Política de Privacidad de AILearn360

Información de Cuenta

• • Nombre, dirección de correo electrónico, nombre de usuario
• • Dirección de correo electrónico, número de teléfono (si se proporciona)
• • Contraseña (hash), configuraciones de autenticación passkey
• • Preferencias de idioma del perfil, zona horaria

Documentos y Contenido

• • PDF, archivos de texto y otros materiales de estudio que carga
• • Cuestionarios, resúmenes y notas creados a partir de sus documentos
• • Puntuaciones de cuestionarios, historial de sesiones de estudio, seguimiento de progreso
• • Notas, anotaciones, preguntas de cuestionarios personalizadas

Datos de Uso y Técnicos

• • Funciones utilizadas, tiempo dedicado, patrones de interacción
• • Tipo de navegador, sistema operativo, identificadores de dispositivo
• • Dirección IP, datos de sesión, registros de errores
• • Estadísticas de uso agregadas, métricas de rendimiento

Datos de Seguridad y Cumplimiento

• • Intentos de inicio de sesión, historial de acceso a la cuenta
• • Intentos de autenticación fallidos, actividades sospechosas
• • Cambios en la cuenta, modificaciones en la configuración de privacidad
• • Registros de consentimiento, actividades de procesamiento de datos

Datos de Escaneo Antivirus

Datos de Seguimiento de Dispositivo

• • Tipo de navegador, SO, resolución de pantalla, zona horaria
• • Utilizadas para detección de fraude y prevención de abuso
• • Rastreados por dispositivo/IP para prevenir abusos y aplicar límites sobre cuántas cuentas pueden crearse desde el mismo dispositivo o ubicación dentro de un período móvil
• • Dispositivos registrados (máximo 3 por cuenta)
• • Concurrencia de hardware, idioma, plataforma de información

• • Crear y gestionar su cuenta
• • Proporcionar funciones principales de la plataforma
• • Procesar y almacenar sus documentos cargados
• • Generar materiales de estudio y rastrear progreso
• • Proporcionar soporte al cliente
• • Procesar pagos y gestionar suscripciones

Procesamiento de Archivos

• • Analizar documentos para extraer texto y metadatos
• • Convertir formatos de archivo (por ejemplo, DOCX a PDF)
• • Indexar contenido para búsqueda rápida
• • Generar resúmenes y cuestionarios basados en contenido
• • Almacenar archivos en formato encriptado
• • Dividir archivos grandes para evitar problemas de memoria

• • Cifrado: Datos encriptados en tránsito (TLS 1.3) y en reposo (AES-256)
• • Controles de Acceso: Control de acceso basado en roles, autenticación multifactor
• • Seguridad de Red: Firewalls, detección de intrusiones
• • Desarrollo Seguro: Pruebas de seguridad y revisiones de código

• • Capacitación del Personal: Entrenamiento regular en privacidad y seguridad
• • Minimización de Datos: Recopilar solo datos necesarios
• • Registro de Accesos: Todo acceso a datos se registra y monitorea
• • Respuesta a Incidentes: Procedimientos para brechas de datos y eventos de seguridad

Qué es una Violación de Datos Personales

Una violación de datos personales es una violación de seguridad que provoque la destrucción, pérdida, alteración, divulgación no autorizada o acceso a datos personales transmitidos, almacenados o tratados de otra manera de forma accidental o ilícita.

Notificación a la Autoridad de Control (RGPD Art. 33)

La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para hacer frente a la violación y mitigar sus posibles efectos adversos, y los datos de contacto de nuestro Data Protection Officer.

Cuando la notificación no se realice dentro de las 72 horas, irá acompañada de una explicación de los motivos de la demora y podrá facilitarse por fases.

Comunicación a los Interesados (RGPD Art. 34)

Cuando sea probable que una violación de datos personales entrañe un riesgo alto para los derechos y libertades de las personas físicas, AiLearn360 comunicará la violación a los interesados sin demora indebida. La comunicación describirá la naturaleza de la violación y contendrá la información requerida por el Art. 33(3) del RGPD.

No se requiere comunicación a los interesados si: (a) se han aplicado medidas de protección técnicas y organizativas adecuadas a los datos afectados (p. ej., cifrado); (b) se han adoptado medidas posteriores que eliminan el riesgo alto; o (c) exigiría un esfuerzo desproporcionado, en cuyo caso se utilizará una comunicación pública o medida equivalente.

Nuestro Proceso Interno de Respuesta a Violaciones

1. 1.Detección y contención (objetivo: dentro de las 4 horas desde la detección)
2. 2.Evaluación de riesgos y clasificación (objetivo: dentro de las 24 horas)
3. 3.Notificación a la autoridad de control si es requerida (objetivo: dentro de las 72 horas)
4. 4.Comunicación a los usuarios afectados si es requerida (objetivo: sin demora indebida)
5. 5.Revisión post-incidente y plan de remediación (objetivo: dentro de los 30 días)

• • Cuentas Activas: Datos retenidos mientras la cuenta esté activa
• • Cuentas Inactivas: Datos eliminados después de 3 años de inactividad
• • Cuentas Eliminadas: Datos eliminados dentro de 90 días de eliminación de cuenta
• • Datos de Respaldo: Eliminados de copias de seguridad dentro de 12 meses

Datos de Seguridad y Cumplimiento

• • Registros de Acceso: Retenidos por 90 días
• • Incidentes de Seguridad: Retenidos por 2 años para cumplimiento
• • Registros de Consentimiento: Retenidos por 3 años después de la retirada
• • Pistas de Auditoría: Retenidos por períodos requeridos legalmente

Derecho de Acceso

Derecho de Rectificación

• • Corregir datos personales inexactos
• • Completar datos personales incompletos
• • Actualizar información desactualizada

Derecho al Olvido

• • Los datos ya no son necesarios para los fines para los que se recopilaron
• • Retira su consentimiento y no hay otra base legal
• • Se opone al procesamiento y no hay intereses legítimos imperiosos
• • Los datos se procesaron ilegalmente
• • Es necesario borrar para cumplir con una obligación legal

Derecho a la Portabilidad de Datos

• • Recibir sus datos en un formato estructurado, comúnmente utilizado y legible por máquina
• • Transmitir esos datos a otro controlador sin impedimentos
• • Usar nuestras herramientas de exportación de datos en la configuración de la cuenta

Derecho de Oposición

• • Procesamiento basado en interés legítimo
• • Procesamiento para fines de marketing directo
• • Procesamiento para fines de investigación científica o histórica
• • Procesamiento para fines estadísticos

Derecho a Limitar el Tratamiento

• • Contesta la exactitud de los datos personales
• • El procesamiento es ilegal pero se opone a la eliminación
• • Ya no necesitamos los datos pero los necesita para establecer, ejercer o defender reclamaciones legales
• • Se ha opuesto al procesamiento y estamos verificando si nuestros intereses legítimos prevalecen

Cómo Ejercer Sus Derechos

• • Contacto: [email protected]
• • Tiempo de Respuesta: Respondemos dentro de 30 días (o 90 días para solicitudes complejas).

Residencia de Datos de la UE

• • Almacenamiento Primario: Unión Europea (Italia)
• • Ubicaciones de Respaldo: Estados miembros de la UE únicamente
• • Ubicación de Procesamiento: UE a menos que se divulgue explícitamente

Transferencias a Terceros

• • Decisiones de Adecuación: Transferencias a países con protección adecuada
• • Cláusulas Estándar: SCC aprobadas por la UE para otras transferencias
• • Reglas Vinculantes: Utilizadas por algunos proveedores multinacionales
• • Consentimiento: Podemos confiar en su consentimiento si no hay otras salvaguardias disponibles

Transferencias a EE.UU.

• • Marco de Privacidad de Datos: Si el proveedor está certificado
• • Cláusulas Contractuales Estándar: Con salvaguardias adicionales
• • Cifrado: Todos los datos encriptados en tránsito y en reposo

• • Edad Mínima: 18 años
• • Verificación de Edad: Los usuarios deben confirmar que tienen 18 años o más al registrarse

• • Suspensión de Cuenta: Las cuentas de usuarios menores de edad se suspenden inmediatamente
• • Eliminación de Datos: Todos los datos eliminados dentro de 30 días
• • Contacto de Padres: Intentaremos contactar al padre/tutor si es posible

Contacto de Privacidad

• • Email: [email protected]
• • Tiempo de Respuesta: 5 días hábiles

Autoridad de Supervisión

• • Autoridad Supervisora Principal: Garante per la protezione dei dati personali (Italia)
• • Sitio Web: https://www.gpdp.it
• • Email: [email protected]

También puede contactar a la autoridad de protección de datos local.

Resolución de Disputas

• • Proceso Interno: Contactoe a nuestro equipo de privacidad primero
• • Mediación: Disponible a través de mecanismos de resolución de disputas de la UE
• • Acción Legal: Sus derechos bajo la ley aplicable están preservados

• • Detección de Fraude: Puntuación de riesgo para actividades sospechosas
• • Optimización del Rendimiento: Asignación de recursos del sistema

• • No realizamos creación de perfiles automatizada de individuos
• • No tomamos decisiones automatizadas que afecten sus derechos legales
• • No realizamos procesamiento automatizado discriminatorio

Nuestra evaluación (documentada en docs/DPIA-NOT-APPLICABLE.md) concluye que no se requiere ninguna EIPD. Las razones son:

• • No se tratan categorías especiales de datos conforme al Art. 9 RGPD.
• • No hay perfilado ni decisiones automatizadas con efectos jurídicos o significativos (Art. 22 RGPD).
• • No hay tratamiento a gran escala (AiLearn360 es una microempresa según la definición UE).
• • No hay sujetos vulnerables (el servicio está restringido a mayores de 18 años).
• • No se implementa ningún sistema de IA de alto riesgo conforme al Anexo III de la EU AI Act (los 11 casos de uso están clasificados como Riesgo Limitado).

Actualizaciones de Política

• • Cambios en nuestras prácticas de procesamiento de datos
• • Nuevos requisitos legales
• • Mejoras en el servicio y nuevas funciones
• • Comentarios de usuarios y mejores prácticas

Proceso de Notificación

• • Cambios Materiales: 30 días de aviso anticipado por correo electrónico
• • Actualizaciones Menores: Aviso en el panel de su cuenta
• • Cambios Inmediatos: Posibles para asuntos urgentes legales o de seguridad

Contacto de Privacidad

• • Email: [email protected]
• • Tiempo de Respuesta: 5 días hábiles

Autoridad de Supervisión

• • Autoridad Supervisora Principal: Garante per la protezione dei dati personali (Italia)
• • Sitio Web: https://www.gpdp.it
• • Email: [email protected]

También puede contactar a la autoridad de protección de datos local.

Resolución de Disputas

• • Proceso Interno: Contactoe a nuestro equipo de privacidad primero
• • Mediación: Disponible a través de mecanismos de resolución de disputas de la UE
• • Acción Legal: Sus derechos bajo la ley aplicable están preservados