9 Política de Protección de Menores

Establece controles específicos para el tratamiento de la información de niños, niñas y adolescentes. El interés superior del niño prevalece sobre cualquier otro interés en el tratamiento de sus datos.

Principios de tratamiento

• ✓Finalidad legítima: los datos de los menores se usan exclusivamente para fines educativos y administrativos de la estancia autorizada.
• ✓Minimización: solo se recopila la información necesaria para la prestación del servicio.
• ✓Acceso restringido: únicamente accede el personal con funciones pertinentes y los padres o tutores autorizados.
• ✓Confidencialidad: los datos no se divulgan a terceros sin autorización de quien ejerce la representación legal.

Controles técnicos aplicados

Obligaciones de la guardería

• ✗No compartir expedientes con personas no autorizadas.
• ✗No publicar fotografías de menores sin las autorizaciones necesarias.
• ✗No permitir que empleados sin funciones pertinentes consulten información privada.
• ✗No utilizar datos de menores para fines publicitarios incompatibles con las autorizaciones obtenidas.
• ✗No descargar ni divulgar información confidencial sin justificación.

10 Política de Seguridad Informática

Controles de acceso

• ✓Autenticación: acceso mediante credenciales gestionadas por Supabase Auth con contraseñas cifradas.
• ✓Permisos por rol: los roles (dirección, asistencia, docencia, familia) limitan las funciones disponibles.
• ✓Validación en servidor: la autorización se comprueba en el servidor mediante RLS; no basta con ocultar botones en el navegador.
• ✓Bloqueo por intentos: se limita el número de intentos fallidos de inicio de sesión.
• ✓Tiempo de sesión: las sesiones inactivas se cierran automáticamente.

Protección de la información

• ✓Cifrado en tránsito: todas las comunicaciones usan HTTPS/TLS.
• ✓Cifrado en reposo: los datos se almacenan cifrados en la infraestructura de Supabase.
• ✓Validación de archivos: las subidas se filtran por tipo MIME, extensión y tamaño máximo.
• ✓Separación de datos: las políticas de fila impiden el acceso a información fuera del ámbito autorizado.

Responsabilidades de la guardería

• ✗No compartir una sola contraseña entre varios empleados.
• ✗Revocar oportunamente los permisos cuando un empleado deja de laborar en la institución.
• ✗No intentar vulnerar los mecanismos de seguridad de la plataforma.
• ✗Reportar de inmediato cualquier sospecha de acceso no autorizado (ver incidentes).

11 Política de Uso Aceptable

Usos permitidos

• ✓Gestionar la operación educativa y administrativa de la estancia.
• ✓Comunicarse con los destinatarios autorizados.
• ✓Consultar únicamente la información sobre la cual se tiene autorización.

Conductas prohibidas

• ✗Acceder a información de otras guarderías sin autorización.
• ✗Extraer bases de datos ajenas o divulgar información confidencial.
• ✗Intentar vulnerar los mecanismos de seguridad.
• ✗Suplantar a padres, tutores, docentes o administradores.
• ✗Manipular pagos o registros de asistencia, informes o incidencias.
• ✗Destruir o alterar registros ajenos de manera no autorizada.
• ✗Crear expedientes falsos o manipular información institucional.

El incumplimiento puede dar lugar a restricciones de acceso, suspensión de funciones o cancelación del servicio, de forma proporcional y conforme a la legislación aplicable y al contrato de servicio.

12 Política de Pagos, Suscripciones y Cancelaciones

Regula los cobros, renovaciones, vencimientos, suspensiones de cuenta y cancelaciones del servicio.

• •Cobros: las cuotas se generan el día 25 del mes anterior y el plazo regular de pago es el día 5 del mes correspondiente. El detalle de estados y penalidades por mora se rige por los Términos de Uso.
• •Renovaciones: las suscripciones se renuevan según el plan contratado. Los cambios de plan surten efecto en el siguiente ciclo.
• •Vencimientos: el impago reiterado puede generar el vencimiento de la suscripción y la restricción del servicio.
• •Suspensión de cuentas: Karpus Kids podrá suspender el acceso ante impago, uso indebido o incumplimiento contractual, notificando previamente cuando sea posible. La suspensión es temporal y se revierte al regularizarse la situación.
• •Cancelaciones: cualquiera de las partes puede cancelar conforme a las condiciones del contrato. Tras la cancelación se aplica la Política de Conservación y Eliminación de Datos.

13 Política de Conservación y Eliminación de Datos

• ✓Conservación: los datos se conservan mientras el estudiante esté inscrito y por un período adicional de 2 años para cumplir obligaciones legales, salvo plazos mayores exigidos por ley.
• ✓Exportación: la guardería podrá solicitar la exportación de su información conforme al procedimiento establecido.
• ✓Eliminación: vencido el plazo, los datos se eliminan de forma segura. Las solicitudes de supresión se atienden cuando no exista un deber legal de conservación.
• ✓Al finalizar el contrato: la información se devuelve o elimina según lo pactado en el Acuerdo de Tratamiento de Datos.

14 Acuerdo de Tratamiento de Datos

Delimita las responsabilidades de Karpus Kids (proveedor del software) y de cada guardería (institución) respecto a los datos personales.

• •La guardería actúa como responsable de los datos de sus estudiantes, familias y personal, y determina las finalidades del tratamiento.
• •Karpus Kids trata los datos únicamente por cuenta de la guardería y conforme a sus instrucciones, como prestador del servicio.
• •Subencargados: se utilizan proveedores de infraestructura (Supabase) sujetos a niveles de seguridad y confidencialidad apropiados.
• •Seguridad: se aplican las medidas descritas en la Política de Seguridad Informática.
• •Devolución o eliminación: al terminar el contrato, los datos se devuelven o eliminan conforme a la Política de Conservación.
• •Confidencialidad: el personal con acceso a datos personales está sujeto a obligaciones de confidencialidad.

15 Política de Respaldo y Recuperación

• ✓Respaldos periódicos: la información se respalda de forma automática mediante la infraestructura del proveedor.
• ✓Pruebas de recuperación: se verifica periódicamente que los respaldos puedan restaurarse correctamente.
• ✓Objetivos de recuperación: se definen metas de punto y tiempo de recuperación acordes al servicio.
• ✓Incidentes: los fallos que afecten la disponibilidad o integridad se gestionan conforme al Procedimiento de Gestión de Incidentes.

16 Procedimiento de Gestión de Incidentes y Auditoría

Define cómo se registran, investigan y responden los incidentes de seguridad y cómo se conserva la evidencia.

Niveles de actuación

• 1.Incumplimiento menor: configuración incorrecta o conducta corregible sin comprometer la seguridad → notificación y solicitud de corrección.
• 2.Incumplimiento reiterado: compartir credenciales de forma reiterada o ignorar medidas de seguridad → restricciones proporcionales o suspensión de determinadas funciones.
• 3.Incidente de seguridad: indicios de acceso no autorizado a expedientes infantiles → contener el incidente, proteger las cuentas, conservar evidencias y evaluar notificaciones legalmente exigibles.
• 4.Posible actividad delictiva: indicios de falsificación, fraude o acceso ilícito → proteger la plataforma, preservar los registros y evaluar las actuaciones legales. La determinación de responsabilidad corresponde a las autoridades competentes.

Auditoría

• ✓Registro de auditoría: historial protegido de las operaciones sensibles (pagos, cambios sobre expedientes, accesos administrativos) con usuario y fecha.
• ✓Control de privilegios: permisos limitados por rol para cada empleado y administrador.
• ✓Protección de evidencias: se evita la alteración o destrucción de registros relevantes.
• ✓Accesos excepcionales: los accesos a información privada fuera de la finalidad habitual deben estar justificados, limitados y registrados.