Última actualización: 20 de octubre de 2026

Este documento se publica en castellano, catalán e inglés. En caso de discrepancia entre versiones, prevalece la versión en castellano.

kolma.app es operada por Zackyra Arol, S.L., NIF B93900926, con domicilio social en calle dels Morató 6, 2.º 6.ª, 08500 Vic (Barcelona), España, inscrita en el Registro Mercantil de Barcelona, hoja B-663284. En esta política, «nosotros», «nos» y «nuestro» se refieren a Zackyra Arol, S.L. como responsable del tratamiento respecto de los tratamientos que aquí se describen como propios.

1. Qué datos recopilamos

Recopilamos las siguientes categorías de datos personales:

Sobre las votaciones. La plataforma distingue tres supuestos: (a) consultas anónimas (encuestas informales, almacenadas con un hash criptográfico, no con su identidad); (b) votaciones de gobernanza en modo secreto —registramos que usted votó (a efectos de quórum y censo), pero no cómo—; (c) votaciones de gobernanza en modo nominal —registramos que y cómo votó (identidad + opción + marca temporal)—, cuando la ley aplicable o los estatutos exigen que el voto sea trazable de forma individual (por ejemplo, el plazo de voto de los ausentes previsto en la LPH, o la identificación de los disidentes con derecho a impugnar un acuerdo). El modo lo determina el régimen legal/estatutario aplicable, no la libre elección. En grupos reducidos, un voto técnicamente no vinculado puede seguir siendo reidentificable por inferencia; le advertimos de ello y deshabilitamos la votación secreta por debajo de un umbral mínimo de participantes (por defecto, menos de 5 participantes); los votos anónimos se almacenan desvinculados de la identidad mediante un resumen criptográfico (hash).

Sobre la telemetría agregada del muro: cuando una tarea o foto se muestra en el muro de actividad, incrementamos los contadores de esa tarea o foto. No registramos quién visualizó o interactuó con cada elemento, sino únicamente el total agregado. No puede oponerse porque no se almacena nada personal; los contadores son una propiedad de la tarea/foto, no suya.

Lo que ven los demás miembros de su organización. Dentro de su centro o comunidad, los demás miembros de su organización (por ejemplo, otras familias, docentes, personal del centro o propietarios) pueden ver su nombre visible junto a lo que usted hace en la plataforma: las tareas que asume, los mensajes que publica y sus respuestas a las consultas que no son anónimas. Esta visibilidad forma parte del funcionamiento interno del centro o comunidad para la gestión y coordinación de sus actividades.

2. Cómo recopilamos sus datos

• Directamente de usted — cuando se registra, completa su perfil, envía mensajes, registra horas, sube archivos, designa un canal de notificaciones o vota.
• De su centro escolar o comunidad — cuando un gestor (el gestor del centro, o la junta / el administrador de fincas de una comunidad) le añade a una clase, comisión, grupo familiar o registro de propietarios.
• Automáticamente — cookies de sesión para la autenticación, cookie de preferencia de idioma, informes de error enviados a Sentry y limitación de peticiones a través de Upstash.

No obtenemos sus datos de fuentes de acceso público. Cuando los datos nos llegan de un tercero, la fuente es su centro escolar o comunidad (y, en su caso, sus registros internos) —art. 14 RGPD.

3. Por qué tratamos sus datos y nuestra base jurídica

Facilitar una dirección de correo electrónico es un requisito contractual para la autenticación; sin ella no podemos crear ni mantener su cuenta (art. 13.2.e RGPD).

Tratamientos basados en el interés legítimo (LIA). Para las finalidades basadas en el interés legítimo (seguridad/limitación de peticiones, registros de auditoría, supervisión de errores con Sentry, mejora de la puesta en marcha a partir de los comentarios sobre la configuración) hemos realizado y documentado una prueba de ponderación (LIA, art. 6.1.f RGPD), aplicando medidas de mitigación (seudonimización, acceso restringido, conservación limitada). Nuestros intereses legítimos son: en la limitación de peticiones, los registros de auditoría y la supervisión de errores, garantizar la seguridad de la plataforma y de los datos de las organizaciones y sus miembros, prevenir accesos no autorizados y ataques, y asegurar la disponibilidad y resiliencia del servicio; y, en los comentarios sobre la configuración, saber qué pantalla no se entiende para mejorar la puesta en marcha y resolver las dudas de quien pide que le contactemos. Si un comentario incluye datos de otras personas, no los usamos y lo suprimimos en cuanto lo vemos; no informamos a cada una porque sería imposible o desproporcionado (art. 14.5.b RGPD). Si entra en la demostración con un código, guardamos además la dirección IP y el navegador durante seis meses, por seguridad, y sabemos qué código se usó y cuándo, para atender a quien pidió la demostración. El código se lo enviamos por correo, y guardamos con él su dirección y la nota de cómo y cuándo pidió la demostración, hasta que esta se retira. Puede oponerse a este tratamiento (art. 21 RGPD) según se describe en la sección 8. Puede solicitar un resumen de esta ponderación de intereses (LIA) en privacy@kolma.app.

Sin decisiones automatizadas ni elaboración de perfiles. No adoptamos decisiones con efectos jurídicos o similarmente significativos basadas únicamente en el tratamiento automatizado, ni realizamos elaboración de perfiles (art. 22 RGPD). No usamos sus datos para hacerle publicidad ni los cedemos a terceros para que la hagan. Los únicos usos comerciales propios son la lista de espera, con su consentimiento, y el seguimiento del acceso a la demostración.

Una nota sobre los roles. Cuando usted es titular de su propia cuenta, la «ejecución de un contrato» se refiere al contrato entre usted y Kolma (nuestros Términos). Respecto de los datos introducidos sobre usted por un centro escolar o comunidad —expedientes del alumnado, pertenencia, asistencia, datos de gobernanza—, el centro escolar o la comunidad es el responsable del tratamiento (actuando, en una comunidad, a través de su presidente o administrador de fincas) y Kolma actúa como su encargado del tratamiento, conforme a instrucciones documentadas en el marco de un acuerdo de encargo del tratamiento (DPA). Para esos datos, es preferible que dirija sus solicitudes de ejercicio de derechos a su centro escolar o comunidad; Kolma presta asistencia como encargado del tratamiento (arts. 12–14 RGPD).

4. Encargados del tratamiento (terceros)

Utilizamos los siguientes servicios para operar kolma.app. Todos están vinculados por acuerdos de encargo del tratamiento. La lista actualizada de subencargados es la que figura en la tabla siguiente de esta página; comunicaremos cualquier cambio sustancial a los clientes con al menos 30 días de antelación (art. 28.2 RGPD):

Además de los encargados enumerados, la plataforma utiliza un canal técnico de alertas de operación que avisa a su equipo cuando una comprobación interna de la infraestructura falla. Ese canal transmite únicamente el identificador de la comprobación y su estado. No comunica dato personal alguno, por lo que su proveedor no es encargado del tratamiento ni destinatario de datos personales.

No vendemos, cedemos ni transferimos sus datos a ningún otro tercero.

5. Transferencias internacionales de datos

Sus datos se almacenan dentro de la Unión Europea / EEE.

Cuatro de los proveedores de la tabla anterior son sociedades estadounidenses o dependen de una —Google LLC, Vercel Inc., Functional Software, Inc. (Sentry) y Upstash, Inc.—, y sus contratos prevén que puedan recibir o tratar datos en Estados Unidos. Esas transferencias se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD; Decisión de Ejecución (UE) 2023/1795 de la Comisión), porque las cuatro figuran como participantes activos en la lista oficial, que comprobamos al menos una vez al año. Sus contratos incorporan además cláusulas contractuales tipo (art. 46 RGPD) para el caso de que el Marco deje de ser aplicable; puede pedirnos una copia de esas cláusulas, o información sobre ellas, en privacy@kolma.app.

Los demás proveedores enumerados tratan los datos en la UE. Si contratásemos a algún otro subencargado fuera de la UE, nos ampararíamos en una decisión de adecuación o en garantías adecuadas (arts. 45–46 RGPD), realizaríamos una Evaluación de Impacto de la Transferencia (Schrems II) y actualizaríamos en consecuencia esta política y la lista de subencargados.

6. Cookies

kolma.app utiliza únicamente cookies funcionales:

kolma.app también almacena una pequeña cantidad de datos funcionales en su dispositivo (el localStorage del navegador) para recordar sus preferencias y mantener el funcionamiento de la aplicación:

No utilizamos cookies ni almacenamiento de publicidad, analítica o seguimiento entre sitios, y hemos revisado Sentry y los scripts de terceros para descartar identificadores de reidentificación. Dado que todas las cookies y el almacenamiento en dispositivo enumerados anteriormente son estrictamente necesarios o funcionales, no se requiere banner de consentimiento previo conforme al art. 22.2 de la LSSI-CE española / la Directiva sobre la privacidad y las comunicaciones electrónicas. Esta sección sirve también como nuestra política de cookies.

7. Conservación de los datos

• Datos de cuenta (identificación, correo electrónico y perfil de inicio de sesión) — se conservan mientras su cuenta esté activa. Cuando la cuenta se suprime, dejan de usarse, y lo mínimo necesario queda bloqueado durante cinco años desde la baja: su identificación, su organización, las fechas de alta y de baja, quién suprimió la cuenta y la correspondencia con el seudónimo del punto siguiente. Bloqueado quiere decir reservado, fuera de todo uso y solo a disposición de jueces y tribunales, el Ministerio Fiscal y las Administraciones competentes, para la exigencia de posibles responsabilidades (art. 32 LOPDGDD). Transcurrido ese plazo, se destruye. Lo demás se elimina al suprimir la cuenta.
• Lo que queda sin su identidad al suprimir la cuenta — algunos registros de su actividad se conservan con un seudónimo en lugar de su nombre, porque su organización o terceros los necesitan: por ejemplo, un voto en una junta, una delegación o un mandato de adeudo. Los mensajes que publicó en el muro de su organización se conservan también durante un año, con su texto y sin su nombre, y después se eliminan, salvo los que su organización deba conservar para una reclamación; en sus respuestas a mensajes de otras personas se borra además el texto.
• Datos del centro escolar/comunidad — se conservan según la política de archivo de su organización (configurable: conservar, depurar tras revisión o eliminar), conforme a sus instrucciones como responsable del tratamiento.
• Fotografías del álbum escolar — cuando su centro utilice el álbum de fotos, las imágenes se conservan según el plazo que fije el centro (responsable): con carácter general, mientras el alumno/a permanezca y, en grupos-clase que avanzan unidos, durante la vida del grupo, con borrado en un plazo breve tras su finalización. Si el alumno/a causa baja, o si se revoca la autorización de imagen, las fotografías en las que aparece —las individuales y las de grupo— dejan de mostrarse de inmediato y se suprimen sin dilación indebida, ejecutándose la supresión normalmente en un plazo máximo de siete días desde la baja o la revocación, y en todo caso antes de un mes. Una fotografía en la que aparece un alumno/a cuya autorización de imagen no consta registrada no se muestra a ninguna familia: en su lugar se ve una ficha sin imagen que explica el motivo, y la familia de ese alumno/a ve además un icono y recibe un aviso. Si en treinta días no se registra la autorización, la fotografía deja de mostrarse a todos y se suprime a los siete días, salvo que la autorización se registre antes, en cuyo caso vuelve a mostrarse; si la autorización se deniega, se suprime como en la revocación. La autorización para el álbum puede darse, denegarse o revocarse en el centro y, cuando el alumno/a es menor de 14 años, también desde la aplicación; si la da uno de los titulares de la patria potestad, el otro recibe un aviso y puede denegarla o revocarla. Los titulares de la patria potestad pueden pedir al centro acceso a las fotografías en las que aparece su hijo/a aunque no hayan autorizado el álbum (art. 15 RGPD); el centro lo atiende sin perjudicar los derechos de las demás personas retratadas (art. 15.4 RGPD). La difusión de fotografías fuera del entorno cerrado del centro requiere su consentimiento.
• Mensajes personales — los leen usted, sus destinatarios y el personal que la dirección de su organización autorice para gestionarlos y moderarlos, sujeto a un deber de confidencialidad. Se eliminan a los 365 días, salvo los que su organización deba conservar, bloqueados, para una reclamación.
• Registros de auditoría — se conservan hasta 2 años y, transcurrido ese plazo, se eliminan automáticamente.
• Copias de seguridad — hacemos una copia diaria de la base de datos para poder restaurar el servicio si falla (art. 32 RGPD). Las copias se guardan en la Unión Europea, reservadas y sin ningún otro uso, y se eliminan a los treinta días. Durante ese tiempo, sus datos pueden seguir en ellas aunque ya se hayan suprimido. Si alguna vez restauramos una copia, volvemos a aplicar las supresiones y los bloqueos posteriores a ella.
• Registros de aceptación de documentos — cuando usted acepta un documento (política, onboarding, consentimiento, información), se conserva una fila de auditoría como prueba legal del acto. En caso de revocación o supresión de la cuenta, se elimina el contexto personal representado (p. ej., el nombre de su hijo/a), pero el registro estructural (marcas temporales, versión del documento, huella de red hasheada, su rol en el momento de la firma) se conserva hasta cinco años desde la aceptación o, si es posterior, desde su revocación, con fines de defensa jurídica, con fundamento en el art. 17.3.e RGPD y en el art. 32.2 LOPDGDD, que limita la conservación al plazo de prescripción de las acciones: cinco años, el de las acciones personales (art. 1964.2 del Código Civil), sin margen adicional; transcurrido ese plazo, se elimina automáticamente mediante un barrido diario de conservación.
• Registros de errores (Sentry) — se eliminan automáticamente a los 90 días.
• Lista de espera e invitación — sus datos de la lista de espera se conservan doce meses desde su último consentimiento y después se eliminan automáticamente. El código de invitación caduca a los 30 días y se elimina 30 días después. Mientras no tenga cuenta, puede pedirnos por correo el acceso a esos datos o su supresión, y retirar su consentimiento (sección 13).
• Comentarios sobre la configuración — se conservan doce meses desde que se escriben. Se incluyen en la exportación de sus datos y se suprimen con su cuenta.
• Declaraciones de motivos de moderación — se conservan dos años, el tiempo en que pueden hacer falta para tramitar un recurso o una reclamación contra la medida. Si usted suprime su cuenta, se elimina la declaración sobre su contenido.
• Cuando su organización deja de usar Kolma — la supresión de la organización borra sus datos en cascada, con cuatro excepciones que conservamos como responsables y no por cuenta de su centro o comunidad, porque nacen precisamente al terminar el encargo. Tres de ellas quedan bloqueadas (art. 33.4 y 32 LOPDGDD): identificadas y reservadas, sin que nadie pueda consultarlas, disponibles solo para jueces y tribunales, el Ministerio Fiscal o las administraciones competentes —en particular la Agencia Española de Protección de Datos— y solo para exigir responsabilidades derivadas del tratamiento. Son: la aceptación del contrato de encargo firmado por el representante de su organización (seis años desde el cierre del ejercicio en que el contrato termina); las declaraciones sobre potestad parental y medidas judiciales que su organización nos dio al importar su censo, que son la prueba de que actuamos siguiendo sus instrucciones (cinco años); y las marcas de medida judicial sobre un progenitor, que al suprimirse la organización se levantan —lo que pone en marcha el plazo— y se conservan dos años desde ese levantamiento. La cuarta, nuestros registros de facturación, no se bloquea: responde a una obligación fiscal y contable propia (seis años, art. 30 del Código de Comercio). Transcurrido cada plazo, los datos se destruyen. Estos tratamientos figuran en nuestro registro de actividades como responsables (art. 30.1 RGPD) y se le informa de ellos por esta política, conforme al art. 13 RGPD cuando el dato lo facilitó usted mismo y al art. 14 cuando nos llegó a través de su organización.
• Recibos de salarios — se conservan seis años por instrucción de su organización como responsable (suelo legal: cinco años, art. 3 de la Orden de 27 de diciembre de 1994). Tras la extinción de su relación laboral puede descargar de una vez todos sus recibos, y el acceso en línea permanece abierto doce meses. Cuando su organización deje de usar Kolma, los recibos se le devuelven, no se borran: la ley prohíbe destruir datos sujetos a una obligación legal de conservación (art. 33.3 LOPDGDD).

8. Sus derechos

Conforme al RGPD y a la LOPDGDD española, usted tiene derecho a: acceso, rectificación, supresión, limitación (art. 18), portabilidad (art. 20), oposición al tratamiento basado en el interés legítimo (art. 21) y a retirar su consentimiento en cualquier momento cuando el tratamiento se base en el consentimiento, sin que ello afecte al tratamiento previo (art. 7.3).

Puede oponerse en cualquier momento al uso de sus datos con fines comerciales, y dejaremos de tratarlos para esos fines (art. 21.2 y 21.3 RGPD). Al contestarle le informaremos de los sistemas de exclusión publicitaria que existen (art. 23.3 LOPDGDD).

Para ejercer cualquiera de estos derechos, contacte con nosotros en privacy@kolma.app. Puede hacerlo también si ya no tiene cuenta, incluso respecto de los datos bloqueados tras su supresión (sección 7); en ese caso le pediremos que acredite su identidad. Responderemos en el plazo de un mes, ampliable en dos meses adicionales para solicitudes complejas (art. 12.3 RGPD). Respecto de los datos cuyo responsable del tratamiento sea su centro escolar o comunidad, le rogamos dirija su solicitud a estos; les prestaremos asistencia como encargado del tratamiento.

9. Seguridad de los datos

Protegemos sus datos con cifrado HTTPS, cookies de sesión seguras HTTP-only, cabeceras de Política de Seguridad de Contenidos (CSP), control de acceso basado en roles, aislamiento de datos por centro escolar/comunidad y registro de auditoría de todas las acciones administrativas. En las comunidades de propietarios, la relación de propietarios morosos que acompaña a la convocatoria de una junta lleva el nombre del propietario, su elemento privativo, su estado y, en su caso, el motivo por el que conserva el voto. No lleva el importe de la deuda, que solo ve cada deudor. La reciben únicamente los propietarios que constan en el registro de esa comunidad, una vez enviada la convocatoria, y quien la convoca; cada lectura queda registrada. La base jurídica es el cumplimiento por la comunidad de la obligación de incluir esa relación en la convocatoria (art. 6.1.c RGPD; art. 16.2 LPH o, en Cataluña, art. 553-21 del Código civil de Cataluña). Kolma la trata únicamente como encargada.

Violaciones de la seguridad de los datos personales. En caso de violación de la seguridad de los datos personales, notificaremos a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas cuando proceda (art. 33 RGPD) y comunicaremos la violación a las personas afectadas cuando sea probable que entrañe un alto riesgo para sus derechos y libertades (art. 34 RGPD). Asimismo, mantenemos un registro interno de todas las violaciones de la seguridad de los datos personales — se notifiquen o no —, documentando los hechos, sus efectos y las medidas correctoras adoptadas (art. 33.5 RGPD).

10. Menores

kolma.app está diseñada principalmente para comunidades escolares. Las cuentas de usuario las crean personas adultas; la edad mínima para ser titular de una cuenta es de 14 años (art. 7 de la LOPDGDD española). El alumnado no crea ni es titular de cuentas. El alumnado de 14 años o más sí puede, en cambio, interactuar directamente con la plataforma de una única forma acotada: el centro puede emitirle un enlace personal de solo lectura — sin cuenta, sin contraseña y sin que se trate ninguna dirección de correo suya — a través del cual consulta su propia asistencia y sus propias calificaciones. Ese enlace es un cauce para ejercer su propio derecho de acceso (art. 15 RGPD), es revocable por el centro y no agota ese derecho: puede seguir solicitando al centro todo lo que el enlace no muestra (art. 13.2 LOPDGDD). En la vertical de comunidades, el tratamiento de datos de menores es marginal.

Los datos sobre menores — el nombre de un alumno/a, su matriculación en clase, su asistencia y, si el centro la registra, su fecha de nacimiento — los introduce el centro escolar, que actúa como responsable del tratamiento (véase la sección 3); Kolma los trata siguiendo las instrucciones del centro. Cuando algún tratamiento de datos de un menor se base en el consentimiento — por ejemplo, la difusión de fotografías fuera de la comunidad escolar —, dicho consentimiento parental o del tutor lo recaba el centro escolar en la matriculación, no Kolma; para menores de 14 años la norma aplicable es el art. 7 de la LOPDGDD (el art. 8 del RGPD no resulta de aplicación aquí, porque Kolma no realiza ninguna oferta directa de servicios de la sociedad de la información a menores). El registro de asistencia no recoge datos de salud: solo se anota si la ausencia está justificada o no, sin motivo clínico ni texto libre, de modo que por esta vía no se trata ninguna categoría especial del art. 9 RGPD.

La fecha de nacimiento es opcional y solo sirve para comprobar que un alumno/a tiene 14 años o más antes de emitirle el enlace personal; en bachillerato y formación profesional no hace falta. La autorización de imagen del álbum puede darse desde la app solo para un alumno/a menor de 14 años; para saberlo no se usa la fecha de nacimiento, sino la etapa de sus clases (educación infantil o primaria) y que no tenga enlace personal, que solo se emite a partir de los 14 años. En los demás casos, la autorización se tramita en papel con el centro.

11. El contacto de privacidad

Kolma no está obligada a designar un Delegado de Protección de Datos (art. 37.1 RGPD / art. 34 LOPDGDD): trata datos de menores en calidad de encargado del tratamiento, sin elaboración de perfiles ni observación a gran escala. Hemos designado un contacto interno de privacidad —Sheila Oller, privacy@kolma.app— que no es un DPO formal y no se presenta como tal; en consecuencia, no procede notificación alguna a la AEPD. (Nuestros clientes escolares, como centros educativos, sí están obligados a designar un DPO —art. 34.1.b LOPDGDD.)

12. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Notificaremos a los usuarios registrados los cambios sustanciales a través de la plataforma y mantendremos un registro público de cambios (changelog) de las versiones. La versión vigente está siempre disponible en esta página.

Idioma y versiones prevalentes

Esta Política de Privacidad se publica en castellano, catalán e inglés. La versión en castellano es la versión vinculante: en caso de discrepancia entre versiones, prevalece la castellana. Las versiones en catalán e inglés se facilitan para su comodidad —el catalán en garantía del derecho a recibir la documentación en catalán en Cataluña (art. 128-1 del Codi de consum de Catalunya), el inglés a efectos meramente informativos—, sin perjuicio de los derechos lingüísticos que le reconoce la normativa aplicable. Usted puede solicitar y consultar en todo momento la versión en la lengua oficial de su elección, castellano o catalán.

13. Contacto y autoridad de control

Contacto de privacidad: privacy@kolma.app · Contacto general: hello@kolma.app.

Si considera que no hemos tratado sus datos correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — https://www.aepd.es