Política de Privacidad — Intranet CSAH

Versión 1.0 — Documento en revisión

1. Responsable del tratamiento

El Colegio San Agustín de Hipona (CSAH) es responsable del tratamiento de los datos personales recolectados a través de esta intranet (matrículas, notas, asistencia, pagos, comunicados y funciones relacionadas).

Contacto: secretaria@hipona.cl — Teléfono: +56 443159496
Encargado de prevención / Delegado de Protección de Datos: a definir por el colegio

2. Datos que recolectamos

De alumnos: identificación (nombre, RUT, fecha de nacimiento, dirección, comuna), datos académicos (notas, evaluaciones, asistencia), datos disciplinarios (hoja de vida, atrasos, justificativos de inasistencia — el motivo se registra como texto libre y puede hacer referencia a un certificado médico, pero el sistema no almacena el archivo del certificado) y datos financieros (becas, pagos, mora).

De apoderados: identificación (nombre, RUT, dirección, teléfono, correo) y PIN de acceso al portal de pagos (almacenado cifrado, nunca en texto plano).

De profesores: identificación (nombre, RUT, correo, teléfono) y datos laborales (asignaturas, cursos a cargo, horario).

3. Finalidad del tratamiento

Los datos se recolectan exclusivamente para la gestión del servicio educacional: matrícula, evaluación académica, asistencia, cobro de aranceles y mensualidades, comunicación oficial con la comunidad escolar y gestión administrativa interna. No se utilizan con fines publicitarios ni se ceden a terceros con fines comerciales.

4. Base de licitud

El tratamiento de los datos necesarios para el servicio educacional (notas, asistencia, pagos, matrícula, comunicaciones oficiales) se funda en la ejecución del contrato de prestación de servicios educacionales entre el colegio y el apoderado. Para tratamientos no esenciales (por ejemplo, comunicados no obligatorios), se solicitará el consentimiento libre y específico del apoderado, el cual puede revocarse en cualquier momento escribiendo a secretaria@hipona.cl.

Cuando la ley exija el consentimiento para un tratamiento específico respecto de un alumno menor de edad, este será otorgado por su apoderado o representante legal.

5. Terceros que reciben datos

• Getnet (Transbank/Santander): procesador de pagos en línea. Se envían únicamente los datos necesarios para procesar el pago (actualmente: nombre, correo y una descripción que incluye el nombre del alumno). Getnet declara públicamente contar con acuerdos de tratamiento de datos con sus proveedores/afiliadas y transferencias internacionales (incluyendo Chile) protegidas con Cláusulas Contractuales Tipo.
• Hosting de la intranet (Hostinger): aloja el servidor donde corre el sistema. Hostinger publica un Addendum de Procesamiento de Datos (DPA) público, que se incorpora automáticamente al contratar el servicio, y actúa como encargado del tratamiento de los datos (por instrucción y cuenta del colegio), con Cláusulas Contractuales Tipo para transferencias internacionales.
• Proveedor de correo (cPanel — hipona.cl): utilizado para el envío de correos oficiales (confirmaciones, comunicados, enlaces de activación de cuenta). No se pudo identificar públicamente al proveedor comercial directo ni un DPA equivalente al de Hostinger.

6. Transferencias internacionales

Según la información disponible al momento de elaborar esta política (consulta de DNS y geolocalización de IP pública), el servidor de la intranet (Hostinger) se encontraría en São Paulo, Brasil, y el correo institucional y el sitio hipona.cl (cPanel) se alojarían en Chicago, Illinois, Estados Unidos. La ubicación de los servidores de Getnet no pudo determinarse por estar detrás de una red de distribución de contenido (CDN).

Dado que los datos personales se alojan y transitan fuera de Chile, esto constituye una transferencia internacional de datos personales, que requiere garantías adecuadas conforme a la Ley N° 21.719. De estos tres proveedores, Hostinger y Getnet ya cuentan con garantías documentadas públicamente (DPA / Cláusulas Contractuales Tipo); el hosting de correo/cPanel queda pendiente de confirmar directamente con el proveedor contratado.

7. Seguridad de los datos

• Conexión cifrada mediante HTTPS en todo el sitio.
• Las contraseñas y el PIN de pago se almacenan cifrados, nunca en texto plano.
• Las cuentas nuevas se activan mediante un enlace único y personal enviado por correo; el sistema no genera ni envía contraseñas por correo.
• Control de acceso a la información restringido según el rol de cada usuario.
• Actualizaciones periódicas del sistema y sus dependencias.

El colegio notificará una vulneración de seguridad conforme a los supuestos que establece la Ley N° 21.719: reportará a la Agencia de Protección de Datos Personales sin dilaciones indebidas cuando exista un riesgo razonable para los derechos de los titulares. Cuando la vulneración afecte datos sensibles o datos de niños y niñas menores de 14 años, se notificará también de forma directa a los titulares o sus apoderados.

8. Derechos de los titulares (ARCOP)

Todo titular de datos (o su apoderado, en el caso de un menor) puede ejercer sus derechos de Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo temporal escribiendo a secretaria@hipona.cl, indicando nombre, RUT y la solicitud específica. El colegio responderá dentro de 30 días corridos desde el ingreso de la solicitud, plazo prorrogable por 30 días corridos adicionales. El ejercicio de estos derechos es gratuito. El titular podrá acreditar su identidad mediante los mecanismos que determine el colegio. Si la solicitud es rechazada o no se responde a tiempo, el titular puede reclamar ante la Agencia de Protección de Datos Personales.

9. Plazo de conservación

Los datos personales se conservan solo durante el tiempo necesario para cumplir con la finalidad del tratamiento. Transcurrido ese plazo, deben ser suprimidos o anonimizados, salvo obligación legal que exija un plazo mayor. El colegio aplica los siguientes plazos diferenciados:

• Datos académicos (notas, certificados de estudio, historial curricular): se conservan mientras exista una finalidad legítima asociada a la emisión de certificados académicos a ex-alumnos, quienes pueden solicitarlos años después de egresar.
• Datos financieros (pagos, boletas, historial de pagos): 6 años, alineado con la obligación tributaria ante el Servicio de Impuestos Internos.
• Datos disciplinarios (hoja de vida, atrasos, justificativos): mientras el alumno esté matriculado y hasta 5 años después de su egreso; luego se anonimizan o eliminan.
• Datos de contacto no esenciales (ej. apoderados sin alumnos matriculados vigentes): se eliminan cuando ya no exista una relación activa con el colegio.

Pendiente que el colegio confirme o ajuste estos plazos, y verifique si existe normativa sectorial (ej. Mineduc) que exija un mínimo distinto para los datos académicos.

10. Menores de edad

Los datos de los alumnos son tratados bajo la responsabilidad y el consentimiento de su apoderado. El acceso directo del alumno al portal (para ver sus propias notas y pagos) se realiza con credenciales que él mismo define, pero la relación contractual con el colegio se mantiene con el apoderado.

11. Cambios a esta política

Cualquier cambio relevante en el tratamiento de datos será reflejado en esta página, indicando la fecha de la última actualización.