Política de privacidad

1. Quién es el responsable

El titular de Portal Educativo G3 (en adelante, «G3»), el servicio disponible en portal.arnhur.com, es Alberto Jesús Ruiz Núñez, persona física, con NIF 52579610T y domicilio a efectos de notificaciones en calle Vicente Alexandre, 10, 18210, Peligros, Granada, España.

Correo de contacto, también para cualquier cuestión de protección de datos: [email protected].

El titular no ha designado un delegado de protección de datos: las consultas sobre protección de datos se dirigen a ese correo. Para lo que trata un centro educativo, también puede dirigirse a ese centro o a su delegado de protección de datos.

2. A qué se aplica esta política

G3 es una plataforma para centros educativos. Organiza centros, clases, matrículas y horarios; permite al profesorado diseñar, desarrollar y evaluar proyectos educativos con sus sesiones, actividades y evidencias; e incluye el catálogo curricular oficial de Andalucía. La aplicación se presenta con el nombre «BenHur».

Esta política explica cómo se tratan los datos personales en las páginas públicas de G3 (la página de acceso y estas páginas informativas) y en la aplicación. A la aplicación solo acceden, con una cuenta, las personas autorizadas por un centro educativo o por la administración de la plataforma: no hay registro libre.

Durante el curso 2026-2027, G3 está en una fase de pruebas no comercial, en la que solo participan los centros que lo acuerdan (condiciones del servicio, apartado 2).

3. Papel del titular ante los centros educativos

Cada centro decide qué personas de su comunidad educativa acceden a G3, con qué funciones, y qué datos de su alumnado, de sus familias y de su profesorado se incorporan a la plataforma.

• El centro educativo es el responsable del tratamiento de los datos de su comunidad educativa que incorpora a G3 o que se generan al usarla en su actividad: las cuentas de su personal y de su alumnado, la organización académica, los proyectos, las evidencias y las evaluaciones.
• El titular trata esos datos por cuenta del centro, como encargado del tratamiento (artículo 28 del RGPD): solo para prestarle el servicio y siguiendo sus instrucciones. Antes de incorporar datos reales, el centro y el titular firman el contrato de encargo que regula ese tratamiento.
• El titular es el responsable de los tratamientos propios de su actividad: la web pública y sus registros técnicos, las cuentas de la administración de la plataforma, la seguridad del servicio (control de acceso, registro de actividad y copias de seguridad), el registro de la aceptación de las condiciones del servicio y la atención de las consultas que recibe.

Cuando una persona tiene relación con varios centros, G3 la reconoce como una sola persona para no duplicar sus datos, y cada centro solo accede a lo que corresponde a su relación con ella.

4. Qué datos se tratan

Categorías de datos que existen en G3, según el modelo de datos de la aplicación

Categoría	Datos	De quién
Identificación y contacto	Nombre y apellidos; tipo y número de documento de identidad, si se registra; correo electrónico; teléfono; dirección postal (código postal, localidad, provincia y país); fotografía, opcional.	Personas usuarias, alumnado, profesorado y personas de contacto de los centros.
Cuenta de acceso	Nombre de usuario; contraseña, guardada solo como resumen criptográfico y nunca en claro; funciones y permisos; centro o centros; invitaciones; fecha del último acceso.	Personas con cuenta.
Datos académicos	Centro, curso académico, nivel, clase y materias; matrícula; personas de contacto del alumnado (parentesco, nombre, teléfono, dirección y correo); perfil de aprendizaje: apoyos, fortalezas y preferencias elegidos de un catálogo según el Diseño Universal para el Aprendizaje.	Alumnado y sus familias o tutores legales.
Actividad educativa	Proyectos, sesiones y actividades; trabajos y evidencias que se entregan, incluidos archivos; evaluaciones y calificaciones; diario de seguimiento; reconocimientos y pasaporte digital de competencias; equipos de trabajo.	Alumnado y profesorado.
Organización del centro	Datos del centro (denominación, código, dirección y contacto); departamentos, cargos, horarios y aulas; asignación del profesorado.	Centros y profesorado.
Comunicaciones	Solicitudes entre personas usuarias, notificaciones dentro de la aplicación y correos que envía la plataforma (invitaciones y avisos).	Personas usuarias.
Seguridad y auditoría	Qué operación se ha hecho, quién y cuándo, con el valor anterior y el nuevo en los cambios; aceptación de las condiciones del servicio (cuenta, versión y fecha); registros técnicos del servidor: dirección IP, fecha y hora, dirección solicitada y navegador.	Personas usuarias y visitantes.
Google Classroom	Solo si la plataforma tiene activada la integración y una persona autorizada conecta su cuenta de Google: ver el apartado 7.	Personas de las clases que se importan.

G3 no tiene campos destinados a datos de salud ni a otras categorías especiales de datos.

5. Para qué se tratan

• Dar acceso a la plataforma y gestionar las cuentas, sus funciones y sus permisos.
• Dejar constancia de qué versión de las condiciones del servicio aceptó cada cuenta del personal, y cuándo.
• Organizar la actividad académica de cada centro: clases, matrículas, materias, horarios, departamentos y aulas.
• Permitir al profesorado diseñar, desarrollar y evaluar proyectos educativos con su alumnado, y al alumnado participar en ellos.
• Comunicar a cada persona lo que le afecta: invitaciones, solicitudes y avisos.
• Importar clases y alumnado desde Google Classroom, si la integración está activada y una persona autorizada lo pide.
• Proteger la plataforma: control de acceso, registro de actividad, prevención de abusos y copias de seguridad.
• Atender consultas y el ejercicio de derechos.

La plataforma no contiene publicidad ni herramientas de analítica o de seguimiento de terceros. Los datos no se usan para publicidad, no se venden y no se elaboran perfiles comerciales.

G3 no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente a las personas. Cuando la aplicación propone algo automáticamente, por ejemplo un reparto del alumnado en equipos o cómo encajar una clase de Classroom, el profesorado o la administración del centro lo confirma o lo cambia.

6. Base jurídica

La base jurídica depende de quién decide cada tratamiento (apartado 3):

• Datos de la comunidad educativa de cada centro. La base jurídica la determina el centro, como responsable, según su titularidad (pública, concertada o privada) y el uso concreto de los datos, y la comunica a su comunidad educativa. El titular trata esos datos solo por cuenta del centro y para prestarle el servicio.
• Tratamientos propios del titular:

  Tratamiento	Base jurídica (RGPD)
  Web pública y sus registros técnicos	Interés legítimo del titular en la seguridad del servicio y en prevenir abusos (artículo 6.1.f).
  Relación con cada centro y cuentas de la administración de la plataforma	Ejecución del acuerdo con el centro (artículo 6.1.b) y, para sus personas de contacto, interés legítimo en mantener esa relación (artículo 6.1.f).
  Seguridad: control de acceso, registro de actividad y copias de seguridad	Obligación de aplicar medidas de seguridad (artículos 32 y 6.1.c) e interés legítimo en la integridad y la continuidad del servicio (artículo 6.1.f).
  Registro de la aceptación de las condiciones del servicio	Ejecución del contrato (artículo 6.1.b) e interés legítimo en poder acreditarla (artículo 6.1.f).
  Consultas y ejercicio de derechos	Interés legítimo en atender las consultas (artículo 6.1.f) y, cuando se ejerce un derecho, cumplimiento de una obligación legal (artículo 6.1.c).

7. Google Classroom

La integración con Google Classroom es opcional y de solo lectura, y solo funciona cuando la plataforma la tiene activada: mientras no lo está, G3 no se conecta con Google Classroom. Solo la usan las personas que gestionan un centro en G3, y cada conexión sirve únicamente para esa persona y ese centro.

Permisos que se solicitan a Google

• https://www.googleapis.com/auth/classroom.courses.readonly: ver las clases de Classroom en las que la cuenta conectada es docente: nombre, sección, aula y enlace.
• https://www.googleapis.com/auth/classroom.rosters.readonly: ver la lista de alumnado de esas clases: nombre y apellidos de cada estudiante.
• https://www.googleapis.com/auth/classroom.profile.emails: ver la dirección de correo de las personas de esas listas y la de la propia cuenta conectada.

Qué hace G3 con ellos

• Muestra a quien conecta las clases activas de Classroom en las que su cuenta es docente, para que elija cuáles importar.
• Lee la lista de alumnado de las clases elegidas (nombre, apellidos y correo) para dar de alta a esas personas en la clase de G3 que se elija, o para reconocerlas por su correo si ya existían.
• Guarda en G3 solo lo que la persona confirma en la importación: de cada estudiante, su nombre, apellidos y correo en la clase correspondiente, como cualquier otra alta del centro.
• Nunca crea, modifica ni borra nada en Google Classroom, y no lee tareas, entregas, calificaciones ni materiales: los permisos que pide no lo permiten.
• El permiso que concede Google (token) se guarda solo en la memoria del servidor, caduca en una hora como máximo y nunca se guarda en la base de datos ni en las copias de seguridad. G3 no pide acceso permanente: no usa tokens de renovación.
• Al desconectar desde G3, se retira el permiso en Google. También puede retirarse en cualquier momento desde la cuenta de Google, en myaccount.google.com/permissions.

Uso limitado

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Portal Educativo G3 se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

En concreto, los datos obtenidos de Google se usan solo para la importación descrita. No se usan para publicidad, no se venden y no se transfieren a terceros, salvo lo necesario para prestar este servicio, por obligación legal o con el consentimiento de las personas. Nadie los lee salvo con ese consentimiento, por seguridad o por obligación legal.

Si un centro restringe en Google Workspace el acceso de aplicaciones de terceros, su administración debe autorizar G3 antes de conectar.

8. Quién interviene en el tratamiento

• El centro educativo accede a los datos de su comunidad educativa según las funciones que asigna a cada persona. La plataforma comprueba en el servidor, en cada operación, que nadie accede a datos de un centro que no le corresponde.
• La administración de la plataforma (el titular) presta el soporte, el mantenimiento y la seguridad del servicio.
• Proveedores técnicos, que tratan los datos por cuenta del titular con los acuerdos de tratamiento de datos que forman parte de sus condiciones de servicio:
  • Alojamiento: los datos se guardan en un servidor propio del titular, situado en España, no en una nube de terceros.
  • Cloudflare, Inc. (Estados Unidos): todas las conexiones con portal.arnhur.com pasan, cifradas, por su red de entrega y protección, que ve la dirección IP, la dirección solicitada y los datos técnicos de la conexión. Acuerdo: Cloudflare Data Processing Addendum.
  • OVHcloud (Francia): envía el correo de la plataforma (destinatario y contenido de cada aviso) y es el registrador del dominio. Acuerdo: anexo de tratamiento de datos de sus condiciones de servicio.
• Google: solo si la plataforma tiene activada la integración con Classroom y una persona la usa (apartado 7). Las fuentes tipográficas y los iconos los sirve la propia plataforma, sin pedirlos a terceros.
• YouTube: si una actividad incluye un vídeo de YouTube, G3 avisa antes de reproducirlo y lo inserta en el modo de privacidad mejorada de YouTube; al reproducirlo, el navegador se conecta a YouTube, que aplica su propia política. También puede abrirse directamente en YouTube.

No se comunican datos a otros terceros, salvo por obligación legal.

9. Transferencias internacionales

Cloudflare y Google son empresas con sede en Estados Unidos y pueden tratar datos, como la dirección IP, fuera del Espacio Económico Europeo:

• Cloudflare está adherida al Marco de Privacidad de Datos UE-EE. UU., que cuenta con una decisión de adecuación de la Comisión Europea de 10 de julio de 2023. Su acuerdo de tratamiento incluye además las cláusulas contractuales tipo de la Comisión, que se aplicarían si esa adhesión dejara de estar vigente.
• Google solo recibe datos de G3 si se usa la integración con Classroom; Google LLC también está adherida a ese Marco. Al reproducir un vídeo de YouTube, es el navegador de la persona el que se conecta con Google, conforme a la política de este.

OVHcloud trata los datos en la Unión Europea, y el servidor de G3 está en España.

10. Cuánto tiempo se conservan

Datos	Plazo
Datos de cada centro: cuentas, organización académica, proyectos, evidencias y evaluaciones	Mientras dure la relación de servicio con el centro. Al terminar, se le devuelven si los pide en los 30 días siguientes, en un formato de uso común, y después se suprimen de la plataforma según el procedimiento acordado con él.
Sesión	La sesión caduca como máximo a las 24 horas, y la cookie de sesión, a las 8 horas. Cerrar la sesión las borra del navegador.
Permiso de Google Classroom	Una hora como máximo, solo en la memoria del servidor; el enlace para conectar caduca a los 10 minutos y es de un solo uso.
Copias de seguridad automáticas, cifradas	Se eliminan a los 14 días.
Copia semanal, cifrada, en un disco externo del titular	Se conservan las siete últimas (unas siete semanas).
Copia cifrada que se hace antes de cada actualización	Se elimina automáticamente a los 30 días.
Registros técnicos con la dirección IP (dirección IP, fecha y hora, dirección solicitada y navegador), en el punto de entrada del servidor	Se eliminan automáticamente, los más antiguos primero, cuando ocupan 50 MB.
Registros de errores de la aplicación (fecha y hora, operación y cuenta, sin la dirección IP)	Se eliminan automáticamente, los más antiguos primero, cuando ocupan 50 MB.
Registro de auditoría: qué operación se hizo, quién y cuándo, con el valor anterior y el nuevo	Dos años; cada día se borra lo que supera ese plazo. La constancia de que una cuenta aceptó las condiciones del servicio se conserva mientras exista esa cuenta.
Copia de recuperación, sin contraseñas, que se guarda antes de eliminar un centro, una clase o una persona	Se elimina automáticamente a los 30 días.

La plataforma permite eliminar un centro con todos sus datos y retirar a las personas que ya no tienen relación con ningún centro. Antes de eliminar, guarda la copia de recuperación indicada, en su almacén protegido, para poder deshacer una eliminación hecha por error.

11. Seguridad

• Conexiones cifradas (HTTPS) y cabeceras de seguridad para el navegador.
• Contraseñas guardadas solo como resumen criptográfico. Las contraseñas temporales son individuales y deben cambiarse en el primer acceso.
• Sesión en una cookie inaccesible para los scripts de la página, limitada a este sitio, que caduca a las 8 horas; y límite de intentos de acceso.
• Control de acceso por funciones y separación entre centros, comprobada en el servidor en cada operación.
• Fotografías y archivos en un almacén protegido, nunca accesibles sin sesión; los archivos que se entregan como evidencia solo se admiten de los tipos permitidos.
• Registro de auditoría de las operaciones relevantes.
• Copias de seguridad cifradas, con un procedimiento de restauración probado.
• Entorno de desarrollo separado del de producción y no accesible desde Internet.

12. Alumnado menor de edad

Buena parte del alumnado es menor de edad. Sus datos los incorpora su centro educativo, directamente o importándolos desde Google Classroom a petición de su personal. G3 no permite el registro libre: las cuentas del alumnado las crea el centro, que le facilita sus credenciales.

Como responsable, el centro determina la base jurídica de cada uno de sus tratamientos y recaba, cuando la normativa lo exige para un uso concreto, las autorizaciones que correspondan del alumnado o de sus familias (para los menores de 14 años, artículo 7 de la LOPDGDD). La fotografía en la ficha de cada persona es opcional.

13. Cookies y almacenamiento en el navegador

• Una sola cookie, técnica: token mantiene la sesión iniciada. Se crea al iniciar sesión, solo viaja a este sitio y por HTTPS, los scripts de la página no pueden leerla y caduca a las 8 horas o al cerrar la sesión.
• Almacenamiento de la sesión del navegador, que se borra al cerrar la pestaña: el identificador de la sesión de esa pestaña, preferencias de navegación como la última vista consultada y, si se acepta, que ya se ha leído el aviso de los vídeos de YouTube.
• G3 no usa cookies de publicidad, de analítica ni de terceros. Las que usa son estrictamente necesarias para el servicio y no requieren consentimiento (art. 22.2 de la LSSI-CE).
• La red de Cloudflare no guarda cookies en el uso normal de este sitio. Si tuviera que comprobar que una conexión no es automatizada, podría guardar sus propias cookies técnicas de seguridad (como __cf_bm o cf_clearance), también estrictamente necesarias.
• Contenido de terceros: un vídeo de YouTube incluido en una actividad solo se carga cuando la persona, informada, pulsa «Reproducir el vídeo», y se inserta en el modo de privacidad mejorada de YouTube. Desde ese momento se aplican las cookies y la política de YouTube (apartado 8).

14. Derechos y cómo ejercerlos

Cualquier persona puede ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad, y a no ser objeto de decisiones individuales automatizadas.

Puede dirigirse a su centro educativo o al titular, en [email protected]. Si la solicitud corresponde a un centro, el titular se la trasladará y le ayudará a atenderla. La respuesta se dará en el plazo de un mes, prorrogable en los casos que prevé el artículo 12.3 del RGPD.

Las personas usuarias pueden consultar y corregir buena parte de sus datos en su ficha personal dentro de la aplicación.

Si considera que no se han atendido sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos.

15. Cambios en esta política

Esta política se actualizará cuando cambien la normativa, el funcionamiento de G3 (por ejemplo, al incorporar una nueva integración) o su titular. La fecha de revisión figura al principio, y los cambios relevantes se comunicarán a los centros antes de aplicarse.