Política de Privacidad — Edu4IA

Responsable del tratamiento

Edu4IA trata tus datos para prestarte el servicio de planificación docente y, si corresponde, gestión de centro según tu cuenta y licencia.

Identidad fiscal y domicilio del responsable: completar antes de comercialización pública (datos en facturación / términos).

Contacto privacidad y ejercicio de derechos: legal@edu4ia.app. Soporte técnico: soporte@edu4ia.app.

Dónde se almacenan tus datos

Los datos de tu cuenta y de tu centro (horarios, claustro, planificación) se guardan en una base de datos segura en la nube (PostgreSQL). No se publican en GitHub ni en repositorios de código. El código de la aplicación es privado; los datos de clientes viven solo en el entorno de producción contratado.

Si tu centro importa horarios desde GP Untis, el sistema procesa los ficheros y guarda el resultado estructurado en la base de datos; no reutiliza esos ficheros como muestras públicas.

Datos que tratamos

• Identificación: nombre, correo, centro, etapa(s) educativa(s).
• Planificación: unidades, sesiones, criterios, notas.
• Horarios: tramos lectivos, asignaciones, datos importados de Untis o Excel.
• Técnicos: IP en registro (seguridad), dispositivos de confianza, logs de acceso.
• Pagos: gestionados por Stripe (no almacenamos números de tarjeta).
• Calendario externo (opcional): tokens cifrados para sincronizar con Google u Outlook.

Base legal

• Ejecución del contrato: cuenta, planificación, calendario, licencias.
• Consentimiento: comunicaciones comerciales opcionales por correo.
• Interés legítimo: seguridad, mejora del servicio y soporte.

Encargados del tratamiento

Usamos proveedores para alojar la aplicación, la base de datos, pagos, correo y, si lo activas, sincronización de calendario e IA. Listado detallado: documentación interna docs/DPA-SUBPROCESSORS.md (Supabase, Stripe, Vercel, Railway, Google, Microsoft, etc.).

Comunicaciones por correo

Enviamos correos transaccionales (verificación, invitaciones de centro, avisos de licencia) sin necesidad de un consentimiento comercial aparte.

Las promociones, novedades comerciales, referidos y ofertas solo se envían si activas la casilla opcional en el registro o en Perfil → Comunicaciones comerciales. Puedes retirar el consentimiento en cualquier momento.

Inteligencia artificial

Si activas funciones de IA, parte del texto que introduces puede procesarse en servidores de Google (Gemini) como encargado del tratamiento, únicamente para generar la respuesta solicitada. No usamos tus planificaciones para entrenar modelos propios.

Puedes limitar o no usar estas funciones; el resto del servicio sigue disponible según tu licencia.

Documentos PDF y archivos importados

Los PDF y ficheros que subes o importas se almacenan en tu espacio de cuenta/centro para su uso dentro de la plataforma. No los publicamos ni los compartimos con otros centros.

Cookies y sesión

Usamos una cookie de sesión segura (edu4ia_token, httpOnly) para mantener tu acceso, además de almacenamiento local esencial (preferencias, edu4ia_cookie_consent_v1). Puedes rechazar cookies no esenciales desde el banner inicial.

Cookies analíticas (PostHog)

Si aceptas las cookies no esenciales en el banner, podemos usar PostHog (analítica de producto) para entender de forma agregada cómo se usa la plataforma (p. ej. qué secciones se visitan o si se completa un flujo). Solo se activa con tu consentimiento explícito; si eliges «Solo necesarias», no se envía analítica.

No enviamos a PostHog tu nombre, correo ni nombre del centro. Identificamos la sesión con un ID interno de usuario y rasgos agregados (plan FREE/PRO, rol, si perteneces a un centro, CCAA). Los eventos personalizados pasan por un filtro que bloquea propiedades con datos personales.

Por defecto no grabamos sesiones en vídeo (session replay). El proveedor puede alojar datos en la UE si configuras el proyecto en eu.posthog.com. Puedes retirar el consentimiento borrando cookies del sitio o contactando con soporte@edu4ia.app.

Seguridad

Conexión cifrada (HTTPS), contraseñas con hash, aislamiento de datos por centro, cifrado de tokens de calendario y controles de acceso por rol (docente, TIC, operador).

Validamos y sanitizamos las entradas de texto en la API (longitud máxima, eliminación de HTML malicioso) y escapamos datos personales en los correos transaccionales. La región autonómica se guarda como clave interna validada, no como texto libre.

Conservación

Conservamos los datos mientras mantengas la cuenta activa. Tras solicitar la supresión, eliminamos tu cuenta y datos personales asociados, salvo obligaciones legales (p. ej. facturación).

Soporte técnico y operador de plataforma

Si nos escribes a soporte o nos autorizas expresamente, el equipo Edu4IA (operadores de plataforma) puede acceder a tu cuenta para corregir errores: cambio de correo, vinculación a un centro, licencia PRO o incidencias de pago. Cada intervención queda registrada con motivo y fecha.

Tus derechos (ARCO-RGPD)

Acceso, rectificación, supresión y portabilidad desde Perfil → Gestión de Privacidad ARCO-RGPD (exportación JSON y borrado de cuenta).

También puedes presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).