su fecha.