Política de privacidad

Versión 2.0, vigente desde el 27 de septiembre de 2026. Versión anterior: 13 de agosto de 2026.

Esta política explica cómo Scholé trata los datos personales cuando usas la plataforma de aprendizaje Scholé (app.schole.ai, los sitios que gestionamos para organizaciones y los enlaces de lecciones para invitados) y cuando te enviamos correos electrónicos. La extensión de navegador Olé tiene su propio aviso de privacidad en /privacy-browser.

Resumen

• Almacenamos tus datos en Suiza. La analítica de producto y la supervisión de errores se realizan en la UE.
• Las funciones de IA envían tus mensajes a proveedores de IA. Algunos de ellos tratan datos en Estados Unidos. Te decimos quiénes son y cómo se protege la transferencia.
• No vendemos tu información personal y no usamos tu contenido para entrenar modelos de IA.
• Las puntuaciones y las estimaciones de dominio están ahí para ayudarte a aprender. Ninguna decisión con efectos jurídicos o efectos igualmente significativos para ti la toma únicamente la IA.
• Puedes descargar tus datos y eliminar tu cuenta directamente en Configuración. Para cualquier otra cosa, escribe a privacy@schole.ai.

1. Quiénes somos

Dos empresas operan Scholé:

En esta política, "Scholé", "nosotros" y "nos" se refieren a la empresa competente respecto a ti según la tabla anterior. El reparto es el mismo que en nuestros términos de servicio: depende de tu país o, si tu cuenta procede de una organización, del país de facturación de esa organización.

Si te registraste por tu cuenta (con tu dirección de correo electrónico o con Google), esa empresa es la responsable del tratamiento de tus datos personales: decide por qué y cómo se usan tus datos.

Si tu cuenta proviene de tu empleador, tu centro educativo u otra organización (una invitación, una carga masiva, nuestra API de integración, un acceso desde el sistema de aprendizaje de tu organización o una sincronización con un sistema de recursos humanos), esa organización es la responsable del tratamiento de los datos que nos proporciona y de tus datos de aprendizaje. Tratamos esos datos en su nombre y siguiendo sus instrucciones, conforme a nuestro Acuerdo de tratamiento de datos. Esta política te sigue indicando lo que hacemos, pero también se aplica el aviso de privacidad de tu organización, y las solicitudes sobre tus datos deberían dirigirse normalmente a tu organización. Si nos las envías a nosotros, se las trasladamos (consulta la sección 9).

Contacto. Para cualquier pregunta o solicitud sobre privacidad, escribe a privacy@schole.ai. La misma dirección llega a las personas de Scholé que se ocupan de la protección de datos. No tenemos ningún establecimiento en la UE ni en el Reino Unido.

2. Qué datos recopilamos

No pedimos datos sensibles como información sobre salud, religión u opiniones políticas. Te pedimos que no escribas ese tipo de información en las lecciones ni en las conversaciones. Si lo haces, se trata como el resto de tu contenido de aprendizaje.

3. Por qué usamos tus datos y con qué base jurídica

Según el RGPD de la UE y el RGPD del Reino Unido, necesitamos una base jurídica para cada finalidad. La legislación suiza aplica principios similares.

Cuando nos basamos en el interés legítimo, puedes oponerte (sección 9). Cuando nos basamos en el consentimiento, puedes retirarlo en cualquier momento; esto no afecta a lo ocurrido antes de que lo retiraras.

4. IA, puntuaciones y decisiones automatizadas

Estás interactuando con IA. Las conversaciones de las lecciones, los comentarios, los personajes de los juegos de rol y Olé los producen sistemas de IA, no una persona. Los resultados de la IA pueden contener errores.

Lo que la plataforma deduce sobre ti. Para adaptar tu aprendizaje, la plataforma evalúa tus respuestas y conversaciones. Esto constituye elaboración de perfiles:

• Estimaciones de dominio. Para cada habilidad del grafo de conocimiento de un curso, la plataforma mantiene una estimación probabilística de lo bien que la dominas, que se actualiza a partir de tus respuestas. Las estimaciones son formativas: deciden qué practicar a continuación y caducan si no se actualizan.
• Calificaciones y comentarios de los juegos de rol. La IA califica las conversaciones de práctica y redacta comentarios. Tú los ves y puedes volver a intentarlo.
• Las puntuaciones y el progreso se te muestran a ti y, si tu cuenta proviene de una organización, a los administradores de esa organización en paneles y en exportaciones a sus propios sistemas.
• Las recomendaciones y el orden de las lecciones sugieren qué aprender a continuación. Puedes cambiarlos. Las lecciones obligatorias las establece tu organización, no la IA.

Ninguna decisión tomada solo por la IA. Scholé no toma decisiones que produzcan efectos jurídicos o efectos igualmente significativos para ti basadas únicamente en un tratamiento automatizado. Ninguna puntuación por sí sola concede, deniega ni retira nada importante, como un empleo, una remuneración o el acceso al servicio. Si tu organización usa tus resultados, es su decisión, tomada por su personal y bajo su responsabilidad.

Solicita una revisión humana. Si crees que una calificación, una puntuación o un comentario de la IA sobre ti es incorrecto, escribe a privacy@schole.ai o al equipo de soporte. Un miembro de nuestro equipo lo revisa y te responde con el resultado. También puedes expresar tu punto de vista e impugnar el resultado.

Entrenamiento. No usamos tu contenido para entrenar modelos de IA. Las solicitudes que enviamos a través de OpenRouter solo pueden ir a los siete alojamientos de modelos de nuestra lista de permitidos (sección 10), ninguno de los cuales conserva los prompts ni entrena con ellos (retención cero de datos). Algunos de nuestros otros proveedores de IA conservan los prompts durante un tiempo limitado, por ejemplo para supervisar abusos; la página de subencargados del tratamiento muestra lo que publica cada uno.

5. Quién recibe tus datos

Proveedores de servicios (subencargados del tratamiento). Recurrimos a proveedores de servicios para alojar la plataforma, hacer funcionar las funciones de IA, enviar correos electrónicos y cobrar pagos. Solo pueden usar tus datos para prestarnos su servicio. La lista completa y actualizada, con el país de cada proveedor, la región de tratamiento, la finalidad y la garantía de transferencia, está en app.schole.ai/sub-processors. En resumen:

Avisamos a los clientes que son organizaciones con 30 días de antelación antes de añadir o sustituir un subencargado del tratamiento.

Tu organización. Si tu cuenta proviene de una organización, sus administradores ven tu progreso, tus puntuaciones, tu dominio y los resultados de tus juegos de rol, y pueden exportarlos a sus propios sistemas de recursos humanos o de aprendizaje.

Prolific. Si participas en un estudio de investigación reclutado a través de Prolific, Prolific solo recibe tu ID de participante y si completaste el estudio.

Socios académicos de investigación. Podemos compartir datos de aprendizaje desidentificados (sin nombres, direcciones de correo electrónico ni otros identificadores directos) con socios académicos de investigación para la investigación descrita en la sección 3, mediante un acuerdo escrito que limita su uso a esa investigación y prohíbe cualquier intento de volver a identificarte. Nunca compartimos los datos de las personas que se han opuesto a la investigación, ni los de cuentas gestionadas por organizaciones cuyo acuerdo con Scholé no lo permita.

Autoridades. Solo comunicamos datos personales a las autoridades cuando la ley lo exige.

Sin venta. No vendemos tu información personal.

6. Cookies, analítica y tus opciones de privacidad

Almacenamiento necesario. La plataforma guarda en tu navegador algunos elementos que necesita para funcionar, como mantener tu sesión iniciada, tu idioma y tu elección sobre las cookies. Estos no requieren tu consentimiento.

Analítica solo con tu consentimiento. En tu primera visita, un banner te pregunta si aceptas la analítica. Hasta que aceptes, el script de analítica de PostHog no se carga. Si aceptas:

• PostHog (UE, Fráncfort) recibe información sobre cómo usas la plataforma;
• PostHog también recibe el texto completo de tus prompts y de las respuestas de la IA cada vez que usas una función de IA. Esto se detiene en cuanto retiras tu consentimiento.

Encuestas de opinión. Al final de algunas lecciones mostramos una breve encuesta de PostHog. Se carga sea cual sea tu elección. Tus respuestas se vinculan a tu cuenta solo si aceptaste la analítica; en caso contrario, son anónimas.

Recuento de registros. Cuando creas una cuenta, registramos un evento de registro en PostHog. Salvo que ya hayas aceptado la analítica, no incluye ninguna dirección de correo electrónico ni ningún identificador que lo vincule contigo.

Supervisión de errores. Sentry (UE, Alemania) recibe informes de errores, incluido el contexto técnico, como la solicitud y tu dirección IP, sea cual sea tu elección sobre las cookies, porque los necesitamos para mantener la plataforma segura y en funcionamiento.

Global Privacy Control. Si tu navegador envía una señal Global Privacy Control (GPC) y aún no has tomado una decisión, la tratamos como un rechazo de la analítica y la registramos en tu cuenta. Si más adelante aceptas tú la analítica, se aplica tu propia elección.

Cambia de opinión en cualquier momento. Usa Tus opciones de privacidad en las páginas de inicio de sesión y de registro, Gestionar preferencias de cookies en esta página dentro de la app, o la tarjeta de privacidad en Configuración. Cada una vuelve a abrir la elección.

7. Correo electrónico de marketing

Solo te enviamos consejos de aprendizaje y novedades del producto por correo electrónico si has dicho que sí: marcando la casilla al registrarte, activando "Consejos y novedades del producto" en Perfil, Notificaciones por correo electrónico, o respondiendo que sí cuando la aplicación te lo pregunte. Puedes retirar tu consentimiento en cualquier momento con el enlace para darte de baja incluido en cualquiera de estos correos o con el mismo interruptor. Retirarlo no afecta a los correos sobre tu cuenta y tus lecciones.

Lo preguntamos una sola vez, en la aplicación, a los titulares de cuentas a los que no se lo habíamos preguntado antes del 25 de septiembre de 2026. Si no respondes que sí, no recibes ningún correo electrónico de marketing.

8. Cuánto tiempo conservamos tus datos

Eliminamos o desidentificamos los datos cuando ya no son necesarios. Un proceso se ejecuta cada día y elimina los registros con una antigüedad superior a estos plazos:

Cuando eliminas tu cuenta. Puedes eliminar tu cuenta en Configuración. La bloqueamos de inmediato. Durante 30 días todavía puedes pedir al equipo de soporte que cancele la eliminación; durante ese tiempo no se elimina nada. Transcurridos 30 días, borramos tu identidad: tu nombre, correo electrónico, nombre de usuario, número de teléfono, fecha de nacimiento, avatar, datos de tu empleador y de tu puesto, los resúmenes de IA sobre ti y la memoria que el asistente tiene de ti se sobrescriben o se vacían, y cualquier otra copia de tu dirección de correo electrónico en la plataforma se reescribe. En el mismo proceso eliminamos tu persona y tus eventos de PostHog, cancelamos cualquier suscripción de Stripe en curso y eliminamos tus datos del registro de cliente de Stripe, y eliminamos tu contacto y tus tickets de soporte de HubSpot. Si no se puede contactar con un proveedor, lo reintentamos hasta que lo confirme.

Lo que se conserva tras el borrado. Las transcripciones de tus conversaciones y juegos de rol se conservan con tu identidad eliminada, con fines de investigación y mejora del producto, y se eliminan al final del plazo normal de 2 años indicado anteriormente. No reescribimos lo que escribiste dentro de una transcripción, por lo que un dato que escribiste personalmente en una conversación (por ejemplo, tu propio nombre) permanece en ella hasta esa eliminación. Las facturas permanecen en Stripe y en nuestra contabilidad durante el plazo exigido por la ley. Los registros de auditoría de las organizaciones y los registros de consentimiento se conservan sin tu dirección de correo electrónico.

9. Tus derechos

Según dónde vivas, tienes algunos o todos estos derechos:

• Acceso: obtener una copia de tus datos e información sobre cómo los usamos.
• Portabilidad: recibir los datos que nos proporcionaste en un formato legible por máquina.
• Rectificación: corregir datos inexactos. Puedes editar tú la mayor parte de tu perfil.
• Supresión: que se borren tus datos (sección 8).
• Limitación: pedirnos que suspendamos el tratamiento mientras se resuelve una cuestión.
• Oposición: oponerte al tratamiento basado en el interés legítimo y, en cualquier momento, al marketing.
• Oposición a la investigación: oponerte en cualquier momento al uso de tus datos con fines de investigación, escribiendo a privacy@schole.ai.
• Retirar el consentimiento para la analítica, el marketing o un estudio de investigación, en cualquier momento.
• Revisión humana de una calificación o puntuación de la IA (sección 4).
• Reclamar ante una autoridad de protección de datos (ver más abajo).

Hazlo tú. En Configuración puedes descargar tus datos (Descargar mis datos te proporciona un archivo JSON con todo lo vinculado a tu cuenta, una vez cada 24 horas), eliminar tu cuenta y cambiar tus preferencias de correo electrónico y tu elección sobre las cookies.

O escríbenos a privacy@schole.ai. Las solicitudes son gratuitas. Te damos una primera respuesta en un plazo de 2 días hábiles. Es posible que te pidamos que nos escribas desde la dirección de correo electrónico de tu cuenta, para no entregar tus datos a otra persona. Puedes recurrir a un agente autorizado; en ese caso, te pedimos tu autorización firmada y la confirmamos contigo.

Si tu cuenta proviene de una organización, es la organización quien decide sobre la mayoría de las solicitudes. Te informamos de que hemos trasladado tu solicitud e informamos a la organización en un plazo de 5 días hábiles.

Plazos de respuesta y dónde puedes presentar una reclamación:

Si rechazamos una solicitud, te explicamos por qué y cómo puedes presentar una reclamación.

10. Dónde se tratan tus datos y cómo se protegen las transferencias

• Almacenamiento. Tus datos se almacenan en Suiza, en la región Switzerland North de Microsoft Azure, con copias de seguridad en Suiza.
• La analítica y la supervisión de errores se realizan en la UE: PostHog en Fráncfort y Sentry en Alemania. La extracción de texto de los documentos subidos se realiza en la UE (West Europe).
• Funciones de IA. Para responderte, enviamos tus mensajes y el contexto que necesita la lección (por ejemplo, tu rol y tus objetivos) a proveedores de IA:
  • Microsoft Azure OpenAI y Azure AI Foundry. Nuestras cuentas están en Estados Unidos y en Suiza, y la mayoría de nuestros modelos tienen una implementación global, por lo que una solicitud puede tratarse en cualquier región de Azure del mundo, incluido Estados Unidos. Los datos en reposo permanecen en la región de la cuenta.
  • OpenRouter (Estados Unidos), que solo puede enviar una solicitud a los siete alojamientos de modelos de nuestra lista de permitidos: Cerebras, Groq, SambaNova, Nebius, Microsoft Azure, Google Vertex AI y Amazon Bedrock. Cada uno tiene su sede en Estados Unidos o en la UE y no conserva los prompts (retención cero de datos). Pueden atender una solicitud desde cualquiera de sus regiones: Microsoft, Google y Amazon desde regiones de todo el mundo, algunos también desde Canadá y Groq también desde Arabia Saudí; OpenRouter no indica qué región atiende cada solicitud.
  • Conversión de voz a texto mediante Groq y OpenAI, y parte de la conversión de texto a voz mediante OpenAI, en Estados Unidos. El resto de la conversión de texto a voz se realiza en Microsoft Azure, como se describe arriba.
• Tratamiento de IA solo en la UE. Estamos introduciendo el tratamiento exclusivamente en la UE de las solicitudes de IA para clientes de la UE, Suiza y el Reino Unido. Hasta que se active para tu organización, se aplica el párrafo anterior.
• Otros proveedores en Estados Unidos son, entre otros, HubSpot, Google Workspace, Mercury y GitHub (sección 5).

Suiza y la UE reconocen mutuamente su nivel de protección de datos, y ambas reconocen al Reino Unido. Cuando los datos se transfieren a Estados Unidos o a otro país sin dicho reconocimiento, nos basamos en las cláusulas contractuales tipo de la Comisión Europea, con el Addendum del Reino Unido para los datos del Reino Unido y el addendum suizo para los datos suizos, y en el EU-U.S. Data Privacy Framework (y sus extensiones para el Reino Unido y Suiza) cuando un proveedor está certificado. La garantía de cada proveedor figura en la página de subencargados del tratamiento. Puedes solicitar una copia en privacy@schole.ai.

11. Menores

Scholé no está destinado a menores de 16 años. Cuando creas una cuenta, te pedimos que confirmes que tienes 16 años o más, y conservamos un registro de esa confirmación, con su fecha y la versión de esta política vigente en ese momento, como prueba de que la diste. Las cuentas que crea para ti tu empleador o tu centro educativo también te piden que confirmes tu edad la primera vez que inicias sesión. Las organizaciones que crean cuentas a través de nuestra API de integración no pueden crear una cuenta para nadie cuya fecha de nacimiento indique que tiene menos de 16 años, y no almacenamos esa fecha de nacimiento. Si crees que alguien menor de 16 años tiene una cuenta, escribe a privacy@schole.ai.

12. Seguridad

• Los datos se cifran en tránsito (TLS) y en reposo.
• La plataforma se ejecuta en un clúster privado de Kubernetes en Microsoft Azure, protegido por un firewall de aplicaciones web. La base de datos solo acepta conexiones de red privadas, y el acceso público al almacenamiento de archivos está desactivado.
• Las cuentas del personal en Google Workspace y GitHub requieren autenticación multifactor.
• Los registros de seguridad se conservan durante 365 días.
• Nuestra auditoría ISO 27001 ha concluido y el certificado está pendiente. Nuestra auditoría SOC 2 Type 1 está en curso.
• Si una violación de datos te afecta, lo notificamos a las autoridades y a ti cuando la ley lo exige.

Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y revisamos nuestras medidas con regularidad.

13. Información adicional para residentes en California

Esta sección se aplica a Scholé Inc. y a los residentes en California, conforme a la California Consumer Privacy Act, modificada por la California Privacy Rights Act (CCPA).

Categorías que recopilamos (la sección 2 incluye ejemplos): identificadores (nombre, correo electrónico, dirección IP, ID de cuenta); registros de clientes (correo electrónico de facturación, número de teléfono); información comercial (plan e historial de suscripción); actividad en internet o en la red (uso de la plataforma); audio (la voz en las funciones de voz, que no se almacena); información profesional o laboral (puesto de trabajo, empresa, departamento); inferencias (estimaciones de dominio, recomendaciones, resúmenes de IA); e información personal sensible limitada al inicio de sesión de tu cuenta (correo electrónico y contraseña). La recopilamos de ti, de tu organización, de Google (si inicias sesión con Google), de Prolific (en el caso de los participantes en estudios) y de tu uso de la plataforma.

Finalidades. Las finalidades de la sección 3. Usamos la información personal sensible solo para prestar el servicio y mantenerlo seguro, no para inferir características sobre ti.

Divulgación. Divulgamos estas categorías a los proveedores de servicios de la sección 5, para los fines comerciales de la sección 3, y a tu organización si es ella quien te proporciona la cuenta.

Sin venta. No vendemos tu información personal. Si alguna de nuestras actividades de analítica se considerara "compartir" a efectos de publicidad conductual entre contextos según la CCPA, desactivar la analítica te excluye de ello. Respetamos las señales Global Privacy Control como esa exclusión (sección 6), y el enlace Tus opciones de privacidad te permite excluirte en cualquier momento.

Conservación. Sección 8.

Tus derechos. Saber qué recopilamos y divulgamos, eliminar, rectificar y excluirte de la venta o del intercambio. Como solo usamos la información personal sensible para prestar el servicio y mantenerlo seguro, no existe ningún otro uso que limitar. Usa Configuración o escribe a privacy@schole.ai; la sección 9 explica la verificación, los agentes autorizados y los plazos de respuesta. No te discriminaremos por ejercer estos derechos.

14. Información adicional para el Reino Unido

Para los usuarios del Reino Unido, "RGPD" en esta política significa el RGPD del Reino Unido y la Data Protection Act 2018. Scholé Sàrl es la empresa competente respecto a ti (sección 1). Las transferencias desde el Reino Unido a países sin reglamentos de adecuación del Reino Unido utilizan el Addendum del Reino Unido a las cláusulas contractuales tipo (sección 10). Puedes presentar una reclamación ante la Information Commissioner's Office (ico.org.uk).

15. Información adicional para Suiza

Para los usuarios suizos, Scholé Sàrl, en Lausana, es la empresa competente respecto a tus datos conforme a la Ley Federal de Protección de Datos suiza (LPD). Tus datos pueden comunicarse a destinatarios en el EEE (Alemania, Irlanda, Países Bajos, Polonia), el Reino Unido y Estados Unidos y, en el caso de las solicitudes de IA a modelos de Azure con implementación global, a cualquier país en el que Microsoft opere Azure OpenAI y, en el caso de las solicitudes de IA enviadas a través de OpenRouter, a los países desde los que operan los alojamientos de nuestra lista de permitidos (sección 10), entre ellos Canadá y Arabia Saudí. Las comunicaciones a países que el Consejo Federal no reconoce como adecuados, como Estados Unidos, se basan en las cláusulas contractuales tipo con el addendum suizo, o en el Swiss-U.S. Data Privacy Framework cuando un proveedor está certificado. Puedes presentar una reclamación ante el Comisionado Federal de Protección de Datos e Información (edoeb.admin.ch).

16. Información adicional para Canadá

Para los usuarios canadienses se aplica la Personal Information Protection and Electronic Documents Act (PIPEDA). Scholé Inc. es responsable de tu información personal (sección 1); si tu cuenta procede de una organización, esa organización es responsable de los datos que nos facilita. Nuestro contacto de privacidad es privacy@schole.ai. Recopilamos, usamos y divulgamos tu información para las finalidades de la sección 3, con tu consentimiento: al crear una cuenta aceptas el tratamiento necesario para prestar el servicio, y te pedimos tu consentimiento por separado antes de la analítica, del correo electrónico de marketing y de los estudios de investigación. Puedes retirar tu consentimiento en cualquier momento, con sujeción a los límites legales o contractuales.

Tu información se almacena en Suiza y se trata en Suiza, la UE y Estados Unidos (sección 10), donde puede ser accesible para los tribunales y las autoridades conforme a la legislación local. Las organizaciones que necesiten que sus datos se conserven en Canadá pueden elegir la residencia de datos en Canadá como opción de pago. Puedes acceder a tu información y rectificarla (sección 9) y presentar una reclamación ante la Office of the Privacy Commissioner of Canada (priv.gc.ca).

17. Cambios en esta política

Cuando cambiamos esta política, publicamos aquí la nueva versión con una nueva fecha y un nuevo número de versión. Cuando un cambio es relevante para la forma en que usamos tus datos, te lo comunicamos en la app y te pedimos que revises la nueva versión antes de continuar.

18. Contacto

Correo electrónico: privacy@schole.ai

Correo postal: Scholé Sàrl, EPFL, Bâtiment INF, Station 14, 1015 Lausanne, Switzerland, o, para los clientes y estudiantes fuera de Suiza, el EEE y el Reino Unido, Scholé Inc., 1209 Orange Street, Wilmington, Delaware 19801, USA.