Política de Privacidad y Tratamiento de Datos Personales

SGD (Sistema de Gestión del Docente) es una plataforma de gestión educativa operada por ANCASTAV Digital Services, con domicilio en Puerto Plata, República Dominicana. Según el tipo de datos, ANCASTAV cumple uno de estos dos papeles:

Si eres madre, padre o tutor, o trabajas en un centro que usa SGD, tu primer interlocutor es ese centro: es quien decide qué datos se registran y para qué. Para cualquier consulta sobre esta política o sobre el tratamiento técnico de los datos, escribe a ANCASTAV a contacto@ancastav.com.

Según tu relación con SGD, se tratan los datos siguientes, y solo para las finalidades que se explican más adelante:

Estudiantes menores de edad

La mayoría de los estudiantes son menores de edad. No tienen cuenta ni acceso a SGD: sus datos los registra el personal autorizado de su centro. Si el centro ha activado el portal de familias, los padres, madres o tutores pueden consultar la información de su hijo o hija con un PIN familiar de cuatro dígitos o con un enlace de acceso personal que caduca a las 72 horas; mientras no caduque, quien tenga el enlace puede abrir un resumen del estudiante, por lo que no debe compartirse. Cada sesión del portal queda vinculada a un único estudiante.

La Ley 136-03, Código para la Protección de los Derechos de los Niños, Niñas y Adolescentes, reconoce su derecho a la intimidad, al honor y a la imagen propia (art. 18) y prohíbe divulgar su imagen y sus datos de forma que pueda afectar su desarrollo, su honor o su reputación (art. 26). La Ley 172-13 remite a ese Código para el tratamiento de datos de menores (art. 79). En SGD, los datos de un estudiante solo pueden verlos las personas que se indican en la sección «No vendemos tus datos: quién los ve y con quién se comparten». Nunca se publican.

Datos sensibles

• Datos de salud. El tipo de sangre del personal y, en el módulo de recursos humanos, alergias y condiciones médicas registradas de forma opcional, además de las ausencias por enfermedad. Las justificaciones de ausencia que envían las familias también pueden mencionar motivos de salud. Recomendamos a los centros registrar solo lo imprescindible.
• Índice de riesgo académico. Si el centro tiene activado el módulo de analítica, SGD calcula cada día un índice a partir de la asistencia real de los últimos 30 días —ausencias y tardanzas—, con reglas programadas por ANCASTAV y sin servicios externos de inteligencia artificial. Si no hay datos suficientes, lo indica en lugar de estimar. Es un indicador orientativo que solo pueden consultar los perfiles autorizados; las decisiones sobre un estudiante corresponden siempre al personal de su centro.

Los datos se recogen para prestar el servicio y para nada más. En particular, el nombre, el correo electrónico, el teléfono y la dirección se usan así:

Estas son todas las finalidades del tratamiento:

1. Gestión educativa: prestar al centro el servicio contratado —registro académico, asistencia, calificaciones, planificación, boletines, recursos humanos, reportes y, cuando se asignan los perfiles correspondientes, supervisión educativa—.
2. Admisiones: gestionar las solicitudes de ingreso de nuevos estudiantes, las citas y la matriculación.
3. Comunicación con las familias: mensajes entre el centro y las familias, avisos y justificaciones de ausencia, a través del portal de familias cuando el centro lo activa.
4. Facturación de la suscripción: emitir las facturas de ANCASTAV al centro, registrar y confirmar sus pagos y cumplir las obligaciones fiscales. Los detalles están en la Política de Facturación Electrónica.
5. Solicitudes de demostración: responder a quien pide una demostración o información, y darle seguimiento.
6. Seguridad del servicio: identificar a cada persona al iniciar sesión, limitar los intentos de acceso, registrar los cambios en la información sensible y hacer copias de seguridad.

Lo que no se hace: los datos no se usan para publicidad ni para crear perfiles comerciales, y no se usan para entrenar modelos de inteligencia artificial de terceros.

La Ley 172-13 exige, como regla general, el consentimiento libre, expreso y consciente de la persona titular de los datos, prestado por escrito o por un medio equiparable (art. 5, numeral 4). También permite tratar sin ese consentimiento los datos que se derivan de una relación comercial, laboral, contractual o profesional y que son necesarios para desarrollarla o cumplirla (art. 27, numeral 4). En SGD se aplica así:

• Datos escolares: corresponde al centro educativo, como responsable, contar con la base legal de cada tratamiento —la relación educativa o laboral que mantiene con cada persona y, cuando se requiera, el consentimiento de padres, madres o tutores— e informar a su comunidad educativa. Ese consentimiento lo recaba el centro, no ANCASTAV.
• Solicitudes de demostración: tu consentimiento, que das al enviar el formulario. Puedes retirarlo en cualquier momento escribiendo a contacto@ancastav.com.
• Facturación: el contrato de suscripción entre ANCASTAV y el centro, y las obligaciones fiscales que se derivan de él.
• Seguridad: forma parte de la prestación del servicio contratado.

Esta política es la información previa que exige la ley —finalidad, destinatarios, identidad y domicilio del responsable y derechos de la persona titular (art. 5, numeral 3)— para los tratamientos de los que ANCASTAV es responsable. Para los datos escolares, el centro informa a su comunidad educativa por su parte.

Quién ve los datos escolares dentro de SGD

• El personal del centro, según su perfil: un docente, por ejemplo, ve únicamente sus propias clases.
• La familia, en el portal, solo los datos de su hijo o hija.
• El personal autorizado de ANCASTAV, cuando el soporte, el mantenimiento o la facturación del servicio lo requieren.
• Los perfiles de supervisión del Ministerio de Educación (MINERD), cuando se asignan a una persona: por su función, pueden consultar la información de más de un centro, incluida la de sus estudiantes.

Proveedores que reciben datos

SGD no usa servicios de analítica, de publicidad ni de inteligencia artificial de terceros. Cuando el personal del centro usa el botón para escribir a una familia por WhatsApp, SGD solo abre la aplicación de WhatsApp del propio dispositivo con ese número: la conversación ocurre fuera de SGD.

Fuera de estos casos, los datos solo se comunicarán a una autoridad pública cuando una ley o una orden judicial lo exija.

La base de datos de SGD se aloja en Estados Unidos, en la región us-east-1 de Amazon Web Services (Virginia del Norte), a través de Supabase, y la aplicación se ejecuta en la infraestructura de Vercel en ese mismo país. Otros proveedores de la sección anterior también tratan datos fuera del país.

La Ley 172-13 llama transferencia internacional a cualquier transmisión de datos fuera del territorio dominicano (art. 6, numeral 20). Por tanto, usar SGD implica una transferencia internacional. El art. 80 de esa ley enumera los supuestos en que puede hacerse; entre ellos, que la persona la autorice libre y conscientemente, o que sea necesaria para ejecutar un contrato entre la persona titular y el responsable o para aplicar medidas precontractuales. En SGD:

• Para los datos escolares, corresponde al centro educativo informar de esta transferencia a su comunidad educativa y recabar la autorización cuando sea necesaria; en el caso de estudiantes menores de edad, la de sus padres, madres o tutores.
• Para las solicitudes de demostración y la facturación, la transferencia es necesaria para atender tu solicitud y para ejecutar el contrato de suscripción con el centro.

Durante esa transferencia, los datos viajan cifrados por HTTPS, la base de datos aplica cifrado en reposo, las copias de seguridad se guardan cifradas y cada proveedor recibe solo los datos que se indican en la tabla anterior. Si la ubicación de los datos cambia, esta política se actualizará antes de que el cambio se produzca.

Un dato eliminado puede permanecer en las copias de seguridad hasta que estas caduquen, a los 90 días.

Estas son las medidas principales. El detalle está en la Política de Seguridad de la Información.

• Conexión cifrada: todo el sitio funciona solo por HTTPS.
• Acceso por perfil y aislamiento por centro: cada petición comprueba quién la hace, con qué perfil y de qué centro, y cada consulta se limita a los datos de ese centro. El personal de un centro no puede ver los datos de otro, y cada perfil ve solo lo que le corresponde. Solo el personal autorizado de ANCASTAV y los perfiles de supervisión del MINERD pueden consultar más de un centro.
• Contraseñas y PIN: se guardan solo como una huella irreversible (bcrypt), nunca tal cual.
• Verificación en dos pasos: disponible para el personal y obligatoria para las acciones administrativas más sensibles.
• Límite de intentos: el inicio de sesión y el PIN del portal de familias se bloquean temporalmente tras varios intentos fallidos.
• Registro de auditoría: queda constancia de cada creación, modificación y eliminación en la información más sensible, con la fecha y el estado del dato antes y después del cambio. No se registran las consultas de solo lectura.
• Copias de seguridad diarias, cifradas con AES-256 antes de guardarse.
• Registros técnicos configurados para ocultar las contraseñas y demás claves, y datos como la cédula, el correo electrónico y el teléfono.

La aplicación no cifra la información campo por campo dentro de la base de datos: su protección descansa en estos controles de acceso y en el cifrado en reposo que aplica el proveedor de la base de datos. Ante un incidente que afecte a datos personales, ANCASTAV se compromete a informar sin demora al centro afectado, como explica la Política de Seguridad.

La Ley 172-13 te reconoce los derechos de acceso, rectificación, cancelación y oposición. Son independientes: no necesitas ejercer uno para poder pedir otro (art. 9).

• Acceso: saber qué datos tuyos figuran en SGD, para qué se usan y a quién se comunican (art. 10).
• Rectificación: corregir o actualizar los datos inexactos o incompletos (arts. 8 y 14).
• Cancelación: pedir que se deje de usar un dato y se suprima. La cancelación conlleva el bloqueo del dato: se conserva solo a disposición de los poderes del Estado durante el plazo de prescripción de las responsabilidades y, cumplido ese plazo, se suprime. No procede cuando una ley obliga a conservarlo —por ejemplo, los datos fiscales— o cuando perjudicaría derechos o intereses legítimos de terceros (arts. 14 y 15).
• Oposición: oponerte a un tratamiento concreto de tus datos. La ley reconoce en particular el derecho a pedir en cualquier momento que tu nombre se retire o se bloquee de los bancos de datos usados con fines de publicidad y prospección comercial (art. 71). Por ejemplo, puedes pedir que dejemos de contactarte a raíz de una solicitud de demostración.

Cómo presentar tu solicitud

Las solicitudes se presentan por escrito y las revisa una persona: SGD todavía no tiene un botón para hacerlo desde la plataforma.

1. A quién dirigirla. Si se trata de datos escolares —de un estudiante, de su familia o del personal—, conviene dirigirla al centro educativo (dirección o secretaría), que es el responsable. También puedes escribir a ANCASTAV a contacto@ancastav.com con el asunto «Derechos ARCO». Para las solicitudes de demostración y los datos de facturación, escribe directamente a esa dirección.
2. Qué incluir. Tu nombre completo; tu relación con SGD (por ejemplo, docente de un centro, madre de un estudiante o persona que pidió una demostración); el centro educativo, si aplica; el derecho que ejerces y los datos concretos a los que se refiere; en una rectificación, el dato correcto y, si procede, el documento que lo respalda; y un medio para responderte.
3. Verificación de identidad. Antes de entregar o cambiar cualquier dato hay que acreditar tu identidad (art. 10). Te pediremos que lo hagas con tu cédula o tu pasaporte y, si se trata de datos escolares, podremos pedir al centro educativo que la confirme. Si actúas en nombre de otra persona, deberás acreditar la representación. No se entrega información a quien no acredite su identidad o su representación.
4. Quién responde. ANCASTAV responde directamente sobre los datos de los que es responsable. Si la solicitud trata sobre datos escolares, ANCASTAV la traslada al centro —que es quien decide—, te informa de ese traslado y presta al centro el apoyo técnico necesario para atenderla.
5. Plazos. La Ley 172-13 prevé que la información pedida en ejercicio del derecho de acceso se entregue dentro de los cinco (5) días hábiles siguientes a la solicitud, hecha de manera personal o mediante acto de alguacil (art. 10), y que, una vez verificada la pertinencia de la reclamación, los datos se rectifiquen, supriman o actualicen en un máximo de diez (10) días hábiles (art. 8). Son días laborables, sin contar sábados, domingos ni feriados (art. 6, numeral 32). ANCASTAV se compromete a aplicar esos mismos plazos, en lo que le corresponde, también a las solicitudes que recibe por correo electrónico.
6. Costo. ANCASTAV no cobra por tramitar estas solicitudes; además, la ley dispone que rectificar o suprimir datos es gratuito para la persona interesada (art. 8).

Estudiantes menores de edad

Los derechos de los estudiantes menores de edad los ejercen sus padres, madres o tutores legales, que deben acreditar esa condición; por ejemplo, con el acta de nacimiento o con la resolución que otorga la tutela. El derecho de acceso a los datos de una persona fallecida corresponde a sus sucesores universales (art. 10).

Si no recibes respuesta

Si tu solicitud no se atiende en plazo o no estás de acuerdo con la respuesta, puedes promover la acción judicial de hábeas data, reconocida en el art. 70 de la Constitución y regulada en los arts. 17 a 24 de la Ley 172-13. Se tramita por el procedimiento del amparo (art. 21) ante el juez del domicilio de la parte demandada (art. 20).

SGD usa una sola cookie, sgd_session: es propia, estrictamente necesaria para mantener tu sesión abierta y dura como máximo 8 horas (4 en el portal de familias). El navegador guarda además información técnica de la interfaz, como el panel que tenías abierto, la lista de estudiantes de la clase en curso o los borradores de mensajes; por eso conviene cerrar sesión y la pestaña al terminar en un equipo compartido. No hay cookies ni herramientas de analítica, de publicidad ni de rastreo. Los detalles están en la Política de Cookies.

Cuando esta política cambie, se publicará aquí la nueva versión con su fecha de actualización, que figura al inicio del documento. Los cambios sustanciales se comunicarán con antelación razonable a los centros que tienen contratado SGD, para que puedan informar a su comunidad educativa. Todas las políticas de SGD están reunidas en el centro legal.