Política de retención y eliminación de datos
Cuánto tiempo se conserva cada dato, quién decide ese plazo, cómo se exporta y qué pasa cuando termina el contrato.
Para archivarlo en su legajo de evaluación de proveedor, imprima esta página a PDF con Ctrl+P. Sale paginado y sin la navegación.
1. Alcance y roles
Esta política aplica a la totalidad de los datos que ExCeAcademy trata por cuenta de cada organización cliente en la plataforma de formación corporativa.
En esa relación, la organización cliente es responsable del tratamiento y ExCeAcademy es encargado. La consecuencia práctica sobre esta política es directa: los plazos que la organización puede configurar los fija ella, conforme a sus propias obligaciones legales, contractuales y de calidad. Los plazos que fija la plataforma están más abajo y se aplican por igual a todas las organizaciones.
2. Retención configurable por la organización
Cada organización define, desde su panel de administración:
- El período de conservación de la actividad formativa de sus personas: asignaciones, avance, calificaciones, intentos, asistencia y entregas.
- Si los miembros inactivos se purgan automáticamente al cumplirse ese plazo, o si se conservan hasta una decisión expresa.
El cambio de ese parámetro queda registrado en el registro de auditoría de la organización, con actor, fecha y valor anterior y posterior.
3. Plazos que fija la plataforma
| Dato | Retención | Mecanismo |
|---|---|---|
| Actividad formativa | Configurable por la organización | Purga automática programada |
| Registro de auditoría administrativa | 12 meses | Purga automática programada |
| Registro de errores técnicos | 90 días | Purga automática programada |
| Consultas al tutor conversacional | 90 días | Purga automática programada |
| Conversaciones derivadas a atención humana | 365 días | Purga automática programada |
| Certificados y credenciales emitidas | Permanente mientras dure el contrato | Ver cláusula 4 |
Las purgas se ejecutan mediante tareas programadas que corren de forma automática y dejan registro de su última ejecución. No dependen de que alguien se acuerde de lanzarlas.
4. Por qué los certificados no se purgan
Un certificado emitido lleva un código de verificación público que cualquier tercero —un empleador, un auditor, un organismo— puede consultar sin cuenta para comprobar que la credencial es auténtica.
Eliminar el registro de emisión rompería esa verificación y convertiría en inverificable una credencial legítima que una persona obtuvo. Por eso los certificados se conservan mientras dure el contrato, y su eliminación se trata dentro del plan de salida de la cláusula 7, no dentro de la purga periódica.
Una credencial que deja de ser válida no se borra: se revoca, con motivo y responsable, y la constancia de que existió se conserva.
5. Derechos de los titulares
La plataforma provee funciones de autogestión para que cada organización atienda directamente los derechos de sus personas, sin depender de nuestra intervención:
- Acceso y portabilidad. Cada persona exporta la totalidad de sus datos en formato estructurado legible por máquina, desde su propio panel.
- Rectificación. Directa desde el perfil, sobre los campos que la organización defina como editables.
- Supresión. Flujo formal de solicitud, con estado, motivo, fecha de resolución, responsable de la resolución y constancia de lo resuelto. Toda solicitud queda registrada con independencia del resultado.
Solicitudes por escrito a privacidad@exceacademy.com, con respuesta en diez días hábiles.
6. Minimización
La plataforma no impone la recolección de ningún dato más allá de nombre y correo electrónico. Cada organización configura qué campos adicionales son obligatorios en el alta de sus personas.
Los campos de identificación documental existen para las organizaciones que deben emitir credenciales nominadas ante un organismo, y permanecen deshabilitados salvo que la organización los solicite de forma expresa, en cuyo caso el tratamiento se documenta en su contrato de encargado de tratamiento.
7. Plan de salida
Corresponde al control 5.23 del Anexo A de la norma ISO/IEC 27001:2022.
- Al terminar el contrato, la organización dispone de treinta días corridos para indicar si opta por la devolución o por la supresión de sus datos.
- La devolución se entrega en formato estructurado de uso común, dentro de los quince días de solicitada, y comprende la totalidad de personas, asignaciones, avances, calificaciones, asistencia, entregas y certificados emitidos.
- Transcurridos noventa días desde la terminación sin instrucción, se procede a la supresión.
- La supresión alcanza a las copias de respaldo conforme al ciclo de rotación, durante el cual los datos permanecen cifrados y sin acceso salvo para una restauración.
Durante toda la vigencia del contrato, la organización no necesita nuestra intervención para exportar: las funciones de exportación están disponibles en su panel.
8. Continuidad ante indisponibilidad del proveedor
El contrato marco prevé la entrega de la totalidad de los datos de la organización, en formato estándar, dentro de los quince días, ante una indisponibilidad prolongada de ExCeAcademy.
Es una pregunta razonable en toda evaluación de proveedor y la respondemos por contrato, no de palabra.
9. Vigencia y cambios
Esta política se versiona junto con el Trust Center. Los cambios que reduzcan un plazo de conservación o alteren el plan de salida se notifican al contacto técnico de cada organización con treinta días corridos de anticipación.
Si necesita acreditar ante su auditor qué política regía en la fecha en que firmaron el contrato, podemos entregarle esa versión exacta con su fecha.