En Dragón, el Colegio Americano de Torrelodones, tratamos datos personales de las familias que se interesan por el colegio, de las que ya forman parte de él, de los alumnos que se presentan a nuestra beca y de quienes se presentan a nuestras ofertas de empleo. Esta política explica qué datos recogemos, para qué, durante cuánto tiempo los conservamos, con quién los compartimos y qué puede hacer usted al respecto.
1. Responsable del tratamiento
Responsable: EL DRAGON SCHOOL, S.L.
C.I.F.: B83864793
Dirección: C/ Tampico 9, Torrelodones (Madrid)
Datos registrales: Registro Mercantil de Madrid, Tomo 19.330, Folio 129, Sección 8.ª, Hoja M-338779, Inscripción 1.ª
Teléfono: 91 859 13 62
Correo de contacto: secretaria@dragonamericanschool.com
Delegada de Protección de Datos: Sonsoles Fiter Gómez.
Puede dirigirse a ella escribiendo a secretaria@dragonamericanschool.com e indicando en el asunto que la comunicación va dirigida a la Delegada de Protección de Datos.
2. Qué datos tratamos y para qué
2.1. Solicitudes de información y de visita
Cuando una familia se interesa por el colegio —por el formulario de visita de esta web, por teléfono, por correo electrónico o por WhatsApp— tratamos los datos de contacto que nos facilita, como el nombre, el correo electrónico y el teléfono, y los datos del alumno o alumna necesarios para orientarla, como el curso que le interesa.
Finalidad: atender la solicitud, contactar con la familia por teléfono, correo electrónico o WhatsApp, organizar la visita al colegio e informar del proceso de admisión.
Base jurídica: la aplicación de medidas precontractuales a petición de la persona interesada (artículo 6.1.b del RGPD).
Los datos del formulario de visita se guardan en una base de datos alojada por Supabase, con servidores en Irlanda (Unión Europea), que solo puede consultar el personal del colegio. Con ellos se guarda la procedencia de la visita: la página desde la que se envió, la web de la que llegaba y, si llegó desde un anuncio, el identificador del clic, la campaña y la palabra clave del anuncio. Ese identificador llega en la dirección de la página y, mientras usted navega por la web, pasa de un enlace a otro en esa misma dirección, igual que la web de la que llegaba: nada de ello se guarda en su navegador. Si llega desde un anuncio y nos escribe por WhatsApp o por correo electrónico desde un enlace de la web, el mensaje empieza indicando que nos ha encontrado por ese anuncio: usted lo ve antes de enviarlo y puede borrarlo. Sirve para saber qué canales funcionan; no se usa para elaborar perfiles.
El personal del colegio anota además hasta dónde ha llegado cada solicitud: si se ha respondido, si la familia ha visitado el colegio y si se ha matriculado. Sirve para no dejar ninguna sin atender y para contar cuántas visitas y matrículas llegan por cada canal.
2.2. Medición de los anuncios de Google
Si usted llega a la web desde un anuncio de Google, el formulario de visita muestra una casilla opcional para autorizar que comuniquemos a Google que su solicitud procede de ese anuncio. Solo si la marca, enviamos a Google Ads el identificador del clic y la fecha y la hora de la solicitud; nunca su nombre, su correo electrónico ni su teléfono. Google relaciona ese identificador con el clic en su anuncio para indicarnos cuántas solicitudes ha generado cada campaña.
Finalidad: medir el resultado de nuestras campañas en Google.
Base jurídica: su consentimiento (artículo 6.1.a del RGPD). No marcar la casilla no afecta en nada a su solicitud.
Destinatario: Google Ireland Limited, que actúa como encargado del tratamiento conforme a las condiciones de tratamiento de datos de Google Ads.
Estos datos quedan a disposición de Google durante un máximo de 63 días desde la solicitud. Puede retirar su consentimiento en cualquier momento escribiendo a la dirección del apartado 1: dejaremos de comunicar su solicitud, sin que ello afecte a lo ya comunicado.
2.3. Formularios de los anuncios de Facebook e Instagram
Algunos de nuestros anuncios en Facebook e Instagram incluyen un formulario que se rellena dentro de esas aplicaciones. Los datos que usted envía en él —como su nombre, su correo electrónico, su teléfono y el curso que le interesa— nos llegan a través de Meta y los tratamos con la misma finalidad y la misma base jurídica que las solicitudes del apartado 2.1.
Nuestro servidor los recoge de Meta cada pocos minutos y los guarda junto a las demás solicitudes, en la base de datos de Supabase del apartado 2.1. Con ellos se guarda el nombre del formulario y si se envió desde un anuncio.
Meta Platforms Ireland Limited trata además esos datos, y su interacción con el anuncio, como responsable independiente y conforme a su propia política de privacidad.
2.4. Familias del colegio
De las familias matriculadas tratamos los datos identificativos y de contacto, los datos académicos del alumno y los necesarios para prestar el servicio educativo y los servicios complementarios contratados.
Finalidad: prestar el servicio educativo y comunicarnos con las familias.
Base jurídica: la ejecución del contrato de escolarización (artículo 6.1.b) y el cumplimiento de las obligaciones legales del centro en materia educativa (artículo 6.1.c).
2.5. Zona privada de familias
Para dar acceso a la zona privada tratamos el correo electrónico y la contraseña de la cuenta. La contraseña se guarda cifrada y nadie puede leerla, tampoco el colegio. Creamos una cuenta por cada correo que la familia nos haya dado en secretaría y anotamos qué cuentas son de la misma familia.
Finalidad: dar acceso a contenidos reservados a las familias del colegio, como el menú del comedor y los cafés con la directora.
Base jurídica: la ejecución del contrato de escolarización (artículo 6.1.b).
Cuando una familia reserva plaza en un café con la directora, tratamos el nombre de la persona titular de la reserva y, si los indica, los de sus acompañantes, el correo de su cuenta y el día elegido. Los ven la directora y quien gestiona su agenda, y le enviamos por correo la confirmación y, si se cancela, el aviso. Las demás familias solo ven cuántas plazas quedan libres.
Finalidad: organizar los encuentros de las familias con la directora.
Base jurídica: la ejecución del contrato de escolarización (artículo 6.1.b).
2.6. Fotografías y vídeos del alumnado
La publicación de imágenes en las que aparezcan alumnos identificables requiere el consentimiento previo y expreso de sus padres, madres o tutores legales, recabado por escrito y por separado para cada uso: web pública o redes sociales.
Base jurídica: el consentimiento (artículo 6.1.a del RGPD), que puede retirarse en cualquier momento escribiendo a la dirección del apartado 1, sin que ello afecte a la licitud del tratamiento anterior.
2.7. Candidaturas de empleo
De quienes nos envían su currículum tratamos los datos que incluyen en él.
Finalidad: valorar la candidatura en los procesos de selección abiertos.
Base jurídica: la aplicación de medidas precontractuales a petición de la persona interesada (artículo 6.1.b).
2.8. Candidaturas a la Dragon Talent Scholarship
Cuando una familia presenta a un alumno a la beca por el formulario de la beca, tratamos los datos del alumno —nombre, fecha de nacimiento, colegio actual, etapa a la que se incorporaría, ámbito de su talento, la descripción de su trayectoria y los enlaces a evidencias que la familia quiera facilitar— y los de contacto del padre, la madre o el tutor legal que la presenta. Si el alumno pasa a la preselección, trataremos también la documentación que la familia aporte.
Finalidad: gestionar y valorar la candidatura conforme a las bases de la convocatoria y, si se concede la beca, tramitar la admisión.
Base jurídica: la aplicación de medidas precontractuales a petición de la familia (artículo 6.1.b del RGPD).
Los datos del formulario se guardan en la misma base de datos de Supabase que las solicitudes de visita, que solo puede consultar el personal del colegio. Presentar la candidatura no autoriza ningún uso de la imagen del alumno: si se le concede la beca, la función de alumno embajador y el uso de su imagen se rigen por el acuerdo específico que la familia firma para aceptarla (apartado 15 de las bases) y por el apartado 2.6 de esta política.
2.9. Navegación por la web
Esta web no instala cookies ni píxeles de publicidad, y no elabora perfiles de navegación ni toma decisiones automatizadas sobre los visitantes.
Contamos las visitas con una herramienta instalada en nuestro propio servidor, que no guarda nada en su navegador ni conserva su dirección IP y que produce recuentos agregados, no perfiles. Los detalles están en la política de cookies.
Finalidad: conocer el uso de la web y el resultado de nuestras campañas para mejorarlas.
Base jurídica: nuestro interés legítimo en conocer, de forma agregada y sin identificar a nadie, cómo se usa nuestra web (artículo 6.1.f).
Como cualquier servicio de Internet, el servidor recibe la dirección IP de su dispositivo para poder entregarle cada página, pero no la conserva en ningún registro de accesos.
Cuando envía el formulario de visita o el de la beca, el servidor usa esa dirección IP para frenar los envíos masivos, que de otro modo bloquearían los formularios a las demás familias. No guarda la dirección, sino un código calculado a partir de ella con una clave secreta, separado de su solicitud, y lo borra pasado un día.
Finalidad: proteger los formularios frente a envíos masivos.
Base jurídica: nuestro interés legítimo en mantener los formularios disponibles para todas las familias (artículo 6.1.f).
2.10. Asistente de la web
Las páginas informativas de esta web ofrecen un asistente automático: un programa de inteligencia artificial que responde por escrito a las preguntas sobre el colegio con la información que el colegio ha revisado y que, cuando no la tiene, indica cómo contactar con secretaría. No es una persona y no toma ninguna decisión sobre usted ni sobre su hijo o hija. Puede equivocarse: lo que vale es lo que le confirme el colegio.
Para usarlo no hace falta dar ningún dato. No pide nombre, correo electrónico ni teléfono, y antes de escribir avisa de que no se incluyan datos personales. Tratamos el texto de cada pregunta y de su respuesta, la fecha y la hora, el idioma y un nombre aleatorio que su navegador da a cada conversación para que sus mensajes puedan leerse juntos. No relacionamos una conversación con ninguna persona. Si después pide una visita desde el botón del asistente, la solicitud solo anota que llegó desde él, no lo que se habló.
Para redactar cada respuesta, el texto de la conversación se envía a Anthropic, la empresa que presta el modelo de inteligencia artificial, que actúa como encargado del tratamiento. Anthropic lo trata en Estados Unidos, no lo usa para entrenar sus modelos y lo elimina de sus sistemas en un plazo máximo de 30 días, salvo que la ley o un uso indebido del servicio le obliguen a conservarlo más tiempo. Las conversaciones se guardan además en la base de datos de Supabase del apartado 2.1, que solo puede consultar el personal del colegio. Cada semana, quienes supervisan el asistente reciben por correo electrónico las preguntas que este no supo responder.
El servidor usa la dirección IP de su dispositivo para limitar cuántos mensajes seguidos puede enviar un mismo dispositivo. La tiene en memoria mientras cuenta; no la guarda con la conversación ni en ningún registro.
Finalidad: responder a las preguntas de quien se interesa por el colegio, y leer después las conversaciones para comprobar que el asistente responde bien y saber qué información falta.
Base jurídica: nuestro interés legítimo en atender esas preguntas a cualquier hora y en supervisar lo que responde un sistema automático (artículo 6.1.f del RGPD). Puede oponerse a este tratamiento como se indica en el apartado 6.
Si, pese al aviso, escribe datos personales en el asistente y quiere que los borremos, indíquenos el día y la hora aproximada de la conversación o parte de su texto: como no sabemos de quién es cada conversación, es la única forma de encontrarla.
3. Cuánto tiempo conservamos los datos
- Solicitudes de información y de visita que no terminan en matrícula: hasta el final del curso académico siguiente, salvo que la familia pida antes su supresión.
- Familias matriculadas: mientras dure la relación con el colegio y, después, durante los plazos que exijan la normativa educativa y la fiscal.
- Candidaturas a la beca que no terminan en matrícula: hasta el final del curso académico siguiente al de la convocatoria, salvo que la familia pida antes su supresión.
- Candidaturas de empleo: un año desde su recepción, salvo que la persona candidata pida antes su supresión.
- Imágenes publicadas con consentimiento: hasta que se retire el consentimiento o desaparezca la finalidad que justificó su publicación.
- Reservas de los cafés con la directora: un mes desde el encuentro. Se borran en la limpieza semanal.
- Código de conexión de los formularios: un día. Se borra con el siguiente envío o, si no llega ninguno, en la limpieza semanal.
- Conversaciones con el asistente de la web: 90 días. Se borran en la limpieza semanal. Las preguntas incluidas en el resumen semanal (apartado 2.10) permanecen además en el correo de quienes lo reciben.
- Recuentos de la analítica web: 25 meses.
- Copias de seguridad: 30 días.
Transcurridos esos plazos, los datos se suprimen o se bloquean, y quedan únicamente a disposición de jueces, tribunales y administraciones competentes durante el plazo de prescripción de las responsabilidades que pudieran derivarse.
4. A quién comunicamos los datos
No vendemos ni cedemos datos personales con fines comerciales. Solo acceden a ellos los proveedores que nos prestan servicios, vinculados por contrato conforme al artículo 28 del RGPD, y las entidades que se indican a continuación:
| Entidad | Para qué | Papel |
|---|---|---|
| Hetzner Online GmbH (Alemania) | Alojamiento de la web y de la analítica | Encargado del tratamiento |
| Supabase (servidores en Irlanda) | Solicitudes de visita, candidaturas a la beca, cuentas de la zona privada, reservas de los cafés con la directora y conversaciones con el asistente de la web | Encargado del tratamiento |
| Google Ireland Limited (Google Workspace) | Correo electrónico del colegio | Encargado del tratamiento |
| Google Ireland Limited (Google Ads) | Medición de los anuncios, solo con su consentimiento (apartado 2.2) | Encargado del tratamiento |
| Meta Platforms Ireland Limited | Formularios de los anuncios de Facebook e Instagram (apartado 2.3) | Responsable independiente |
| WhatsApp Ireland Limited | Mensajería, cuando la conversación con el colegio se mantiene por WhatsApp | Presta el servicio conforme a sus propias condiciones |
| Anthropic Ireland Limited | Modelo de inteligencia artificial del asistente de la web (apartado 2.10) | Encargado del tratamiento |
Además, comunicaremos datos a las administraciones públicas cuando una norma nos obligue, en particular a la administración educativa competente.
5. Transferencias internacionales
La web, la analítica, las solicitudes de visita, las candidaturas a la beca, los datos de la zona privada y las conversaciones con el asistente que guarda el colegio se alojan en la Unión Europea.
Google, Meta y WhatsApp pueden tratar datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. Esas transferencias se amparan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU., al que están adheridas sus matrices, o en las cláusulas contractuales tipo aprobadas por la Comisión.
Anthropic trata y almacena en Estados Unidos el texto de las conversaciones con el asistente de la web (apartado 2.10). Esa transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea, que forman parte de su acuerdo de tratamiento de datos.
6. Sus derechos
Puede ejercer en cualquier momento los siguientes derechos escribiendo a secretaria@dragonamericanschool.com, o a la Delegada de Protección de Datos en esa misma dirección, indicando cuál desea ejercer y acreditando su identidad:
- Acceso: saber qué datos suyos tratamos.
- Rectificación: corregir los datos inexactos o incompletos.
- Supresión: pedir que los eliminemos cuando ya no sean necesarios.
- Oposición: oponerse a los tratamientos basados en nuestro interés legítimo.
- Limitación: pedir que suspendamos el tratamiento mientras se resuelve una reclamación.
- Portabilidad: recibir sus datos en un formato estructurado y de uso común.
- Retirada del consentimiento: cuando el tratamiento se base en él, sin que afecte a la licitud del tratamiento anterior.
Responderemos en el plazo de un mes. Si considera que no hemos atendido correctamente su solicitud, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.
7. Datos de menores de edad
El tratamiento de datos de menores de catorce años requiere el consentimiento de sus padres, madres o tutores legales, conforme al artículo 7 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
En ningún caso recabamos de un menor datos sobre la situación profesional, económica o la intimidad de los demás miembros de su familia sin el consentimiento de estos.
8. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas para proteger los datos frente a su destrucción, pérdida, alteración o acceso no autorizado. Entre ellas: el cifrado de las comunicaciones con la web, las contraseñas guardadas cifradas, las copias de seguridad cifradas, y el acceso a los datos limitado al personal que lo necesita.
9. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios normativos o a nuevos servicios. La fecha de la última actualización figura al comienzo del documento. Si un cambio afecta de forma significativa al tratamiento de sus datos, se lo comunicaremos.