Última actualización: 21 de julio de 2026

Este documento se publica en castellano, catalán e inglés. En caso de discrepancia entre versiones, prevalece la versión en castellano.

kolma.app es operada por Kolma Agora, S.L. (en constitución). Su domicilio social, su NIF y sus datos registrales (inscripción en el Registro Mercantil de Barcelona) quedan [pendientes de otorgamiento de la escritura de constitución] y se publicarán una vez otorgada e inscrita la sociedad. En esta política, «nosotros», «nos» y «nuestro» se refieren a Kolma Agora, S.L. como responsable del tratamiento respecto de los tratamientos que aquí se describen como propios.

1. Qué datos recopilamos

Recopilamos las siguientes categorías de datos personales:

Sobre las votaciones. La plataforma distingue tres supuestos: (a) consultas anónimas (encuestas informales, almacenadas con un hash criptográfico, no con su identidad); (b) votaciones de gobernanza en modo secreto — registramos que usted votó (a efectos de quórum y censo), pero no cómo—; (c) votaciones de gobernanza en modo nominal — registramos que y cómo votó (identidad + opción + marca temporal)—, cuando la ley aplicable o los estatutos exigen que el voto sea trazable de forma individual (por ejemplo, el plazo de voto de los ausentes previsto en la LPH, o la identificación de los disidentes con derecho a impugnar un acuerdo). El modo lo determina el régimen legal/estatutario aplicable, no la libre elección. En grupos reducidos, un voto técnicamente no vinculado puede seguir siendo reidentificable por inferencia; le advertimos de ello y deshabilitamos la votación secreta por debajo de un umbral mínimo de participantes (por defecto, menos de 5 participantes); los votos anónimos se almacenan desvinculados de la identidad mediante un resumen criptográfico (hash).

Sobre la telemetría agregada del muro: cuando una tarea o foto se muestra en el muro de actividad, incrementamos los contadores de esa tarea o foto. No registramos quién visualizó o interactuó con cada elemento, sino únicamente el total agregado. No puede oponerse porque no se almacena nada personal; los contadores son una propiedad de la tarea/foto, no suya.

2. Cómo recopilamos sus datos

• Directamente de usted — cuando se registra, completa su perfil, envía mensajes, registra horas, sube archivos, designa un canal de notificaciones o vota.
• De su centro escolar o comunidad — cuando un gestor (el gestor del centro, o la junta / el administrador de fincas de una comunidad) le añade a una clase, comisión, grupo familiar o registro de propietarios.
• Automáticamente — cookies de sesión para la autenticación, cookie de preferencia de idioma, informes de error enviados a Sentry y limitación de peticiones a través de Upstash.

No obtenemos sus datos de fuentes de acceso público. Cuando los datos nos llegan de un tercero, la fuente es su centro escolar o comunidad (y, en su caso, sus registros internos) — art. 14 RGPD.

3. Por qué tratamos sus datos y nuestra base jurídica

Facilitar una dirección de correo electrónico es un requisito contractual para la autenticación; sin ella no podemos crear ni mantener su cuenta (art. 13.2.e RGPD).

Tratamientos basados en el interés legítimo (LIA). Para las finalidades basadas en el interés legítimo (seguridad/limitación de peticiones, registros de auditoría, supervisión de errores con Sentry) hemos realizado y documentado una prueba de ponderación (LIA, art. 6.1.f RGPD), aplicando medidas de mitigación (seudonimización, acceso restringido, conservación limitada). Puede oponerse a este tratamiento (art. 21 RGPD) según se describe en la sección 8. Puede solicitar un resumen de esta ponderación de intereses (LIA) en privacy@kolma.app.

Sin decisiones automatizadas ni elaboración de perfiles. No adoptamos decisiones con efectos jurídicos o similarmente significativos basadas únicamente en el tratamiento automatizado, ni realizamos elaboración de perfiles (art. 22 RGPD). No tratamos sus datos con fines publicitarios.

Una nota sobre los roles. Cuando usted es titular de su propia cuenta, la «ejecución de un contrato» se refiere al contrato entre usted y Kolma (nuestros Términos). Respecto de los datos introducidos sobre usted por un centro escolar o comunidad — expedientes del alumnado, pertenencia, asistencia, datos de gobernanza —, el centro escolar o la comunidad es el responsable del tratamiento (actuando, en una comunidad, a través de su presidente o administrador de fincas) y Kolma actúa como su encargado del tratamiento, conforme a instrucciones documentadas en el marco de un acuerdo de encargo del tratamiento (DPA). Para esos datos, es preferible que dirija sus solicitudes de ejercicio de derechos a su centro escolar o comunidad; Kolma presta asistencia como encargado del tratamiento (arts. 12–14 RGPD).

4. Encargados del tratamiento (terceros)

Utilizamos los siguientes servicios para operar kolma.app. Todos están vinculados por acuerdos de encargo del tratamiento. La lista actualizada de subencargados es la que figura en la tabla siguiente de esta página; comunicaremos cualquier cambio sustancial a los clientes con al menos 30 días de antelación (art. 28.2 RGPD):

No vendemos, cedemos ni transferimos sus datos a ningún otro tercero.

5. Transferencias internacionales de datos

Sus datos se almacenan y tratan dentro de la Unión Europea / EEE. Todos los subencargados activos enumerados anteriormente tratan los datos en la UE, por lo que no existe transferencia internacional ni necesidad de Cláusulas Contractuales Tipo ni de una Evaluación de Impacto de la Transferencia (art. 44 RGPD). En caso de que en algún momento contratásemos a un subencargado fuera de la UE, nos ampararíamos en una decisión de adecuación o en garantías adecuadas (arts. 45–46 RGPD), realizaríamos una Evaluación de Impacto de la Transferencia (Schrems II) y actualizaríamos en consecuencia esta política y la lista de subencargados.

6. Cookies

kolma.app utiliza únicamente cookies funcionales:

kolma.app también almacena una pequeña cantidad de datos funcionales en su dispositivo (el localStorage del navegador) para recordar sus preferencias y mantener el funcionamiento de la aplicación:

No utilizamos cookies ni almacenamiento de publicidad, analítica o seguimiento entre sitios, y hemos revisado Sentry y los scripts de terceros para descartar identificadores de reidentificación. Dado que todas las cookies y el almacenamiento en dispositivo enumerados anteriormente son estrictamente necesarios o funcionales, no se requiere banner de consentimiento previo conforme al art. 22.2 de la LSSI-CE española / la Directiva sobre la privacidad y las comunicaciones electrónicas. Esta sección sirve también como nuestra política de cookies.

7. Conservación de los datos

• Datos de cuenta — se conservan mientras su cuenta esté activa. Se eliminan al suprimir la cuenta.
• Datos del centro escolar/comunidad — se conservan según la política de archivo de su organización (configurable: conservar, depurar tras revisión o eliminar), conforme a sus instrucciones como responsable del tratamiento.
• Registros de auditoría — se conservan hasta 2 años y, transcurrido ese plazo, se eliminan automáticamente.
• Registros de aceptación de documentos — cuando usted acepta un documento (política, onboarding, consentimiento, información), se conserva una fila de auditoría como prueba legal del acto. En caso de revocación o supresión de la cuenta, se elimina el contexto personal representado (p. ej., el nombre de su hijo/a), pero el registro estructural (marcas temporales, versión del documento, huella de red hasheada, su rol en el momento de la firma) se conserva hasta seis años desde el cierre del ejercicio económico en que tuvo lugar la aceptación (el ejercicio económico de la entidad responsable — colegio o comunidad —), con fines de defensa jurídica, con fundamento en el art. 17.3.e RGPD y el art. 30 del Código de Comercio — no en el art. 1964 del Código Civil —; transcurrido ese plazo, se elimina automáticamente mediante un barrido diario de conservación.
• Registros de errores (Sentry) — se eliminan automáticamente a los 90 días.

8. Sus derechos

Conforme al RGPD y a la LOPDGDD española, usted tiene derecho a: acceso, rectificación, supresión, limitación (art. 18), portabilidad (art. 20), oposición al tratamiento basado en el interés legítimo (art. 21) y a retirar su consentimiento en cualquier momento cuando el tratamiento se base en el consentimiento, sin que ello afecte al tratamiento previo (art. 7.3).

Para ejercer cualquiera de estos derechos, contacte con nosotros en privacy@kolma.app. Responderemos en el plazo de un mes, ampliable en dos meses adicionales para solicitudes complejas (art. 12.3 RGPD). Respecto de los datos cuyo responsable del tratamiento sea su centro escolar o comunidad, le rogamos dirija su solicitud a estos; les prestaremos asistencia como encargado del tratamiento.

9. Seguridad de los datos

Protegemos sus datos con cifrado HTTPS, cookies de sesión seguras HTTP-only, cabeceras de Política de Seguridad de Contenidos (CSP), control de acceso basado en roles, aislamiento de datos por centro escolar/comunidad y registro de auditoría de todas las acciones administrativas. La relación de propietarios morosos en la vertical de comunidades es accesible únicamente para los propietarios autenticados de esa comunidad, con registro de accesos (art. 16.2 LPH + minimización de datos). La base jurídica de este tratamiento es el cumplimiento por la comunidad de la obligación del art. 16.2 LPH (obligación legal/estatutaria de su órgano de gobierno) y/o su interés legítimo, documentado en la correspondiente ponderación (LIA); Kolma lo trata únicamente como encargada, con acceso limitado a propietarios autenticados y sin conceptos innecesarios.

Violaciones de la seguridad de los datos personales. En caso de violación de la seguridad de los datos personales, notificaremos a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas cuando proceda (art. 33 RGPD) y comunicaremos la violación a las personas afectadas cuando sea probable que entrañe un alto riesgo para sus derechos y libertades (art. 34 RGPD). Asimismo, mantenemos un registro interno de todas las violaciones de la seguridad de los datos personales — se notifiquen o no —, documentando los hechos, sus efectos y las medidas correctoras adoptadas (art. 33.5 RGPD).

10. Menores

kolma.app está diseñada principalmente para comunidades escolares. Las cuentas de usuario las crean personas adultas; la edad mínima para ser titular de una cuenta es de 14 años (art. 7 de la LOPDGDD española). El alumnado no crea cuentas ni interactúa directamente con la plataforma. En la vertical de comunidades, el tratamiento de datos de menores es marginal.

Los datos sobre menores — el nombre de un alumno/a, su matriculación en clase y su asistencia — los introduce el centro escolar, que actúa como responsable del tratamiento (véase la sección 3); Kolma los trata siguiendo las instrucciones del centro. Cuando algún tratamiento de datos de un menor se base en el consentimiento (p. ej., la difusión de fotografías, o los motivos de ausencia que puedan revelar datos de salud), dicho consentimiento parental o del tutor (art. 8 RGPD) lo recaba el centro escolar en la matriculación, no Kolma. Cuando el tratamiento por el colegio pueda implicar datos de categorías especiales (art. 9 RGPD) — p. ej. motivos de ausencia que puedan revelar la salud —, el colegio define la base jurídica y las garantías; Kolma los trata solo siguiendo sus instrucciones, con acceso restringido y minimización.

11. El contacto de privacidad

Kolma no está obligada a designar un Delegado de Protección de Datos (art. 37.1 RGPD / art. 34 LOPDGDD): trata datos de menores en calidad de encargado del tratamiento, sin elaboración de perfiles ni observación a gran escala. Hemos designado un contacto interno de privacidad — Sheila Oller, privacy@kolma.app — que no es un DPO formal y no se presenta como tal; en consecuencia, no procede notificación alguna a la AEPD. (Nuestros clientes escolares, como centros educativos, sí están obligados a designar un DPO — art. 34.1.b LOPDGDD.)

12. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Notificaremos a los usuarios registrados los cambios sustanciales a través de la plataforma y mantendremos un registro público de cambios (changelog) de las versiones. La versión vigente está siempre disponible en esta página.

13. Contacto y autoridad de control

Contacto de privacidad: privacy@kolma.app · Contacto general: hello@kolma.app.

Si considera que no hemos tratado sus datos correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid.

Idioma y versiones prevalentes

Este documento se publica en castellano, catalán e inglés. La versión en inglés se facilita únicamente a efectos informativos. En caso de discrepancia entre versiones, prevalecerá la versión en castellano, sin perjuicio de su derecho a recibir la documentación en castellano en toda España y en catalán en Cataluña (arts. 60, 80 y 83 TRLGDCU; Codi de consum de Catalunya).