POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES

La presente Política de Privacidad (en adelante, la "Política") describe cómo Gabriel Tomás Aquino, CUIT N° 20-47543010-8, con domicilio en Barrio Los Castaños, Manzana A, Casa 16, Ciudad de Salta, Provincia de Salta, República Argentina (en adelante "eskol"), opera la plataforma eskol (en adelante, la "Plataforma"), trata datos personales en el marco de la prestación del servicio de gestión educativa a instituciones de nivel primario y secundario, en cumplimiento de la Ley N° 25.326 de Protección de Datos Personales (en adelante, "LPDP"), su Decreto Reglamentario N° 1558/2001 y la normativa de la Agencia de Acceso a la Información Pública (en adelante, "AAIP").

Esta Política debe leerse junto con los Términos y Condiciones de Uso y, cuando exista, el Acuerdo de Tratamiento de Datos (DPA) suscripto entre eskol y cada Institución, que detalla obligaciones técnicas específicas del art. 25 LPDP. Ante una discrepancia sobre el tratamiento concreto de datos, prevalece el DPA vigente entre las partes; ante dudas de interpretación general, prevalece esta Política.

1. ROLES: RESPONSABLE, ENCARGADO Y RELACIÓN COMERCIAL

1.1. Datos tratados por cuenta de la Institución

Respecto de los datos de alumnos, padres/tutores y docentes cargados para la gestión pedagógica, administrativa y financiera del vínculo educativo, la Institución Educativa reviste el carácter de Responsable del Banco de Datos Personales en los términos de la LPDP: decide qué datos se cargan, con qué finalidad y qué usuarios acceden. eskol actúa como Encargado del Tratamiento (art. 25 LPDP), procesando esos datos exclusivamente por cuenta y bajo instrucción de la Institución, sin utilizarlos para fines propios ajenos a la prestación técnica del servicio.

1.2. Datos propios de eskol

Respecto de los datos generados en el marco de la relación comercial entre eskol y la Institución como cliente (razón social, CUIT, datos de contacto del administrador que suscribe el contrato, facturación del abono, registros de soporte) y de los datos técnicos y de seguridad propios de la operación de la Plataforma (logs de acceso, registros de autenticación, información necesaria para prevención de fraude), eskol actúa como Responsable en los términos de la LPDP.

1.3. MercadoPago como responsable independiente

MercadoPago procesa los datos de pago (medio de pago, identificación del pagador, resultado de la transacción) bajo sus propios términos y con sus propios fines adicionales de prevención de fraude y análisis de riesgo. eskol no controla ni instruye esos fines: MercadoPago actúa, para esos aspectos, como responsable independiente de su propio tratamiento, regido por su propia política de privacidad.

1.4. ARCA — cumplimiento de obligación legal, no proveedor comercial

El envío de datos fiscales a ARCA (CUIT/DNI del titular del pago, montos, conceptos facturados) no constituye una cesión a un proveedor tecnológico sino el cumplimiento de una obligación legal de facturación electrónica exigida a la Institución y/o a eskol según el caso.

1.5. Datos de contacto de eskol

Para consultas sobre esta Política o el tratamiento de datos personales: eskolsge@gmail.com.

2. DATOS PERSONALES QUE SE RECOLECTAN

2.1. Datos de usuarios adultos

Administradores, personal directivo, personal de secretaría, docentes y padres/tutores: nombre y apellido, correo electrónico, teléfono, cargo o rol institucional, DNI/CUIT (cuando resulte necesario para facturación o gestión de pagos), y credenciales de acceso administradas por el proveedor de autenticación.

2.2. Datos de alumnos (menores de edad)

Exclusivamente los necesarios para la gestión pedagógica y administrativa: nombre y apellido, DNI, fecha de nacimiento, curso/división, calificaciones, registros de asistencia, sanciones disciplinarias, y vinculación con su(s) padre(s)/tutor(es) registrados.

2.3. Datos financieros

Estado de cuenta, comprobantes fiscales, identificación tributaria del titular del pago. Los datos de tarjeta de crédito/débito son procesados directamente por MercadoPago bajo su propia infraestructura; eskol no almacena números de tarjeta ni códigos de seguridad.

2.4. Datos técnicos

Dirección IP, identificadores de sesión, marcas de tiempo (timestamps) e intentos de autenticación, recolectados con fines de seguridad, prevención de fraude y soporte técnico — nunca con fines de perfilamiento comercial.

2.5. Exclusión de datos sensibles

eskol no solicita ni sugiere la carga de datos sensibles en los términos del art. 2 LPDP (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, salud, vida sexual). Ningún campo del sistema los requiere para su funcionamiento ordinario.

Si, excepcionalmente, una Institución decide incorporar un dato de esta naturaleza (por ejemplo, información médica relevante para la seguridad de un alumno), lo hace bajo su exclusiva responsabilidad, debiendo contar con la base jurídica y autorización que la normativa exige para ese tratamiento específico. eskol no revisa ni valida esa base jurídica: solo aloja el dato que la Institución decide cargar.

3. FINALIDAD DEL TRATAMIENTO

3.1. Finalidades autorizadas

• Gestión pedagógica y académica: asistencias, calificaciones, libretas, sanciones.
• Gestión administrativa: altas y bajas de usuarios, cursos e inscripciones.
• Gestión financiera: facturación, cobranza, comprobantes fiscales electrónicos, conciliación de pagos.
• Comunicación institucional: notificaciones a las familias vinculadas al vínculo educativo.
• Seguridad y prevención de fraude sobre la propia Plataforma.
• Cumplimiento de obligaciones legales, fiscales y regulatorias.

3.2. Prohibición de comercialización y publicidad

Queda prohibida la comercialización, cesión, alquiler o puesta a disposición de datos personales a terceros ajenos a la prestación del servicio, y su uso para publicidad, marketing o perfilamiento comercial no vinculado a la gestión educativa. eskol no vende ni monetiza datos personales de alumnos, familias o docentes.

3.3. Minimización en comunicaciones (email/WhatsApp)

Cuando la Plataforma envía una notificación mediante Resend (email) o Twilio (WhatsApp), solo se transmite al proveedor la información estrictamente necesaria para esa comunicación puntual — típicamente el destinatario y el contenido del mensaje concreto — y no una base de datos completa de alumnos o familias. Estos proveedores no reciben acceso de lectura a la base de datos de eskol.

3.4. Subencargados tecnológicos

Para prestar el servicio, eskol se apoya en proveedores de infraestructura que actúan como subencargados, limitados a la función técnica que prestan: Railway (base de datos y aplicación), Cloudflare (almacenamiento de archivos), Clerk (autenticación), Resend (email) y Twilio (WhatsApp). MercadoPago y ARCA se rigen por lo descripto en las Cláusulas 1.3 y 1.4.

4. BASE JURÍDICA Y TRATAMIENTO DE DATOS DE MENORES

4.1. Bases jurídicas aplicables

El tratamiento de datos personales en la Plataforma puede sustentarse, según el caso y a criterio de la Institución, en: (i) la ejecución del vínculo educativo/contractual entre la Institución y la familia; (ii) el cumplimiento de obligaciones legales aplicables a la Institución (por ejemplo, registro académico obligatorio); y/o (iii) el consentimiento de los padres, madres o tutores legales, cuando la normativa lo exija específicamente.

4.2. Rol de la Institución en la determinación de la base jurídica

Es responsabilidad exclusiva de la Institución Educativa determinar, para cada categoría de dato, cuál es la base jurídica aplicable, y obtener el consentimiento de los padres/tutores cuando este resulte la base jurídica pertinente conforme a la LPDP y su reglamentación. eskol, como Encargado del Tratamiento, no participa en esa determinación ni en la relación directa entre la Institución y las familias.

4.3. Consentimiento otorgado a través de la Institución

Cuando el consentimiento sea la base jurídica aplicable, este es prestado por los padres, madres o tutores legales del alumno menor de edad a través de la Institución, en el momento de la inscripción/matriculación o mediante el mecanismo que la Institución determine (formulario físico o digital).

4.4. Capacidad progresiva

Cuando el alumno, en función de su edad y grado de madurez, tenga acceso directo a determinadas funcionalidades (por ejemplo, visualización de sus propias calificaciones), dicho acceso es habilitado y supervisado por la Institución, sin que ello implique una recolección de datos adicional a la ya legitimada.

5. ALOJAMIENTO Y TRANSFERENCIA INTERNACIONAL DE DATOS

5.1. Ubicación de los proveedores de infraestructura

La Plataforma utiliza proveedores de infraestructura en la nube cuyos centros de datos se encuentran fuera de la República Argentina: Railway (aplicación y base de datos — Estados Unidos, región US West), Cloudflare R2 (almacenamiento de comprobantes fiscales en PDF — Estados Unidos, región Eastern North America), Clerk (autenticación — Estados Unidos), Resend (envío de correos electrónicos — Estados Unidos) y Twilio (SMS/WhatsApp — Estados Unidos, región US1). Esto implica una transferencia internacional de datos personales en los términos del art. 12 LPDP.

5.2. Transferencia Internacional de Datos Personales

Para prestar el Servicio, Eskol utiliza proveedores tecnológicos que pueden procesar datos personales en jurisdicciones distintas de la República Argentina, incluyendo los Estados Unidos de América. Estas transferencias pueden originarse, entre otros, en los servicios de autenticación, envío de comunicaciones (correo electrónico y mensajería) y almacenamiento de archivos que integran la Plataforma.

Al momento de la publicación de esta Política, la República Argentina no ha reconocido a los Estados Unidos como una jurisdicción con nivel de protección adecuado en los términos del artículo 12 de la Ley N° 25.326 y su normativa complementaria. Existe un proceso en curso, en el marco de acuerdos de cooperación entre ambos países, orientado a un eventual reconocimiento de adecuación, cuya formalización se encuentra pendiente a la fecha.

En este contexto, Eskol realiza las transferencias internacionales necesarias para la prestación del Servicio sobre la base del consentimiento expreso, previo e informado que el titular de los datos (padre, madre o tutor del alumno) otorga al momento de la registración, conforme lo habilita el artículo 12 de la Ley N° 25.326. Dicho consentimiento es específico para esta finalidad y es independiente de la aceptación general de los Términos y Condiciones.

Adicionalmente, Eskol podrá implementar, cuando lo considere apropiado, mecanismos contractuales de protección de datos con sus proveedores —tales como las Cláusulas Contractuales Modelo aprobadas por la Agencia de Acceso a la Información Pública— como medida de resguardo adicional, sin que ello sustituya ni condicione la validez del consentimiento otorgado conforme el párrafo anterior.

Si en el futuro la autoridad de aplicación reconociera formalmente a Estados Unidos u otra jurisdicción relevante como país con nivel de protección adecuado, las transferencias correspondientes dejarán de estar sujetas a las condiciones aquí descriptas, sin que sea necesario modificar la presente cláusula.

5.3. No transferencia comercial a terceros

Fuera de los proveedores tecnológicos mencionados, eskol no transfiere datos personales a ningún otro tercero, país u organización con fines comerciales.

6. CONSERVACIÓN, ELIMINACIÓN Y BACKUPS

6.1. Durante la vigencia del contrato

Los datos personales se conservan mientras dure la relación contractual entre eskol y la Institución, con la disponibilidad operativa necesaria para prestar el servicio.

6.2. Después de la finalización del contrato

Finalizado el contrato, los datos se conservan únicamente por el plazo necesario para: (i) permitir la exportación solicitada por la Institución (Cláusula 7); y (ii) cumplir obligaciones legales, fiscales o contables aplicables (en particular, comprobantes fiscales electrónicos, cuyo plazo de conservación se rige por la normativa de ARCA).

6.3. Backups

La Plataforma mantiene copias de seguridad automáticas diarias de la base de datos, con una retención de 30 días por copia, provistas por el proveedor de infraestructura (Railway) sobre el servicio de base de datos. Vencido ese plazo, cada copia se sobrescribe automáticamente. Por su naturaleza, la eliminación de un dato de la base de datos activa no implica su eliminación instantánea de todas las copias de seguridad existentes en un momento dado: un registro eliminado puede persistir en alguna copia hasta que esta expire conforme al plazo de retención indicado.

6.4. Retención de registros de seguridad

Los registros de seguridad (logs de acceso, errores y actividad del sistema) se conservan por un plazo de entre seis (6) y doce (12) meses, según el tipo de registro y los requisitos técnicos de la infraestructura utilizada. Transcurrido ese plazo, los registros se eliminan o anonimizan de forma automática.

7. EXPORTACIÓN Y PORTABILIDAD DE DATOS

Los datos aportados por la Institución pertenecen a la relación educativa institucional, no a eskol. Finalizado el contrato por cualquier causa, la Institución puede solicitar la exportación de sus datos en un formato estructurado de uso común (por ejemplo, CSV, XLSX o JSON), dentro de un plazo razonable a convenir con eskol. eskol prestará asistencia razonable durante procesos de migración, sujeto a factibilidad técnica. Transcurrido el plazo acordado sin que se solicite la exportación, eskol podrá proceder a la eliminación de los datos, conservando solo lo cuya retención resulte legalmente obligatoria.

8. COOKIES Y TECNOLOGÍAS DE ANALÍTICA

Eskol no utiliza cookies de analítica, publicidad ni seguimiento de terceros. La Plataforma únicamente utiliza las cookies estrictamente necesarias para el funcionamiento del servicio de autenticación, indispensables para mantener la sesión del Usuario. Si en el futuro Eskol incorporara herramientas de analítica, esta Política será actualizada previamente para reflejar dicho cambio.

9. MEDIDAS DE SEGURIDAD

9.1. Medidas técnicas

• Cifrado del tránsito de información mediante HTTPS/TLS en las comunicaciones entre los usuarios y la Plataforma.
• Cifrado en reposo (AES-256-GCM) de credenciales técnicas sensibles específicas: tokens de integración con la pasarela de pago y certificados, claves privadas y tickets de autenticación de facturación electrónica. Otros datos personales (DNI, CUIT, y los registros crudos de transacciones de pago) se almacenan en la base de datos sin una capa adicional de cifrado a nivel de aplicación, y dependen del cifrado en reposo provisto por la infraestructura de base de datos subyacente.
• Control de accesos basado en roles (administración, secretaría, docencia, familias), con aislamiento entre el dominio académico y el financiero verificado en el servidor.
• Autenticación gestionada por un proveedor especializado, con manejo de contraseñas y sesiones fuera del código propio de eskol.
• Segmentación lógica de datos por institución (arquitectura multi-tenant): cada institución constituye un entorno lógico aislado dentro de la base de datos compartida.
• Registro de auditoría sin posibilidad de modificación ni borrado (append-only) limitado específicamente a los registros de pagos, notas de crédito y eventos de pago — no a la totalidad de los datos del sistema.

9.2. Medidas organizativas

El acceso a los sistemas de administración de la Plataforma está restringido al personal técnico estrictamente necesario. Las credenciales de servicios externos se gestionan exclusivamente en el servidor y nunca se exponen en el código del lado del cliente.

10. INCIDENTES DE SEGURIDAD

Ante la detección de un incidente que comprometa la confidencialidad, integridad o disponibilidad de datos personales tratados, eskol lo evaluará y notificará a la Institución afectada sin demora indebida, brindando la información razonablemente disponible para que esta pueda cumplir sus propias obligaciones de notificación frente a titulares y, de corresponder, ante la AAIP. eskol no cuenta hoy con un procedimiento formal de respuesta a incidentes documentado por escrito — su formalización queda identificada como acción pendiente en el Checklist.

11. DERECHOS DE LOS TITULARES DE LOS DATOS (ARCO)

11.1. Derechos reconocidos

• Acceso: solicitar información sobre los datos personales propios (o de un hijo/a menor de edad) tratados en la Plataforma.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Actualización: solicitar la actualización de datos desactualizados.
• Supresión: solicitar la eliminación de datos cuyo tratamiento ya no resulte necesario, sin perjuicio de la información cuya conservación resulte obligatoria por normativa fiscal, contable o educativa.

11.2. Canal de ejercicio

Las solicitudes sobre datos académicos, familiares o administrativos de un alumno se canalizan a través de la Institución Educativa, que es su Responsable. Pueden dirigirse también directamente a eskol a eskolsge@gmail.com, quien las canalizará con la Institución cuando el dato corresponda a su gestión, o las resolverá directamente cuando se trate de datos técnicos bajo gestión operativa propia de eskol (por ejemplo, credenciales de acceso).

11.3. Plazos de respuesta

Los plazos de respuesta son los que establece la LPDP: diez (10) días corridos para el derecho de acceso (art. 14, Ley N° 25.326), y cinco (5) días hábiles para rectificación, actualización o supresión (art. 16, Ley N° 25.326), contados desde la intimación fehaciente o la recepción del reclamo, según corresponda. eskol, cuando actúe como canal de una solicitud dirigida a la Institución, la trasladará sin demora para que esta pueda cumplir dichos plazos.

11.4. Reclamo ante la autoridad de control

El titular de los datos tiene derecho a interponer una denuncia ante la Agencia de Acceso a la Información Pública (AAIP), Órgano de Control de la Ley N° 25.326.

12. DATOS AGREGADOS Y ANONIMIZADOS

eskol puede generar estadísticas a partir de información agregada. Un dato al que solo se le quitó el nombre no es un dato anonimizado si sigue siendo razonablemente reidentificable por otros campos — eskol solo utiliza para fines estadísticos información agregada al punto de no permitir, con medios razonables, identificar a una institución, familia o alumno en particular.

13. DISPOSICIONES FINALES

13.1. Modificaciones

eskol podrá actualizar esta Política para reflejar cambios normativos o en la forma en que se tratan los datos. Las modificaciones sustanciales serán notificadas a las Instituciones con antelación razonable.

13.2. Ley aplicable

Esta Política se rige por la Ley N° 25.326, su Decreto Reglamentario N° 1558/2001, la normativa de la AAIP y demás normativa concordante de la República Argentina.

Última actualización: 09/08/2026