1. Alcance e identidad
Esta Política de Privacidad describe el tratamiento de datos personales realizado mediante Plataforma ISA, incluyendo su sitio web y sus aplicaciones para iOS y Android.
Plataforma ISA es una solución tecnológica que conecta a instituciones educativas, personal administrativo, docentes, estudiantes, padres, madres, acudientes y otros usuarios autorizados. Las funciones disponibles para cada usuario dependen del contrato suscrito por la institución educativa, los módulos habilitados y los permisos asignados por dicha institución.
El operador del servicio tecnológico es IconSoft, S.A., bajo la marca Plataforma ISA, con domicilio en la República de Panamá.
Contacto para asuntos relacionados con privacidad, seguridad y soporte:
La institución educativa con la cual el usuario mantiene una relación académica, administrativa o familiar es responsable de proporcionar su propia información institucional y, cuando corresponda, su aviso o política de privacidad respecto de los tratamientos de datos que determine directamente.
Esta política se interpreta de conformidad con la Ley 81 de 26 de marzo de 2019 sobre Protección de Datos Personales, su reglamentación mediante el Decreto Ejecutivo 285 de 28 de mayo de 2021, y las demás disposiciones aplicables en la República de Panamá.
2. Responsabilidades diferenciadas
2.1. Responsabilidad de la institución educativa
La institución educativa es responsable de los datos escolares cuya finalidad y utilización determina.
Entre otras funciones, corresponde al colegio:
- crear, habilitar, suspender o desactivar cuentas escolares;
- vincular estudiantes con padres, madres, acudientes o representantes;
- determinar los roles y permisos de los usuarios;
- administrar grados, salones, docentes y grupos;
- determinar quién puede acceder a información académica;
- establecer políticas académicas, administrativas y disciplinarias;
- determinar los períodos de conservación de los expedientes escolares;
- validar las autorizaciones relativas a estudiantes menores de edad;
- corregir relaciones familiares o permisos incorrectos;
- determinar cuándo corresponde eliminar, conservar o modificar una cuenta escolar.
Las cuentas de estudiantes, padres, madres o acudientes son administradas por la institución educativa.
Plataforma ISA no decide quién puede ser padre, madre, acudiente o representante de un estudiante, ni crea de manera autónoma dichas relaciones.
El control administrativo ejercido por el colegio no implica propiedad sobre los titulares ni sobre sus datos personales.
2.2. Función de Plataforma ISA
ISA proporciona la infraestructura tecnológica mediante la cual la institución educativa administra sus servicios y usuarios.
Cuando ISA almacena o procesa datos por cuenta del colegio, actúa como proveedor tecnológico y custodio de la información de acuerdo con las instrucciones de la institución educativa, el contrato de servicio y la legislación aplicable.
ISA no sustituye al colegio en decisiones relacionadas con:
- calificaciones;
- evaluaciones;
- disciplina;
- matrículas;
- representación familiar;
- autorizaciones de acceso;
- vínculos entre estudiantes y acudientes;
- creación o eliminación de cuentas escolares;
- decisiones pedagógicas o administrativas.
Cuando una institución utiliza una instalación o infraestructura administrada directamente por el propio colegio, las responsabilidades operativas y de custodia se distribuirán conforme al servicio contratado.
2.3. Tratamientos propios de IconSoft, S.A.
IconSoft, S.A. es responsable de los tratamientos que realiza directamente para sus propias finalidades, incluyendo:
- consultas comerciales;
- contratación;
- facturación;
- atención de soporte técnico;
- administración contractual;
- prevención de fraude;
- protección de la infraestructura;
- investigación de incidentes de seguridad.
La condición de proveedor tecnológico no elimina las obligaciones de IconSoft, S.A. relacionadas con confidencialidad, seguridad, diligencia y protección de la información a la cual pueda tener acceso.
3. Información tratada
Dependiendo de los módulos contratados por cada institución y de las funciones utilizadas por cada usuario, Plataforma ISA puede tratar información relacionada con:
- nombre y datos de identificación;
- información de contacto;
- nombre de usuario e identificadores internos;
- institución educativa;
- rol dentro de la plataforma;
- grado y salón;
- vínculos familiares autorizados;
- matrícula;
- asistencia;
- tareas;
- asignaciones;
- evaluaciones;
- calificaciones;
- boletines;
- reportes académicos;
- observaciones;
- comunicaciones;
- contactos autorizados;
- grupos;
- encuestas y respuestas;
- fotografías;
- imágenes;
- videos;
- documentos;
- archivos;
- grabaciones de audio;
- información de facturación;
- estado de pagos;
- enlaces y credenciales de libros o plataformas educativas cuando sean registrados;
- información técnica de las sesiones;
- registros de solicitudes;
- registros de seguridad;
- identificadores del dispositivo;
- tokens utilizados para entregar notificaciones.
No todas las personas utilizan todos los módulos ni todas las funciones.
Los usuarios y las instituciones no deben registrar información sensible que no sea necesaria para una finalidad educativa, administrativa o legal legítima.
La información relacionada con salud, necesidades educativas especiales, circunstancias familiares u otros datos especialmente sensibles deberá contar con protección reforzada y con el fundamento jurídico correspondiente.
4. Finalidades y fundamento del tratamiento
La información puede utilizarse para:
- identificar al usuario;
- identificar la institución educativa a la cual pertenece;
- permitir el acceso a las funciones autorizadas;
- gestionar información académica;
- organizar actividades educativas;
- facilitar la comunicación entre los integrantes autorizados de la comunidad escolar;
- emitir avisos y notificaciones;
- administrar grupos de trabajo;
- gestionar soporte;
- proteger las cuentas;
- prevenir accesos no autorizados;
- investigar incidentes;
- mantener la seguridad del servicio;
- atender obligaciones legales y contractuales.
Cada tratamiento deberá contar con una base jurídica válida, incluyendo el consentimiento cuando corresponda, una relación contractual, una obligación legal u otra condición permitida por la normativa aplicable.
La creación de una cuenta, el inicio de sesión o la consulta de esta Política de Privacidad no constituye una autorización general para utilizar los datos para cualquier finalidad.
No venta ni publicidad comportamental
ISA no vende, alquila ni comercializa datos personales de estudiantes, padres, acudientes, docentes u otros usuarios.
Los datos escolares tampoco se utilizan para publicidad comportamental de terceros ni para crear perfiles comerciales de estudiantes.
Inteligencia artificial
Plataforma ISA no utiliza datos escolares, comunicaciones privadas, evaluaciones, documentos, fotografías, grabaciones u otro contenido privado de estudiantes para entrenar modelos de inteligencia artificial de propósito general.
Cualquier función futura que utilice inteligencia artificial deberá contar con una finalidad determinada, medidas apropiadas de protección y el fundamento jurídico correspondiente.
5. Niños, niñas, adolescentes y vínculos familiares
Las cuentas de estudiantes forman parte de una comunidad educativa privada y no de una red social pública.
La institución educativa es responsable de validar las autorizaciones y relaciones familiares que correspondan, incluyendo cuando existan restricciones legales, judiciales, de representación o custodia.
Los permisos deberán configurarse de forma proporcional a la relación existente con el estudiante.
La existencia de un vínculo como padre, madre o acudiente no concede automáticamente acceso a información privada correspondiente a otro adulto.
Cuando un usuario considere que existe un vínculo familiar incorrecto o un acceso indebido, deberá solicitar su corrección directamente a la institución educativa.
Plataforma ISA no utiliza información de menores para:
- publicidad comportamental;
- seguimiento comercial entre aplicaciones;
- creación de perfiles publicitarios;
- venta de información personal.
Se aplican criterios de minimización de datos y permisos según el rol de cada usuario.
6. Comunicación, chats, grupos y contenido generado por los usuarios
Plataforma ISA puede incluir herramientas de comunicación entre miembros autorizados de la comunidad educativa.
Estas funciones no constituyen espacios públicos abiertos.
Chats y grupos escolares
Los grupos escolares pueden estar administrados o moderados por personal autorizado de la institución educativa.
Dependiendo del tipo de grupo, la institución puede designar administradores, docentes u otros responsables para supervisar su funcionamiento.
En los grupos de trabajo pueden designarse hasta tres moderadores, según las funcionalidades habilitadas por la institución.
Los moderadores pueden intervenir cuando se incumplan las reglas establecidas para la comunicación dentro del grupo.
Normas de utilización
Los usuarios deben utilizar las herramientas de comunicación con respeto y exclusivamente para las finalidades autorizadas dentro de la comunidad educativa.
Pueden establecerse reglas específicas respecto de:
- lenguaje apropiado;
- comportamiento respetuoso;
- prohibición de acoso;
- amenazas;
- discriminación;
- contenido sexual;
- violencia;
- insultos;
- obscenidades;
- mensajes abusivos;
- publicaciones inapropiadas;
- difusión de información privada de terceros.
Cuando un usuario incumpla las reglas establecidas, un administrador, docente o moderador autorizado podrá, según las políticas del colegio:
- retirar una publicación;
- restringir determinadas funciones;
- remover al usuario de un grupo;
- suspender su participación;
- comunicar el incidente a la administración escolar;
- solicitar la desactivación de la cuenta cuando corresponda.
La suspensión o eliminación definitiva de una cuenta escolar corresponde a la institución educativa responsable.
Control de lenguaje inapropiado
La plataforma puede utilizar mecanismos automáticos destinados a detectar o bloquear determinadas palabras, expresiones obscenas o contenido considerado inapropiado.
Estos controles son medidas complementarias y no garantizan que todos los mensajes inapropiados sean identificados automáticamente.
Reportes de usuarios y contenido
Los usuarios pueden reportar comentarios, publicaciones o comportamientos que consideren inapropiados.
Los reportes podrán ser revisados por los administradores, profesores o moderadores autorizados de la institución educativa según el tipo de comunicación.
Un reporte no implica automáticamente que otro usuario haya cometido una infracción. La institución correspondiente podrá evaluar el contexto y aplicar las medidas establecidas en sus normas internas.
La existencia de funciones de moderación no implica vigilancia permanente de todas las conversaciones.
Ante situaciones graves, los usuarios deberán comunicarse directamente con la administración de la institución educativa.
7. Personas y proveedores que pueden recibir información
La información puede ser accesible, según los permisos correspondientes, a:
- personal autorizado de la institución educativa;
- docentes;
- administradores;
- estudiantes;
- padres o acudientes autorizados;
- miembros de grupos en los que participe el usuario;
- destinatarios seleccionados en mensajes o publicaciones.
Los proveedores tecnológicos utilizados por ISA pueden intervenir en servicios relacionados con:
- alojamiento;
- infraestructura;
- almacenamiento;
- correo electrónico;
- notificaciones;
- seguridad;
- soporte técnico.
La aplicación utiliza servicios de entrega de notificaciones proporcionados por Expo, así como servicios relacionados con las plataformas móviles de Apple y Google.
Los sitios o formularios web pueden utilizar servicios como Google reCAPTCHA.
Las publicaciones o contenidos educativos pueden incluir elementos externos, como videos alojados en YouTube.
Las instituciones también pueden habilitar integraciones adicionales relacionadas, entre otras cosas, con:
- videoconferencias;
- sistemas contables;
- libros digitales;
- contenido educativo;
- almacenamiento externo;
- herramientas administrativas.
Estos proveedores pueden tener sus propias políticas de privacidad.
La apertura de contenido o servicios externos puede implicar la transmisión de determinados datos técnicos al proveedor correspondiente.
ISA procura limitar la información transmitida a los proveedores a aquella necesaria para prestar la función correspondiente.
Los proveedores que procesen información por cuenta de ISA deberán aplicar medidas razonables de confidencialidad, privacidad y seguridad acordes con la naturaleza de la información y con las obligaciones legales aplicables.
La utilización de determinados proveedores puede implicar procesamiento o almacenamiento de información fuera de Panamá.
Las transferencias internacionales deberán realizarse conforme a las garantías y condiciones previstas por la legislación aplicable.
La presente política no constituye una autorización ilimitada para efectuar transferencias internacionales.
Las autoridades públicas solamente recibirán información cuando exista un fundamento jurídico válido para ello.
8. Permisos del dispositivo y notificaciones
Determinadas funciones pueden solicitar acceso a:
- cámara;
- fotografías;
- archivos;
- micrófono.
Estos permisos pueden utilizarse, entre otras finalidades, para:
- adjuntar imágenes;
- cargar documentos;
- grabar o enviar audio;
- escanear códigos QR;
- utilizar otras funciones expresamente iniciadas por el usuario.
Cuando técnicamente corresponda, estos recursos se utilizan cuando el usuario inicia la función que los necesita y conforme a los permisos proporcionados por el sistema operativo.
Los usuarios pueden administrar estos permisos desde la configuración de su dispositivo.
Desactivar un permiso puede impedir el funcionamiento de la función relacionada, pero no elimina automáticamente información que haya sido registrada previamente.
Las notificaciones pueden mostrar información en la pantalla de bloqueo del dispositivo.
Los usuarios deben configurar las opciones de vista previa de notificaciones de acuerdo con sus necesidades de privacidad.
La entrega de notificaciones depende de la conectividad, el sistema operativo y los proveedores tecnológicos correspondientes.
9. Conservación de la información
Los períodos de conservación de los expedientes y registros escolares son determinados por cada institución educativa de acuerdo con:
- sus finalidades educativas;
- sus obligaciones legales;
- requisitos administrativos;
- normas internas;
- obligaciones de archivo.
El usuario puede solicitar al colegio información sobre el plazo o criterio de conservación aplicable a sus registros.
Mientras Plataforma ISA custodie información por cuenta de la institución educativa, su conservación, devolución, modificación o eliminación estará sujeta a:
- las instrucciones de la institución;
- el contrato de servicio;
- la normativa aplicable.
La finalización de una cuenta no autoriza una conservación indefinida de datos sin finalidad, pero tampoco obliga a eliminar registros cuya conservación sea requerida legalmente.
Respecto de los tratamientos propios de IconSoft, S.A.:
- las consultas y solicitudes de soporte podrán mantenerse durante su atención y durante el tiempo razonablemente necesario para acreditar su resolución;
- la documentación contractual y de facturación se mantendrá durante los plazos exigidos legalmente;
- los registros de seguridad podrán conservarse durante el tiempo necesario para prevenir, detectar o investigar incidentes.
Las demostraciones de Plataforma ISA son temporales y no deben utilizarse para almacenar datos reales de estudiantes menores de edad ni documentación privada que no sea necesaria.
10. Eliminación y desactivación de cuentas escolares
Las cuentas de estudiantes, padres, madres y acudientes son creadas, administradas, vinculadas y controladas por la institución educativa.
Por esta razón, Plataforma ISA no puede eliminar unilateralmente una cuenta escolar ni modificar una relación entre un estudiante y su representante sin autorización del colegio responsable.
Cuando un estudiante, padre, madre o acudiente solicite la eliminación de una cuenta vinculada a un colegio, la solicitud deberá ser gestionada por la institución educativa responsable.
El usuario podrá presentar la solicitud:
- directamente ante la institución educativa; o
- mediante los canales de privacidad o soporte de Plataforma ISA.
Cuando ISA reciba una solicitud relacionada con una cuenta administrada por un colegio, podrá remitirla u orientar al usuario para que sea atendida por la institución correspondiente.
ISA no revelará, modificará ni eliminará información escolar basándose únicamente en una solicitud que no haya sido debidamente validada.
Desactivación de acceso y eliminación de información
La desactivación de una cuenta de acceso y la eliminación de los registros escolares asociados son procesos diferentes.
Por ejemplo, un colegio puede desactivar el acceso de un estudiante o acudiente y, al mismo tiempo, estar obligado a conservar:
- calificaciones;
- matrículas;
- asistencia;
- información financiera;
- reportes académicos;
- registros administrativos;
- documentos que deban mantenerse legalmente.
La eliminación de una cuenta de acceso no implica necesariamente la eliminación inmediata de estos registros.
Cuando no exista una obligación o fundamento válido para conservar determinada información, el colegio podrá instruir a ISA para eliminarla, anonimizarla o desvincularla, según corresponda.
ISA ejecutará técnicamente las instrucciones válidas proporcionadas por la institución educativa respecto de la información que custodie por cuenta de dicha institución.
No se garantiza la eliminación instantánea de todas las copias de respaldo. Los datos eliminados de los sistemas activos podrán permanecer temporalmente en copias de seguridad hasta completar los ciclos normales de retención y eliminación, siempre sujetos a restricciones de acceso y uso.
11. Derechos de los titulares
Los titulares podrán ejercer los derechos reconocidos por la legislación aplicable, incluyendo:
- acceso;
- rectificación;
- cancelación;
- oposición;
- portabilidad.
Datos administrados por una institución educativa
Cuando una solicitud corresponda a información escolar cuya administración sea responsabilidad de una institución educativa, deberá presentarse ante dicha institución.
Si ISA recibe directamente una solicitud de este tipo, podrá orientar al usuario o trasladar la gestión correspondiente al colegio, sin revelar información a personas cuya identidad o representación no haya sido verificada.
Datos tratados directamente por IconSoft, S.A.
Para información tratada directamente por IconSoft, S.A., las solicitudes podrán realizarse mediante:
Podrá requerirse una verificación razonable de identidad o representación para evitar que información personal sea entregada, modificada o eliminada por una persona no autorizada.
No deben enviarse contraseñas ni documentación sensible innecesaria por correo electrónico.
12. Consentimiento y retiro del consentimiento
Cuando un tratamiento de datos personales dependa específicamente del consentimiento del titular o de su representante legal, dicho consentimiento podrá retirarse.
El retiro del consentimiento deberá solicitarse:
- ante la institución educativa, cuando se trate de un tratamiento escolar determinado por el colegio; o
- ante IconSoft, S.A., cuando se trate de un tratamiento realizado directamente por ISA para sus propias finalidades.
Retirar el consentimiento no afecta la licitud del tratamiento realizado anteriormente mientras el consentimiento se encontraba vigente.
El retiro tampoco obliga a eliminar información que deba conservarse por:
- una obligación legal;
- una relación contractual;
- una finalidad educativa válida;
- protección de derechos;
- seguridad;
- otra base jurídica permitida por la legislación.
Cuando una determinada funcionalidad dependa necesariamente del tratamiento para el cual se retire el consentimiento, dicha función puede dejar de estar disponible.
Por ejemplo, retirar una autorización relacionada con determinadas notificaciones, fotografías, audio u otras funciones opcionales puede impedir el uso de esa característica sin necesariamente implicar la eliminación completa de la cuenta escolar.
Cuando la cuenta haya sido creada y administrada por una institución educativa, el retiro de un consentimiento específico no constituye por sí mismo una orden para eliminar la cuenta ni el expediente académico del estudiante.
El colegio deberá evaluar qué tratamientos pueden cesar y qué información debe continuar conservándose conforme a sus obligaciones.
13. Seguridad
ISA adopta medidas técnicas y organizativas orientadas a proteger la confidencialidad, integridad y disponibilidad de la información.
Estas medidas pueden incluir, según corresponda:
- controles de acceso;
- permisos basados en roles;
- autenticación;
- comunicaciones protegidas;
- registros de actividad y seguridad;
- copias de respaldo;
- controles administrativos;
- procedimientos de respuesta a incidentes;
- restricciones de acceso para personal autorizado.
El acceso administrativo se limita a las personas que razonablemente lo necesiten para desempeñar sus funciones.
Ningún sistema informático puede garantizar una seguridad absoluta.
Los usuarios deben proteger sus credenciales y comunicar inmediatamente cualquier acceso sospechoso al colegio o al soporte de ISA.
No deben publicarse datos personales de estudiantes al reportar públicamente un incidente.
Los incidentes de seguridad serán evaluados y, cuando la legislación lo exija, serán comunicados a las partes o autoridades correspondientes.
14. Modificaciones a esta política
La fecha y versión publicadas permiten identificar la Política de Privacidad vigente.
ISA podrá modificar esta política cuando:
- cambien las funcionalidades del servicio;
- se incorporen nuevos proveedores;
- cambie la legislación aplicable;
- sea necesario mejorar la información proporcionada a los usuarios.
Cuando una modificación sea material, se comunicará mediante mecanismos apropiados.
La actualización de esta Política de Privacidad no sustituirá la obtención de un nuevo consentimiento cuando éste sea legalmente necesario.
15. Contacto y reclamaciones
Para consultas relacionadas con esta Política de Privacidad o con tratamientos realizados directamente por IconSoft, S.A.:
IconSoft, S.A. – Plataforma ISA
Correo: developer@iconsoftsa.com
República de Panamá
Cuando la consulta corresponda a información académica, cuentas de estudiantes, relaciones familiares, permisos, calificaciones, expedientes o decisiones tomadas por una institución educativa, el usuario deberá comunicarse principalmente con el colegio correspondiente.
Los titulares también podrán presentar las reclamaciones que correspondan ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) de la República de Panamá.
Las solicitudes relacionadas con menores de edad deberán ser presentadas por las personas legalmente legitimadas para actuar en su representación.