Política de privacidad

1. Responsable del tratamiento

• Responsable del tratamiento: Jose Manuel Alegre Cuenca
• NIF: 07258328B
• Domicilio: Avenida de Valladolid, 31, 46020 Valencia (Valencia), España
• Contacto en materia de protección de datos: happyautomating@gmail.com

El presente sitio, tuformaciononline.com, opera bajo la marca comercial TuFormaciónOnline. La condición de responsable del tratamiento no corresponde a la marca, sino a la persona física identificada anteriormente, que opera asimismo el portal común y las academias que se relacionan a continuación, cada una con los dominios desde los que se sirve:

• TuFormaciónOnline: portal común, que reúne el catálogo de todas las academias, el registro y el acceso al aula. No imparte formación propia. Dominios: tuformaciononline.com; formacionbonificada.app (entrada dedicada a la formación bonificable a través de FUNDAE).
• Your Learning Paths: academia de formación técnica y de apoyo a la formación profesional. Dominios: yourlearningpaths.com; formacionprofesional.app.
• HappyAutomating Academy: academia de formación para empresas y sus plantillas. Dominios: academy.happyautomating.com; formacionempresas.app.
• HackTheTeacher: academia de formación para profesorado. Dominios: academy.hacktheteacher.com.

Todas ellas comparten una única base de datos y una única cuenta de usuario: el registro desde cualquiera de esos dominios habilita el acceso a los demás. No existe un tratamiento independiente por marca ni una entidad distinta detrás de cada una, sino un único responsable. La diferencia entre ellas se limita al catálogo de cursos y a la identidad visual.

No se ha designado delegado de protección de datos. Las cuestiones relativas al tratamiento pueden dirigirse a happyautomating@gmail.com.

A los efectos de la presente política se entiende por Interesado la persona física cuyos datos son objeto de tratamiento; por Usuario, quien accede al servicio o dispone de cuenta en él; por Empresa, la entidad que financia una acción formativa bonificada para sus trabajadores; por Participante, el trabajador destinatario de dicha formación; y por Prestador, quien presta el servicio de formación, que es siempre la misma persona física identificada al inicio de este apartado. Se emplea «Prestador» y no «Responsable» en aquellos tratamientos en los que esa persona no actúa como responsable sino como encargado, como ocurre en la formación bonificada descrita en el apartado 2.4.

2. Tratamientos, finalidades y bases jurídicas

2.1 Cuenta de usuario y acceso a la formación

Datos: dirección de correo electrónico, contraseña (almacenada de forma cifrada), nombre visible, imagen de perfil y marca o dominio desde el que se produjo el registro.

Finalidad: creación y mantenimiento de la cuenta, autenticación del Usuario y habilitación del acceso a los cursos.

Base jurídica: ejecución del contrato (art. 6.1.b del RGPD).

Origen de los datos. La cuenta puede crearse de dos maneras, y de ello depende la procedencia de los datos:

• Mediante correo electrónico y contraseña. Los datos los facilita el propio Usuario en el formulario de registro, incluido el nombre visible. En esta modalidad no se recoge imagen de perfil.
• Mediante una cuenta de Google. El Usuario es redirigido a Google, se identifica ante Google —el Responsable no recibe en ningún momento su contraseña— y Google comunica al Responsable su dirección de correo electrónico, su nombre y su imagen de perfil. Estos datos no proceden del Interesado sino de un tercero, de modo que la información sobre su tratamiento se rige por el artículo 14 del RGPD, cuyo apartado 2.f obliga a indicar esa procedencia. La imagen de perfil se conserva junto al resto de los datos de la cuenta y no se publica en la plataforma.

El nombre visible es el que figura en las clasificaciones de cada curso. El Usuario que desee modificarlo o sustituirlo por un alias puede solicitarlo en cualquier momento a happyautomating@gmail.com, en ejercicio de su derecho de rectificación.

Cuando el Usuario accede con una cuenta de Google y su dirección de correo electrónico coincide con la de una cuenta ya existente en la plataforma, ambas formas de acceso quedan asociadas a esa misma cuenta y a su historial de formación. No se crea una cuenta distinta ni se duplican sus datos.

2.2 Progreso, evaluación y gamificación

Datos: lecciones visitadas y completadas, respuestas a ejercicios y cuestionarios, calificaciones, entregas de trabajos, puntos, rachas y logros.

Finalidad: prestación de la formación, evaluación del Usuario, presentación de su avance y acreditación de la superación del curso.

Base jurídica: ejecución del contrato (art. 6.1.b del RGPD).

Elaboración de perfiles: los puntos y las clasificaciones se calculan a partir de la actividad del Usuario y constituyen una elaboración de perfil limitada a su propio aprendizaje dentro del curso. Dicha elaboración no se emplea para adoptar decisiones automatizadas que le afecten significativamente, no se utiliza con fines publicitarios y no se comunica a terceros. El nombre que figura en las clasificaciones es el nombre visible que el propio Usuario determina, y puede consistir en un alias.

2.3 Registro de tiempos de conexión

Datos: momento de inicio y de finalización de cada sesión de estudio, duración y subsecciones visitadas.

Finalidad: acreditación del tiempo de dedicación a la acción formativa.

Base jurídica: ejecución del contrato (art. 6.1.b) en la formación libre, y obligación legal (art. 6.1.c) en la formación bonificada, en la que la normativa de teleformación exige el seguimiento continuo de la actividad del Participante.

Este registro constituye un tratamiento de datos de comportamiento. Se informa expresamente de que, en la formación bonificada, quedan registrados el tiempo de conexión del Participante y las lecciones a las que ha accedido, y de que dicho registro puede ser requerido por los órganos de control. El tratamiento no comprende la actividad del Participante fuera de la plataforma, su navegación en otros sitios web ni la supervisión de la pantalla de su dispositivo.

2.4 Formación bonificada (FUNDAE)

Datos: además de los anteriores, nombre completo, NIF, número de afiliación a la Seguridad Social, grupo de cotización, empresa y evidencia de la participación (conexiones, evaluaciones, entregas, diploma y cuestionario de calidad). El NIF y el número de afiliación se almacenan cifrados.

Finalidad: gestión, ejecución y acreditación de la acción formativa; justificación de la bonificación aplicada por la Empresa; y atención del control de las Administraciones competentes.

Base jurídica: obligación legal (art. 6.1.c del RGPD), conforme a la Ley 30/2015 y al Real Decreto 694/2017, que regulan el sistema de formación profesional para el empleo.

La comunicación de estos datos tiene la condición de requisito legal. En su defecto, la Empresa no puede aplicar la bonificación y el Participante no puede tomar parte en la acción formativa.

Origen de los datos. El Participante no facilita estos datos por sí mismo: los aporta la Empresa que financia la formación o, en su caso, la entidad organizadora, al inscribirlo en la acción formativa. No proceden, en ningún caso, de fuentes de acceso público. Al no proceder del Interesado, la información sobre este tratamiento se rige por el artículo 14 del RGPD, cuyo apartado 2.f obliga a indicar esa procedencia.

Corresponde a la Empresa, como responsable que determina los fines de la acción formativa, informar al Participante en los plazos del artículo 14.3: dentro del mes siguiente a la obtención de los datos, en la primera comunicación que le dirija si fuera anterior o, a más tardar, cuando los datos se comuniquen por primera vez a otro destinatario —lo que en la formación bonificada sucede necesariamente, según el apartado 4.2. La presente política está publicada y accesible de forma permanente para dar cobertura a esa información en lo que se refiere al tratamiento que realiza el Prestador.

Reparto de responsabilidades: cuando la Empresa inscribe a un trabajador en una acción bonificada, es la Empresa quien determina los fines del tratamiento y actúa, por tanto, como responsable. El Prestador actúa como encargado del tratamiento por cuenta de la Empresa en la ejecución de la formación, y como responsable respecto de aquello que la normativa le impone de forma directa: la custodia de la evidencia y su puesta a disposición de la inspección.

2.5 Solicitudes de información de empresas

Datos: nombre, empresa, dirección de correo electrónico, tamaño del equipo y contenido del mensaje remitido.

Finalidad: atención de la solicitud y elaboración de la propuesta formativa requerida.

Base jurídica: adopción de medidas precontractuales a petición del interesado (art. 6.1.b del RGPD). El envío de comunicaciones comerciales posteriores requiere consentimiento (art. 6.1.a), que se recaba mediante casilla independiente y puede retirarse en cualquier momento.

2.6 Comunicaciones comerciales a clientes

Respecto de quien haya contratado un curso, el Responsable puede remitir información sobre cursos similares a los ya contratados, al amparo del interés legítimo (art. 6.1.f del RGPD y art. 21.2 de la LSSI-CE). Cada comunicación incorpora un enlace de baja, y el Interesado puede oponerse en cualquier momento mediante comunicación a happyautomating@gmail.com, sin coste y sin necesidad de justificación.

El registro desde una de las marcas no implica la recepción de comunicaciones relativas a las demás.

2.7 Sugerencias y comunicación de errores

Datos: el contenido del mensaje; tres datos técnicos del contexto, para poder reproducir el problema descrito —la ruta de la página desde la que se envía, la identificación del navegador (user-agent, recortada a 500 caracteres) y la resolución de la ventana—; y una referencia interna seudónima de la cuenta remitente junto con su rol en la plataforma (alumno, docente, administrador u observador), necesaria para poder responder y para aplicar el límite de envíos.

Todo ello se registra como incidencia en el repositorio de desarrollo del Responsable, alojado en GitHub. No se incorpora la dirección de correo electrónico ni el nombre del remitente. El repositorio tiene carácter privado y su acceso está limitado al equipo de desarrollo. El formulario advierte, antes del envío, de que no deben incorporarse datos personales ni información confidencial en el texto del mensaje.

Base jurídica: interés legítimo en la mejora del servicio (art. 6.1.f del RGPD). El formulario advierte del alcance del tratamiento antes del envío, y el Interesado puede oponerse conforme al apartado 6.

2.8 Observadores de la formación bonificada

Este apartado se refiere a los datos de la persona designada para supervisar una acción formativa bonificada —auditor, representante de la empresa financiadora o de la entidad organizadora, o personal de los órganos de control—, no a los del alumnado.

Datos: nombre y apellidos, dirección de correo electrónico, cohortes a las que se le da acceso y fecha en que se concede.

Finalidad: habilitar el acceso de solo lectura a la evidencia de la acción formativa, para que pueda verificarse su ejecución.

Base jurídica: obligación legal (art. 6.1.c del RGPD), en cuanto la normativa de formación profesional para el empleo exige que la acción formativa quede a disposición de los órganos de control; e interés legítimo (art. 6.1.f) en la administración de la propia cuenta de acceso.

Origen de los datos. El observador no facilita estos datos por sí mismo: los aporta la empresa financiadora, la entidad organizadora o el Responsable al designarlo. Al no proceder del Interesado, se aplica el artículo 14 del RGPD, cuyo apartado 2.f obliga a indicar esa procedencia. Cuando la designación crea una cuenta nueva, el observador recibe una invitación por correo electrónico; cuando ya disponía de cuenta en la plataforma, la designación no genera ninguna comunicación adicional. En ambos casos, la presente política es accesible de forma permanente desde todas las páginas del sitio.

Conservación y revocación. El acceso se mantiene mientras resulte necesario para la supervisión y el control de la acción formativa, y el Responsable puede revocarlo en cualquier momento desde el panel de administración. El observador puede solicitar esa revocación escribiendo a happyautomating@gmail.com. La supresión completa de la cuenta no se resuelve por autoservicio: al haber intervenido en la gestión de acciones formativas, su cuenta queda sujeta al límite descrito en el apartado 6.2.

2.9 Facturación

Datos: los necesarios para la emisión de la factura. Base jurídica: obligación legal (art. 6.1.c del RGPD), conforme a la normativa mercantil y tributaria.

3. Plazos de conservación

4. Destinatarios de los datos

El Responsable no vende los datos ni los comunica a terceros con fines publicitarios.

4.1 Encargados del tratamiento

Los siguientes proveedores tratan datos por cuenta del Responsable, en virtud del contrato de encargo previsto en el art. 28 del RGPD y con sujeción a sus instrucciones:

4.2 Destinatarios legales en la formación bonificada

Cuando el Interesado participa en una acción bonificada, los datos necesarios para su acreditación se comunican, por obligación legal, a la Empresa que financia la formación, a la entidad organizadora en su caso, a la FUNDAE, al SEPE, a los órganos competentes de las comunidades autónomas, a la Tesorería General de la Seguridad Social, a la Inspección de Trabajo y, cuando proceda, a los órganos de control estatales y europeos.

4.3 Terceros que alojan contenidos incorporados a las lecciones

Determinadas lecciones incorporan contenidos alojados por los terceros que se relacionan a continuación. Dichos terceros no son encargados del tratamiento: actúan como responsables independientes y no están sujetos a las instrucciones del Responsable. Cuando el Usuario autoriza la carga de uno de esos contenidos, su navegador se comunica directamente con el tercero, que recibe por ello su dirección IP y puede almacenar información en su dispositivo.

El Responsable no carga ninguno de estos contenidos sin autorización previa del Usuario. Las finalidades, la información que cada tercero almacena y el enlace a su respectiva política de privacidad constan en la política de cookies.

4.4 Proveedor del acceso con cuenta de Google

El Usuario que opta por acceder con su cuenta de Google es redirigido al sitio web de Google Ireland Limited y de Google LLC, que reciben por ello su dirección IP, la información técnica propia de esa conexión y la constancia de que solicita acceder a esta plataforma. Google no es encargado del tratamiento en esta operación: actúa como responsable independiente respecto del tratamiento que realiza en su propio servicio, con arreglo a su política de privacidad, y no está sujeto a las instrucciones del Responsable.

Esta comunicación se produce únicamente si el Usuario pulsa el botón de acceso con Google. Quien crea su cuenta con correo electrónico y contraseña no comunica dato alguno a Google por esta vía.

4.5 Otros destinatarios

A la Administración tributaria y a los juzgados y tribunales, cuando una norma así lo exija.

5. Transferencias internacionales

Encargados del tratamiento. Determinados proveedores del apartado 4.1 tratan datos fuera del Espacio Económico Europeo, en Estados Unidos. Dichas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión 2021/914, junto con las medidas complementarias que resulten aplicables.

Terceros que alojan contenidos. Los tres terceros del apartado 4.3 se rigen por regímenes distintos, y no cabe tratarlos en bloque:

• Google LLC está certificada en el marco de privacidad de datos UE-EE. UU., de modo que la transferencia se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (art. 45 del RGPD).
• Gamma Tech, Inc. y CodeSandbox B.V. no disponen de decisión de adecuación ni de las garantías del artículo 46 respecto de estos flujos. En el caso de CodeSandbox, la sociedad está constituida en los Países Bajos pero pertenece al grupo estadounidense Together Computer Inc., y el entorno de programación se sirve desde infraestructura situada fuera del Espacio Económico Europeo. Ambas transferencias se fundamentan por tanto en el consentimiento explícito del Usuario previsto en el artículo 49.1.a del RGPD, que se recaba bien al autorizar la carga de un contenido concreto, bien al activar la finalidad «Contenidos de terceros» en el panel de configuración de cookies. El Responsable advierte expresamente de los riesgos que de ello derivan: los datos pueden quedar sujetos al acceso de autoridades públicas del país de destino, puede no existir una tutela judicial equivalente a la del Espacio Económico Europeo y el ejercicio de los derechos frente al tercero puede resultar más difícil.

En los tres casos, el Usuario puede no autorizar la carga —en cuyo caso el tercero no recibe dato alguno— y puede retirar su autorización en cualquier momento desde el panel de configuración de cookies.

Acceso con cuenta de Google. La transferencia que se produce al utilizar esta forma de acceso, descrita en el apartado 4.4, se ampara igualmente en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 respecto del marco de privacidad de datos UE-EE. UU. (art. 45 del RGPD), en el que Google LLC está certificada. El Usuario que no desee que esa transferencia se produzca dispone en todo momento de la alternativa de crear su cuenta y acceder con correo electrónico y contraseña.

El Interesado puede solicitar copia de las garantías adoptadas respecto de los encargados mediante comunicación a happyautomating@gmail.com.

6. Derechos del Interesado

El Interesado puede ejercer gratuitamente y en cualquier momento los siguientes derechos:

• Acceso, para conocer qué datos personales son objeto de tratamiento.
• Rectificación de los datos inexactos.
• Supresión de los datos, con el límite previsto en el apartado siguiente.
• Limitación del tratamiento mientras se resuelva una discrepancia.
• Oposición a los tratamientos fundados en el interés legítimo, incluida cualquier comunicación comercial.
• Portabilidad, para recibir los datos en un formato estructurado y de uso común.
• Retirada del consentimiento prestado, sin que ello afecte a la licitud del tratamiento anterior.

Forma de ejercicio: mediante comunicación a happyautomating@gmail.com. Cuando el Interesado tenga la sesión iniciada, el Responsable no exigirá la acreditación de la identidad mediante documento identificativo, por resultar la sesión suficiente a tal efecto. El Responsable resolverá en el plazo de un mes, prorrogable por dos meses adicionales en solicitudes complejas, previa comunicación al Interesado dentro del primer mes.

El Interesado puede eliminar su cuenta de forma autónoma desde su perfil.

6.1 Límite del derecho de supresión en la formación bonificada

Cuando el Interesado haya cursado exclusivamente formación libre, la eliminación de la cuenta determina la supresión de sus datos.

Cuando el Interesado haya participado en formación bonificada, la documentación justificativa de la acción formativa debe permanecer a disposición de los órganos de control durante un período de cuatro años, conforme al art. 18.2 del Real Decreto 694/2017. El Responsable no puede suprimir dicha evidencia durante ese plazo: concurre la excepción prevista en el art. 17.3.b del RGPD, que permite denegar la supresión cuando el tratamiento resulta necesario para el cumplimiento de una obligación legal.

En tal supuesto, el Responsable procede al bloqueo de los datos previsto en el art. 32 de la Ley Orgánica 3/2018: los datos se retiran del entorno operativo, se cierra el acceso del Interesado y quedan reservados exclusivamente a disposición de los órganos de control durante el plazo indicado, transcurrido el cual se suprimen. El Responsable resolverá de forma motivada, distinguiendo qué datos han sido suprimidos, cuáles han quedado bloqueados y por qué razón, sin perjuicio del derecho del Interesado a reclamar ante la autoridad de control.

El mismo límite resulta aplicable a los datos de facturación durante la vigencia del plazo fiscal.

6.2 Límite del derecho de supresión por intervención en la gestión

Cuando el Interesado haya intervenido en la gestión de la plataforma —personal docente, tutores, administradores y observadores—, su cuenta queda vinculada a actuaciones que constituyen autoría o evidencia de acciones formativas de terceros: clases creadas, cohortes gestionadas, correcciones emitidas o supervisiones realizadas. La eliminación de esa cuenta por autoservicio no está disponible, porque borraría la trazabilidad de decisiones que afectan a otras personas.

En estos supuestos el Responsable aplica igualmente el bloqueo del artículo 32 de la Ley Orgánica 3/2018 y resuelve de forma motivada, en los términos del apartado anterior. La solicitud se dirige a happyautomating@gmail.com.

7. Decisiones automatizadas

No se adoptan decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre el Interesado o le afecten significativamente.

En particular, la superación de un curso y la emisión del diploma son objeto de revisión humana con carácter previo: el sistema calcula y propone, y la decisión la confirma el docente o el tutor.

8. Menores de edad

Algunos cursos están dirigidos a alumnado de instituto.

• A partir de los 14 años puedes consentir por ti mismo el tratamiento de tus datos (art. 7 de la Ley Orgánica 3/2018). No hace falta autorización de tus padres para tratarlos con las finalidades descritas en esta política.
• Por debajo de los 14 años hace falta la autorización de quien tenga tu patria potestad o tutela. El registro directo no se dirige a este tramo de edad.
• Contratar un curso de pago es distinto: quien contrata necesita capacidad legal para hacerlo. Si eres menor de edad, el curso lo contrata tu padre, tu madre o tu tutor.

El nombre que aparece en las clasificaciones es el que cada persona elige, por lo que se recomienda a los menores utilizar un alias en lugar de su nombre real. En ningún caso se elabora perfil con fines publicitarios.

Si llegas a un curso con un código de clase que te da tu profesor, la cuenta la creas tú y los datos los facilitas tú, así que el responsable de tratarlos es el Prestador y tus derechos los ejerces ante él, como se explica en el apartado 6. Tu profesor podrá ver tu nombre visible y tu progreso en ese curso; el centro decide qué hace con esa información y responde de ello por su parte.

9. Seguridad

El Responsable aplica medidas técnicas y organizativas apropiadas, entre ellas el cifrado en tránsito, el cifrado de los identificadores fiscales y de afiliación, el control de acceso por roles con aislamiento a nivel de base de datos, las copias de seguridad y el registro de accesos.

En caso de violación de la seguridad de los datos personales, el Responsable la notificará a la autoridad de control en el plazo de 72 horas (art. 33 del RGPD) y, cuando entrañe un riesgo alto para los derechos del Interesado, se la comunicará a este sin dilación indebida (art. 34 del RGPD).

10. Reclamaciones

El Interesado que considere que el tratamiento de sus datos no se ajusta a la normativa puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). La presentación de una reclamación previa ante el Responsable no constituye requisito alguno: el Interesado puede dirigirse directamente a la Agencia.

11. Modificaciones de la presente política

Toda modificación de esta política determina la actualización de la fecha y de la versión que figuran en su cabecera. Cuando la modificación afecte a las finalidades o a los destinatarios, el Responsable la comunicará al Interesado y, en los tratamientos fundados en el consentimiento, lo solicitará de nuevo.