Política de Privacidad

POLÍTICA DE PRIVACIDAD DE LA PLATAFORMA WEB Y APLICACIÓN MÓVIL CLASECITA

CLASECITA, S.A.S. DE C.V.

Fecha de última actualización y entrada en vigor: ______ de agosto de dos mil veintiséis.

Mediante la presente Política de Privacidad, CLASECITA, S.A.S. DE C.V. (en adelante, “CLASECITA”) informa a los usuarios de su PLATAFORMA WEB Y APLICACIÓN MÓVIL sobre la manera en que se recopila, utiliza, procesa, almacena, transmite, protege y gestiona su información personal y datos de carácter sensible, en cumplimiento estricto y riguroso de la Ley para la Protección de Datos Personales (Decreto Legislativo N.º 144), la Ley Crecer Juntos para la Protección Integral de la Primera Infancia, Niñez y Adolescencia, la Ley de Comercio Electrónico, la Ley de Firma Electrónica, la Ley Contra Delitos Informáticos, la Ley de Ciberseguridad y Seguridad de la Información y demás normativa aplicable de la República de El Salvador.

Al acceder, navegar, registrarse, agendar o hacer uso de cualquiera de los servicios disponibles en la PLATAFORMA WEB Y APLICACIÓN MÓVIL de Clasecita, el usuario comprende, reconoce y otorga su consentimiento libre, específico, informado, expreso, e inequívoco para las prácticas de tratamiento de datos descritas en el presente instrumento normativo y legal.

PRIMERA. IDENTIDAD Y DATOS DEL RESPONSABLE DEL TRATAMIENTO Y DELEGADO DE PRIVACIDAD

De conformidad con los Artículos cuatro literal p), siete literal c) y quince de la Ley para la Protección de Datos Personales (LPDP), la entidad responsable del tratamiento de los datos personales y de las bases de datos o repositorios generados a través de la Plataforma Web es:

• Denominación Social: CLASECITA, S.A.S. DE C.V. (Sociedad por Acciones Simplificada de Capital Variable)
• Domicilio Social: Distrito de San Salvador, Municipio de San Salvador Centro, Departamento de San Salvador, República de El Salvador.
• Número de Identificación Tributaria (NIT): 0623-100426-112-0
• Correo Electrónico Oficial para Privacidad y Derechos ARCO-POL:
• Delegado de Protección de Datos Personales (DPD / OPD): Designado conforme al Artículo quince de la LPDP, localizable en la dirección de correo electrónico institucional antes descrita para la gestión y tramitación del ejercicio de los derechos de los titulares.

SEGUNDA. ALCANCE Y NATURALEZA DE LA PLATAFORMA WEB Y APLICACIÓN MÓVIL

El presente documento rige exclusivamente para los tratamientos de datos derivados de las interacciones realizadas a través del sitio web oficial e infraestructura en la nube de Clasecita (en adelante, la “Plataforma Web” o “Web App”). Clasecita actúa estrictamente como un mercado tecnológico e intermediario digital que conecta la oferta de servicios independientes de tutoría pedagógica con la demanda requerida por los usuarios, no revistiendo la condición de institución educativa ni de patrono o empleador de los tutores.

TERCERA. CATEGORÍAS DE DATOS PERSONALES RECOPILADOS

De acuerdo con el principio de minimización de datos (Artículo cinco literal d de la LPDP), Clasecita únicamente recaba la información estricta y proporcionalmente necesaria para cumplir con los servicios de intermediación digital, clasificándose las categorías de datos según el perfil de usuario:

3.1. Datos de Tutores (Contratistas Independientes)

• Datos de Identificación y Contacto: Nombre completo, fecha de nacimiento, nacionalidad, dirección de correo electrónico, número telefónico, dirección de residencia, Documento Único de Identidad (DUI) o Pasaporte vigente. En el caso de tutores jóvenes de dieciséis y diecisiete años de edad (habilitados de conformidad con el Código de Trabajo y la Ley Crecer Juntos), se recopila además la autorización escrita del padre, madre o representante legal junto con la copia del DUI del responsable.
• Datos Académicos y Profesionales: Títulos universitarios, certificados de formación, especialidades docentes, hoja de vida, experiencia pedagógica, tarifas fijadas y horarios de disponibilidad.
• Antecedentes Penales y Policiales: Constancias vigentes de antecedentes penales y policiales obtenidas mediante fuentes oficiales (tales como Simple.sv) o proveedores especializados de verificación (tales como Truora o Veriff).
• Datos Financieros: Datos de cuenta bancaria o billetera electrónica enlazada a las pasarelas de pago autorizadas (Cybersource de Banco Promerica u otro plataforma segura de pago) para recibir el pago de honorarios netos.
• Datos Biométricos (Sensibles): Fotografía selfie capturada en vivo para el cotejo de reconocimiento facial automatizado contra el documento oficial de identidad presentado.

3.2. Datos de Padres, Madres o Tutores Legales

• Datos de Identificación y Contacto: Nombre completo, correo electrónico, número telefónico y domicilio civil.
• Datos Financieros y Transaccionales: Datos de tarjeta de crédito o débito. Se aclara que la información bancaria completa es procesada directamente por las pasarelas de pago bajo certificación PCI-DSS Nivel uno; Clasecita no almacena en sus servidores números completos de tarjeta ni códigos de seguridad (CVV).
• Datos del Estudiante Menor Asociado: Nombre completo del niño, niña o adolescente, edad, grado escolar y asignaturas requeridas.

3.3. Datos de Estudiantes Jóvenes (dieciséis y diecisiete años de edad)

• Nombre completo, edad, correo electrónico, asignaturas de interés e historial académico dentro de la Plataforma Web, previa presentación de la autorización parental firmada y copia del DUI del representante legal.

3.4. Datos Recopilados Automáticamente mediante la Web App

• Dirección IP, tipo y versión del navegador web, sistema operativo del dispositivo, hora, fecha, duración de uso, registros de navegación, informe de fallas (crash logs) y geolocalización aproximada (utilizada exclusivamente para sugerir coincidencias de tutorías presenciales dentro de la misma zona geográfica).

3.5. Grabaciones de Sesiones Virtuales y Mensajería Interna

• Grabaciones de video y audio de las clases virtuales efectuadas mediante la integración técnica con Zoom u otra plataforma para reuniones virtuales similar.
• Registros de mensajería de texto transmitidos a través del chat interno de la Web App.

CUARTA. TRATAMIENTO ESPECIAL DE DATOS SENSIBLES Y PATRONES BIOMÉTRICOS

De conformidad con el Artículo cuatro literal g) y los Artículos veintisiete y treinta y siete de la Ley para la Protección de Datos Personales, la fotografía selfie en vivo y la extracción de patrones de reconocimiento facial constituyen datos personales sensibles.

• Finalidad Exclusiva: La recolección de patrones biométricos tiene como única finalidad validar de forma fehaciente la identidad del Tutor, prevenir la suplantación de identidad y proteger la integridad física, psicológica y emocional de los estudiantes menores de edad.
• Consentimiento Expreso e Independiente: Conforme al Artículo veintisiete de la LPDP, el consentimiento para el tratamiento de datos biométricos se otorga de forma explícita, consciente y por separado mediante la marcación activa de una casilla de verificación (checkbox) dedicada durante el proceso de registro del Tutor. Ningún Tutor está obligado a proporcionar datos sensibles sin su consentimiento, pero su negativa impedirá la aprobación del perfil por razones estricta de seguridad comunitaria.
• No Retención Permanente de Vectores Biométricos: Los datos faciales son procesados de forma cifrada por el proveedor tecnológico de verificación (Veriff/Truora) y no se almacenan como vectores biométricos permanentes dentro de las bases de datos operativas de Clasecita.

QUINTA. MARCO REFORZADO DE PROTECCIÓN PARA NIÑOS, NIÑAS Y ADOLESCENTES (LEY CRECER JUNTOS Y LPDP)

De conformidad con la Ley Crecer Juntos para la Protección Integral de la Primera Infancia, Niñez y Adolescencia y los Artículos cinco literal j) y cuarenta y dos de la LPDP (Principio de Ejercicio Progresivo de las Facultades e Interés Superior de la Niñez), Clasecita garantiza una protección reforzada sobre los datos de menores de edad:

• Prohibición de Cuentas Directas para Menores de dieciséis años: Queda estrictamente prohibida la creación autónoma de cuentas por menores de dieciséis años de edad. Todo acceso a tutorías para este grupo de edad debe realizarse obligatoriamente a través de la cuenta administrada por el Padre, Madre o Tutor Legal.
• Estudiantes de dieciséis y diecisiete años: Podrán administrar cuentas directas únicamente con la autorización escrita, expresa y documentada de su representante legal, acompañada de la copia del documento oficial de identidad de este último.
• Prohibición Comercial: Los datos de estudiantes menores nunca serán comercializados, alquilados, cedidos a terceros con fines publicitarios, ni utilizados para la elaboración de perfiles comerciales o mercadotécnicos (Artículo doce de la LPDP).
• Obligación de Presencia y Supervisión Parental: Con el propósito de salvaguardar la integridad de los menores y dar cumplimiento a las obligaciones legales de cuidado, el Padre, Madre o Tutor Legal debe estar físicamente presente y supervisar de forma continua el desarrollo de las tutorías virtuales o presenciales. Clasecita queda totalmente eximida de responsabilidad por incidentes o conductas derivadas del incumplimiento de esta obligación de supervisión parental.

SEXTA. FINALIDADES Y BASES LEGALES DEL TRATAMIENTO

De conformidad con los principios de licitud, lealtad, proporcionalidad, finalidad y seguridad (Artículos cinco y veintisiete de la Ley para la Protección de Datos Personales - Decreto N.º 144), la Ley de Comercio Electrónico, el Código Tributario y el Código de Comercio, Clasecita trata los datos personales bajo finalidades explícitas y bases legales debidamente fundamentadas.

6.1. Marco General de las Bases Legales (Artículo cinco literal g de la LPDP)

• Ejecución Contractual (Art. 5 lit. g.2 LPDP y Art. 13 Ley de Comercio Electrónico): Tratamiento necesario para la formalización, ejecución, mantenimiento y gestión de la relación contractual aceptada por el usuario al utilizar la Plataforma Web (gestión de cuentas, reservas, emparejamiento e intermediación financiera).
• Cumplimiento de Obligaciones Legales (Art. 5 lit. g.3 LPDP, Código Tributario y Código de Comercio): Tratamiento requerido por mandato expreso de la legislación fiscal o administrativa de El Salvador (emisión de comprobantes, conservación de registros contables y atención a mandatos judiciales).
• Interés Legítimo (Art. 5 lit. g.6 LPDP y Ley Crecer Juntos): Tratamiento necesario para satisfacer intereses legítimos de Clasecita y de la comunidad de usuarios, tales como la prevención de fraudes, auditoría de seguridad, verificación de antecedentes para la seguridad de los estudiantes y aplicación de cláusulas contractuales de no elusión.
• Consentimiento Previo, Expreso e Informado (Arts. 5 lit. g.1, 26 y 27 LPDP): Otorgado de forma granular mediante casillas de verificación (opt-in) o acciones afirmativas explícitas para finalidades específicas como datos biométricos sensibles, grabaciones de clases, geolocalización y marketing.

6.2. Matriz Detallada de Operaciones de Tratamiento de Datos Personales

SÉPTIMA. CONSENTIMIENTO Y TRATAMIENTO DE GRABACIONES VIRTUALES Y MENSAJERÍA INTERNA

• Consentimiento al Agendar: Al solicitar o agendar una tutoría virtual en la Web App, el Usuario y el Tutor otorgan su consentimiento explícito para que la videollamada (efectuada mediante la integración técnica con la plataforma Zoom) sea grabada y monitoreada en audio y video.
• Finalidad Exclusiva: Las grabaciones e historiales de chat se utilizarán única y exclusivamente para:
• Control de calidad pedagógica y auditoría del servicio.
• Prevención de conductas inapropiadas o situaciones de riesgo que afecten a menores de edad.
• Resolución de reclamos, disputas comerciales, inasistencias o solicitudes de reembolso.
• Acceso Restringido: El acceso a las grabaciones está estrictamente limitado al personal autorizado del área legal y personal autorizado para resolución de disputas de Clasecita. Las grabaciones no serán públicas ni se entregarán a las partes, salvo orden emitida por autoridad judicial competente.

OCTAVA. MATRIZ DE RETENCIÓN Y TIEMPOS DE CONSERVACIÓN DE DATOS

De conformidad con el principio de temporalidad (Artículo cinco literal h de la LPDP), Clasecita conservará la información personal únicamente durante el tiempo estrictamente necesario para cumplir con las finalidades autorizadas:

• Grabaciones de Sesiones Virtuales (Daily.co): Se conservarán en servidores seguros por un plazo máximo de treinta y un días calendario, procediéndose luego a su eliminación digital automatizada e irreversible, salvo que exista una disputa formal o investigación abierta en curso.
• Mensajes de Chat Interno: Se conservarán por un período de treinta días calendario para auditoría de seguridad y control de no elusión, tras lo cual serán eliminados automáticamente.
• Perfiles de Cuenta Activos: Se mantendrán durante la vigencia de la relación comercial y hasta dos años posteriores al cierre voluntario de la cuenta para atender posibles responsabilidades legales.
• Registros Financieros, Facturación e Impuestos: Se conservarán por un período mínimo de siete años, conforme a los plazos de prescripción establecidos en la legislación fiscal y comercial de la República de El Salvador.
• Resultados de Antecedentes y Verificación: Se conservarán mientras la cuenta del Tutor permanezca activa en la Plataforma Web, eliminándose treinta y un dias despues de cerrarse la cuenta.
• Datos Biométricos (Selfie): Se eliminan o anonimizan de los servidores operativos inmediatamente después de completado el proceso de verificación de identidad con el proveedor.

NOVENA. COMPARTICIÓN Y TRANSFERENCIA DE DATOS A TERCEROS Y ENCARGADOS

Clasecita no vende, alquila ni comercializa datos personales. De conformidad con los Artículos cuarenta y cuarenta y uno de la LPDP, únicamente transmitirá datos a los siguientes encargados del tratamiento bajo estrictos Contratos de Procesamiento de Datos y cláusulas de confidencialidad:

• Pasarelas de Pago: Cybersource de Banco Promerica u otra plataforma segura de pago, para procesar los cobros a clientes y desembolsos a tutores.
• Proveedores de Verificación de Identidad y Antecedentes: Didit, Truora, Veriff y plataformas gubernamentales como Simple.sv.
• Plataforma de Videoconferencia: u otra plataforma segura, para ejecutar las tutorías virtuales y almacenar temporalmente las grabaciones.
• Infraestructura en la Nube: Amazon Web Services (AWS), Google Cloud Platform (GCP) O Azure, cuyos servidores cuentan con protocolos de seguridad encriptada.
• Transferencias Internacionales (Artículo 44 LPDP): Cuando los servidores o encargados se ubiquen fuera de El Salvador, Clasecita garantiza que dichos receptores ofrecen niveles de protección adecuados o se adhieren a estándares internacionales equivalentes a la ley salvadoreña.
• Autoridades Competentes: En caso de ser requerido formalmente por orden judicial, investigación de la Fiscalía General de la República (FGR), la Agencia de Ciberseguridad del Estado (ACE) o la Defensoría del Consumidor.
• Asesores profesionales: abogados, contadores, auditores bajo obligaciones de confidencialidad.
• En conexion con una transacción comercial: fusión, adquisición o venta de activos (con aviso previo a los usuarios)
• Servicios de comunicación; proveedores de correo electrónico / sms/ notificaciones push.
• Proveedores de análisis: Google Analytics, Mixpanel, etc.
• Proveedores de verificación biométrica.

DÉCIMA. DERECHOS DE LOS TITULARES (DERECHOS ARCO-POL) Y PROCEDIMIENTO DE ATENCIÓN

De conformidad con los Artículos cuatro literal i) y seis al catorce de la Ley para la Protección de Datos Personales, el titular de los datos (o su representante legal debidamente acreditado) posee los siguientes derechos personalísimos e independientes:

• Acceso (Art. 8 LPDP): Obtener confirmación sobre qué datos personales suyos están siendo tratados y recibir información clara sobre los mismos.
• Rectificación (Art. 9 LPDP): Solicitar la corrección o actualización de datos inexactos, incompletos o desactualizados.
• Cancelación / Supresión (Art. 10 LPDP): Solicitar la eliminación de sus datos cuando ya no sean necesarios para los fines contratados, cuando retire su consentimiento o cuando hayan sido tratados en inobservancia de la ley. Incluye el Derecho al Olvido en entornos digitales y motores de búsqueda.
• Oposición (Art. 12 LPDP): Solicitar el cese en el tratamiento de sus datos para finalidades específicas (por ejemplo, mercadotecnia o elaboración de perfiles).
• Portabilidad (Art. 14 LPDP): Recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica para transmitirlos a otro responsable.
• Limitación del Tratamiento (Art. 13 LPDP): Solicitar la suspensión temporal o restricción del procesamiento mientras se verifica la exactitud de los datos o se resuelve una impugnación.

Procedimiento para ejercer los Derechos ARCO-POL (Artículos 18 y 20 de la LPDP):

• Presentación de Solicitud: El titular debe enviar una solicitud escrita al Delegado de Protección de Datos al correo electrónico: privacidad@clasecita.com.
• Requisitos de la Solicitud (Art. 18 LPDP):
• Nombre completo del titular y copia de su Documento Único de Identidad (DUI) o Pasaporte.
• Documento que acredite la representación legal (en su caso).
• Descripción clara y precisa de los datos sobre los que busca ejercer el derecho y el tipo de acción solicitada.
• Medio para recibir notificaciones.
• Firma del titular o medio equivalente que acredite la anuencia.
• Prevención (Art. 18 inc. final LPDP): Si la solicitud no cumple los requisitos, el Delegado requerirá subsanar dentro de un plazo de diez días hábiles.
• Plazo de Respuesta (Art. 20 LPDP): El Delegado resolverá y entregará la respuesta formal en un plazo máximo de veinte días hábiles, el cual podrá prorrogarse justificadamente por un período igual de veinte días hábiles.
• Gratuidad (Art. 23 LPDP): El ejercicio de los derechos ARCO-POL es totalmente gratuito.

DÉCIMA PRIMERA. MEDIDAS DE SEGURIDAD Y NOTIFICACIÓN DE BRECHAS A AUTORIDADES (ACE Y FGR)

De conformidad con los Artículos cinco literal f), veinticinco y treinta y seis de la LPDP y la Ley de Ciberseguridad y Seguridad de la Información, Clasecita aplica medidas técnicas, administrativas y físicas para garantizar la confidencialidad, integridad y disponibilidad de la información:

• Seguridad Técnica: Transmisión cifrada mediante protocolos TLS 1.2 (o superior) y almacenamiento en reposo con cifrado AES-256 o equivalente, Control de acceso basado en roles (RBAC).
• Notificación de Vulneraciones de Seguridad (Artículo 25 LPDP): Cuando Clasecita tenga conocimiento de una vulneración de seguridad que comprometa datos personales (pérdida, destrucción, alteración o acceso no autorizado), notificará a la Agencia de Ciberseguridad del Estado (ACE), a la Fiscalía General de la República (FGR) y a los usuarios titulares afectados dentro de un plazo máximo de setenta y dos horas desde que tuvo conocimiento del hecho, detallando la naturaleza del incidente, los datos comprometidos y las medidas de mitigación adoptadas.
• Plan de respuesta a incidentes implementado.
• Capacitación de empleados / contratistas en protección de datos.
• Datos biométricos: procesador por el proveedor de verificación; si se almacenan, cifrados con restricciones de acceso adicionales.
• Datos de pago: procesados por procesadores certificados PCI DSS Nivel 1 (Cybersource de Banco Promerica).

DÉCIMA SEGUNDA. COOKIES Y TECNOLOGÍAS DE SEGUIMIENTO EN LA PLATAFORMA WEB Y PLICACIÓN MÓVIL

De conformidad con el Artículo cuatro literal e) y veinticuatro literal i) de la LPDP, la Plataforma Web de Clasecita utiliza cookies técnicas esenciales y herramientas de análisis para autenticar sesiones, recordar preferencias y optimizar el rendimiento de la Web App. El usuario puede configurar su navegador web para rechazar cookies no esenciales; no obstante, la desactivación de cookies técnicas esenciales puede limitar ciertas funcionalidades del servicio de agendamiento.

DÉCIMA TERCERA. LEGISLACIÓN APLICABLE Y JURISDICCIÓN

La presente Política de Privacidad se rige, interpreta y ejecuta en estricta conformidad con las leyes de la República de El Salvador. Cualquier controversia, reclamo o procedimiento administrativo relacionado con la interpretación o aplicación de este documento será sometido a la jurisdicción exclusiva de los Tribunales competentes del distrito de San Salvador, municipio de San Salvador Centro, departamento de San Salvador, República de El Salvador, renunciando las partes a cualquier otro fuero que pudiere corresponderles.

DÉCIMA CUARTA. MODIFICACIONES Y MECANISMOS DE NOTIFICACIÓN

Clasecita se reserva el derecho de modificar o actualizar esta Política de Privacidad en cualquier momento para reflejar cambios legislativos o corporativos. Toda enmienda sustancial será notificada a los usuarios mediante publicación prominente en la Web App o vía correo electrónico con al menos treinta días calendario de anticipación a su entrada en vigor.

Para cualquier duda, consulta o ejercicio de derechos sobre la privacidad de sus datos, póngase en contacto a través de: