1. Responsable y contacto
El responsable del tratamiento de los datos recogidos a través de este sitio web y de la aplicación LUMIA es José Manuel Olavarría Echevarría, desarrollador independiente, con domicilio en España. Para cualquier consulta sobre privacidad, protección de datos o ejercicio de derechos puedes escribir a olavarriajose2@gmail.com.
2. Qué es LUMIA
LUMIA, denominada anteriormente VAL en algunos identificadores técnicos internos, es una aplicación de gestión dirigida a profesionales educativos (orientadores, profesorado de apoyo, equipos de atención a la diversidad y similares). Permite organizar alumnado, intervenciones, horarios, evaluaciones, reuniones, informes y recursos desde una aplicación de escritorio (Windows/macOS) y una aplicación web progresiva (PWA).
LUMIA está pensada para uso profesional por adultos responsables de un centro o servicio educativo. No está dirigida a que la utilicen directamente niños, niñas o adolescentes.
3. Base legal y roles (responsable/encargado del tratamiento)
Cuando el profesional introduce datos de alumnado en LUMIA, normalmente actúa como responsable del tratamiento de esos datos frente a su centro o servicio, y LUMIA actúa como encargado del tratamiento (herramienta técnica que trata esos datos siguiendo las instrucciones del profesional, sin decidir sus fines). El profesional debe contar con la base legal adecuada (habitualmente el cumplimiento de una misión de interés público o el ejercicio de sus funciones educativas) antes de introducir datos de un alumno.
Respecto a los datos de la propia cuenta del profesional (email de contacto, identificador de cuenta Google/Microsoft, comunicaciones de soporte), LUMIA actúa como responsable del tratamiento. La base legal es la ejecución de la relación de uso del servicio (art. 6.1.b RGPD) y, en su caso, el interés legítimo en dar soporte técnico y mantener la seguridad del servicio (art. 6.1.f RGPD).
4. Datos tratados por la aplicación
Según el uso que haga el profesional, la aplicación puede contener datos identificativos y educativos de alumnado: nombre, curso, colegio, necesidades educativas, objetivos, actividades, asistencia, evaluaciones, observaciones, reuniones, notas, documentos, imágenes y otros archivos incorporados por el usuario. Estos datos pueden incluir categorías especiales (por ejemplo, información relativa a salud o discapacidad) cuando así lo requiera la intervención educativa.
El usuario decide qué información introduce y debe contar con una base legítima para tratarla, aplicar los principios de minimización y confidencialidad y seguir las instrucciones de su centro o administración educativa. LUMIA no exige ni verifica esta información: es responsabilidad exclusiva del profesional que la introduce.
5. Datos locales y datos cloud
Desktop trabaja con una base de datos SQLite y copias locales en el dispositivo del usuario. Si se activa la sincronización, LUMIA guarda la base de datos y los archivos asociados, cifrados, en la carpeta privada de la aplicación (accesible solo por LUMIA, no visible en el Drive normal del usuario) del Google Drive o Microsoft OneDrive del propio usuario. El desarrollador no opera ni tiene acceso a una base de datos central propia donde se custodien los expedientes de los usuarios.
La PWA necesita conexión a internet y accede a esa misma copia cloud mediante la cuenta conectada por el usuario. Puede conservar temporalmente una copia de trabajo cifrada y preferencias técnicas en el almacenamiento local del navegador, en el propio dispositivo del usuario.
6. Uso de Google y Microsoft mediante OAuth
La conexión con Google Drive o Microsoft OneDrive utiliza el protocolo estándar OAuth 2.0. Con Google, LUMIA solicita únicamente el permiso drive.appdata, que da acceso exclusivamente a una carpeta de aplicación oculta y privada, nunca al resto de archivos de Google Drive del usuario. Con Microsoft, la implementación utiliza permisos delegados limitados a la carpeta privada de aplicación approot de LUMIA. En ningún caso se solicita acceso a correo, contactos, calendario ni al Drive/OneDrive general del usuario.
Los tokens obtenidos permiten únicamente ejecutar las operaciones autorizadas (leer/escribir la carpeta de aplicación). La aplicación de escritorio conserva las credenciales de forma cifrada en el almacén seguro del sistema operativo (Windows Credential Manager o macOS Keychain); la PWA utiliza los mecanismos de sesión del propio navegador y del proveedor. Google y Microsoft gestionan el inicio de sesión y sus propias condiciones de cuenta; LUMIA nunca ve ni almacena la contraseña de la cuenta Google o Microsoft del usuario.
El uso y la transferencia por parte de LUMIA de la información recibida de las API de Google cumple con la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos sus requisitos de Uso Limitado (Limited Use). En concreto: los datos obtenidos a través de las API de Google se usan exclusivamente para prestar y mejorar las funciones de sincronización de LUMIA visibles al usuario, no se venden, no se ceden a terceros con fines publicitarios y no se utilizan para entrenar modelos de inteligencia artificial de propósito general.
7. Información que puede recibir el desarrollador
Si el usuario contacta voluntariamente con soporte, el desarrollador recibirá los datos incluidos en esa comunicación (por ejemplo, dirección de correo, contenido del mensaje y los datos que el usuario decida adjuntar). El alojamiento web puede generar registros técnicos de seguridad y entrega —por ejemplo, dirección IP, fecha, recurso solicitado o agente de usuario— conforme a las funciones y políticas de su proveedor de alojamiento, Cloudflare.
8. Información que no recibe el desarrollador por la arquitectura ordinaria
LUMIA no envía la base de expedientes del alumnado ni la clave de recuperación a ningún servidor propio del desarrollador. La copia sincronizada permanece cifrada en la cuenta Drive/OneDrive del propio usuario, a la que el desarrollador no tiene acceso. Esta descripción no incluye información que el usuario decida compartir expresamente durante una solicitud de soporte.
9. Proveedores externos y transferencias internacionales
- Google LLC: autenticación y almacenamiento en Google Drive (carpeta de aplicación), cuando el usuario elige este proveedor.
- Microsoft Corporation: autenticación y almacenamiento en OneDrive (carpeta de aplicación), cuando el usuario elige este proveedor.
- Cloudflare, Inc.: alojamiento, entrega y protección de la web pública y de la infraestructura técnica de sincronización de LUMIA.
Estos proveedores pueden procesar información en centros de datos ubicados fuera del Espacio Económico Europeo. Cuando ello ocurre, se apoyan en las garantías previstas por el RGPD para transferencias internacionales (como las Cláusulas Contractuales Tipo de la Comisión Europea). Cada proveedor trata la información conforme a sus propias condiciones y políticas de privacidad, que el usuario debe revisar, especialmente si su centro tiene acuerdos específicos con Google Workspace for Education o Microsoft 365 Education.
10. Finalidad del tratamiento
Los datos introducidos se utilizan para prestar las funciones solicitadas por el usuario: organizar expedientes e intervenciones educativas, planificar, evaluar, generar informes, mostrar archivos adjuntos y sincronizar el espacio de trabajo entre los dispositivos del propio usuario. Los datos de contacto enviados voluntariamente a través del formulario o correo de soporte se usan exclusivamente para responder a esa consulta.
11. Seguridad
Las instantáneas de la base de datos y los archivos adjuntos se cifran con AES-256-GCM antes de almacenarse en la nube del usuario. La sincronización utiliza control de revisiones, hashes SHA-256, comprobaciones de integridad y sustitución atómica de archivos para evitar corrupciones o pérdidas silenciosas. La clave de cifrado no se deriva del token OAuth ni se incorpora a la base de datos o sus metadatos, y el desarrollador no tiene acceso a ella.
Ningún sistema puede garantizar una seguridad absoluta. El usuario debe proteger sus dispositivos, sus cuentas Google/Microsoft y su código de recuperación, mantener el sistema operativo y la aplicación actualizados, y revocar el acceso OAuth cuando deje de necesitarlo (por ejemplo, al cambiar de dispositivo o dejar de usar LUMIA).
12. Conservación y eliminación
Los datos locales se conservan en el dispositivo hasta que el usuario los elimina o desinstala la aplicación y borra su directorio de datos. Los datos cloud se mantienen en la propia cuenta Drive/OneDrive del usuario hasta que se eliminan desde dentro de LUMIA o directamente desde el proveedor. LUMIA conserva copias de revisiones anteriores (para poder deshacer errores o recuperar versiones) con una retención limitada y configurable, nunca indefinida.
Para eliminar por completo tus datos: (1) borra los expedientes y archivos desde dentro de LUMIA; (2) revoca el acceso OAuth de LUMIA desde la configuración de seguridad de tu cuenta Google o Microsoft; (3) elimina manualmente la carpeta de aplicación de LUMIA en tu Drive/OneDrive si quieres asegurarte de que no queda ninguna copia cloud; (4) desinstala la aplicación de escritorio y borra su carpeta de datos local. Desconectar OAuth impide nuevos accesos de LUMIA, pero no borra por sí solo los archivos ya existentes en tu cuenta cloud. Si necesitas ayuda con este proceso, escribe a olavarriajose2@gmail.com.
13. Derechos del usuario
Sobre los datos que controla el responsable de este sitio (tus propios datos de contacto y de cuenta), puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, escribiendo a olavarriajose2@gmail.com e identificándote adecuadamente. Responderemos en el plazo legalmente exigible (con carácter general, un mes desde la recepción de la solicitud). También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) u otra autoridad de control competente.
Cuando los datos pertenecen a un expediente de alumnado introducido por un profesional (es decir, LUMIA actúa como encargado del tratamiento, ver sección 3), estos derechos deben ejercerse ante el centro educativo o el profesional responsable de esos datos, que es quien controla su tratamiento; LUMIA colaborará con ese responsable cuando sea necesario para atender la solicitud.
14. Menores y entorno educativo
LUMIA no está dirigida a niños, niñas ni adolescentes como usuarios directos de la aplicación: su uso está reservado a profesionales adultos. No obstante, por su propia naturaleza, la herramienta puede contener información sobre menores introducida por esos profesionales, incluyendo datos educativos y, en ocasiones, datos de categorías especiales (salud, discapacidad). Este tratamiento requiere especial cautela.
LUMIA no sustituye las obligaciones legales del centro educativo ni de sus profesionales respecto a la protección de datos de menores. Antes de utilizar la aplicación con datos reales de alumnado, el centro y el profesional deben verificar que existen las autorizaciones, medidas organizativas, plazos de conservación y normas internas exigidas por la normativa de protección de datos aplicable (incluyendo el artículo 8 del RGPD y la LOPDGDD en España).
La arquitectura de LUMIA (cifrado de extremo a extremo del lado del usuario, almacenamiento en la propia cuenta cloud del profesional, ausencia de un servidor central con acceso a los expedientes) busca reducir la custodia directa de estos datos por parte del desarrollador. Esto no constituye una certificación ni garantiza por sí solo el cumplimiento del RGPD, la LOPDGDD u otra normativa aplicable, que sigue siendo responsabilidad del centro y del profesional.
16. Cambios y contacto
Esta política podrá actualizarse si cambian las funciones de LUMIA, los proveedores utilizados o las obligaciones legales aplicables. La fecha de la versión vigente se muestra al inicio de esta página. Si el cambio es sustancial, se informará de forma visible en la aplicación o en este sitio web. Para cualquier consulta sobre esta política, escribe a olavarriajose2@gmail.com.