Política de Privacidad

La plataforma Kidy es operada por 2Lines Sistem SRL, sociedad registrada en Rumania, CIF RO16807695, numero de registro mercantil J2004001481239, con domicilio social en Str. Fizicienilor nr. 19/1, 077125 Măgurele, provincia de Ilfov, Rumanía.

Para cualquier consulta sobre esta politica o para ejercer sus derechos, puede contactarnos en contact@kidy.pro.

Respecto a los datos de los ninos y a los datos generados en el marco de la actividad de un centro educativo, dicho centro es el responsable del tratamiento y 2Lines Sistem SRL actua como encargado del tratamiento. Vease la seccion 4.

Recopilamos las siguientes categorías de datos personales:

a) Datos proporcionados directamente por los usuarios

• Datos de cuenta: nombre, apellidos, dirección de correo electrónico, número de teléfono, rol en la institución (administrador, educador, padre/madre)
• Datos de la institución: nombre de la institución, dirección, datos de facturación
• Datos de pago: la información de pago es procesada por procesadores de pago autorizados (PayU, Stripe) y no se almacena en nuestros servidores
• Comunicaciones: mensajes enviados a través de la plataforma de mensajería integrada
• Extractos bancarios: extractos de cuenta subidos por la institución para conciliar los cobros (titular de la cuenta, IBAN, nombres de los pagadores, importes y descripciones de las transacciones)
• Contratos con la institución: contratos de inscripción y anexos firmados por los padres o tutores, conservados por la institución en la plataforma como archivo PDF, exactamente como se firmaron (también electrónicamente). Pueden contener el nombre del padre, madre o tutor firmante, el número de identificación personal (CNP), la serie y el número del documento de identidad, el domicilio, los datos de contacto, los datos de los niños cubiertos por el contrato y las condiciones del contrato.

b) Datos de los niños

• Nombre y apellidos
• Fecha de nacimiento
• Número de identificación personal (CNP) – solo si la institución lo introduce (por ejemplo para contratos o documentos fiscales)
• Registros de asistencia y ausencias
• Datos de inscripción y asignación de clase/grupo
• Información médica relevante (alergias, condiciones especiales) – solo si es proporcionada por los padres o la institución

c) Datos recopilados automáticamente

• Dirección IP
• Tipo de navegador y dispositivo
• Páginas visitadas y duración de la sesión
• Datos de cookies (consulte nuestra Política de Cookies)
• Tokens de notificaciones push (Firebase Cloud Messaging)

d) Datos recogidos por la aplicacion movil

• Fichaje del personal (sin ubicación) – cuando un miembro del personal pulsa el botón de fichaje (entrada/salida), la aplicación envía solo el identificador del lugar de trabajo elegido de la lista del centro y, opcionalmente, una nota escrita por él; la hora la registra el servidor. La aplicación no solicita el permiso de ubicación y no recoge coordenadas geográficas (GPS), ni del personal ni de padres o niños.
• Cámara – la aplicación no escanea códigos QR y no usa la cámara en segundo plano. La cámara solo se utiliza si elige «Tomar foto» para una foto de perfil: en Android, la aplicación abre la aplicación de cámara del teléfono mediante el mecanismo estándar del sistema operativo y no solicita el permiso de cámara; en iOS, el sistema le pide su consentimiento la primera vez. Kidy solo recibe la foto que usted confirma y recorta (véase la sección e) más abajo).
• Autenticacion biometrica – si activa el desbloqueo por huella o reconocimiento facial, la verificacion la realiza integramente el sistema operativo del dispositivo. Kidy solo recibe el resultado (correcto/incorrecto). Los datos biometricos no salen del dispositivo y no son accesibles para nosotros.
• Token de notificaciones push – un identificador de dispositivo generado por Firebase Cloud Messaging, utilizado exclusivamente para entregar notificaciones. Se elimina al cerrar la sesión en la aplicación, se desactiva automáticamente cuando Firebase lo notifica como no válido (por ejemplo, tras desinstalar la aplicación) y se elimina junto con la cuenta.
• Permisos de la aplicación Android – la aplicación declara solo: acceso a internet y al estado de la red; mostrar notificaciones y recibirlas a través de Firebase Cloud Messaging, manteniendo el dispositivo activo y vibrando al entregarlas; autenticación biométrica (huella o rostro). En Android 12 y versiones anteriores aparece también el permiso antiguo de lectura del almacenamiento (READ_EXTERNAL_STORAGE), añadido por la biblioteca que abre los documentos; la aplicación no lo solicita, porque los documentos descargados (por ejemplo, las nóminas) se guardan en el almacenamiento privado de la aplicación. La aplicación no solicita acceso a la ubicación, la cámara, el micrófono, los contactos ni la galería de fotos.

e) Fotos de perfil (opcionales)

• Que recogemos: los usuarios pueden subir, opcionalmente, una foto de perfil para su propia cuenta y para los ninos a su cargo. Subir una foto nunca es obligatorio.
• Como se seleccionan: elija «Elegir de la galería» o «Tomar foto». La galería se abre mediante el selector de fotos del sistema operativo y la foto nueva se toma con la aplicación de cámara del teléfono. La aplicación no solicita ni recibe acceso a la galería de fotos del dispositivo; solo recibe la foto que usted elige o toma.
• Como las procesamos: al subirlas, los metadatos EXIF (incluidas las coordenadas GPS) se eliminan en el servidor, y la imagen se redimensiona y se convierte al formato WebP.
• Como las almacenamos: el almacenamiento es privado; las imagenes se sirven exclusivamente mediante URLs firmadas con caducidad, visibles solo para los usuarios autorizados de la misma organizacion (centro).
• Lo que NO hacemos: las fotos no se comparten con terceros, no se utilizan para publicidad y no se utilizan para entrenar modelos de inteligencia artificial.
• Control: la foto puede sustituirse o eliminarse en cualquier momento, directamente desde la aplicacion.
• Finalidad: exclusivamente la funcionalidad de la aplicacion — la identificacion visual de usuarios y ninos en la interfaz.

Utilizamos sus datos para los siguientes fines:

• Prestación del servicio: gestión de cuentas, autenticación, administración de instituciones y datos de alumnos/niños
• Comunicación: envío de notificaciones push, correos electrónicos transaccionales y mensajes a través de la plataforma
• Facturación: procesamiento de pagos y emisión de facturas
• Mejora de la plataforma: análisis estadístico y diagnóstico de problemas técnicos
• Cumplimiento legal: cumplimiento de las obligaciones legales aplicables
• Seguridad: prevención de fraude y protección de la plataforma

Procesamos sus datos en base a los siguientes fundamentos legales:

• Ejecución de un contrato (Art. 6(1)(b)): el procesamiento es necesario para la prestación del servicio Kidy según los términos contractuales
• Consentimiento (Art. 6(1)(a)): para cookies de análisis y marketing, notificaciones push y comunicaciones de marketing
• Interés legítimo (Art. 6(1)(f)): para la mejora de la plataforma, prevención de fraude y seguridad informática
• Obligación legal (Art. 6(1)(c)): para el cumplimiento de requisitos fiscales y de informes

Kidy procesa datos de niños exclusivamente como encargado del tratamiento, bajo las instrucciones de las instituciones educativas (responsables del tratamiento). Las instituciones son responsables de obtener el consentimiento necesario de los padres/tutores legales.

No recopilamos datos directamente de los niños. Todos los datos de los niños son introducidos por personal autorizado de la institución o por los padres a través de la aplicación.

Los datos de los niños se utilizan exclusivamente para fines educativos y administrativos: asistencia, gestión de grupos, comunicación con los padres e informes.

Contratos de las familias. Los contratos de inscripción y los anexos los sube la institución o se obtienen, a petición suya, de la cuenta de la institución en su proveedor de firma electrónica; también para ellos el responsable del tratamiento es la institución y Kidy actúa como encargado. Solo los administradores de la institución y los tutores activos de la familia en cuestión pueden verlos y descargarlos; cada descarga queda registrada (quién, cuándo y desde qué dirección IP). El archivo no se modifica ni se comparte con terceros. Un contrato anulado deja de mostrarse a los padres, pero permanece en el archivo de la institución.

No vendemos sus datos personales. Compartimos datos únicamente con las siguientes categorías de proveedores:

• Amazon Web Services (AWS): alojamiento de infraestructura – región UE (Fráncfort, Alemania). Acuerdo de procesamiento de datos vigente.
• Procesadores de pago (PayU, Stripe): procesamiento de pagos con tarjeta. Los procesadores de pago actúan como responsables independientes de los datos de pago. Política de privacidad de PayU, Política de privacidad de Stripe.
• Firebase (Google): envío de notificaciones push. Google procesa únicamente tokens de dispositivo y contenido de las notificaciones.
• Google Analytics / Google Tag Manager: análisis de tráfico exclusivamente en el sitio web público kidy.pro (datos anonimizados/seudonimizados). La aplicación móvil de Kidy no utiliza Google Analytics ni contiene ninguna herramienta de análisis o publicidad.
• Proveedores de correo electrónico: envío de correos electrónicos transaccionales.
• Anthropic (Claude): lectura automática de los extractos bancarios que la plataforma no reconoce, solo para las instituciones que activan esta opción en sus ajustes. Se envía el texto del extracto (por ejemplo el titular, los IBAN, los nombres de los pagadores y los importes), no el archivo. Anthropic actúa como encargado (subencargado) del tratamiento, no utiliza estos datos para entrenar sus modelos y el tratamiento se realiza en Estados Unidos con Cláusulas Contractuales Tipo. Política de privacidad de Anthropic.

Todos nuestros proveedores cumplen con el RGPD y han firmado Acuerdos de Procesamiento de Datos (DPA).

Sus datos se almacenan en servidores de AWS ubicados en la Unión Europea (Fráncfort, Alemania). En los casos en que un proveedor de servicios transfiera datos fuera de la UE/EEE, nos aseguramos de que existan garantías adecuadas (Cláusulas Contractuales Estándar, decisiones de adecuación u otros mecanismos aprobados). La lectura con IA de los extractos bancarios (Anthropic, solo en las instituciones que la activan) implica transferir el texto del extracto a Estados Unidos con Cláusulas Contractuales Estándar.

Conservamos sus datos según las siguientes reglas:

• Datos de cuenta: durante la duración de la cuenta activa + 30 días después de la eliminación
• Datos de los niños: durante la duración de la inscripción + según la política de retención de la institución
• Datos de facturación: 10 años según la legislación fiscal de Rumanía
• Contratos de las familias: según la política de conservación de documentos contractuales de la institución; se eliminan, con todas las versiones del archivo, junto con los datos de la institución
• Registros de seguridad: 12 meses
• Datos de cookies: según las duraciones especificadas en la Política de Cookies

Al finalizar la suscripción de una institución, los datos se conservan durante un período de gracia de 30 días, tras el cual se eliminan permanentemente.

Según el RGPD, usted tiene los siguientes derechos:

• Derecho de acceso (Art. 15): puede solicitar una copia de sus datos personales
• Derecho de rectificación (Art. 16): puede corregir datos inexactos
• Derecho de supresión (Art. 17): puede solicitar la eliminación de sus datos ("derecho al olvido")
• Derecho a la limitación del tratamiento (Art. 18): puede limitar el procesamiento de datos
• Derecho a la portabilidad de los datos (Art. 20): puede recibir sus datos en un formato estructurado, de uso común y lectura mecánica
• Derecho de oposición (Art. 21): puede oponerse al procesamiento en determinadas circunstancias
• Derecho a retirar el consentimiento: en cualquier momento, sin afectar la legalidad del procesamiento anterior

Para ejercer sus derechos, contáctenos en contact@kidy.pro. Responderemos en un plazo de 30 días.

Tiene derecho a presentar una reclamación ante la Autoridad Nacional de Supervisión del Procesamiento de Datos Personales de Rumanía (ANSPDCP) – www.dataprotection.ro.

Para instrucciones detalladas sobre la eliminacion de su cuenta y los datos asociados — incluyendo que se elimina, que estamos obligados a conservar y en cuanto tiempo se procesa la solicitud — consulte la pagina Eliminacion de la cuenta y los datos.

Utilizamos cookies y tecnologías similares para el funcionamiento de la plataforma, análisis y marketing. Para más detalles, consulte nuestra Política de Cookies.

Implementamos medidas técnicas y organizativas adecuadas para proteger sus datos, incluyendo:

• Cifrado en tránsito (TLS/SSL) y en reposo (AES-256)
• Autenticación segura con tokens JWT
• Aislamiento multi-tenant a nivel de base de datos
• Copias de seguridad regulares y cifradas
• Monitorización continua y registro de accesos
• Control de acceso basado en roles (RBAC)
• Los documentos sensibles (contratos de las familias, certificados médicos) se guardan en un almacenamiento privado y separado, cifrado con claves dedicadas y sin enlace público; solo son accesibles a través de la plataforma tras comprobar los permisos, y el acceso queda registrado

Para cualquier pregunta sobre esta política o sus datos personales:

• Correo electrónico: contact@kidy.pro
• Plataforma: kidy.pro

Nos reservamos el derecho de actualizar esta Política de Privacidad. Los cambios significativos se comunicarán por correo electrónico o mediante notificación en la plataforma. La fecha de la última actualización se indica al principio de este documento.

El uso continuado de la plataforma después de la publicación de los cambios constituye la aceptación de la nueva versión de la política.