Información legal

Política de privacidad

Última actualización: 29 de octubre de 2026

Esta política explica qué datos personales tratamos, para qué, con qué base jurídica, cuánto tiempo los conservamos, quién más accede a ellos y cómo puedes ejercer tus derechos. Se redacta conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Quién es el responsable

Responsable: claustria.com
Correo de contacto: [email protected]
Nombre comercial: Claustria

No hemos designado un delegado de protección de datos, porque no concurre ninguno de los supuestos que lo hacen obligatorio (artículo 37.1 del RGPD y artículo 34 de la LOPDGDD): no somos una administración pública, no hacemos observación sistemática de personas a gran escala y no tratamos a gran escala categorías especiales de datos. Cualquier cuestión sobre privacidad se atiende en el correo indicado arriba.

Los datos identificativos completos del titular figuran en el aviso legal.

2. Tratamientos en los que somos responsables

2.1 Mensajes de contacto

Son los datos que nos dejas voluntariamente en el formulario de contacto para que te respondamos.

Qué datos	Nombre, correo electrónico, teléfono (opcional) y el mensaje que escribas. También la fecha del envío.
Para qué	Responderte y mantener el contacto derivado de tu mensaje.
Base jurídica	Artículo 6.1.b del RGPD: medidas precontractuales adoptadas a tu propia solicitud. Eres tú quien nos escribe para que te respondamos, así que no pedimos consentimiento adicional ni te enviamos comunicaciones comerciales que no hayas pedido.
Cuánto tiempo	2 años desde el envío. Puedes pedirnos que los borremos antes en cualquier momento.
Obligatoriedad	Los campos marcados como obligatorios lo son para poder responderte. El teléfono es opcional.

Te pedimos que no incluyas en el mensaje libre datos sensibles ni datos de terceros que no necesitemos.

2.2 Cuentas de usuario

Qué datos	Correo electrónico y contraseña. La contraseña no se guarda: almacenamos un resumen criptográfico con scrypt y un valor aleatorio distinto por cuenta, del que no se puede recuperar la original. Ni nosotros podemos leerla. De la última conexión guardamos la fecha, la IP, el tipo de aparato y navegador y la ciudad aproximada que deduce Cloudflare de la IP. Y de las familias, por qué vía llegaron a la web (un anuncio, un buscador, otra web o directamente).
Para qué	Darte acceso al servicio contratado, identificarte y proteger la cuenta. La vía de llegada, para saber qué canales nos traen familias (interés legítimo, artículo 6.1.f del RGPD).
Base jurídica	Artículo 6.1.b del RGPD: ejecución del contrato de suscripción.
Cuánto tiempo	Mientras esté vigente el contrato, más 30 días. Al borrar la cuenta se eliminan en cascada, en la propia base de datos, todos los datos asociados a ella.

2.3 Registro de actividad

Qué datos	Por cada acción que modifica datos: identificador de la cuenta, método y ruta de la petición, código de respuesta y la fecha. No guardamos el contenido de la petición.
Para qué	Seguridad, diagnóstico de errores y poder reconstruir qué se cambió y cuándo si hay una incidencia.
Base jurídica	Artículo 6.1.f del RGPD: nuestro interés legítimo en la seguridad y el buen funcionamiento del servicio. Hemos ponderado ese interés: registramos el mínimo imprescindible, el acceso es interno y restringido, y no usamos el registro para evaluar a nadie.
Cuánto tiempo	Ligado a la cuenta: se borra con ella.

2.4 Correos de seguimiento a las familias

Qué datos	El correo del padre, madre o tutor, el nombre de pila del niño y su actividad en el campus: días y minutos de práctica, niveles y lo que le cuesta. Guardamos qué correo se envió y cuándo.
Para qué	Contaros cómo va: un resumen el viernes con una idea para el fin de semana, un aviso si lleva unos días sin practicar, sus logros y, durante la prueba, ayuda para empezar. Como mucho tres correos por semana y sin publicidad.
Base jurídica	Artículo 6.1.b del RGPD: forman parte del servicio contratado, que incluye informar a la familia del progreso. No son comunicaciones comerciales.
Cómo elegir	Cada correo lleva un enlace para elegir cuáles recibir o dejar de recibirlos todos, con un clic y sin coste. Los correos de la cuenta y de la suscripción se siguen enviando.
Cuánto tiempo	Ligado a la cuenta: se borra con ella.

2.5 Prueba de nivel y descuento de la web

Qué datos	Tu correo, el curso elegido y el resultado de la prueba (nivel por área y aciertos). Guardamos también una huella cifrada de tu IP y de tu navegador, solo para limitar el uso de la prueba. No pedimos el nombre del niño.
Para qué	Escribir el informe de la prueba y enviártelo por correo. Si pides el descuento al acabar un juego de muestra, enviártelo y aplicarlo cuando te suscribas con ese correo (ahí solo guardamos tu correo, el curso y el juego). El informe lo redacta el Tutor con un proveedor de IA, al que solo llegan el curso y el resultado, nunca tu correo.
Base jurídica	Artículo 6.1.a del RGPD, tu consentimiento al pedir el informe o el descuento. Si marcas la casilla opcional, también para enviarte consejos y novedades de Claustria, que puedes dejar de recibir en cualquier momento.
Cuánto tiempo	12 meses desde la prueba o desde que pides el descuento, o hasta que lo pidas antes.

2.6 El campus del niño y el Tutor de IA

Los usuarios del campus son niños menores de 14 años. Su cuenta la crea y la gestiona su madre, padre o tutor legal desde la cuenta de la familia. El niño no tiene correo ni contraseña y no se le pide ningún dato de contacto.

Qué datos	El nombre de pila (sin apellidos), la fecha de nacimiento y el curso. Cómo juega cada ronda (el juego, la ficha, si acierta, los fallos, el tiempo y si pide ayuda), sin nada escrito por él. Lo que pregunta al Tutor y lo que el Tutor le contesta. Su voz, si usa el micrófono. La voz se convierte en texto en nuestro propio servidor y el audio se descarta al momento, sin guardarse en ningún sitio.
Para qué	Que el Tutor le ayude con pistas y le hable por su nombre, ajustar los juegos a su nivel y a su edad, y enseñar a la familia cómo va en el panel y en los correos. Con las rondas se calcula un perfil de aprendizaje (lo que domina y lo que le cuesta). Solo sirve para elegir los ejercicios y no tiene ningún efecto jurídico.
Base jurídica	Consentimiento de quien tiene la patria potestad o la tutela (artículos 6.1.a y 8 del RGPD y artículo 7 de la LOPDGDD). Se da con una casilla al dar de alta al niño y se puede retirar en cualquier momento borrando su ficha o escribiéndonos.
Permisos del aparato	Solo el micrófono, y solo si la familia deja activada la opción de hablar con el Tutor. El navegador pide permiso la primera vez. No se usan la cámara, la ubicación ni los contactos.
Lo que no hacemos	No hay publicidad, ni Google, ni redes sociales en las pantallas del niño. Sus datos no se usan para entrenar modelos de IA ni se ceden a nadie.
Cuánto tiempo	Lo que habla con el Tutor, 90 días, y después se borra solo. El resto, mientras exista su ficha. Al borrarla se borra todo con ella.

Qué sale a los proveedores de IA. Para contestarle, el Tutor envía a Mistral AI, a través de OpenRouter, su nombre de pila, lo que pregunta, el ejercicio que tiene en pantalla y un resumen de cómo juega. Mistral también redacta, con su nombre y su actividad, el párrafo del correo diario a la familia. La evaluación nocturna de su nivel y la nota del informe para la familia las redacta OpenAI, que recibe un resumen de sus resultados y su edad, y para la nota también su nombre de pila. Las frases que el Tutor dice en voz alta las convierte en audio un modelo de voz a través de OpenRouter, que solo recibe la frase. Ningún proveedor recibe el correo de la familia ni puede usar estos datos para entrenar sus modelos.

3. Quién más accede a los datos

No vendemos ni cedemos datos a terceros. Los siguientes proveedores los tratan por cuenta nuestra, según sus condiciones de protección de datos para clientes:

Proveedor	Para qué	Dónde	Garantías
OVH SAS (Francia)	Servidor donde se ejecutan la aplicación y la base de datos, y almacenamiento de las copias de seguridad	Centro de datos en la Unión Europea	Acuerdo de tratamiento de datos. Sin transferencia internacional
Cloudflare, Inc. (Estados Unidos)	Proxy inverso, red de distribución de contenidos y protección frente a ataques, con datos solo en tránsito. Medición de visitas de la web y del campus, agregada y sin cookies	Red global de puntos de presencia	Acuerdo de tratamiento de datos y Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914)
Google Ireland Ltd. (Irlanda)	Medir qué anuncios de Google traen altas (Google Ads) y cómo se usan la web y el campus (Google Analytics). Solo si aceptas las cookies de cada uno. Además, si eliges «Continuar con Google», confirmar tu identidad y darnos tu nombre y tu correo	Unión Europea, con posible acceso desde Estados Unidos	Condiciones de protección de datos de Google Ads y de Google Analytics, y Marco de Privacidad de Datos UE-EE. UU. (Decisión de adecuación de 10 de julio de 2023)
Mistral AI SAS (Francia)	El modelo de lenguaje del Tutor y de los correos diarios a la familia (ver 2.6)	Sus servidores de la Unión Europea y, si no responden, su servicio sin retención de datos. Las peticiones solo se envían a Mistral AI	Condiciones de tratamiento de datos de Mistral. Sin uso para entrenar modelos
OpenRouter, Inc. (Estados Unidos)	Pasarela que lleva las peticiones del Tutor a Mistral AI y las frases que se dicen en voz alta al modelo de voz	Estados Unidos, solo de paso	Acuerdo de tratamiento de datos con Cláusulas Contractuales Tipo de la Comisión Europea. Sin uso para entrenar modelos y solo con proveedores que no guardan los datos
OpenAI (Estados Unidos)	La evaluación nocturna del nivel de cada niño, la nota de su informe, la colocación tras su prueba de nivel y el informe de la prueba de nivel de la web (ver 2.6 y 2.5)	Estados Unidos	Acuerdo de tratamiento de datos de OpenAI con Cláusulas Contractuales Tipo. Por API no usa los datos para entrenar modelos
Stripe Payments Europe, Ltd. (Irlanda)	Cobrar las suscripciones. Recibe el correo de la familia y los datos de pago, que nosotros no vemos ni guardamos	Unión Europea, con posible acceso desde Estados Unidos	Acuerdo de tratamiento de datos de Stripe y Marco de Privacidad de Datos UE-EE. UU.
Mailjet SAS (Francia)	Enviar los correos de la cuenta y los de seguimiento, con el correo de la familia y, en los de seguimiento, el nombre de pila del niño y cómo va	Unión Europea	Acuerdo de tratamiento de datos de Mailjet. Sin transferencia internacional

Además, podríamos comunicar datos a autoridades públicas cuando exista una obligación legal, y a nuestros asesores legales o contables cuando sea necesario para cumplir con esa obligación.

Para contar las visitas de la web y del campus usamos Cloudflare Web Analytics, sin cookies. El detalle está en Cookies. Si aceptas las cookies de Google Ads, Google sabe que llegaste desde uno de nuestros anuncios y si te diste de alta o te suscribiste, con el importe de la suscripción, y nada más. Si aceptas las de Google Analytics, Google nos da estadísticas de qué páginas visitas y cuánto tiempo, con la IP recortada y sin que Google las use para sus propios anuncios. No hay píxeles de redes sociales ni fuentes tipográficas cargadas desde servidores de terceros.

En el campus, Google Analytics y Google Ads solo funcionan si un adulto los ha aceptado en ese aparato, y solo en la entrada y en el panel de la familia. En las pantallas del niño no se carga nada de Google. Si se acepta, Google recibe qué pantallas del panel se abren y qué se hace en ellas (por ejemplo, cambiar un ajuste o dar de alta a un hijo), junto con el curso, si está en la prueba gratis o suscrita y qué paquetes usa. Nunca le llega el nombre del niño, sus respuestas ni lo que escribe o dice al tutor.

Las familias pueden crear la cuenta y entrar con «Continuar con Google». Es opcional: también se puede con correo y contraseña. Si lo usas, Google nos confirma tu nombre y tu correo y nada más. No recibimos tu contraseña de Google ni acceso a tu cuenta, y Google sabe que has entrado en Claustria. El botón solo aparece en las pantallas de acceso y en la puerta «Para mayores».

4. Transferencias internacionales

Nuestro servidor y la base de datos están en la Unión Europea, y también el modelo de lenguaje del Tutor (Mistral AI) y el envío de correos (Mailjet). Hay datos que salen del Espacio Económico Europeo en estos casos.

El tránsito por la red de Cloudflare, que actúa como proxy, y por OpenRouter, la pasarela hacia Mistral AI y hacia el modelo de voz. Los dos están amparados en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
Lo que se envía a OpenAI (ver 2.6), que se trata en Estados Unidos y está amparado en las Cláusulas Contractuales Tipo de su acuerdo de tratamiento de datos.
El posible acceso de Google (solo si aceptas sus cookies o usas «Continuar con Google») y de Stripe desde Estados Unidos, amparado en el Marco de Privacidad de Datos UE-EE. UU.

Puedes pedirnos copia de esas garantías en [email protected].

5. Cookies y medición de visitas

Solo pedimos permiso para dos cosas, y por separado: las cookies de Google Ads, que nos dicen qué anuncios traen familias, y las de Google Analytics, que nos dicen cómo se usan la web y el campus. Si no las aceptas, todo funciona igual. Esto es todo lo que se guarda o se lee en tu navegador:

Nombre	Qué es	Para qué	Duración
`horarios_session`	Cookie propia, técnica	Mantenerte identificado mientras usas la aplicación. Va firmada criptográficamente y sin ella no se puede iniciar sesión	30 días, que se renuevan mientras la usas
`claustria_dispositivo`	Cookie propia, de seguridad	Reconocer un aparato en el que ya entraste, para no pedirte el código de acceso cada vez	1 año
`saludo:…` y `mochila-vista:…`	Almacenamiento local del campus	Que el tutor no repita el saludo del día ni la explicación de la mochila en esa tablet	Hasta que se borre
Cloudflare Web Analytics	Script de medición, en la web y en el campus	Contar visitas por página, de dónde llegan, tipo de dispositivo, navegador, país y tiempos de carga, siempre en conjunto. No guarda nada en tu aparato, no usa tu IP ni te sigue entre sitios	No guarda nada en tu aparato. Las estadísticas se guardan agregadas unos 6 meses
`_gcl_au`, `test_cookie` y otras de Google	Cookies de Google Ads, de terceros. Solo con tu consentimiento, en la web y en el campus	Saber si llegaste por un anuncio de Google y si después te diste de alta o te suscribiste, para medir qué anuncios funcionan	90 días
`_ga` y `_ga_…`	Cookies de Google Analytics. Solo con tu consentimiento, en la web y en el campus	Distinguir visitas de una misma persona para saber qué páginas y pantallas se ven, cuánto tiempo, qué se hace en el campus y si se termina el alta o la suscripción	14 meses
`origen`	Almacenamiento local de la web y del campus	Recordar por qué vía llegaste la primera vez (un anuncio, un buscador, otra web o directamente). No sale de tu aparato salvo que te des de alta	Hasta que se borre
`gclid`	Almacenamiento local de la web y del campus	Si llegaste desde un anuncio de Google, el código de ese clic, para que Google Ads sepa qué anuncio te trajo. Solo se usa si aceptas las cookies de Google Ads	90 días
`cookies-ads`	Almacenamiento local de la web y del campus	Recordar si aceptaste o rechazaste las cookies de Google Ads, para no preguntarte en cada página	Hasta que se borre
`cookies-analytics`	Almacenamiento local de la web y del campus	Recordar si aceptaste o rechazaste las cookies de Google Analytics	Hasta que se borre

Las cookies de Google Ads y las de Google Analytics solo se instalan si las aceptas, cada una por su lado, con base en tu consentimiento (artículo 22.2 de la LSSI-CE y artículo 6.1.a del RGPD). Puedes retirarlo cuando quieras, tan fácil como lo diste:

Todo lo demás está exceptuado del deber de obtener consentimiento conforme al artículo 22.2 de la LSSI-CE: las cookies de sesión, de autenticación, de seguridad y de personalización de la interfaz, según la Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos (2023), y la medición de audiencia, según su Guía de uso de cookies para herramientas de medición de audiencia (enero de 2024), porque solo produce estadísticas anónimas del propio sitio, no se cruza con otros datos ni se cede a terceros.

Puedes borrar las cookies y el almacenamiento local desde la configuración de tu navegador en cualquier momento: se cerrará tu sesión y te volveremos a pedir el código. Si bloqueas static.cloudflareinsights.com con cualquier bloqueador, no se contará tu visita y la web funcionará igual.

6. Cuánto tiempo conservamos los datos

Datos	Plazo
Mensajes de contacto	2 años desde el envío
Prueba de nivel de la web	12 meses desde la prueba
Cuentas de usuario	Vigencia del contrato + 30 días
Registro de actividad	Ligado a la cuenta: se borra con ella
Lo que el niño habla con el Tutor	90 días
Su voz por el micrófono	Nada: se pasa a texto y se descarta al momento
Nombre, fecha de nacimiento, rondas de juego y perfil del niño	Mientras exista su ficha
Copias de seguridad	Rotación de 30 días
Estadísticas de visitas (Cloudflare Web Analytics)	Agregadas, unos 6 meses
Estadísticas de uso (Google Analytics, solo con consentimiento)	14 meses

Después de esos plazos, los datos se suprimen. Cuando la ley nos obligue a conservar algo (por ejemplo, la facturación), lo mantendremos bloqueado: a disposición exclusiva de jueces, tribunales y administraciones competentes, durante el plazo de prescripción de las acciones, conforme al artículo 32 de la LOPDGDD.

7. Seguridad

Aplicamos las medidas técnicas y organizativas del artículo 32 del RGPD. Las principales:

Todo por HTTPS. El servicio no es accesible directamente desde Internet: solo a través del proxy inverso, que gestiona los certificados.
Contraseñas no reversibles, con resumen scrypt y comparación en tiempo constante.
Sesiones firmadas que caducan tras 30 días sin uso y que se anulan al cerrar sesión, lo que conviene hacer en un ordenador compartido.
Copias de seguridad diarias de la base de datos en el propio servidor, con rotación de 30 días.
Borrado en cascada impuesto en la base de datos: al eliminar una cuenta no queda ningún dato huérfano.
Registro de actividad de las acciones de escritura.
Una suite de pruebas automatizadas que se ejecuta antes de publicar cualquier cambio, con pruebas específicas de control de acceso.

Si se produjera una violación de la seguridad de los datos, se lo notificaríamos a la Agencia Española de Protección de Datos en el plazo de 72 horas cuando fuera obligatorio, y a las personas afectadas cuando el riesgo fuera alto.

8. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

Acceso: Saber qué datos tuyos tratamos y obtener una copia.
Rectificación: Corregir los datos inexactos o completar los incompletos.
Supresión («derecho al olvido»): Pedir que borremos tus datos cuando ya no sean necesarios para el fin que los justificaba.
Oposición: Oponerte a un tratamiento basado en nuestro interés legítimo, como el registro de actividad, explicando tu situación particular.
Limitación del tratamiento: Pedir que suspendamos el tratamiento mientras se verifica una impugnación tuya.
Portabilidad: Recibir tus datos en un formato estructurado y de uso común, o que los transmitamos a otro responsable.

Cómo ejercerlos: escríbenos a [email protected] indicando el derecho que ejerces y acreditando tu identidad. Responderemos en el plazo de un mes, prorrogable por dos más si la solicitud es compleja, en cuyo caso te avisaríamos. El ejercicio de estos derechos es gratuito.

9. Reclamaciones

Si consideras que no hemos atendido correctamente tu solicitud, o que tratamos tus datos de forma contraria a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos:

Dirección: C/ Jorge Juan, 6, 28001 Madrid
Sede electrónica: www.aepd.es

Te agradeceríamos, en todo caso, que nos dieras antes la oportunidad de resolverlo escribiéndonos a [email protected].

10. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios normativos o a novedades del servicio. La versión vigente es la publicada en esta página, con su fecha de última actualización al comienzo. Si el cambio fuera sustancial y te afectara, te lo comunicaríamos por correo electrónico.