Tratamiento de datos

RODMENA como controlador

Para este sitio web y nuestra propia correspondencia comercial, según lo establecido en nuestra Política de Privacidad.

RODMENA como procesador

Cuando operamos o prestamos soporte a sistemas que tratan los datos personales de sus usuarios en virtud de un contrato, la labor se rige por un Data Processing Agreement firmado (artículo 28 UK GDPR).

Rol

Un encargado del tratamiento que actúa por cuenta del cliente del sistema de gestión del aprendizaje, que es el responsable del tratamiento. Los términos del artículo 28 figuran en la página Data Processing Agreement.

Qué se procesa

El identificador del alumno que proporciona el sistema del cliente, como una cuenta xAPI de página de inicio y nombre, y los registros de aprendizaje que envía un curso, incluidos resultados y puntuaciones. Se rechazan los identificadores con formato de correo electrónico.

Cómo se conserva

Los datos de cada cliente están separados por reglas que la base de datos aplica. Los registros se cifran en reposo, los identificadores de los alumnos se almacenan únicamente como tokens con clave y las direcciones IP de los clientes nunca se almacenan.

Conservación

Por inquilino y contractual. Los valores predeterminados son 1.095 días para los registros y los cuerpos de extractos, configurable hasta un mínimo de un día.

Flujos opcionales

Todo dentro de RODMENA, sin ningún nuevo subencargado. Cuando un cliente lo activa, los documentos de estado guardado y de preferencias del alumno, que pueden contener cualquier cosa que almacene un curso, incluidas respuestas de texto libre, se copian en un solo sentido al RODMENA LRS y se eliminan allí junto con el original o según el periodo de conservación. A petición, las declaraciones se cotejan con la copia del LRS para el paquete de evidencias. Las declaraciones que cmi5 escribe por sí mismo pueden llevar la firma xAPI de RODMENA, que se elimina junto con la declaración según el periodo de conservación o al borrarse.

Webhooks

Se envían únicamente a los endpoints HTTPS que el cliente registra, firmados con HMAC-SHA256, con los ids que el cliente ya posee y marcas de tiempo. No se envía ningún identificador de alumno ni ningún registro de aprendizaje. Los eventos se conservan durante 30 días.

Supresión

Los registros de un alumno se seudonimizan en cmi5 de inmediato, las copias de sus documentos en el LRS se detienen y se eliminan, y el borrado se entrega al RODMENA LRS con un justificante registrado, de modo que una sola solicitud llega a ambos sistemas. Tras una restauración de la base de datos, todos los borrados se vuelven a aplicar a partir de registros sellados que se conservan fuera de la base de datos, como un paso del procedimiento de restauración. El motivo registrado para ello es una referencia de ticket o un código, nunca texto libre sobre una persona.

Devolución y supresión

En virtud del artículo 28, apartado 3, letra g), la exportación de un cliente solo se ejecuta después de que una segunda persona la apruebe, se cifra con la propia clave del cliente e incluye un manifiesto firmado de cada tabla que el cliente posee. Al finalizar el contrato, se elimina cada registro y cada versión de objeto almacenada, y el cliente recibe un certificado de eliminación firmado y con marca temporal que indica qué se eliminó, qué se conserva y por qué, y qué no cubre: las copias de seguridad y los registros dentro de su período de conservación, y los datos del LRS, que cuenta con su propio traspaso de borrado.

Ubicación

El mismo nivel de base de datos indicado anteriormente, en el Reino Unido, Francia y Alemania, sin ninguna otra transferencia. Los paquetes de cursos y los registros de supresión se cifran en nuestro host antes de cargarse en el almacenamiento de objetos.

RODMENA tiene su sede en el Reino Unido. Nuestros propios sistemas y sus datos están alojados en Reino Unido, Francia y Alemania. Algunos proveedores del registro tratan datos en otros lugares: Irlanda, Estados Unidos y otras ubicaciones de Google. Los despliegues de los clientes se ejecutan donde el cliente elija, habitualmente en la propia infraestructura del cliente.

Cada proveedor que trata datos fuera del Reino Unido, y la garantía para esa transferencia, se muestran en el registro anterior: OVHcloud, Google Workspace, Anthropic y GitHub. Nuestros Términos se rigen por la legislación de Inglaterra y Gales.

Ayudamos a los responsables del tratamiento a responder a las solicitudes de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición) dentro del plazo legal de un mes. Las solicitudes relativas a los datos que controlamos se dirigen a gdpr@rodmena.co.uk.