Privacidad y protección de datos — NeuroLEO Colegios

NeuroLEO Colegios registra el seguimiento pedagógico del alumnado con necesidad específica de apoyo educativo: grupos, necesidades de apoyo, el plan individualizado y el día a día en el aula. No tratamos datos de salud: diagnósticos, informes médicos e historial clínico no se recogen ni se almacenan aquí.

Esta política se dirige a centros, redes educativas y a las familias del alumnado con seguimiento. La aplicación de las familias, que se contrata por separado, tiene su propia política.

El centro contratante es el responsable del tratamiento de los datos de su alumnado: es quien decide a qué alumnos hace seguimiento, qué información registra y durante cuánto tiempo la conserva. Esto es coherente con la obligación que el centro ya tiene de documentar la respuesta educativa que ofrece.

NeuroLEO actúa como encargado del tratamiento (art. 28 del RGPD): tratamos los datos exclusivamente siguiendo las instrucciones documentadas del centro, para prestar el servicio contratado. No los usamos para finalidad propia, no los vendemos, no los cedemos a terceros y no los empleamos para entrenar modelos.

La relación se formaliza en un contrato de encargo de tratamiento con el contenido que exige el artículo 28.3 del RGPD, que se firma junto con la contratación del servicio. Puedes solicitarlo antes de contratar, escribiendo a privacidad@neuroleo.cloud.

Un punto que conviene aclarar de entrada: el centro no necesita el consentimiento de la familia para documentar la respuesta educativa que la ley le obliga a dar. La base jurídica es otra:

• Cumplimiento de una obligación legal (art. 6.1.c RGPD): la LOMLOE obliga al centro a dar respuesta individualizada al alumnado con necesidad específica de apoyo educativo, y el plan individualizado es como se documenta.
• Misión realizada en interés público (art. 6.1.e RGPD), en el caso de centros públicos y concertados en el ejercicio de la función educativa.
• Interés legítimo (art. 6.1.f RGPD) para los registros pedagógicos del día a día, siempre limitados al seguimiento del alumno.

La normativa educativa habilita al centro a recabar los datos del alumnado necesarios para la función educativa sin recabar consentimiento, con el deber correlativo de informar a las familias. Ese deber de información sigue siendo del centro, y esta política está redactada para que pueda apoyarse en ella.

Como no tratamos datos de salud, no entra en juego el régimen de categorías especiales del artículo 9. Esa decisión es deliberada y se explica en el apartado siguiente.

Del alumno:

• Nombre, fecha de nacimiento y grupo.
• Necesidades de apoyo pedagógico (por ejemplo: apoyo en la comunicación, mediación en las transiciones).
• Plan individualizado: objetivos, ámbito de desarrollo, estrategias, situación de cada objetivo y fecha de revisión.
• Registros del día escolar: participación en las actividades, forma de comunicación, convivencia, alimentación, ocurrencia de crisis (con qué la precedió y qué ayudó), logros y notas para la familia.
• Constancia de que el informe fue entregado a secretaría y en qué fecha, sin el documento.

De la familia: nombre, correo electrónico y teléfono, para la comunicación del centro con el hogar.

Del equipo docente: nombre, correo electrónico y perfil dentro del centro (dirección, jefatura de estudios, orientación, profesorado, PT, AL, ATE), para el control de acceso.

• Diagnósticos ni códigos de clasificación (CIE).
• Informes médicos o terapéuticos, ni adjuntos ni en texto libre.
• Medicación, historial clínico ni datos de salud de ninguna naturaleza.
• Datos biométricos, imagen ni voz del alumno.
• Datos de alumnado que no esté en seguimiento.

Del informe médico mantenemos únicamente la constancia administrativa de que fue entregado a secretaría y cuándo. El documento permanece con la familia y con el centro, fuera de la plataforma. Así el centro tiene el registro que necesita sin convertirse en custodio de datos de salud de un menor.

Conviene distinguirlo de otros dos documentos: el dictamen de escolarización y el informe de evaluación psicopedagógica son documentos educativos, emitidos por el equipo de orientación, y siguen residiendo en los sistemas oficiales del centro y de la administración educativa. NeuroLEO no los sustituye ni los almacena.

El acceso está limitado por perfil, y la regla se aplica en la base de datos, no solo en la pantalla:

• Dirección: todo el alumnado del centro.
• Jefatura de estudios y orientación: todo el alumnado con seguimiento.
• Tutor/a y profesorado: solo el alumnado de sus grupos.
• PT, AL y ATE: solo el alumnado al que apoyan.
• Familia: únicamente su propio hijo, mediante enlace de solo lectura, revocable en cualquier momento.

Un centro nunca ve los datos de otro. Nuestro equipo accede a datos de alumnado únicamente cuando el centro lo solicita para resolver una incidencia, y ese acceso queda registrado.

Para prestar el servicio nos apoyamos en Supabase (alojamiento de base de datos y archivos), con contrato de encargo conforme al artículo 28 del RGPD e infraestructura ubicada en la Unión Europea.

El centro autoriza este subencargado al contratar. Cualquier alta o cambio de subencargado se comunicará con antelación, y el centro podrá oponerse conforme al artículo 28.2 del RGPD.

• Cifrado en tránsito (HTTPS) y en reposo.
• Aislamiento por centro a nivel de base de datos: la restricción la impone el motor de datos, no la aplicación.
• Control de acceso por perfil, revocable por la dirección en cualquier momento.
• Enlaces de seguimiento familiar con caducidad y revocación inmediata.
• Contraseñas almacenadas mediante función de hash irreversible.
• Copias de seguridad periódicas y registro de accesos de soporte.

Los datos se mantienen mientras dure el contrato con el centro, respetando los plazos de conservación que la normativa educativa impone al propio centro para la documentación académica.

Al finalizar el contrato, y conforme al artículo 28.3.g del RGPD, el centro elige: le devolvemos los datos en formato estructurado o los eliminamos definitivamente. En ambos casos la operación se ejecuta en un plazo máximo de 30 días desde la solicitud, y se emite constancia de su realización.

Las familias pueden ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición sobre los datos de su hijo.

Como el centro es el responsable del tratamiento, las solicitudes se dirigen a él, y nosotros le asistimos con los medios técnicos necesarios para atenderlas, tal como exige el artículo 28.3.e del RGPD. Si una solicitud nos llega directamente, la trasladamos al centro sin dilación y se lo comunicamos a quien la presentó.

Las familias pueden además presentar una reclamación ante la Agencia Española de Protección de Datos, www.aepd.es.

El plan individualizado es un documento del que la familia tiene derecho a tener conocimiento. Por eso el enlace de seguimiento existe: no es una concesión, es la forma más simple de que el centro cumpla ese deber.

En España la edad de consentimiento digital es de 14 años (art. 7 de la LOPDGDD). Dado que el tratamiento aquí no se basa en el consentimiento sino en la obligación legal del centro, esa edad no condiciona la licitud del tratamiento — pero sí el ejercicio de derechos: a partir de los 14 años el propio alumno puede ejercerlos, y el centro debe atenderle.

Ante una violación de la seguridad de los datos personales, se lo comunicamos al centro sin dilación indebida, con la información que exige el artículo 33.3 del RGPD, y le prestamos la asistencia necesaria.

La notificación a la Agencia Española de Protección de Datos, dentro de las 72 horas, y en su caso a las familias afectadas, corresponde al centro como responsable del tratamiento. Nuestro papel es dárselo todo hecho a tiempo para que pueda cumplir ese plazo.

Dudas sobre esta política, solicitudes de personas interesadas o petición del contrato de encargo de tratamiento: privacidad@neuroleo.cloud.

Ver también los Términos de uso para centros y NeuroLEO Colegios.