NeuroQuest / EduPlay — Versión 1.0 · Mayo 2026
| Campo | Dato |
|---|---|
| Denominación | NeuroQuest / EduPlay (en adelante, «la Plataforma») |
| Correo del DPO | privacy@neuroquest.app |
| Marco normativo principal | Reglamento (UE) 2016/679 (RGPD) · Ley Orgánica 3/2018 (LOPDGDD) · Directiva ePrivacy 2002/58/CE |
| Autoridad de control competente | Agencia Española de Protección de Datos (AEPD) — www.aepd.es |
Esta política se aplica a todos los usuarios de la Plataforma NeuroQuest, con énfasis especial en los datos de menores de edad (6–12 años) y en los datos de salud recopilados mediante las actividades de evaluación neuropsicológica.
| Dato | Categoría | Quién lo proporciona |
|---|---|---|
| Nombre de usuario (alias) | Identificativo | Padre, madre o tutor legal |
| Nombre y apellidos del menor | Identificativo | Padre, madre o tutor legal |
| Edad del menor | Demográfico | Padre, madre o tutor legal |
| Contraseña (almacenada como hash PBKDF2-SHA-256 con salt) | Credencial — nunca legible | Usuario |
| Rol funcional (padre, hijo, médico, educador) | Organizativo | Sistema |
No recopilamos dirección postal, número de teléfono ni fotografía del menor. El correo electrónico del adulto responsable sólo se solicita si el adulto elige recibirlo para comunicaciones del servicio.
| Dato | Categoría RGPD | Uso |
|---|---|---|
| Precisión por tipo de actividad (fonema, ortografía, cálculo, atención, etc.) | Dato de salud — Art. 9 RGPD | Evaluación neuropsicológica orientativa |
| Tiempo de reacción medio y variabilidad (ms) | Dato de salud — Art. 9 RGPD | Indicador TDAH |
| Tasa de errores de comisión/omisión (paradigma Go/No-Go) | Dato de salud — Art. 9 RGPD | Indicador de control de impulsos |
| Nivel de dificultad alcanzado y puntuaciones | Funcional | Adaptación adaptativa del juego |
| Marcas de tiempo de sesión | Técnico | Análisis longitudinal |
Para registrar a un menor, el padre, madre o tutor legal debe:
El consentimiento puede retirarse en cualquier momento desde el panel parental o escribiendo a privacy@neuroquest.app. La retirada no afecta a la licitud del tratamiento previo.
No recopilamos datos biométricos, localización GPS, imagen, vídeo ni número de teléfono del menor. Los datos de rendimiento se identifican internamente mediante IDs numéricos pseudoanonimizados, no vinculados al nombre real en los sistemas de análisis.
Los médicos y educadores únicamente pueden acceder a los datos del menor tras autorización explícita del padre/tutor a través del flujo de «Enlace de cuenta». Cualquier vinculación puede revocarse en cualquier momento desde el panel parental.
La Plataforma genera indicadores clínicos orientativos sobre posibles perfiles de dislexia, discalculia, TDAH y TPA. Estos indicadores son herramientas de apoyo; no constituyen diagnóstico clínico y deben ser interpretados por un profesional de la salud cualificado.
Conforme al Art. 35 RGPD, se ha realizado una DPIA por concurrir los siguientes factores de alto riesgo:
Los resultados de la DPIA están disponibles para la AEPD previa solicitud. Las conclusiones principales son: riesgos residuales moderados, mitigados con las medidas descritas en la Sección 10.
El modelo de aprendizaje automático presenta una precisión media de etiquetado del 90,85 % con un error absoluto medio de 2,77 puntos sobre 100. El sistema indica el nivel de confianza de cada predicción en función de la cobertura de datos disponibles. Toda puntuación debe ser validada por un profesional.
| Finalidad | Datos tratados | Base jurídica |
|---|---|---|
| Prestación del servicio educativo y personalización de juegos | Nombre, edad, rendimiento, nivel de dificultad | Art. 6(1)(b) RGPD — Ejecución de contrato |
| Generación de indicadores neuropsicológicos orientativos | Precisión, tiempos de reacción, errores por tipo | Art. 9(2)(a) RGPD — Consentimiento explícito |
| Adaptación automática del nivel de dificultad (IA adaptativa) | Rendimiento en sesión, historial reciente | Art. 6(1)(b) + Art. 9(2)(a) RGPD |
| Generación de informes para padres y especialistas | Todos los datos de rendimiento del menor | Art. 9(2)(a) RGPD — Consentimiento explícito |
| Mejora del modelo de ML mediante datos agregados y anonimizados | Estadísticas sin identificador directo | Art. 6(1)(f) RGPD — Interés legítimo (investigación educativa) |
| Seguridad del sistema y prevención de fraude | Dirección IP (hashed), timestamps de sesión | Art. 6(1)(f) RGPD — Interés legítimo |
| Cumplimiento de obligaciones legales | Registros de acceso y consentimientos | Art. 6(1)(c) RGPD — Obligación legal |
No utilizamos tus datos para publicidad, perfilado comercial, ni los vendemos ni cedemos a terceros con fines comerciales.
La Plataforma emplea un modelo de aprendizaje automático (ensemble de HistGradientBoostingRegressor + RandomForestRegressor) para calcular puntuaciones de riesgo orientativas. Sobre dicho tratamiento:
La adaptación automática del nivel de dificultad durante el juego (staircase adaptativo) se basa en el rendimiento inmediato y no constituye una decisión con efectos significativos en el sentido del Art. 22 RGPD.
| Proveedor | Servicio prestado | País de tratamiento | Garantías (Cap. V RGPD) |
|---|---|---|---|
| Cloudflare, Inc. | Hosting, base de datos D1, CDN, DNS | EE. UU. (servidores EU disponibles y preferidos) | Cláusulas Contractuales Tipo (CCT) · Cloudflare DPA |
| Groq, Inc. | Modelos de lenguaje para recomendaciones clínicas orientativas | EE. UU. | CCT · Solo datos pseudoanonimizados sin nombre ni ID del menor |
Datos enviados a Groq: únicamente estadísticas agregadas de rendimiento (ej. «dislexia_score: 45, n_sesiones: 12»), sin nombre, apellido, edad exacta ni cualquier otro identificador directo del menor.
No se realizan otras transferencias internacionales. No cedemos datos a terceros con fines publicitarios o de marketing.
| Categoría de dato | Plazo de conservación | Justificación |
|---|---|---|
| Datos de cuenta (nombre de usuario, credenciales) | Hasta baja voluntaria + 30 días de seguridad | Necesidad contractual del servicio |
| Datos de rendimiento y sesiones de juego | 36 meses desde la última sesión activa | Seguimiento longitudinal del desarrollo del menor |
| Indicadores de riesgo neuropsicológico | 36 meses o hasta retirada del consentimiento | Continuidad del seguimiento clínico orientativo |
| Registros de consentimiento | 5 años desde la retirada o baja | Art. 7(1) RGPD + prescripción civil (Art. 1964 CC) |
| Logs de seguridad y acceso | 12 meses | ISO 27001 A.12.4 / Art. 32 RGPD |
| Cuentas inactivas (> 12 meses sin login) | Eliminación automática previo aviso por email | Minimización de datos — Art. 5(1)(e) RGPD |
Transcurridos los plazos, los datos se eliminan de forma segura o se anonimizan de manera irreversible para fines estadísticos de investigación educativa.
Todos los derechos se atienden en un plazo máximo de 30 días (prorrogable hasta 90 días para solicitudes complejas, con comunicación al interesado).
Obtén una copia de todos tus datos en formato JSON desde el panel de control o vía GET /api/account.
Corrige datos inexactos o incompletos desde el perfil de usuario o por correo.
Elimina permanentemente la cuenta y todos los datos asociados desde Ajustes → Eliminar cuenta o vía DELETE /api/account.
Solicita que dejemos de tratar ciertos datos mientras resolvemos una disputa o verificamos su exactitud.
Recibe tus datos en formato JSON estructurado y legible por máquina.
Oponte al tratamiento basado en interés legítimo, como la mejora del modelo de ML con datos agregados.
Solicita revisión humana de cualquier indicador de riesgo generado por nuestros modelos de IA.
Retira el consentimiento para el tratamiento de datos de salud en cualquier momento, sin efecto retroactivo.
La Plataforma implementa un Sistema de Gestión de la Seguridad de la Información (SGSI) alineado con ISO/IEC 27001:2022. Las principales medidas técnicas y organizativas son:
| Control ISO 27001 | Medida implementada |
|---|---|
| A.5.15 — Control de acceso | Control de acceso basado en roles (RBAC): padre, hijo, médico, educador; verificación de cuenta activa en cada solicitud |
| A.5.17 — Gestión de autenticación | Contraseñas con PBKDF2-SHA-256, 100.000 iteraciones, salt criptográficamente aleatorio por cuenta |
| A.8.24 — Criptografía | Tokens de sesión firmados con HMAC-SHA-256; clave de 32+ bytes almacenada en variables de entorno protegidas |
| A.8.23 — Filtrado web / CSP | Cabecera Content-Security-Policy con default-src 'self', frame-src 'none', object-src 'none' |
| A.8.22 — Segregación de redes | API de backend separada de frontend; CORS restringido a orígenes conocidos en producción |
| A.8.29 — Pruebas de seguridad | Rate limiting en endpoints de autenticación (10 req/min por IP); cabeceras X-Frame-Options: DENY, X-Content-Type-Options: nosniff |
| A.8.16 — Monitorización | Logging de errores y accesos; retención de logs: 12 meses |
| A.5.34 — Privacidad | DPIA realizada; registros de consentimiento conservados; esta Política de Privacidad |
En caso de brecha que afecte a datos personales, notificaremos a la AEPD en el plazo de 72 horas. Si la brecha supone un alto riesgo para los derechos de los interesados, se notificará también a los usuarios sin dilación indebida.
La auditoría interna de mayo 2026 identificó las siguientes no conformidades menores en proceso de corrección:
unsafe-inline en script-src CSP — Solución: migrar scripts inline a archivos externos. Plazo: 90 días.Nos reservamos el derecho de actualizar esta política para reflejar cambios normativos o en nuestros servicios. Ante cambios materiales:
El historial de versiones está disponible previa solicitud a privacy@neuroquest.app.
Para consultas sobre privacidad, ejercicio de derechos o cualquier reclamación:
Asunto sugerido: «Consulta RGPD — [nombre de usuario]»
Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la autoridad de control competente:
Agencia Española de Protección de Datos (AEPD)
C/ Jorge Juan, 6 · 28001 Madrid · España
www.aepd.es · Tel. 901 100 099