Política de privacidade

1. Responsable do tratamento

O responsable do tratamento dos teus datos persoais é SifG22, titular do dominio sifg.net e dos subdominios e servizos asociados, incluída a plataforma de exames SifG Area, xestionada operativamente por SifG Edu.

Se no futuro se designase formalmente un Delegado de Protección de Datos (DPO), o seu contacto publicarase neste apartado.

2. Ámbito e servizos cubertos

Esta política aplícase a todos os servizos prestados por SifG22, en particular:

• sifg.net e subdominios institucionais (blog, help, status).
• SifG Area (area.sifg.net): plataforma de exames en liña xestionada por SifG Edu. Permite a realización, xestión e corrección de probas, así como o seguimento do progreso do usuario.
• SifG Edu (edu.sifg.net): servizos educativos do ecosistema.
• SifG22 para Windows, distribuída a través de Microsoft Store.
• O resto de produtos e servizos identificados coa marca SifG22.

Algúns servizos poden dispor de políticas específicas que completan ou particularizan a presente política. En caso de discrepancia, prevalecerá a política específica do servizo concreto.

3. Datos persoais que tratamos

A continuación detallamos as categorías de datos que tratamos. Só recollemos os datos necesarios para prestar o servizo e respectamos en todo momento os principios de minimización, limitación da finalidade e exactitude do artigo 5 do RXPD.

3.1 Datos de conta (rexistro con email e contrasinal)

• Identificadores: nome ou nome de usuario, enderezo de correo electrónico.
• Contrasinal: nunca se almacena en texto plano. Gárdase unicamente o seu hash xerado mediante algoritmos modernos resistentes á forza bruta (Argon2id ou bcrypt con factor de custo alto e salt único por usuario).
• Datos opcionais: foto de perfil, biografía, preferencias da app.

3.2 Inicio de sesión con provedores externos (Google e GitHub)

Cando escolles acceder con Google ou GitHub mediante OAuth 2.0 / OpenID Connect, recibimos do provedor unicamente os datos estritamente necesarios para crear ou vincular a túa conta:

• Google: identificador único de Google, enderezo de correo electrónico, nome e foto de perfil pública (cando os autorizas).
• GitHub: identificador único de GitHub, nome de usuario, enderezo de correo electrónico (se o fixeches público ou autorizas o seu acceso) e avatar.

Non accedemos a contactos, repositorios privados, ficheiros, mensaxes nin a ningunha outra información da túa conta de Google ou GitHub. A autenticación realízase directamente contra o provedor: nunca coñecemos o teu contrasinal de Google nin de GitHub.

3.3 Datos xerados polo uso de SifG Area

• Exames e probas: exames nos que te inscribes, datas, tempos investidos, respostas e puntuacións obtidas.
• Progreso académico: estatísticas e métricas de evolución dentro da plataforma.
• Configuración da conta: centro educativo, materia, curso ou equipo, se os introduces.

3.4 Datos técnicos e de seguridade

• Enderezo IP e xeolocalización aproximada (a nivel de país/cidade) derivada da IP.
• Información do dispositivo e do navegador (User Agent, sistema operativo, idioma).
• Datas e horas de acceso, eventos de seguridade (intentos fallidos, cambios de contrasinal).
• Datos almacenados en cookies e tecnoloxías similares, segundo se detalla na Política de cookies.

3.5 Comunicacións

Se contactas connosco (por correo, formulario ou centro de axuda), tratamos o contido da mensaxe e os datos identificativos que facilites para atender a túa solicitude.

4. Para que usamos os teus datos

• Crear e xestionar a túa conta (identificación, autenticación, vinculación con Google ou GitHub se así o escolles).
• Prestar o servizo: acceso a SifG Area, realización de exames, almacenamento de resultados, progreso, configuracións e preferencias.
• Comunicarnos contigo sobre incidencias, actualizacións esenciais, recuperación de contrasinal ou cambios relevantes na política.
• Atender solicitudes e consultas a través do centro de axuda e do correo de soporte.
• Garantir a seguridade do servizo: prevención da fraude, detección de abusos, monitorización de incidentes e resposta a accesos non autorizados.
• Cumprir obrigas legais: contables, fiscais, de protección de datos ou requirimentos de autoridades competentes.
• Mellorar o servizo: análise estatística agregada e anonimizada do uso, sen perfilado individual.

Non utilizamos os teus datos con fins publicitarios, nin os vendemos, nin os cedemos a anunciantes ou data brokers. Non realizamos perfilado con efectos xurídicos nin decisións automatizadas significativas (ver sección 11).

5. Base legal do tratamento

Tratamos os teus datos conforme ás seguintes bases xurídicas previstas no artigo 6 do RXPD:

• Execución dun contrato (art. 6.1.b RXPD): a creación da conta, o acceso a SifG Area e a prestación do servizo constitúen un contrato entre o usuario e SifG22.
• Consentimento (art. 6.1.a RXPD): para tratamentos opcionais como comunicacións promocionais ou cookies non necesarias. Podes retiralo en calquera momento sen que iso afecte á licitude do tratamento previo.
• Interese lexítimo (art. 6.1.f RXPD): para garantir a seguridade da plataforma, previr a fraude e manter a integridade dos exames.
• Obriga legal (art. 6.1.c RXPD): cando unha norma nos esixa conservar ou comunicar determinados datos.

6. Prazos de conservación

Conservamos os teus datos unicamente durante o tempo necesario para as finalidades descritas:

• Datos de conta e de SifG Area: mentres a conta estea activa.
• Tras a eliminación da conta: os teus datos anonimízanse ou suprímense, agás aqueles que debamos conservar bloqueados por obrigas legais ou para a formulación, o exercicio ou a defensa de reclamacións, durante os prazos legalmente establecidos.
• Rexistros de seguridade e acceso: ata 12 meses, agás que se identifiquen incidentes que xustifiquen a súa conservación adicional.
• Comunicacións de soporte: o tempo necesario para atender a solicitude e, posteriormente, ata 24 meses para fins de calidade e trazabilidade.
• Decisión sobre cookies: ata 12 meses, conforme ás recomendacións da AEPD.

Se a túa conta permanece inactiva durante un período prolongado, podemos contactar contigo e, no seu defecto, eliminala automaticamente para minimizar os datos.

7. Destinatarios e cesións

SifG22 non vende, aluga nin cede os teus datos persoais a terceiros con fins comerciais. Tampouco os compartimos con anunciantes, redes publicitarias nin plataformas de márketing.

Os teus datos poderán ser comunicados a:

• Encargados do tratamento que prestan servizos a SifG22 (hosting, envío de correo transaccional, monitorización de seguridade, autenticación con terceiros). Actúan en nome de SifG22 e baixo contrato de encargo conforme ao artigo 28 do RXPD. Ver sección 8.
• Autoridades competentes: xuíces, tribunais, forzas e corpos de seguridade ou administracións públicas, cando exista unha obriga legal, unha resolución xudicial ou unha solicitude válida.
• Provedores de identidade federada (Google e GitHub): se decides iniciar sesión cun deles, prodúcese un intercambio mínimo de datos para autenticarte. Esta comunicación réxese tamén polas políticas de privacidade de Google e GitHub.

8. Encargados do tratamento

SifG22 recorre a provedores tecnolóxicos de confianza para prestar o servizo. Só tratan os teus datos por conta de SifG22, conforme ás súas instrucións, coas medidas de seguridade axeitadas e os compromisos de confidencialidade esixidos polo RXPD.

Categorías habituais de encargados: aloxamento na nube, bases de datos, envío de correo transaccional, autenticación, monitorización e observabilidade. A lista actualizada de provedores e os países desde os que prestan o servizo pode solicitarse en support@sifg.net.

9. Transferencias internacionais

Algúns provedores cos que traballamos (por exemplo, Google ou GitHub para o inicio de sesión federado) poden tratar datos en países situados fóra do Espazo Económico Europeo. Cando isto ocorre, garantimos un nivel de protección equivalente ao europeo mediante:

• Decisións de adecuación da Comisión Europea (por exemplo, o EU-US Data Privacy Framework).
• Cláusulas contractuais tipo aprobadas pola Comisión Europea.
• Outras garantías axeitadas previstas nos artigos 46 e 49 do RXPD.

10. Seguridade dos datos

SifG22 aplica medidas técnicas e organizativas apropiadas para garantir a confidencialidade, a integridade e a dispoñibilidade dos datos, conforme ao artigo 32 do RXPD, entre elas:

• Comunicacións cifradas mediante HTTPS/TLS.
• Almacenamento de contrasinais unicamente como hash (Argon2id / bcrypt) con salt aleatorio por usuario.
• Control de accesos por roles e principio de mínimo privilexio.
• Rexistro e monitorización de eventos críticos.
• Actualizacións de seguridade periódicas e revisións de dependencias.
• Copias de seguridade cifradas e políticas de retención.
• Procedementos de resposta ante incidentes e de notificación á AEPD e aos usuarios afectados, se é o caso, nun prazo máximo de 72 horas, conforme aos artigos 33 e 34 do RXPD.

A pesar destas medidas, ningún sistema é absolutamente infalible: pedímosche que utilices contrasinais robustos e que non os compartas con terceiros.

11. Decisións automatizadas

Algúns exames en SifG Area corríxense de forma automatizada (preguntas tipo test, respostas con clave obxectiva, etc.). Esta corrección automática non produce efectos xurídicos nin che afecta significativamente no sentido do artigo 22 do RXPD, pois sempre poderás solicitar revisión humana dos resultados ante o docente, centro ou xestor responsable do exame.

Non realizamos perfilado con fins publicitarios nin clasificacións que limiten o acceso a servizos ou dereitos.

12. Os teus dereitos

Como persoa interesada, tes dereito a:

• Acceder aos datos persoais que tratamos sobre ti.
• Rectificar os datos inexactos ou incompletos.
• Suprimir os datos cando xa non sexan necesarios ou cando retires o teu consentimento.
• Limitar o tratamento en determinados supostos.
• Opoñerte ao tratamento baseado no interese lexítimo.
• Portar os teus datos a outro responsable, nun formato estruturado, de uso común e lectura mecánica.
• Retirar o consentimento en calquera momento, sen efecto retroactivo.
• Non ser obxecto de decisións automatizadas con efectos xurídicos.

Podes exercer estes dereitos escribindo a support@sifg.net ou desde o centro de axuda. Atenderemos a túa solicitude no prazo máximo dun mes, prorrogable a dous meses en casos especialmente complexos.

Se consideras que os teus dereitos non foron atendidos correctamente, podes presentar unha reclamación ante a Axencia Española de Protección de Datos (AEPD), autoridade de control en España.

13. Cookies e tecnoloxías similares

O uso de cookies nos nosos sitios e aplicacións réxese pola Política de cookies, que detalla que cookies utilizamos, con que finalidade e como podes xestionalas ou revogar o consentimento en calquera momento.

14. Menores de idade

Dado que SifG Edu e SifG Area están orientados ao ámbito educativo, parte do alumnado pode ser menor de idade. Conforme ao artigo 7 da LOPDGDD, en España o tratamento de datos persoais dun menor de 14 anos require o consentimento dos titulares da patria potestade ou titoría.

Os centros educativos que utilicen SifG Area con alumnos menores de 14 anos son responsables de obter o devandito consentimento, así como de informar previamente do tratamento. SifG22 actuará nestes casos como encargado do tratamento do centro, mediante o correspondente contrato.

Se tes coñecemento de que un menor de 14 anos facilitou datos sen o consentimento dos seus proxenitores ou titores, comunícanolo en support@sifg.net e procederemos á súa supresión.

15. Cambios na política

SifG22 poderá actualizar esta Política de privacidade para adaptala a cambios normativos, xurisprudenciais ou de servizo. Cando os cambios sexan substanciais, comunicarémoscho de forma destacada (banner, correo electrónico ou aviso dentro da aplicación) con antelación razoable. A data da última actualización aparece ao comezo desta páxina.

16. Contacto e reclamacións

Para calquera consulta sobre privacidade, exercicio de dereitos ou reclamación, podes contactar connosco a través de:

• Correo electrónico: support@sifg.net
• Centro de axuda: help.sifg.net
• Formulario de contacto: Sobre nós

Ademais, tes dereito a presentar unha reclamación ante a Axencia Española de Protección de Datos (AEPD) se entendes que o teu dereito á protección de datos foi vulnerado.