Política de privacitat

El centre educatiu al qual estàs vinculat/da (Institut, escola o CFA) és el responsable del tractament de les teves dades personals, en compliment del Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD).

Aquest servei, Carnet de Mèrits (operat per Marc Frasin, contacte: frasinmarc@gmail.com), actua com encarregat del tractament en nom del centre, i només tracta les teves dades sota les seves instruccions.

• Alumnat: nom (o inicials), gènere si el declares, classe, PIN xifrat, avatar personalitzat, historial de segells, avisos, sancions i notes negatives, reflexions personals si les envies, recompenses bescanviades.
• Professorat i direcció: nom, correu electrònic, rol i centre.
• Dades tècniques: adreça IP i informació del navegador quan accedeixes al servei, per motius de seguretat (detecció de bots i intents d'accés no autoritzats).

• Gestionar el reconeixement positiu i disciplinari de l'aula (finalitat principal).
• Facilitar la comunicació confidencial entre l'alumnat i el professorat (reflexions).
• Prevenir situacions de risc: si detectem paraules clau d'alarma (autolesió, violència, etc.) generem una notificació al professorat perquè pugui actuar.
• Garantir la seguretat del sistema i prevenir abusos.

• Missió d'interès públic (art. 6.1.e RGPD) per a les funcions educatives essencials.
• Consentiment (art. 6.1.a RGPD) per a funcionalitats no essencials (avatar, peer-stamps, reflexions). Aquest consentiment el signen les persones que en tenen la potestat parental si el menor té menys de 14 anys, o el propi interessat a partir dels 14.
• Interès legítim (art. 6.1.f RGPD) per a les dades tècniques de seguretat.

Les dades s'emmagatzemen i processen mitjançant els següents proveïdors, sota contracte d'encarregat de tractament:

• Supabase Inc. (base de dades i autenticació — servidors a la UE).
• Vercel Inc. (allotjament del web — servidors a la UE).
• DiceBear (generació d'avatars — sense emmagatzemament de dades personals).

Cap dada es transfereix fora de l'Espai Econòmic Europeu sense les garanties adequades. No fem servir dades per a publicitat ni les venem a tercers.

• Segells, avisos, sancions, notes: fins a 5 anys després de la finalització del vincle amb el centre, com els expedients acadèmics.
• Reflexions personals: 1 curs escolar, després s'anonimitzen o s'esborren.
• Comptes inactius: si no s'accedeix durant 2 anys, s'esborren automàticament.
• Registres de seguretat: 12 mesos.

Tens dret a exercir en qualsevol moment:

• Accés — saber quines dades tenim de tu.
• Rectificació — corregir dades inexactes.
• Supressió — demanar l'esborrat ("dret a l'oblit").
• Oposició i limitació — deixar de tractar dades per a finalitats concretes.
• Portabilitat — descarregar les teves dades en format estàndard (JSON).

Pots exercir aquests drets directament des del teu perfil a /alumne/dades-personals o /professor/dades-personals, o escrivint a frasinmarc@gmail.com o al DPD del teu centre.

Si consideres que no hem respectat els teus drets, pots reclamar a l'Autoritat Catalana de Protecció de Dades (APDCAT, apdcat.gencat.cat) o a l'Agència Espanyola de Protecció de Dades (AEPD, aepd.es).

La major part del nostre alumnat és menor d'edat. Per als menors de 14 anys, el consentiment per a les funcionalitats no essencials l'han de signar les persones que en tenen la potestat parental. Els centres educatius recullen aquest consentiment en paper o electrònicament abans de donar accés al servei.

Utilitzem xifratge TLS/HTTPS a totes les comunicacions, xifratge en repòs a la base de dades, contrasenyes i PINs xifrats amb bcrypt, control d'accés per rols amb Row-Level Security, i limitació d'intents per prevenir atacs de força bruta.

En cas de bretxa de seguretat, notificarem l'Autoritat de Protecció de Dades dins les 72 hores i, si escau, els afectats.

Podem actualitzar aquesta política per adaptar-la a canvis normatius o del servei. Publicarem la data de l'última actualització a la part superior. Si els canvis són substancials, te'ls comunicarem amb temps.

Encarregat del tractament: Marc Frasin — frasinmarc@gmail.com

Responsable del tractament: el centre educatiu al qual estàs vinculat/da. Consulta el seu Delegat de Protecció de Dades (DPD) per a qualsevol dubte.