Registro de Actividades de Tratamiento (ROPA)

Bedel trata estos datos por cuenta del centro (residencia o colegio mayor), que es el Responsable. Ver el contrato de encargo (DPA).

• Actividad: asistente de atención por WhatsApp para residentes, familias y personal del centro (incidencias, reservas, avisos, encuestas y canal de denuncias).
• Categorías de interesados: residentes/colegiales, familiares y personal del centro.
• Categorías de datos: identificativos (nombre, teléfono, email, habitación, curso), contenido de los mensajes de WhatsApp, incidencias y valoraciones. Categorías especiales (art. 9) — sólo si el centro las activa expresamente: datos de salud (alergias, intolerancias y dietas por prescripción médica), desactivados de fábrica en todos los centros; y contenido de denuncias (que puede incluir acoso o salud mental), únicamente si el centro contrata el canal. En un centro que no active ninguna de las dos, no se tratan datos de categorías especiales.
• Finalidad: prestar el servicio de atención y gestión del centro.
• Base jurídica: la que determine el centro Responsable (típicamente ejecución de contrato o interés legítimo; para las categorías especiales, la base reforzada del art. 9 que aporte el centro).
• Destinatarios / sub-encargados: base de datos y autenticación (UE), proveedores de modelo de IA (EE.UU.), correo transaccional (EE.UU.), Meta Platforms Ireland Ltd. (WhatsApp, UE), alojamiento de la aplicación (UE), repositorio de código y control de versiones (EE.UU.), correo electrónico corporativo (UE) y almacenamiento de copias de seguridad cifradas (UE). La identidad de cada proveedor consta en el Anexo de Subencargados del contrato y se facilita a simple solicitud.
• Transferencias internacionales: los proveedores del modelo de IA, el de correo transaccional y el repositorio de código, todos en EE.UU., amparadas en cláusulas contractuales tipo (SCC) y medidas suplementarias. El canal de denuncia no realiza ninguna transferencia internacional: no interviene el modelo de IA en ninguna de sus fases.
• Plazo de conservación: mientras dure el contrato; supresión en 90 días tras su finalización (salvo obligación legal). Las denuncias se conservan el plazo que fije cada centro (1–10 años) y se destruyen automáticamente al vencer.
• Medidas de seguridad (art. 32): cifrado en tránsito (TLS) y en reposo, aislamiento de datos por centro (control de accesos por organización), cifrado específico de las denuncias y de las credenciales de Meta, y registro de accesos auditables.

B.1 Contactos comerciales y solicitudes de demo

• Interesados: personas que solicitan información o una demo.
• Datos: nombre, cargo, organización, email, teléfono y el mensaje que envíen.
• Finalidad: atender la solicitud y el contacto comercial.
• Base jurídica: consentimiento del interesado y/o interés legítimo (art. 6.1.a/f).
• Destinatarios: base de datos (UE), donde queda registrada la solicitud; proveedor de correo transaccional (EE.UU.); Google Ireland Ltd. (Google Calendar, si se usa el calendario para agendar).
• Conservación: mientras exista interés comercial; supresión a petición.

B.2 Demo interactiva de la web

• Datos: dirección IP, texto que introduce el visitante y respuesta generada.
• Finalidad: mostrar la demostración y prevenir el abuso del servicio.
• Base jurídica: interés legítimo (art. 6.1.f).
• Destinatarios: base de datos (UE) y proveedores del modelo de IA (EE.UU.).

B.3 Acceso del personal y telemetría del panel

• Datos: email, nombre y rol de los usuarios del panel; eventos de uso del panel (seudónimos, sin contenido personal).
• Finalidad: dar acceso al panel y mejorar el producto.
• Base jurídica: ejecución del contrato e interés legítimo.
• Destinatarios: base de datos (UE).

Los interesados pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a miguel@bedel.es, y reclamar ante la Agencia Española de Protección de Datos (AEPD). Para los datos tratados como Encargado, el ejercicio se canaliza a través del centro Responsable.