Política de privacidad
Borrador pendiente de revisión jurídica. Los textos marcados como [PENDIENTE: …] se completarán antes de aprobarlo.
Última actualización: [PENDIENTE: fecha de aprobación]
1. Quién es responsable de tus datos
GoBuLearn es una plataforma de teleformación para empresas. Quién decide sobre tus datos depende de cómo la usas:
| Cómo usas GoBuLearn | Responsable del tratamiento | Papel de GoBuLearn |
|---|---|---|
| Te ha dado de alta tu empresa o una entidad de formación que usa la plataforma (el «cliente») | El cliente | Encargado del tratamiento: trata tus datos por cuenta del cliente y según sus instrucciones (art. 28 RGPD) |
| Haces una formación que organiza e imparte directamente GoBuLearn | GoBuLearn | Responsable |
| Pides información desde la web pública | GoBuLearn | Responsable |
| Eres persona de contacto o administradora de un cliente | GoBuLearn | Responsable |
Si tu responsable es un cliente, también puedes pedirle su propia información de privacidad. Esta política explica qué hace la plataforma con tus datos en todos los casos.
Datos de GoBuLearn:
- Titular: [PENDIENTE: razón social]
- CIF: [PENDIENTE: CIF]
- Domicilio: [PENDIENTE: domicilio social]
- Correo de privacidad: [PENDIENTE: correo de privacidad]
- Delegado de protección de datos: [PENDIENTE: indicar si se designa y su contacto; si no se designa, quitar esta línea]
2. Qué datos tratamos
| Categoría | Datos | Origen |
|---|---|---|
| Cuenta | Nombre y apellidos, correo electrónico, otros correos verificados de la cuenta y contraseña (guardada cifrada con bcrypt, nunca en claro) | Tú o tu organización al invitarte |
| Pertenencia | Empresa o espacio, cliente, papel (alumno, tutor o administración), correo de empresa y altas, bajas y cambios de papel con fecha | Tu organización o GoBuLearn |
| Matrícula | Cursos asignados, convocatorias y sus fechas, matrículas, bajas y solicitudes de baja con su motivo | Tu organización, tu tutor o GoBuLearn |
| Aprendizaje | Avance por lección, respuestas a preguntas y actividades, comprobaciones y pistas usadas en las prácticas, tu respuesta a «¿Qué IA tienes?», tests de módulo y test final con sus intentos y resultados | Tu actividad |
| Entregas | Texto de los retos, archivos adjuntos (imágenes o PDF), «Lo he hecho fuera» con su evidencia y los comentarios del tutor | Tú y tu tutor |
| Sesiones de estudio | Inicio, señales cada 20 segundos mientras tienes un curso abierto, si la página está visible, la lección abierta, última señal y fin. Con ellas se calculan el tiempo de conexión y la secuencia de contenidos | Tu navegador, solo mientras estudias |
| Prácticas con IA | Lo que escribes en «Prueba con IA», la respuesta del modelo y su valoración (los tres últimos intentos de cada práctica) | Tú |
| Comunicación | Consultas al tutor y sus respuestas, mensajes de foro, avisos, lecturas y mensajes ocultados con su motivo | Tú, tus tutores y la administración |
| Tutoría | Notas internas del equipo de tutoría sobre tu matrícula | Tus tutores |
| Diplomas | Nombre y apellidos, curso, contenidos, horas, modalidad, periodo, fecha de expedición y código de verificación. Sin DNI | La plataforma, al cumplir los requisitos |
| Solicitudes sobre tu cuenta | Fecha de la petición de eliminación y, si la retiras, de la retirada | Tú |
| Seguridad | Códigos de acceso y de recuperación de contraseña (guardados como huella), sesiones abiertas, contadores de intentos con una huella del correo o de la dirección IP y registro del modo soporte | La plataforma |
| Registro de actividad | Entradas (correctas y fallidas) y salidas con la fecha, el método, la dirección IP resumida (una huella cifrada con un secreto del servidor; la IP no se guarda) y el navegador simplificado (por ejemplo, «Chrome · Android», no la cadena completa). Quién consulta o descarga tus datos de formación (administración, tutoría, soporte o inspección), quién emite tu diploma y las acciones de gestión, con fecha | La plataforma |
| Clientes | Nombre, razón social, CIF y dirección del cliente; nombre y correo de sus administradores | El cliente |
| Solicitudes de información | Empresa, nombre, correo, número de personas y mensaje | Tú, desde la web pública |
No pedimos datos de categorías especiales (salud, ideología, origen…) ni tu DNI. No los escribas en consultas, foros, entregas ni prácticas con IA: los cursos usan siempre datos ficticios.
3. Para qué los usamos y con qué base
| Finalidad | Base jurídica |
|---|---|
| Gestionar tu cuenta y tu acceso e impartir la formación: lecciones, prácticas, evaluación, tutoría, comunicación y avisos por correo | Ejecución de un contrato (art. 6.1.b RGPD): el del cliente con GoBuLearn o el de la formación que imparte GoBuLearn. Si accedes por un cliente, la base la determina él [PENDIENTE: confirmar] |
| Registrar tiempos de conexión, controles y evidencias para justificar la formación, por ejemplo la bonificada por FUNDAE | Cumplimiento de una obligación legal del responsable (art. 6.1.c RGPD) [PENDIENTE: confirmar base y normas aplicables (Ley 30/2015, RD 694/2017, Orden TMS/368/2019)] |
| Expedir diplomas y certificados de asistencia | Obligación legal (art. 7.2 RD 694/2017) y ejecución del contrato |
| Permitir que un tercero compruebe un diploma con su código | Interés legítimo en que los diplomas se puedan verificar (art. 6.1.f RGPD) [PENDIENTE: revisar] |
| «Prueba con IA» y ayudante de la lección | Ejecución del contrato: forman parte del curso [PENDIENTE: revisar si procede pedir consentimiento por usar un proveedor externo] |
| Seguridad: limitar intentos, prevenir abusos y registrar el modo soporte | Interés legítimo en proteger la plataforma y los datos (art. 6.1.f RGPD) |
| Responder a solicitudes de información | Medidas precontractuales a petición tuya (art. 6.1.b RGPD) e interés legítimo en atender contactos profesionales (art. 19 LOPDGDD) [PENDIENTE: revisar] |
| Gestionar la relación con los clientes y facturar | Ejecución del contrato y obligaciones fiscales y mercantiles (art. 6.1.b y 6.1.c RGPD) |
No usamos tus datos para publicidad ni para perfiles comerciales, y no los vendemos.
Correcciones automáticas y diplomas
La plataforma corrige automáticamente preguntas, actividades y tests y cuenta los controles hechos. El diploma se puede descargar al aprobar el test final (si el curso lo tiene) y completar al menos el 75 % de los controles. Si la convocatoria termina sin evaluación positiva y con actividad, corresponde un certificado de asistencia. Puedes pedir que una persona revise un resultado a tu tutor o en el correo de privacidad. [PENDIENTE: valorar si la emisión del diploma es una decisión automatizada del art. 22 RGPD]
En «Prueba con IA», la valoración del modelo es orientativa: no pone nota ni decide si apruebas.
4. Inteligencia artificial
- «Prueba con IA». Lo que escribes se envía a un modelo de IA externo junto con el enunciado de la práctica, para obtener una respuesta y una valoración. No se envía tu nombre, tu correo ni ningún identificador tuyo.
- Filtro de datos personales. Antes de enviar, la plataforma busca DNI o NIE, IBAN, números de tarjeta, teléfonos y correos electrónicos. Si encuentra alguno, no envía nada y te pide quitarlo.
- Ayudante de la lección. Envía tu pregunta, hasta seis mensajes recientes de la conversación y el contenido de la lección. La conversación no se guarda en la plataforma y desaparece al cerrar la lección. Pasa por el mismo filtro de datos personales.
- Proveedores. Anthropic (modelos Claude) y, si no está disponible, OpenRouter limitado a proveedores que no recogen datos (
data_collection: deny). [PENDIENTE: confirmar qué proveedor está activo en producción, si usa los datos para entrenar y cuánto tiempo los conserva] - Web pública. La lección de muestra de cada curso simula la práctica: no envía nada a ningún proveedor ni guarda lo que escribes.
5. Quién puede ver tus datos
- La administración de tu empresa: tu nombre, tu correo de empresa, tus convocatorias y matrículas, las actividades y controles hechos y tu diploma. No ve tus respuestas, entregas, tests, prácticas, tiempos de conexión ni consultas.
- Tus tutores y quien organiza tu convocatoria: además, tus respuestas, entregas, tests, prácticas con sus comprobaciones y pistas, tiempos de conexión y consultas.
- Otros participantes del foro: tu nombre y lo que publicas.
- GoBuLearn: la superadministración gestiona clientes, cursos y diplomas. Solo ve datos de alumnos de un cliente en una sesión de soporte con motivo y de 60 minutos como máximo; cada lectura y acción queda registrada y el cliente puede consultar ese registro.
- Quien tenga el código de tu diploma: la página de verificación muestra tu nombre, el curso, la modalidad, las horas, el periodo, la fecha de expedición y la entidad. No aparece en buscadores.
- Administraciones públicas: FUNDAE, el SEPE, la Inspección de Trabajo y Seguridad Social, juzgados u otras autoridades, cuando lo exija la ley.
Proveedores que tratan datos por nuestra cuenta (encargados del tratamiento):
| Proveedor | Servicio | Ubicación de los datos | Garantía si salen del EEE |
|---|---|---|---|
| Vercel Inc. | Alojamiento de la web y la API | Frankfurt, UE (región fra1) [PENDIENTE: comprobar en el panel] | [PENDIENTE: DPA y garantía (Marco de Privacidad de Datos UE-EE. UU. o cláusulas tipo)] |
| Vercel Inc. (Vercel Blob) | Vídeos de los cursos y archivos adjuntos de las entregas, en almacén privado | [PENDIENTE: región del almacén] | [PENDIENTE: igual que la fila anterior] |
| Neon | Base de datos | Frankfurt, UE (AWS eu-central-1) | [PENDIENTE: entidad contratante, DPA y garantía] |
| Anthropic | Modelos de IA de «Prueba con IA» y del ayudante | [PENDIENTE: ubicación] | [PENDIENTE: DPA y garantía] |
| OpenRouter Inc. y proveedor del modelo | Alternativa a Anthropic | EE. UU. | [PENDIENTE: DPA y garantía, o quitar si no se usa] |
| [PENDIENTE: proveedor de correo (Google Workspace o Microsoft 365)] | Invitaciones, códigos de acceso y avisos por correo | [PENDIENTE: ubicación] | [PENDIENTE: garantía] |
6. Transferencias internacionales
La base de datos y la plataforma se alojan en la Unión Europea. Algunos proveedores son empresas de Estados Unidos y pueden tratar datos fuera del Espacio Económico Europeo, en particular los proveedores de IA. Solo se hace con las garantías del capítulo V del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está adherido, o cláusulas contractuales tipo de la Comisión Europea. [PENDIENTE: confirmar la garantía de cada proveedor] Puedes pedir una copia de las garantías en el correo de privacidad.
7. Cuánto tiempo los conservamos
| Datos | Plazo |
|---|---|
| Cuenta y pertenencias | Mientras tengas acceso a algún espacio y después [PENDIENTE: plazo] |
| Matrículas, avance, respuestas, tests, entregas y adjuntos, sesiones de estudio y comunicación de una convocatoria | [PENDIENTE: plazo de conservación de la documentación justificativa de la formación, a confirmar con la asesoría FUNDAE]. Las sesiones de estudio y el historial de entregas e intentos se borran automáticamente 4 años después del fin de la convocatoria [PENDIENTE: confirmar el plazo con la asesoría] |
| Diplomas y su página de verificación | [PENDIENTE: plazo] |
| «Prueba con IA» | Los tres últimos intentos de cada práctica, mientras se conserve tu avance |
| Ayudante de la lección | No se guarda en la plataforma. En el proveedor: [PENDIENTE: plazo] |
| Solicitudes de información | [PENDIENTE: plazo] |
| Registro del modo soporte | [PENDIENTE: plazo] |
| Registro de actividad (entradas, salidas, consultas, descargas y acciones de gestión) | 5 años desde cada registro (el plazo de la convocatoria más un año de margen); después se borra automáticamente [PENDIENTE: confirmar el plazo con la asesoría] |
| Datos de clientes y facturación | Los plazos de la normativa fiscal y mercantil [PENDIENTE: confirmar] |
| Sesión iniciada | 30 días desde el inicio o hasta que cierras sesión |
| Códigos de acceso y de recuperación de contraseña | Caducan a los 10 minutos |
| Contadores de intentos | 15 minutos; los de IA, hasta 24 horas |
Al terminar cada plazo, los datos se suprimen o, si una ley obliga a conservarlos, se bloquean y solo se ponen a disposición de las autoridades (art. 32 LOPDGDD).
8. Tus derechos
Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de tus datos, y no ser objeto de decisiones basadas solo en un tratamiento automatizado. Si un tratamiento se basa en tu consentimiento, puedes retirarlo cuando quieras.
- En la plataforma, en «Perfil y privacidad»: cambiar tu nombre, descargar una copia de tus datos (cuenta, espacios, matrículas, avance, entregas, tests y sesiones de estudio, en JSON) y pedir la eliminación de tu cuenta, que puedes retirar mientras no se resuelva.
- Lo que no incluye la copia (consultas, mensajes del foro, comentarios del tutor y diplomas) y el cambio de correo se piden por correo electrónico.
- Eliminación de la cuenta: se revisa antes, porque algunos datos de las convocatorias pueden tener que conservarse. Te respondemos por correo.
- Por correo a [PENDIENTE: correo de privacidad], desde el correo de tu cuenta o indicándolo. Si no podemos comprobar tu identidad, te pediremos un dato más.
- Si accedes por un cliente, el responsable es él: puedes dirigirte a él o a nosotros, y le trasladaremos tu petición.
Respondemos en un mes; en casos complejos puede ampliarse dos meses más y te avisaremos (art. 12.3 RGPD).
Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
9. Seguridad
- Conexiones cifradas (HTTPS) y datos alojados en la UE.
- Contraseñas cifradas con bcrypt y códigos de un solo uso guardados como huella.
- Sesión en una cookie que solo lee el servidor.
- Datos separados por cliente y por empresa, con permisos por papel comprobados en cada petición.
- Archivos de entregas y vídeos en almacén privado, servidos solo a quien tiene permiso.
- Límites de intentos de acceso y de uso de la IA.
- Registros de comunicación y de soporte que no se pueden modificar desde la aplicación.
- Acceso de GoBuLearn a datos de clientes solo en sesiones de soporte registradas.
- [PENDIENTE: copias de seguridad y monitorización, cuando estén operativas]
10. Menores
GoBuLearn está pensado para personas adultas en el ámbito laboral y profesional. Los menores de 14 años no deben usarlo. [PENDIENTE: si algún cliente forma a menores de 18 años, revisar este apartado y la base jurídica (art. 7 LOPDGDD)]
11. Cookies y almacenamiento del navegador
Solo usamos almacenamiento técnico, necesario para que la plataforma funcione o para recordar algo que has hecho tú. No hay cookies de análisis, publicidad ni de terceros, y las fuentes y los vídeos se sirven desde la propia plataforma. Por eso no pedimos consentimiento (art. 22.2 LSSI-CE).
| Nombre | Tipo | Para qué | Duración |
|---|---|---|---|
gobu_session | Cookie propia que solo lee el servidor (HttpOnly, SameSite=Strict, Secure) | Mantener tu sesión iniciada | Hasta 30 días o hasta cerrar sesión |
gobulearn-workspace-…, gobulearn-context-…, gobulearn-course-… | sessionStorage | Recordar el espacio, el contexto y el curso elegidos en esta pestaña | Hasta cerrar la pestaña |
gobulearn-invitation | sessionStorage | Completar una invitación después de entrar | Hasta usarla o cerrar la pestaña |
gobulearn-study:… | sessionStorage | Enviar la última señal de la sesión de estudio si se corta la conexión | Hasta enviarla o cerrar la pestaña |
gobulearn-forum-notice-… | localStorage | No repetir el aviso de que tu nombre es visible en el foro | Hasta que borres los datos del navegador |
Los enlaces a recursos externos de los cursos abren sitios de terceros, con sus propias políticas.
12. Cambios
Si cambiamos esta política de forma relevante, lo avisaremos en la plataforma antes de que se aplique.