1. Responsable y Encargado del Tratamiento
Según el dato, Cuadernal actúa en dos roles:
Responsable del tratamiento: respecto a los datos de las cuentas de cliente (personas de contacto de la academia), facturación y uso del Servicio. Responsable: Josep Castanyer Benakki, NIF 53865736N (contacto: privacy@cuadernal.com).
Encargado del tratamiento: respecto a los datos de estudiantes y terceros que cada academia (Responsable) introduce en la plataforma. Este tratamiento se rige por el Contrato de Encargo del Tratamiento (/legal/dpa).
2. Datos que Recopilamos
Datos de registro:
• Nombre y apellidos
• Correo electrónico
• Nombre de la empresa/academia
Datos de uso:
• Registros de actividad en la plataforma
• Documentos generados y almacenados
• Información de estudiantes gestionados a través de formularios
Datos de terceros (estudiantes/alumnos):
• Datos de identificación (nombre, apellidos, NIF/NIE, teléfono, email)
• Datos formativos (inscripciones, asistencia, calificaciones)
• Otros datos recogidos a través de formularios personalizados por cada centro
Datos de facturación:
• Información de pago procesada a través de Stripe (no almacenamos datos de tarjeta)
3. Finalidad del Tratamiento
Prestación del servicio; generación de documentos y contenido con asistencia de inteligencia artificial (Google Gemini) exclusivamente para producir lo solicitado, sin uso para entrenamiento de modelos; facturación; comunicaciones del servicio; cumplimiento legal; y, solo si lo consientes y por categorías separadas, la medición estadística del uso de nuestro sitio web público (analítica) y la medición de la eficacia de nuestra publicidad (marketing).
4. Base Legal
• Ejecución del contrato (art. 6.1.b) para prestar el Servicio.
• Consentimiento (art. 6.1.a) para datos de estudiantes recogidos mediante formularios públicos.
Consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI-CE) para las cookies y demás tecnologías de analítica, publicidad y medición de nuestro sitio web: las de Google Analytics 4 (categoría de analítica) y las de Meta (categoría de marketing). Son dos consentimientos independientes: puedes aceptar la analítica y rechazar la publicidad, o al revés. La analítica de terceros no está exenta de consentimiento; la exención del art. 22.2 LSSI-CE alcanza únicamente a las cookies técnicas. Sin tu consentimiento no se instala nada de esa categoría ni se envía ningún dato, por ninguna vía. Puedes retirarlo en cualquier momento (ver Política de Cookies).
• Obligación legal (art. 6.1.c) para conservación de facturación.
• Interés legítimo (art. 6.1.f) para mejora del servicio y prevención de fraude.
5. Destinatarios de los Datos
5.1. Encargados del tratamiento
Prestadores que tratan datos por cuenta de Cuadernal y siguiendo sus instrucciones:
• Supabase — base de datos, autenticación y almacenamiento. Región: eu-west-3 (París, Francia), dentro de la Unión Europea.
• Google — interviene en dos servicios distintos, en ambos como encargado del tratamiento: la API de Gemini, para la generación de contenido con inteligencia artificial, y Google Analytics 4, para la medición estadística de nuestro sitio web público, que solo se activa si aceptas la categoría de analítica. En Analytics, Google trata los datos por cuenta de Cuadernal y siguiendo sus instrucciones, conforme a sus Condiciones de Tratamiento de Datos, que le atribuyen la condición de encargado. Lo que recibe en esa medición son identificadores seudónimos de tu navegador (las cookies descritas en la Política de Cookies), las páginas visitadas, datos técnicos de tu dispositivo y navegador y datos aproximados de ubicación derivados de la dirección IP; nunca los datos de estudiantes que las academias gestionan en la plataforma ni el contenido de los documentos generados. Ubicado en EE. UU. (ver Transferencias Internacionales).
• Stripe — pagos y suscripciones (no almacenamos datos de tarjeta).
• Resend — email transaccional.
• Apify y servicios asociados — únicamente para funciones internas de prospección comercial de Cuadernal sobre datos de contacto profesional de potenciales clientes (no afecta a datos de estudiantes ni a las cuentas de cliente).
• DeepSeek — modelo de inteligencia artificial empleado, dentro de esas mismas funciones internas de prospección comercial, para localizar y completar datos de contacto profesional de empresas potencialmente clientes (nombre y cargo de la persona de contacto, teléfono, correo electrónico y web). No interviene en los datos de estudiantes que las academias gestionan en la plataforma, ni en las cuentas de cliente, ni en los documentos generados. Ubicado en China (ver Transferencias Internacionales).
Todos ellos actúan por cuenta de Cuadernal. Es lo que los distingue del apartado siguiente: Meta no es un encargado, sino un corresponsable, porque utiliza los datos también para sus propias finalidades.
5.2. Corresponsable del tratamiento: Meta
Meta Platforms Ireland Limited (Merrion Road, Dublín 4, D04 X2K5, Irlanda) interviene en un tratamiento distinto de los anteriores: la medición de la eficacia de nuestra publicidad en nuestro sitio web público, mediante el píxel de Meta y su API de Conversiones.
• Respecto de la recogida y transmisión de esos datos a Meta, Cuadernal y Meta actúan como corresponsables del tratamiento (art. 26 RGPD), no como responsable y encargado: Meta no se limita a seguir nuestras instrucciones, sino que utiliza esos datos también para sus propias finalidades conforme a sus condiciones y a su política de privacidad. Este criterio es el que fijó el Tribunal de Justicia de la UE en el asunto Fashion ID (C-40/17).
• Base jurídica: tu consentimiento a la categoría de marketing (art. 6.1.a RGPD y art. 22.2 LSSI-CE), que es independiente del de analítica. Si no lo prestas, no se carga el píxel, no se instala ninguna cookie de Meta y tampoco se envía nada desde nuestros servidores, aunque hayas aceptado la analítica.
• Qué recibe Meta cuando has consentido — identificadores seudónimos de tu navegador (las cookies descritas en la Política de Cookies), la página visitada, la acción realizada (por ejemplo, descarga de un recurso o contratación), la dirección IP y el agente de usuario. Los datos de contacto que se envían desde nuestro servidor (correo electrónico, teléfono y nombre) se transmiten seudonimizados mediante hash SHA-256, nunca en claro.
• Qué NO recibe Meta en ningún caso — los datos de estudiantes que las academias gestionan en la plataforma, ni el contenido de los documentos generados. El píxel solo opera en las páginas públicas de marketing.
• Tus derechos frente a Meta — puedes ejercerlos ante cualquiera de los dos corresponsables. Escribiendo a privacy@cuadernal.com te indicaremos lo esencial del acuerdo de corresponsabilidad; para el tratamiento posterior que Meta hace por su cuenta, el interlocutor es Meta.
No vendemos ni alquilamos datos personales. Solo se comparten con los destinatarios indicados y, cuando la ley lo exija, con autoridades competentes.
6. Transferencias Internacionales
Algunos destinatarios están en EE. UU. o pueden tratar los datos allí: Google, tanto por la API de Gemini como por Google Analytics 4, y Meta, que transfiere datos a Meta Platforms, Inc. (EE. UU.). Estas transferencias se amparan en las salvaguardas del Capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está adherido, y/o las cláusulas contractuales tipo de la Comisión Europea con medidas complementarias. Las transferencias asociadas a la analítica solo se producen si has aceptado la categoría de analítica, y las asociadas al píxel de Meta solo si has aceptado la categoría de marketing: si rechazas una de las dos, no se transfiere nada por esa vía. Puedes solicitar información sobre dichas salvaguardas en privacy@cuadernal.com.
Transferencia a China: DeepSeek. El proveedor de inteligencia artificial DeepSeek trata los datos en China, un país sobre el que la Comisión Europea no ha adoptado ninguna decisión de adecuación (art. 45 RGPD). Esta transferencia afecta exclusivamente a los datos de contacto profesional de empresas potencialmente clientes que Cuadernal trata para su propia prospección comercial, descritos en el apartado 5.1: no alcanza a los datos de estudiantes que las academias gestionan en la plataforma, ni a los datos de las cuentas de cliente, ni al contenido de los documentos generados, que nunca se envían a este proveedor. El mecanismo del Capítulo V del RGPD en el que se ampara esta transferencia está pendiente de formalización y de publicación en esta política. Puedes solicitar información actualizada al respecto en privacy@cuadernal.com.
7. Conservación de Datos
• Datos de cuenta: mientras la cuenta esté activa. Al eliminar la cuenta, los datos de los sistemas activos (base de datos y almacenamiento de ficheros, incluidos los documentos generados) se borran de forma permanente; las copias de seguridad que puedan contenerlos se eliminan en un máximo de 30 días (rotación de backups).
• Datos de estudiantes: mientras la academia mantenga la cuenta activa; se eliminan con la cuenta.
• Datos de facturación: se conservan durante el plazo legal fiscal (con carácter general, hasta 6 años según la normativa mercantil/fiscal), disociados de la identidad cuando la cuenta se elimina (se anonimizan los datos personales asociados y se conserva únicamente el registro contable exigido por la ley).
8. Tus Derechos
Acceso, rectificación, supresión (desde Ajustes → Zona de peligro, para el titular de la cuenta), portabilidad (exportación de tus datos desde Ajustes), oposición y limitación. Para ejercerlos: privacy@cuadernal.com. Puedes reclamar ante la AEPD (www.aepd.es).
9. Uso de Inteligencia Artificial y Transparencia (Reglamento UE de IA)
Cuadernal utiliza IA (Google Gemini) para generar o asistir la creación de documentos, contenidos formativos, exámenes y traducciones. El contenido generado se identifica como elaborado con asistencia de IA cuando se entrega. Este contenido puede contener errores y debe ser revisado por el usuario; no se utiliza para entrenar modelos. Los datos se envían al proveedor de IA solo para producir el resultado solicitado.
10. Seguridad
Aplicamos medidas técnicas y organizativas: cifrado en tránsito (HTTPS/TLS) y en reposo (gestionado por nuestro proveedor de infraestructura), control de acceso por roles y aislamiento por organización (Row Level Security), cifrado adicional AES-256 de credenciales internas sensibles (p. ej. accesos a buzones de correo integrados) y copias de seguridad periódicas.
11. Menores
El Servicio está dirigido a academias y profesionales (mayores de 18 años); no se ofrece directamente a menores. Cuando una academia gestione datos de estudiantes menores de edad, la academia (Responsable) es quien debe recabar el consentimiento de los titulares de la patria potestad o tutela conforme al art. 7 LOPDGDD, actuando Cuadernal como mero encargado.
12. Cambios en la Política
Notificaremos cambios materiales a través del Servicio o por correo.
13. Contacto
Contacto en materia de protección de datos: privacy@cuadernal.com. No se ha designado un Delegado de Protección de Datos por no ser legalmente exigible dada la naturaleza y el volumen del tratamiento (art. 37 RGPD). Reclamaciones: Agencia Española de Protección de Datos (AEPD).