Política de privacidad

1. Quiénes tratan los datos

Theresa es una plataforma que usan jardines, escuelas primarias y secundarias (en adelante, «la institución») para comunicarse con las familias de los chicos que asisten a ellos. Comprende una aplicación móvil, que usan las familias y el personal de la institución, y un sitio web, con un ingreso para el personal y otro para las familias.

La institución es la responsable de los datos que carga y de los que las familias cargan en su espacio: decide qué información se registra y con qué fin, dentro de su relación con cada familia.

El operador de la plataforma, NLabs, trata esos datos por cuenta de la institución y solo para prestar el servicio, en los términos del artículo 25 de la Ley 25.326. No los usa para fines propios.

Contacto para consultas de privacidad: administracion@nlabs.ar.

2. Cuentas y personas usuarias

No existe el registro libre. Las cuentas las crea la institución. El operador de la plataforma crea la primera cuenta de administración de cada institución y, cuando hace falta (por ejemplo, si nadie de la institución puede hacerlo), también puede crear cuentas del personal y restablecer sus contraseñas.

Personal: ingresa con su usuario y su contraseña. Cuando la institución crea la cuenta o restablece la contraseña, la contraseña temporal es el DNI de la persona: vence a los 15 minutos y hay que cambiarla en el primer ingreso. La contraseña nueva no puede ser su DNI.
Familias: ingresan con su DNI y una contraseña. Cuando la institución crea la cuenta o restablece la contraseña, la contraseña temporal es el DNI de la persona: vence a los 15 minutos y hay que cambiarla en el primer ingreso, antes de poder usar la aplicación. La contraseña nueva la elige la familia (la institución no la conoce): tiene al menos 8 caracteres y no puede ser su DNI. Las cuentas que todavía tenían el DNI como contraseña tienen que cambiarla en el próximo ingreso.
Alumnos de nivel secundario: solo si la institución les habilita el acceso. Ingresan con su DNI y una contraseña temporal (su DNI) que vence a los 15 minutos y tienen que cambiar en el primer ingreso. La institución puede deshabilitar el acceso en cualquier momento.

La aplicación y el sitio los usan personas adultas (madres, padres, tutores y personal de la institución) y, cuando la institución lo habilita, alumnos de nivel secundario. Los chicos de jardín y de primaria no tienen cuenta propia. La cuenta de un alumno es de solo lectura y le muestra únicamente su propia información escolar: boletín (con los períodos ya cerrados), horario, asistencia, registros de convivencia que se le notificaron, talleres y comunicados de su curso y de la institución. No le muestra datos de salud, pagos, consentimientos, personas autorizadas a retirarlo ni información de otros alumnos, y no le pide datos.

3. Qué datos se tratan

Según lo que la institución y las familias usen del servicio:

De los chicos: nombre, apellido, DNI, fecha de nacimiento, foto de perfil, sala a la que asisten, asistencia (llegadas, retiros y ausencias), el registro del día que carga el personal (comidas, descanso, higiene, cambios de pañal y de ropa, estado de ánimo, mamaderas y notas), incidentes y sus adjuntos, informes, observaciones de progreso y calificaciones, las veces que se jugó cada propuesta de «Desafíos» y fotos de las actividades de la sala.
De los alumnos de primaria y secundaria: grado o curso, materias, notas por período, notas finales, materias pendientes y mesas de examen, inasistencias (incluidas las justificadas) y reincorporaciones, horario de clases, registros de convivencia con su descargo, y talleres en los que están inscriptos con su asistencia y evaluación.
Datos de salud de los chicos: alergias, medicación, condiciones crónicas u otras, con su protocolo, médico y obra social. Solo con el consentimiento descripto en el punto 5.
Consentimientos: qué consentimiento se firmó, quién lo firmó, cuándo, si se revocó y la copia en PDF del documento firmado que adjunta la institución.
De las familias: nombre, apellido, DNI, correo electrónico, teléfono, parentesco con el chico, los mensajes que intercambian con la sala por el chat, las reacciones a publicaciones y comunicados, y las confirmaciones de lectura de comunicados y mensajes.
De las personas autorizadas a retirar a un chico: nombre, DNI, teléfono, parentesco y, según el caso, una foto (para retiros habituales) o un código PIN (para retiros ocasionales).
Del personal: nombre, apellido, DNI, usuario, roles, especialidades, niveles en los que trabaja, sedes asignadas, cursos y materias a cargo, y los registros que carga en el sistema.
Registro de accesos sensibles: qué persona consultó o modificó los datos de salud o de las personas autorizadas a retirar de cada chico, y cuándo.
Datos administrativos que la institución decida cargar: datos de facturación y de cuenta bancaria vinculados al pago de la cuota.
Datos técnicos: el identificador del dispositivo para notificaciones push, si se habilitan (ver el punto 7), y los datos de conexión que se describen en el punto 9.

4. Para qué se usan

Informar a cada familia sobre el día, la asistencia, la salud y el progreso de sus hijos.
Llevar la trayectoria escolar: calificaciones, boletines, promoción de año, materias pendientes, asistencia y convivencia, según las normas de la jurisdicción que la institución configure.
Permitir la comunicación entre la familia y la institución, y los comunicados de la institución.
Organizar el trabajo del personal de la institución y el cuidado de los chicos (por ejemplo, saber quién está autorizado a retirarlos y qué alergias tienen).
Avisar de novedades en la aplicación.
Mantener la seguridad del servicio y prevenir accesos indebidos.

Los datos no se venden, no se usan para publicidad ni para crear perfiles comerciales, y la plataforma no incluye herramientas de publicidad ni de analítica de terceros.

5. Fotos y datos de salud: consentimiento

Las fotos de los chicos y sus datos de salud son información especialmente protegida. Por eso el sistema exige un consentimiento firmado por un adulto responsable, en papel, que la institución registra adjuntando el documento firmado. Hay dos consentimientos separados: uno para fotos y otro para datos médicos. Desde la aplicación, la familia puede ver cuáles están firmados y cuáles pendientes.

Fotos: solo se puede etiquetar en una publicación a un chico con el consentimiento de fotos vigente. Cuando el personal prepara una foto, salvo que todos los chicos de la sala tengan ese consentimiento, el editor detecta las caras en el propio dispositivo y las difumina automáticamente. El personal asigna cada cara detectada a un chico, y solo quedan visibles las caras asignadas a un chico con consentimiento. La detección solo ubica dónde hay una cara: no identifica a nadie ni guarda rasgos faciales. El servidor vuelve a verificar, al publicar, que los chicos etiquetados (o toda la sala, si la foto se publica con todas las caras visibles) tengan el consentimiento vigente.
Si se revoca el consentimiento de fotos: rige desde ese momento. No se publican fotos nuevas en las que aparezca ese chico (no se lo puede etiquetar ni dejar su cara visible). Las publicaciones anteriores siguen visibles como hasta entonces; la familia puede pedirle a la institución que borre alguna, y al borrarla también se elimina el archivo del almacenamiento.
Datos de salud: solo se pueden cargar o modificar si el consentimiento de datos médicos está vigente. Los puede cargar la familia desde la aplicación o el personal autorizado, y cada consulta o cambio queda registrado en un historial de accesos.

La foto de perfil de cada chico, que sirve para que el personal lo identifique, la puede cargar su familia o el personal autorizado.

6. Quién puede ver la información

Cada familia ve la información de sus propios hijos y, además, las fotos que el personal comparte con toda la sala de su hijo. En esas fotos solo quedan visibles las caras de chicos con consentimiento de fotos.
El chat de cada chico es entre su familia (todas las personas adultas a cargo de ese chico que tienen cuenta) y el personal de su sala. Si la institución les habilita la función de mensajes, también pueden leerlo la dirección, la secretaría y el personal de administración de la sede, y los roles con acceso a toda la institución (dueño, administración general y sistema).
El personal ve lo que corresponde a su función: por ejemplo, las docentes, las salas a su cargo; la dirección, su sede o toda la institución, según el rol. Cada institución define además qué funciones tiene habilitadas cada rol.
Los datos de una institución no son visibles para otras instituciones que usen la plataforma.

7. Notificaciones

Hoy los avisos los genera la propia aplicación: mientras está abierta o en segundo plano, consulta periódicamente al servidor si hay novedades y las muestra como notificaciones locales del teléfono. Lo que pasó con la aplicación cerrada se avisa al volver a abrirla. Las notificaciones pueden incluir el título de un comunicado, el nombre de quien escribió, el primer nombre del chico, el nombre de la sala y un fragmento del mensaje.

Más adelante podrían habilitarse las notificaciones push de Firebase Cloud Messaging (Google, Estados Unidos). Si se habilitan, el aviso pasará por los servidores de Google con el título, el nombre de quien escribió y el primer nombre del chico, y se guardará el identificador del dispositivo para enviarlo. Antes de habilitarlas se actualizará esta política.

8. Cómo se protegen

Toda la comunicación entre la aplicación, el sitio y el servidor viaja cifrada (HTTPS).
En la base de datos se guardan cifrados con AES-256-GCM:
- de los chicos: nombre, apellido, DNI, fecha de nacimiento y datos de facturación;
- de las familias: nombre, apellido, DNI, correo electrónico, teléfono y parentesco;
- del personal: nombre, apellido, DNI y usuario;
- de las personas autorizadas a retirar: nombre, DNI, teléfono, parentesco y código PIN;
- de la salud: la descripción de cada condición, su protocolo, el médico y la obra social;
- los textos libres sobre los chicos: notas del día, textos de los eventos del día, observaciones iniciales y de progreso, observaciones de asistencia y descripción de incidentes;
- los mensajes del chat, el cuerpo de los comunicados, el motivo de rechazo de un comunicado y el nombre de sus adjuntos;
- los datos bancarios: CUIT, CBU, número de cuenta, titular y motivo de descuento.
Para poder buscar por DNI, correo o usuario sin guardarlos legibles se usa una huella (HMAC-SHA-256) con una clave distinta.
Se guardan sin cifrado de campo, protegidos por el control de acceso y el cifrado en tránsito: los títulos de los comunicados, los epígrafes de las fotos, el tipo de condición de salud (alergia, crónica, medicación u otra), las calificaciones y los datos estructurados del registro del día (horarios, cantidades y opciones marcadas). Por eso se recomienda al personal no escribir datos personales en los títulos de los comunicados ni en los epígrafes de las fotos.
Las contraseñas se guardan como hash (bcrypt), nunca en texto legible.
Las fotos y los adjuntos se guardan en un servicio de almacenamiento sin acceso público (ver el punto 10). Solo se muestran mediante enlaces firmados que vencen en dos horas como máximo, y que el sistema entrega únicamente a quien tiene permiso para verlos.
Las copias de seguridad de la base de datos se cifran con age antes de salir del servidor y se guardan en Europa (ver el punto 12).
Los intentos de ingreso se limitan para dificultar el uso de contraseñas adivinadas.

Ningún sistema es infalible. Si se detecta un incidente de seguridad que afecte datos personales, se informará a la institución para que, junto con el operador, tome las medidas que correspondan.

9. Registros del servidor

Como cualquier sitio web, el servidor web registra cada pedido que recibe: la dirección IP, la fecha y hora, la dirección (URL) pedida, el resultado y el navegador o aplicación que lo hizo (user agent). Estos registros se usan para la seguridad y el funcionamiento del servicio y se eliminan automáticamente a los 14 días.

Además, el servidor de la aplicación registra eventos de seguridad, como ingresos, intentos fallidos y cambios de cuentas, con el identificador interno de la cuenta, sin contraseñas ni contenido de mensajes. La dirección IP también se usa, sin guardarla en la base de datos, para limitar los intentos de ingreso.

La institución cuenta con un registro de actividad (auditoría) que solo pueden ver quienes la dirigen: guarda quién hizo cada alta, cambio o baja en el sistema, cuándo, sobre qué alumno y si fue desde el sitio web o desde la aplicación. De los cambios se anotan los nombres de los campos modificados, nunca sus valores. En el caso de las familias, también registra a qué secciones de la aplicación entran (por ejemplo, Fotos o Día), como mucho una vez cada 10 minutos por sección, sin registrar qué contenido se miró. Sirve para la seguridad de los chicos y para resolver dudas o reclamos sobre lo cargado.

10. Proveedores y transferencias internacionales

Los datos no se ceden a terceros. Para prestar el servicio se usan proveedores que los procesan por cuenta del operador y solo con ese fin:

Dattatec, proveedor del servidor donde funcionan la aplicación y la base de datos, ubicado en la Argentina.
Wasabi Technologies, para el almacenamiento de las fotos, los documentos adjuntos y las copias de seguridad cifradas, en su centro de datos de Europa (región eu-west-2, París, Francia).
Google: en la aplicación móvil (Android e iOS), la detección de caras del editor de fotos usa ML Kit, que funciona en el propio teléfono; las fotos no se envían a Google para detectar caras, pero, según Google, ML Kit puede enviarle métricas de uso y diagnóstico. Si se habilitan las notificaciones push, también se usará Firebase Cloud Messaging (ver el punto 7).

El artículo 12 de la Ley 25.326 limita la transferencia de datos personales a países que no brinden un nivel de protección adecuado. Las fotos, los adjuntos y las copias de seguridad se guardan en Francia, dentro de la Unión Europea, que la autoridad argentina de protección de datos considera con nivel de protección adecuado. Las métricas de ML Kit y, si se habilitan, las notificaciones push de Firebase pueden procesarse en los Estados Unidos, país que no figura entre los considerados adecuados; con Google no hay un contrato particular firmado por el operador más allá de las condiciones generales de esos servicios.

Además, los datos pueden entregarse a una autoridad competente cuando una ley o una orden judicial lo exija.

11. Permisos del dispositivo y almacenamiento local

Cámara y galería: solo cuando la persona elige sacar o subir una foto.
Notificaciones: para avisar de mensajes y novedades; se pueden desactivar desde el teléfono.
La aplicación guarda la sesión en el almacenamiento seguro del teléfono.
El sitio web guarda en el almacenamiento local del navegador la sesión, la preferencia de tamaño de letra y el año lectivo seleccionado. No usa cookies de seguimiento ni herramientas de analítica o publicidad.

12. Conservación y eliminación de los datos

Los datos se conservan mientras la institución use el servicio y mantenga la relación con la familia, o hasta que se pida su eliminación. Actualmente:

La institución puede desactivar una cuenta: eso impide volver a ingresar y cierra de inmediato las sesiones abiertas en la aplicación y en el sitio. Los registros cargados por error, sin actividad asociada, pueden eliminarse directamente; la eliminación de una cuenta con historial se gestiona a pedido, como se explica más abajo.
Al borrar una publicación, un adjunto, una persona autorizada o una foto de perfil, también se borra el archivo del almacenamiento. El almacenamiento no guarda versiones anteriores de los archivos.
Las fotos o adjuntos que se subieron pero no se llegaron a guardar se eliminan automáticamente después de 24 horas.
Las copias de seguridad cifradas se conservan 30 días en el almacenamiento de Europa y 7 días en el servidor; después se eliminan automáticamente.
Los registros del servidor web se eliminan a los 14 días.
El registro de actividad de la institución se conserva mientras la institución use el servicio.

Cómo pedir la eliminación de la cuenta o de los datos: ni la aplicación ni el sitio tienen hoy una opción para que cada persona elimine su cuenta por su cuenta. La familia o la persona interesada puede pedirlo a la institución o escribiendo a administracion@nlabs.ar, indicando la institución y el nombre de la persona titular de la cuenta. El pedido lo procesa el operador de la plataforma junto con la institución. Antes de eliminar, se verificará la identidad de quien lo pide. Algunos datos pueden conservarse cuando una obligación legal lo exija; en ese caso se informará cuáles y por qué. Los datos eliminados desaparecen de las copias de seguridad cuando estas vencen, en un máximo de 30 días.

13. Derechos de las personas

De acuerdo con la Ley 25.326 de Protección de Datos Personales, toda persona puede solicitar el acceso a sus datos, su rectificación, actualización y supresión. En el caso de los chicos, los ejercen sus madres, padres o tutores. El derecho de acceso es gratuito a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo. Las solicitudes pueden hacerse ante la institución o escribiendo a administracion@nlabs.ar, y se responden dentro de los plazos de esa ley.

La Agencia de Acceso a la Información Pública, en su carácter de órgano de control de la Ley 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

14. Seguridad de los chicos

Las normas sobre protección de los chicos y cómo reportar un problema están en los Estándares de seguridad infantil.

15. Cambios en esta política

Si esta política cambia, se publicará aquí la nueva versión con su fecha. Si el cambio es importante, también se avisará a través de la institución o de la aplicación.