Privacidad y protección de datos

Resumen

CSMA Asistencias es una aplicación web para registrar y consultar la asistencia a reuniones y actividades del centro. Puede utilizarse como web, PWA instalada o mediante el paquete Android distribuido para acceder a ella.

En el flujo de asistencia revisado, la ubicación se consulta al intentar registrar mediante QR o PIN. Se guardan las coordenadas asociadas a la asistencia, no solo un resultado de proximidad. No se ha identificado seguimiento continuo de desplazamientos en ese flujo.

Leer esta página, iniciar sesión o aceptar un permiso del dispositivo no supone renunciar a derechos ni valida por sí solo la obligatoriedad de utilizar un teléfono personal.

Datos y finalidad

Cuenta y perfil: Identificador, nombre, correo, rol y datos de adscripción que consten en el perfil, para identificar a la persona y organizar sus accesos y actividades. La información puede proceder de la gestión o importación realizada por el centro.
Asistencia: Persona, reunión o actividad, fecha y hora, latitud, longitud y precisión disponible, para registrar la asistencia y comprobar la proximidad al lugar configurado. Las exenciones de ubicación utilizan las coordenadas del aula, no la posición real del dispositivo.
Seguridad: Identificador y nombre del dispositivo, solicitud, aprobación, revocación, último uso y credenciales públicas de acceso. En la asistencia también se registran el método de verificación y valores derivados de la IP y del navegador; estos valores no convierten el registro en anónimo.
Auditoría y comunicaciones: Acciones administrativas y de seguridad, evidencias de validación y estado de los recordatorios. Si se activan notificaciones, se conserva la suscripción técnica necesaria para dirigirlas al dispositivo.
Justificaciones: Cuando se utiliza ese apartado, los motivos y documentos aportados para gestionar la incidencia. Evita incluir datos de terceros o información sensible que no sea necesaria y consulta al centro antes de remitir documentación médica.

La finalidad funcional descrita no sustituye la determinación de la base jurídica. El centro debe concretar la cobertura aplicable y las diferencias entre profesorado y alumnado.

Ubicación y cámara

Ubicación: se solicita una posición puntual al intentar registrar asistencia, salvo exención. Denegar el permiso o no obtener una posición válida puede impedir el registro automático. Introducir el PIN de la reunión no evita la comprobación de ubicación.

Cámara: el escáner utiliza vídeo para decodificar el QR y solicita su cierre al completar la lectura o abandonar el componente. En el flujo revisado no se graba audio ni se envían las imágenes al servidor; se transmite el contenido del código leído.

No se han identificado funciones destinadas a consultar contactos, cuentas bancarias, correos privados o fotos de otras aplicaciones. Esto describe el código revisado, no una garantía de riesgo cero ni una auditoría de todos los dispositivos o paquetes distribuidos.

Los permisos se gestionan desde los ajustes de la aplicación o del navegador. Las notificaciones son opcionales. Retirar un permiso no elimina los registros ya guardados.

Dispositivo y passkey

La vinculación utiliza un identificador generado y almacenado en el navegador para reconocer esa instalación. No es el número de teléfono ni una lectura de la huella física. Administración puede aprobar o revocar la vinculación.

La passkey es una credencial criptográfica. Su uso puede confirmarse con PIN, contraseña, huella o reconocimiento facial, según las opciones del dispositivo. El servidor recibe una prueba criptográfica y guarda la clave pública y metadatos; no recibe la huella ni una imagen del rostro. Las claves pueden sincronizarse según el proveedor elegido por la persona.

La alternativa TOTP, cuando está habilitada, también exige verificaciones. Ninguna de estas opciones sustituye la revisión institucional del sistema ni garantiza por sí sola la presencia física de una persona.

Especificación WebAuthn del W3C (en inglés, nueva pestaña).

Accesos y proveedores

Las funciones de consulta y gestión se distribuyen por perfiles: acceso al historial propio y funciones administrativas o departamentales. Existen mapas y exportaciones con coordenadas. El centro debe confirmar las personas autorizadas, su alcance y la gestión de copias exportadas.

El proyecto integra Supabase para datos y autenticación, Vercel para alojamiento, Resend para correos y Google Sheets para exportaciones cuando se utiliza esa integración. Los enlaces de descarga y tutoriales remiten a Google Drive. Las notificaciones utilizan servicios push del navegador o dispositivo.

Quedan por confirmar institucionalmente las entidades contratadas, sus condiciones, regiones de tratamiento, subencargados, registros técnicos y posibles transferencias internacionales con sus garantías. No se afirma que todos los datos permanezcan exclusivamente en España o en la Unión Europea.

Se utilizan cookies o almacenamiento local de sesión, el identificador de vinculación y caché de la PWA. La infraestructura puede generar registros técnicos de acceso. Cerrar sesión o desinstalar la app no borra la información del servidor.

Conservación

Los plazos o criterios concretos de conservación están pendientes de confirmación por el responsable. La implementación revisada no incluye un borrado automático por antigüedad de las asistencias y sus coordenadas.

La política debe distinguir asistencia, ubicación, seguridad, comunicaciones, documentación, exportaciones y copias de seguridad. Este documento no establece ni legitima una conservación indefinida.

Derechos y contacto

Puedes solicitar acceso, rectificación, supresión y limitación, así como oposición o portabilidad cuando procedan según la base jurídica y las condiciones del tratamiento. La supresión no es incondicional. Si un tratamiento se basa en consentimiento, puede retirarse sin afectar a la licitud anterior.

El contacto oficial del responsable y del DPD, y el canal formal para ejercer derechos, están pendientes de publicación. Puedes dirigirte a la secretaría o dirección del centro para obtenerlos. El siguiente correo es de soporte de la aplicación: no se identifica como DPD ni sustituye el canal oficial.

gestionapps@csmaragon.es

No envíes contraseñas, códigos de acceso ni documentación sensible a soporte. Si no puedes o no deseas usar tu móvil personal, consulta a dirección el procedimiento alternativo; esta página no confirma que ya esté implantado. Comunica también los fallos técnicos para que se revise el registro.

Puedes consultar cómo reclamar ante la AEPD (nueva pestaña).

Información institucional pendiente

Antes de considerar completa esta información, el órgano competente debe confirmar:

Identidad y contacto formal del responsable y del DPD.
Base jurídica concreta, finalidad, procedencia de los datos y condiciones aplicables a cada colectivo.
Necesidad de la ubicación, alternativa sin móvil personal y evaluación de riesgos e impacto cuando corresponda.
Accesos, proveedores, transferencias y plazos de conservación.
Canales de derechos, gestión de incidencias e información a las personas afectadas y sus representantes cuando proceda.

La publicación de este documento no implica aprobación del DPD, certificación del Esquema Nacional de Seguridad ni declaración de conformidad legal. No incorpora una aceptación obligatoria ni un registro de consentimiento.

Referencias

Versión 2026-09-17.1. Primera publicación de la descripción técnica y de los aspectos institucionales por completar. Los cambios posteriores deberán actualizar la fecha y versión de este documento.