Política de privacidad

16. PROTECCIÓN DE DATOS

Mediante la presente cláusula, BIGSEO ACADEMY S.L. desea informar al usuario sobre la forma en que se recaban, tratan y comparten los datos de carácter personal que el Cliente facilite a través del sitio web https://thebigschool.com al formalizar la matrícula en nuestros programas formativos o másters, al enviar un correo electrónico o mediante cualquier otro canal habilitado.

BIG tratará los datos personales de conformidad con lo establecido en el Reglamento General de Protección de Datos (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE).

Lo dispuesto en el presente apartado será de aplicación general, salvo que se establezca expresamente algo distinto en una cláusula o aviso informativo específico facilitado al usuario de forma previa o simultánea a la recogida de sus datos.

16.1. Responsable del tratamiento

  • Identidad: BIGSEO ACADEMY, S.L. (NIF B66958349)
  • Dirección postal: Carrer de Veneçuela, 105, 2ª 2, Sant Martí, 08019 Barcelona.
  • Contacto del DPD / Privacidad: [email protected].

En caso de gestión conjunta de programas formativos con otras entidades formativas (p.e. Universidades), ambas partes actuarán en régimen de corresponsabilidad. El alumno puede solicitar el resumen de las funciones de cada corresponsable dirigiéndose al DPO.

16.2. Edad mínima de registro

El registro y matriculación están reservados a mayores de 14 años. Los menores de 14 años requerirán la autorización expresa y representación legal de sus padres o tutores.

16.3. Exactitud y seguridad

El usuario garantiza que los datos aportados son ciertos y actualizados. BIGSEO ACADEMY, S.L. aplica medidas de seguridad técnicas y organizativas de nivel adecuado (incluyendo cifrado SSL/HTTPS) para garantizar la confidencialidad, integridad y disponibilidad de la información.

16.4. Finalidades del tratamiento y bases de legitimación

  • Gestión de la matriculación, desarrollo académico y certificación: Ejecución del contrato formativo.
  • Gestión de cobros, contabilidad y facturación: Ejecución del contrato y cumplimiento de obligaciones legales (fiscales y mercantiles).
  • Atención al alumno, soporte técnico y atención multicanal (incluyendo soporte telefónico, llamadas grabadas y mensajería/chatbots automatizados): Ejecución del contrato e Interés legítimo.
  • Gestión administrativa de clientes y CRM: Interés legítimo para la organización interna de los servicios.
  • Envíos comerciales e informativos: Consentimiento del interesado o Interés legítimo para productos/servicios conexos en caso de clientes preexistentes.
  • Canal interno de información: Cumplimiento de obligación legal (Ley 2/2023).

16.5. Destinatarios, encargados del tratamiento y transferencias Internacionales

Para la correcta ejecución del contrato formativo, la atención al estudiante y el mantenimiento de la plataforma, los datos personales del usuario serán comunicados y procesados por los siguientes proveedores en calidad de Encargados del Tratamiento:

  • Gestión de ventas y matriculación (E-commerce / Checkout): Shopify International Limited (Sede: Dublín, Irlanda / Matriz: Shopify Inc., Canadá).
  • Cómo y por qué actúa: Procesa los datos de registro, carrito de compra, pedido y datos de contacto de los estudiantes para tramitar la matriculación y el flujo de caja en el proceso de checkout.
  • Mecanismo de cobertura y seguridad jurídica: Cobertura mediante Decisión de Adecuación de la UE (para Canadá) y adhesión al EU-U.S. Data Privacy Framework (DPF) de su matriz en EE. UU., además de Cláusulas Contractuales Tipo (SCC).
  • Gestión de cobros y pasarela de pagos: Stripe Payments Europe, Limited (Sede: Dublín, Irlanda / Stripe, Inc., EE. UU.).
  • Cómo y por qué actúa: Procesa datos financieros, bancarios y de tarjetas de crédito/débito con la finalidad exclusiva de tramitar y prevenir el fraude en las transacciones económicas de matriculación.
  • Mecanismo de cobertura y seguridad jurídica: Las operaciones europeas se tramitan desde la UE. Stripe, Inc. está adherida y certificada bajo el EU-U.S. Data Privacy Framework (DPF) y aplica estándares de seguridad PCI-DSS Nivel 1.
  • Facturación, contabilidad y administración: Holded Technologies, S.L. (Sede: Barcelona, España).
  • Cómo y por qué actúa: Almacena y procesa los datos fiscales (NIF, nombre, dirección) y de facturación de los alumnos para la emisión de facturas y el cumplimiento de obligaciones contables y tributarias.
  • Mecanismo de cobertura y seguridad jurídica: Ubicado dentro del Espacio Económico Europeo (España). Tratamiento bajo Contrato de Encargado del Tratamiento (DPA) nativo alineado con el RGPD y LOPDGDD.
  • Gestión administrativa de clientes y CRM: Zoho Corporation B.V. (Sede: Utrecht, Países Bajos / Zoho Corporation Pvt. Ltd.).
  • Cómo y por qué actúa: Procesa los expedientes de estudiantes, el seguimiento comercial y la relación con el cliente (CRM) para el control operativo de la academia.
  • Mecanismo de cobertura y seguridad jurídica: Servidores e infraestructura principal ubicados dentro del Espacio Económico Europeo (centros de datos en Ámsterdam y Fráncfort).
  • Cobertura mediante DPA y Cláusulas Contractuales Tipo (SCC).
  • Automatización de email marketing y comunicaciones: ActiveCampaign, LLC (Sede: Chicago, Illinois, EE. UU.).
  • Cómo y por qué actúa: Gestiona la base de datos de alumnos y suscriptores para el envío de comunicaciones operativas del curso, avisos académicos y boletines informativos o comerciales.
  • Mecanismo de cobertura y seguridad jurídica: Empresa certificada y adherida activamente al EU-U.S. Data Privacy Framework (DPF). Suscribe Acuerdos de Tratamiento de Datos (DPA) incorporando Cláusulas Contractuales Tipo (SCC).
  • Atención automatizada, chatbots y mensajería instantánea: ManyChat, Inc. (Sede: San Francisco, California, EE. UU.).
  • Cómo y por qué actúa: Procesa los datos de contacto y conversaciones mantenidas a través de canales automatizados (como Instagram Direct, WhatsApp o Webchat) para la resolución instantánea de dudas académicas y comerciales.
  • Mecanismo de cobertura y seguridad jurídica: Certificada en el marco EU-U.S. Data Privacy Framework (DPF) y cobertura mediante Cláusulas Contractuales Tipo (SCC) firmadas con la entidad.
  • Atención telefónica IP y grabación de llamadas: Aircall SAS (Sede: París, Francia) / Aircall.io, Inc. (EE. UU.).
  • Cómo y por qué actúa: Procesa los registros de llamadas entrantes y salientes, números de teléfono y, en su caso, la grabación de las llamadas con fines de soporte, control de calidad y gestión académica.
  • Mecanismo de cobertura y seguridad jurídica: La entidad principal opera desde Francia. Aircall.io, Inc. está certificada en el EU-U.S. Data Privacy Framework (DPF) y ofrece alojamiento de grabaciones en servidores dentro de la UE (Alemania).
  • Alojamiento web e infraestructura de servidores: Hostinger International Ltd. (Sede: Larnaca, Chipre / Hostinger UAB, Lituania).
  • Cómo y por qué actúa: Proporciona la infraestructura del servidor web, las bases de datos y la capacidad de cómputo donde se aloja el portal principal y los sistemas del sitio web.
  • Mecanismo de cobertura y seguridad jurídica: Proveedor con sede y centros de datos dentro de la Unión Europea. Tratamiento sujeto a DPA europeo y normativa de seguridad de la UE.
  • Alojamiento de vídeos: Vimeo, Inc. (Sede: Nueva York, EE. UU.).
  • Cómo y por qué actúa: Procesa datos de interacción, IP y registros de consumo de vídeo de los alumnos para la reproducción de contenidos lectivos alojados de forma segura en la plataforma y el control de accesos al material audiovisual.
  • Mecanismo de cobertura y seguridad jurídica: Certificada y adherida al marco EU-U.S. Data Privacy Framework (DPF). Suscribe Acuerdos de Tratamiento de Datos (DPA) incorporando Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea.
  • Gestión de contenidos web y CMS: Automattic Inc. / WordPress.com (Sede: San Francisco, California, EE. UU.).
  • Cómo y por qué actúa: Procesa datos de navegación, cuentas de usuario e interacciones en la plataforma CMS sobre la que se estructura el sitio web corporativo y/o área pública.
  • Mecanismo de cobertura y seguridad jurídica: Empresa adherida al EU-U.S. Data Privacy Framework (DPF) y cobertura complementaria mediante Cláusulas Contractuales Tipo (SCC) e infraestructuras con DPA firmado.
  • Alojamiento web, infraestructura y servidores: Raiola Networks, S.L. (Sede: Lugo, España).
  • Cómo y por qué actúa: Proporciona la infraestructura del servidor web (hosting), bases de datos y soporte técnico donde se alojan la web y los sistemas de información de la entidad.
  • Mecanismo de cobertura y seguridad jurídica: Ubicado íntegramente dentro del Espacio Económico Europeo (España). Tratamiento bajo Contrato de Encargado del Tratamiento (DPA) nativo conforme al RGPD y la LOPDGDD.
  • Gestión del aprendizaje y Aula Virtual (LMS): LearnDash / StellarWP (Liquid Web, LLC) (Sede: Lansing, Míchigan, EE. UU.).
  • Cómo y por qué actúa: Procesa los datos de progreso académico, evaluaciones, contenidos de cursos y calificaciones de los estudiantes para la gestión y ejecución de la formación online.
  • Mecanismo de cobertura y seguridad jurídica: El tratamiento de los datos se realiza principalmente en la propia infraestructura de hosting elegida por la entidad (dentro de la UE). Para servicios en la nube de la matriz, existe cobertura por DPA y Cláusulas Contractuales Tipo (SCC).
  • Acreditación académica y certificación: Universidad Internacional Isabel I de Castilla, S.A. (Sede: Burgos, España).
  • Cómo y por qué actúa: Procesa los datos identificativos, académicos y de expediente de los alumnos con la finalidad de gestionar la matriculación oficial, tramitación de créditos, expedición de títulos y acreditaciones universitarias.
  • Mecanismo de cobertura y seguridad jurídica: Entidad ubicada en España (Espacio Económico Europeo). Tratamiento regulado mediante convenio institucional y contrato/cláusula de encargo de tratamiento (o corresponsabilidad, según la naturaleza del título) alineado con el RGPD y LOPDGDD.
  • Formularios de captación, evaluaciones y encuestas: Typeform SL (Sede: Barcelona, España).
  • Cómo y por qué actúa: Procesa datos de contacto, respuestas a cuestionarios de admisión, evaluaciones de satisfacción y encuestas de calidad rellenadas por los usuarios o alumnos.
  • Mecanismo de cobertura y seguridad jurídica: Proveedor con sede legal y servidores principales ubicados dentro de la Unión Europea. Cobertura bajo Contrato de Tratamiento de Datos (DPA) estandarizado en cumplimiento del RGPD.

16.6. Plazos de conservación

Los datos personales se conservarán durante el tiempo estrictamente necesario para cumplir con las finalidades para las que fueron recabados, aplicando los siguientes plazos específicos:

  • Datos académicos y del expediente de matriculación: Durante la vigencia de la relación contractual formativa. Tras su finalización, los datos se mantendrán debidamente bloqueados (impidiendo su tratamiento ordinario) durante los plazos legalmente previstos para la expedición o acreditación de certificados académicos, así como durante los plazos de prescripción de eventuales responsabilidades legales o contractuales (hasta 5 años con carácter general).
  • Grabaciones de llamadas telefónicas (Aircall): Las grabaciones realizadas con fines de control de calidad, seguridad o gestión de solicitudes se conservarán durante un plazo máximo de seis (6) meses desde su realización. Transcurrido dicho plazo, se procederá a su borrado o destrucción de forma automática e irreversible, salvo que resulten necesarias para la resolución de un litigio o reclamación en curso.
  • Datos de facturación, cobros y contabilidad (Holded / Stripe): Se mantendrán durante un plazo de 6 años, en cumplimiento de las obligaciones fiscales y del artículo 30 del Código de Comercio.
  • Atención al cliente y consultas de soporte: Se conservarán durante el tiempo necesario para tramitar y resolver la consulta planteada y, como máximo, durante los 12 meses posteriores a la última interacción, salvo que el usuario pase a ser alumno matriculado.
  • Comunicaciones comerciales y perfiles promocionales: Se tratarán hasta que el usuario solicite explícitamente su baja, revoque el consentimiento prestado o ejerza su derecho de oposición.

16.7. Derechos del usuario

El usuario podrá ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad mediante escrito a [email protected] adjuntando copia de un documento identificativo. Asimismo, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).