Política de privacidad y tratamiento de datos personales

1. Marco legal

Esta política se rige por la Ley N.º 29733, Ley de Protección de Datos Personales, y por su reglamento vigente, aprobado por el Decreto Supremo N.º 016-2024-JUS, que sustituyó al Decreto Supremo N.º 003-2013-JUS. La autoridad de control es la Autoridad Nacional de Protección de Datos Personales, adscrita al Ministerio de Justicia y Derechos Humanos.

2. Dos papeles distintos, según de quién sean los datos

Maya Classroom es una plataforma multiempresa —operada por Marcos Orlando Torres Alarcón, RUC 10450256451, nombre comercial IGNIA— en la que cada organización tiene su propia aula, aislada de las demás. Esa arquitectura determina quién responde de qué.

Datos del alumnado y del equipo de cada organización

La organización que contrata el aula es la titular del banco de datos. Maya Classroom actúa como encargada del tratamiento: trata esos datos solo para prestarle el servicio y siguiendo sus instrucciones. Quien quiera ejercer sus derechos sobre ellos se dirige a su academia; si escribe a Maya Classroom, se le encamina a ella.

Datos de contacto y facturación de la organización cliente

Aquí Maya Classroom sí es titular del banco de datos, y los trata para gestionar el contrato, facturar y dar soporte.

Datos de quien visita el sitio público

También Maya Classroom, para atender consultas comerciales y medir el uso del sitio.

3. Qué datos se tratan y para qué

De identificación y contacto

Nombres, apellidos, correo, nombre de usuario y, si la organización lo pide, documento de identidad. Sirven para dar acceso al aula, identificar a quien entra y emitir certificados verificables.

Académicos

Matrículas, entregas, calificaciones, avance en cada actividad, asistencia a clases y certificados. Son el objeto mismo del servicio.

De uso y conexión

Registros de acceso y de acciones relevantes, con fecha, dirección IP y navegador. Sirven para la seguridad, para investigar incidentes y para que la organización pueda auditar lo que ocurre en su aula.

Contenido que se sube

Materiales, tareas entregadas, mensajes de foros, grabaciones de clases y las imágenes y voces que aparezcan en ellas.

De facturación

Razón social, RUC, domicilio y datos de la operación, cuando se trata de la organización cliente.

No se piden datos sensibles. Si una organización decide tratarlos en su aula —datos de salud para una adaptación, por ejemplo—, asume las obligaciones reforzadas que la ley impone y el consentimiento expreso que exige.

4. Clases en vivo y grabaciones

El audio y el vídeo de una clase en vivo viajan directamente entre los navegadores de quienes participan; la plataforma solo hace de central de señalización y no recibe esa transmisión, salvo cuando la red de alguien obliga a usar un servidor de relevo, en cuyo caso los paquetes pasan cifrados y no se almacenan.

Una clase solo se graba cuando quien la dirige lo activa, y mientras se graba se indica en pantalla. La grabación contiene imagen y voz de los participantes: corresponde a la organización informarlo y recabar el consentimiento cuando proceda. Las grabaciones se guardan cifradas y se sirven con un permiso de reproducción firmado y caducable, de modo que un enlace copiado deja de funcionar.

5. Menores de edad

La plataforma no está dirigida a menores por sí misma; es la organización quien decide a quién matricula. Cuando el alumnado sea menor de catorce (14) años, el tratamiento de sus datos requiere el consentimiento de quien ejerza la patria potestad o la tutela, y obtenerlo corresponde a la organización, que es la titular del banco de datos.

Entre los catorce y los dieciocho años se estará a lo que permita la normativa peruana sobre el consentimiento de adolescentes.

6. Cuánto tiempo se conservan

• Mientras la organización mantenga su aula activa, sus datos académicos se conservan porque son el expediente del alumnado.
• Las grabaciones de clase se conservan según el plazo de retención del plan contratado, tras el cual se eliminan.
• Los registros de acceso y auditoría se conservan por el plazo necesario para investigar incidentes de seguridad.
• Tras la baja del contrato, la información se entrega exportada y se elimina de los sistemas en producción en el plazo indicado en los términos y condiciones.
• Los datos de facturación se conservan durante el plazo que exigen las normas tributarias y contables peruanas.

7. Con quién se comparten, y dónde están

No se venden datos personales ni se ceden a terceros con fines comerciales. Para operar, la plataforma se apoya en proveedores que actúan como encargados y solo tratan los datos para prestarle servicio:

Alojamiento de la aplicación y de la base de datos

Servidores y base de datos gestionada, con la infraestructura fuera del Perú.

Almacenamiento de ficheros

Materiales, entregas y grabaciones, en almacenamiento de objetos de un proveedor internacional.

Envío de correo

Avisos de la plataforma y recuperación de contraseña.

Pasarelas de pago

Cuando una organización vende cursos, los datos de pago los trata directamente la pasarela que haya conectado. La plataforma no recibe ni almacena números de tarjeta.

Medición del sitio público

Estadísticas de uso del sitio con Google Analytics, según se detalla más abajo.

Parte de esta infraestructura está fuera del Perú, de modo que hay flujo transfronterizo de datos personales en el sentido del artículo 15 de la Ley N.º 29733. Se realiza con proveedores que ofrecen niveles adecuados de protección y bajo contratos que les obligan a las mismas garantías de confidencialidad y seguridad exigidas aquí.

También se comparten datos cuando lo exija una autoridad competente o una norma con rango de ley.

8. Cookies y almacenamiento en el navegador

La aplicación guarda en el almacenamiento local del navegador lo imprescindible para funcionar: los testigos de la sesión, la empresa a la que se entra, el tema claro u oscuro y si la barra lateral está plegada. No son cookies publicitarias y sin ellas no se puede mantener la sesión iniciada.

Para medir cuántas personas visitan el sitio y qué páginas leen usamos Google Analytics, que instala cookies propias de Google y transfiere datos de uso —incluida la dirección IP— a sus servidores.

Esa medición no se activa sola: la primera vez que se entra, un aviso pregunta, y hasta que se acepta no se carga nada de Google. Rechazarla cuesta lo mismo que aceptarla —un botón del mismo tamaño— y no limita en nada el uso de la plataforma. La respuesta se guarda en el navegador de cada quien y se puede cambiar cuando se quiera, con el botón que hay al final de esta página.

9. Sus derechos, y cómo ejercerlos

La Ley N.º 29733 reconoce los derechos de información, acceso, rectificación, cancelación y oposición, además del derecho a un tratamiento objetivo y a impedir el suministro de datos a terceros.

Quien sea alumno, docente o personal de una academia ejerce esos derechos ante su academia, que es la titular del banco de datos. La plataforma pone a disposición de cada organización un procedimiento dentro del aula para recibir y resolver esas solicitudes, incluida la exportación y la eliminación de los datos de una persona.

Para los datos de los que Maya Classroom es titular, la solicitud se dirige a [email protected], identificándose e indicando qué derecho se ejerce. Se responde en los plazos que fija la normativa.

Si la respuesta no satisface, cabe presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

10. Medidas de seguridad

Las medidas que se aplican, descritas sin tecnicismos y solo en lo que se puede afirmar:

• Aislamiento entre organizaciones: cada consulta a la base de datos va filtrada por la empresa a la que pertenece, y hay una comprobación automática que impide publicar código que no lo haga.
• Contraseñas guardadas con una función de hash lenta y con sal; nunca en claro.
• Acceso por sesiones con caducidad, con verificación en dos pasos disponible.
• Permisos por capacidades: cada acción exige la suya y se comprueba en el servidor, no solo en la pantalla.
• Tráfico cifrado en tránsito y ficheros privados servidos con permisos firmados y caducables, nunca con enlaces permanentes.
• Registro de auditoría de las acciones relevantes.
• Copias de seguridad periódicas de la base de datos.

Ninguna medida elimina por completo el riesgo. Si se produjera una brecha que afecte a datos personales, se comunicará a las organizaciones afectadas y a la autoridad conforme a lo que exija la normativa, con la información de que se disponga y las medidas adoptadas.

11. Cambios en esta política

Esta política puede actualizarse. Los cambios sustanciales se comunican a las organizaciones clientes por correo, y la fecha de vigencia de la versión que se está leyendo figura al principio del documento.

12. Contacto

Para cualquier asunto sobre datos personales: [email protected]. El responsable es Marcos Orlando Torres Alarcón, con RUC 10450256451, cuyo domicilio figura en la cabecera de este documento.