Política de privacidad

Qué datos trata Svitmo LMS, para qué y con qué base, quién más tiene acceso a ellos, cuánto tiempo los conservamos y tus derechos según el RGPD.

Actualizado: 23 de octubre de 2026

En resumen

• Svitmo LMS es un servicio para formar a empleados. Respecto a los datos de las personas que una organización introduce en el servicio, la propia organización es la responsable del tratamiento; nosotros los tratamos solo siguiendo sus instrucciones, para que el servicio funcione.
• No vendemos datos, no mostramos publicidad y no usamos rastreadores publicitarios ni analítica de terceros en el sitio web ni en la app. Cómo contamos las visitas al sitio y qué guarda el navegador se explica en «Qué datos tratamos».
• Los servidores y los datos están en la UE (Hetzner, Alemania y Finlandia). El servicio lo opera una empresa ucraniana: nuestro equipo en Ucrania tiene acceso al sistema para soporte y mantenimiento. Cómo protegemos esta transferencia se explica en «Transferencias fuera de la UE».
• La generación con IA envía a Claude (Anthropic) solo el material formativo seleccionado; el sistema no añade a la solicitud datos del perfil de las personas (nombres, emails, resultados). Una organización puede desactivar la IA.

Quiénes somos

Operador del servicio Svitmo LMS: PG-GROUP LLC (TOВ «ПІ-ДЖИ ГРУП», código EDRPOU 38591491), Apt. 76, Building 59-A, Lvivska St., Kyiv, 03179, Ucrania.

Preguntas sobre datos y solicitudes sobre tus derechos: privacy@svitmo.com. Preguntas generales: hello@svitmo.com. Vulnerabilidades de seguridad: security@svitmo.com. Por ahora respondemos en inglés.

Nuestro papel depende de la finalidad

• Somos encargados del tratamiento (artículo 28 del RGPD) de todo lo que una organización cliente hace en Svitmo LMS: las cuentas de sus personas, puestos y departamentos, asignaciones, resultados de aprendizaje, planes de desarrollo y materiales formativos. La organización es la responsable: decide a quién formar y por qué, y determina la base jurídica. Actuamos según el acuerdo de tratamiento de datos de las Condiciones de uso. Esto incluye a los administradores de la organización: tratamos sus datos de aprendizaje en el servicio como encargados.
• Somos responsables del tratamiento de los datos que tratamos para nuestros propios fines: el contrato y la correspondencia con los representantes del cliente, las facturas, el soporte, las solicitudes de demo, la seguridad del servicio y las estadísticas del sitio web.

Si eres empleado de una organización que te forma con Svitmo LMS, lo mejor es dirigir tus solicitudes sobre tus datos a esa organización. Le ayudaremos a responder.

Qué datos tratamos

• Cuenta: nombre, email, rol, foto de perfil (opcional), idioma y tema de la interfaz, hora del último inicio de sesión. Las contraseñas se guardan solo como un hash irreversible. Si la organización activó el inicio de sesión con Google o Microsoft, recibimos de ellos un email confirmado y el nombre.
• Datos laborales que añade la organización: departamento, puesto, responsable, fecha de incorporación, grupos.
• Aprendizaje: cursos e itinerarios asignados, fechas límite, progreso, marcas en las listas de las lecciones, respuestas y puntuaciones de los cuestionarios, datos de los cursos SCORM (estado, puntuación, tiempo), certificados, planes de desarrollo (pasos, comentarios, resumen), notificaciones y emails de recordatorio.
• Materiales formativos: textos de las lecciones, cuestionarios, archivos subidos y paquetes SCORM. Pueden contener datos personales si la organización los incluyó.
• Registros de uso: los días en que una persona usó el servicio (para facturar por usuarios activos), registros de solicitudes de IA (sin su contenido).
• Aceptación de las condiciones: quién aceptó las Condiciones de uso en nombre de la organización, qué versión y cuándo.
• Datos técnicos: dirección IP, hora y dirección de una solicitud en los registros del servidor.
• Una solicitud de demo desde el sitio web: nombre, email de trabajo, empresa, tamaño del equipo, mensaje, idioma y la dirección IP, esta última solo para combatir el spam (no más de unas pocas solicitudes por dirección y hora).
• Estadísticas de svitmo.com: contadores diarios: visitas, páginas vistas, clics en botones, idioma de la página y dominio de procedencia. Para contar las visitas únicas en un día usamos una huella técnica de corta duración basada en la dirección IP y los parámetros del navegador; la dirección IP como tal no se guarda en las estadísticas y las huellas se eliminan al final del día. El sitio web no instala cookies. Para el registro de una organización solo recordamos desde qué botón del sitio llegó.
• Cookies y almacenamiento del navegador: el sitio web no instala cookies ni guarda nada en el navegador. La app guarda en el navegador (localStorage) solo lo necesario para funcionar: el token de sesión, el idioma y el tema de la interfaz y algunas marcas de servicio (por ejemplo, que se ocultó un consejo). Durante el inicio de sesión con Google o Microsoft, la app instala una cookie técnica para proteger el acceso; dura hasta 10 minutos. Son datos estrictamente necesarios para el servicio, por lo que no hay consentimiento aparte ni banner de cookies.

Para qué y con qué base

• El servicio para la organización (cuentas de sus personas, cursos, asignaciones, recordatorios, informes, certificados, planes de desarrollo, emails del servicio): somos encargados; la organización, como responsable, determina la base.
• El contrato con la organización y el contacto con sus representantes (registro, aceptación de las condiciones, correspondencia sobre el contrato y el plan): nuestro interés legítimo en celebrar y ejecutar el contrato con la organización a la que representa la persona (art. 6.1.f del RGPD). Si el cliente es un autónomo, la base es el contrato con él (art. 6.1.b).
• Soporte: interés legítimo en responder a preguntas sobre el servicio (art. 6.1.f).
• Facturas y contabilidad: una obligación legal según la legislación contable y fiscal de Ucrania (art. 6.1.c).
• Seguridad, prevención de abusos, registros del servidor, copias de seguridad: interés legítimo en proteger el servicio y los datos de los clientes (art. 6.1.f).
• Solicitudes de demo: interés legítimo en responder a tu solicitud de demo o de acceso anticipado (art. 6.1.f). No usamos los datos de la solicitud para envíos comerciales.
• Estadísticas del sitio web: interés legítimo en saber qué páginas son útiles, sin identificar a los visitantes (art. 6.1.f).

No enviamos emails comerciales. Cuando la base es el interés legítimo, puedes oponerte al tratamiento (consulta «Tus derechos»).

Generación con IA

Cuando un administrador genera preguntas de cuestionario, el servidor envía a Claude, de Anthropic, PBC (EE. UU.), solo material formativo: el texto de las lecciones seleccionadas, un documento subido o un texto pegado. El sistema no añade a la solicitud datos del perfil de las personas (nombres, emails, resultados de aprendizaje). Pero si el propio material contiene datos personales (por ejemplo, un documento), se envían con él.

Según las condiciones comerciales de Anthropic, los datos enviados a través de la API no se usan para entrenar modelos. Eso no significa que no se conserven en absoluto: Anthropic los trata y conserva durante un tiempo limitado según sus condiciones, también por motivos de seguridad.

La generación con IA puede desactivarse para toda la organización en la configuración. No incluyas en el material para la generación datos personales o confidenciales que no puedas compartir con un proveedor de IA.

Quién más trata los datos

Subencargados de los datos de las organizaciones clientes

• Hetzner Online GmbH: servidores de la aplicación, base de datos, archivos y copias de seguridad. Datos: todos los datos de una organización en el servicio. País: Alemania, Finlandia (UE). Mecanismo: acuerdo de tratamiento de datos de Hetzner según el art. 28 del RGPD; usamos solo ubicaciones de la UE y, según el acuerdo, el tratamiento se realiza solo en la UE/EEE, por lo que no hay transferencia fuera de la UE.
• Brevo SAS: envío de los emails de la app (invitaciones, enlaces de contraseña, recordatorios, notificaciones). Datos: dirección del destinatario, texto del email. País: Francia (UE). Mecanismo: acuerdo de tratamiento de datos con Brevo.
• Anthropic, PBC: generación con IA, solo si la organización la usa. Datos: material formativo seleccionado para la generación. País: EE. UU. Mecanismo: anexo de tratamiento de datos de Anthropic, parte de sus condiciones comerciales, con las cláusulas contractuales tipo de la UE (CCT, módulo 3 «encargado a encargado»).
• Google, Microsoft: inicio de sesión con sus cuentas, solo si la organización lo activó. Tratan los datos de inicio de sesión como responsables independientes según sus propias condiciones.

Informamos a las organizaciones con al menos 30 días de antelación de la incorporación o sustitución de un subencargado (consulta las Condiciones).

Proveedores para nuestros propios datos

• Namecheap, Inc. (EE. UU.): registro del dominio, alojamiento del sitio web svitmo.com y correo @svitmo.com (Namecheap Private Email). Datos: registros del servidor del sitio con las direcciones IP de los visitantes; hasta el lanzamiento de la app, las solicitudes de demo (un email al equipo y una copia en el alojamiento) y los contadores diarios del sitio; nuestra correspondencia. País: el centro de datos del alojamiento del sitio está en el Reino Unido (cubierto por una decisión de adecuación de la UE); el correo, en EE. UU. (Phoenix, Arizona). Mecanismo: para el alojamiento del sitio, la decisión de adecuación del Reino Unido; para el correo y el acceso de la empresa estadounidense, el anexo de tratamiento de datos de Namecheap con las cláusulas contractuales tipo de la UE (CCT, módulo 2).
• Brevo SAS (Francia, UE): también para nuestros propios emails de servicio (por ejemplo, una respuesta a una solicitud) cuando pasan por la app.

Transferencias fuera de la UE

La cadena es: organización cliente (responsable) → PG-GROUP LLC, Ucrania (encargado) → subencargados (Hetzner y Brevo en la UE, Anthropic en EE. UU.).

• Ucrania. Los datos se almacenan físicamente en la UE, pero nuestro equipo en Ucrania tiene acceso a ellos para soporte, mantenimiento y resolución de incidencias. El acceso desde Ucrania a datos en la UE es una transferencia internacional. Ucrania no cuenta con una decisión de adecuación de la UE, por lo que esta transferencia se basa en las cláusulas contractuales tipo de la UE (CCT, Decisión de la Comisión 2021/914, módulo 2 «responsable a encargado»), que forman parte del acuerdo de tratamiento de datos. Previa solicitud, informamos al cliente de las garantías aplicadas. El acceso del equipo está limitado: una consola aparte con un segundo factor de inicio de sesión, un registro de cada acción y acceso solo en la medida necesaria.
• EE. UU. (Anthropic). Solo material formativo para la generación con IA, solo si la organización usa la IA. Mecanismo: las CCT (módulo 3) del anexo de tratamiento de datos de Anthropic.
• Reino Unido y EE. UU. (Namecheap): solo nuestros propios datos (sitio web, solicitudes, correo), no los datos de las organizaciones en el servicio. El alojamiento del sitio está en el Reino Unido (decisión de adecuación) y el correo en EE. UU. (CCT del acuerdo de Namecheap).

Cuánto tiempo conservamos los datos

• Los datos de una organización en el servicio: mientras el contrato esté vigente y la organización use el servicio.
• Una organización bloqueada (la prueba terminó sin pago, el contrato terminó o se suspendió el acceso): los datos se conservan 60 días tras el bloqueo. Durante ese tiempo puede continuar u obtener una exportación de sus datos. Avisamos por email a los administradores con antelación de la eliminación prevista. Después, la organización se elimina automáticamente con todos sus datos y archivos. Antes, si se solicita a privacy@svitmo.com.
• Copias de seguridad: diarias, se conservan 14 días; las más antiguas se eliminan automáticamente. Así, los datos eliminados desaparecen también de las copias en un plazo de 14 días.
• Los resultados de cursos eliminados permanecen en los informes de la organización hasta que esta los elimine o deje de usar el servicio. Los archivos sin uso se eliminan automáticamente.
• Registros del servidor de la aplicación (con direcciones IP): limitados por tamaño y sobrescritos por entradas nuevas. Registros del alojamiento del sitio: según las normas de Namecheap.
• Solicitudes de demo: en la app, 12 meses, y después se eliminan automáticamente; la copia en el alojamiento del sitio, 90 días, y después se elimina automáticamente; el email de la solicitud en nuestro buzón, no más de 12 meses. Antes, si lo pides.
• Registros de aceptación de las condiciones (quién, qué versión, cuándo; sin datos de aprendizaje): mientras exista la organización y 3 años después de su eliminación, por si surge una disputa sobre el contrato.
• Facturas y documentos contables y fiscales: durante los plazos que fija la legislación aplicable, incluidas las prórrogas obligatorias.
• Correspondencia comercial con los clientes: hasta 3 años después de terminar la relación, para proteger nuestros derechos en caso de disputa.

Cómo protegemos los datos

• HTTPS en todas las conexiones; contraseñas guardadas solo como hash.
• Los datos de cada organización están aislados: cada solicitud comprueba a qué organización pertenece la persona.
• Los cursos SCORM de terceros se abren desde una dirección aparte y no pueden acceder a las cuentas.
• El acceso de nuestro equipo se hace a través de una consola aparte con un segundo factor de inicio de sesión y un registro de cada acción; las organizaciones tienen su propio registro de actividad.
• Copias de seguridad diarias.

La lista completa de medidas técnicas y organizativas está en el anexo del acuerdo de tratamiento de datos.

Tus derechos

Según el RGPD, tienes derecho a: obtener una copia de tus datos; rectificar los inexactos; suprimirlos; limitar el tratamiento; recibirlos en un formato legible por máquina; oponerte al tratamiento basado en el interés legítimo; presentar una reclamación ante la autoridad de protección de datos de tu país (en España, la Agencia Española de Protección de Datos, AEPD).

Respondemos a las solicitudes en el plazo de un mes. Si fue tu organización quien introdujo los datos, le trasladamos la solicitud como responsable y le ayudamos a responder. El administrador de una organización puede exportar todos sus datos en un solo archivo (CSV y JSON) en Configuración, y pedir que la organización se elimine con todos sus datos escribiendo a privacy@svitmo.com.

Brechas de seguridad

• Como encargados, notificamos a la organización cliente una brecha de sus datos personales sin dilación indebida tras tener conocimiento de ella, con la información conocida en ese momento, y le ayudamos a cumplir sus obligaciones.
• Como responsables (nuestros propios datos), notificamos a la autoridad de control en un plazo de 72 horas desde que tengamos conocimiento de una brecha si es probable que suponga un riesgo para los derechos de las personas; si el riesgo es alto, también informamos a las personas afectadas.

Menores

Svitmo LMS está pensado para formar a empleados. Si una organización añade a personas menores de 16 años (por ejemplo, becarios o estudiantes en prácticas), es responsable, como responsable del tratamiento, del consentimiento de sus padres o tutores cuando la ley lo exija.

Versiones lingüísticas y cambios

Esta política está disponible en ucraniano, inglés y español. La versión en español es una traducción: si las versiones difieren, prevalece la ucraniana. La versión vigente está siempre en esta página, con la fecha de actualización arriba.