3. Categorías de datos

• Identificación y contacto: nombres, documento de identidad, fecha de nacimiento, domicilio, teléfono, correo, fotografía y relación con la Institución.
• Datos educativos: matrícula, programa, grado, sección, asistencia, evaluaciones, conducta, actividades, comunicaciones y trayectoria académica.
• Datos familiares y de representación: padres, apoderados, responsables de pago, hermanos y contactos de emergencia.
• Datos administrativos y económicos: pensiones, comprobantes, pagos, becas, descuentos, obligaciones y datos necesarios para conciliación o facturación.
• Datos laborales: vínculo, cargo, horario, asistencia, remuneraciones y otros registros gestionados por la Institución.
• Datos sensibles cuando el módulo y la finalidad lo requieran: salud, discapacidad, información psicologica, biometría u otros definidos por ley.
• Datos técnicos: dirección IP, dispositivo, navegador, identificadores, sesiones, registros de acceso, operaciones, alertas y diagnóstico.
• Datos de soporte: consultas, tickets, archivos, capturas y comunicaciones necesarias para resolver solicitudes.

4. Origen de los datos

Los datos pueden ser proporcionados por la Institución, sus Usuarios, los propios titulares, sus representantes, integraciones autorizadas o generados durante el uso de la Plataforma. La Institución debe asegurar que la recopilación y comunicación a ALCASYS sean lícitas.

5. Finalidades cuando ALCASYS actúa como encargado

• Alojar, organizar y procesar los datos necesarios para los módulos contratados.
• Autenticar Usuarios, aplicar perfiles y permitir operaciones autorizadas.
• Prestar soporte, corregir errores, mantener la Plataforma y recuperar información.
• Generar respaldos, registros de trazabilidad y controles de seguridad.
• Enviar comunicaciones y notificaciones configuradas por la Institución.
• Cumplir instrucciones documentadas y obligaciones legales aplicables al servicio.

6. Finalidades cuando ALCASYS actúa como responsable

• Responder consultas, demostraciones, propuestas y solicitudes comerciales.
• Gestionar contratos, facturación, cobranza, soporte y relación con representantes del cliente.
• Administrar cuentas corporativas y contactos autorizados.
• Proteger la Plataforma, prevenir fraude, investigar incidentes y conservar evidencia técnica.
• Cumplir obligaciones tributarias, contractuales, regulatorias y requerimientos de autoridad competente.
• Enviar información comercial cuando exista consentimiento u otra habilitacion legal aplicable.

7. Bases que habilitan el tratamiento

Según el caso, el tratamiento se sustenta en la ejecución de una relación contractual, el cumplimiento de obligaciones legales, el consentimiento válido del titular o representante, y las demás excepciones o habilitaciones previstas por la Ley N.º 29733. ALCASYS no presume consentimiento para finalidades ajenas al servicio.

8. Datos de niños niñas y adolescentes

La Institución debe proteger el interés superior del menor, recopilar solo datos pertinentes y obtener la intervención del padre, madre, tutor o representante cuando corresponda. Para servicios digitales dirigidos a menores se aplicarán las reglas de consentimiento previstas por la normativa. ALCASYS no utiliza los datos educativos de menores para publicidad propia ni los vende.

9. Datos sensibles

Los datos de salud, psicología, discapacidad, biometría u otros datos sensibles solo deben registrarse cuando sean necesarios para una finalidad legítima, con acceso restringido y las condiciones legales aplicables. La Institución define quiénes pueden consultarlos. ALCASYS limita el tratamiento a la operación y soporte autorizado.

10. Proveedores y subencargados

ALCASYS puede utilizar proveedores de infraestructura en la nube, alojamiento, respaldo, mensajeria, notificaciones, correo, monitoreo y soporte técnico. Estos proveedores acceden solo a lo necesario para cumplir su función y quedan sujetos a obligaciones de seguridad, confidencialidad y tratamiento de datos acordes con el servicio.

Cuando un proveedor procese datos fuera del Perú, ALCASYS aplicará las obligaciones correspondientes al flujo transfronterizo y mantendrá condiciones contractuales u otras garantías exigibles. La Institución autoriza el uso de subencargados necesarios conforme al contrato, sin perder su derecho a solicitar información sobre las categorías de proveedores.

11. Comunicación y transferencia

Los datos pueden comunicarse a Usuarios autorizados de la Institución, proveedores necesarios, autoridades competentes o terceros indicados por la Institución. ALCASYS no vende datos personales ni los entrega para publicidad de terceros. Toda comunicación debe responder a una finalidad legítima y respetar el principio de proporcionalidad.

12. Conservación y eliminación

Durante la relación contractual, los datos de la Plataforma se conservan mientras resulten necesarios para prestar el servicio y conforme a las instrucciones de la Institución. Al finalizar el contrato, la Institución puede solicitar una única entrega dentro de treinta días calendario. ALCASYS podrá conservar la información hasta noventa días calendario y luego eliminarla conforme a sus procedimientos y ciclos de respaldo, salvo obligacion legal, controversia o requerimiento de autoridad.

Los registros de interacción lógica sujetos al Reglamento se conservarán por el período mínimo legal de dos años. Los datos contractuales, tributarios y contables se conservarán por los plazos exigidos por la normativa. Los contactos comerciales se conservarán mientras exista relación, interés legítimo aplicable o consentimiento vigente, y se suprimirán o bloquearán cuando corresponda.

13. Seguridad

ALCASYS adopta medidas técnicas y organizativas proporcionales al riesgo, incluyendo gestión de accesos, autenticación, privilegios, respaldos, trazabilidad, monitoreo, gestión de cambios, atención de incidentes y obligaciones de confidencialidad. Ningun sistema es invulnerable; por ello los controles se revisan y mejoran en función de los riesgos y cambios del servicio.

14. Incidentes de seguridad

Cuando ALCASYS conozca un incidente que afecte datos tratados por cuenta de una Institución, lo informará de forma inmediata al contacto autorizado y colaborará con la información disponible. La Institución, como responsable, evaluará y realizará las notificaciones exigidas a la Autoridad, al Centro Nacional de Seguridad Digital y a los titulares cuando corresponda. ALCASYS efectuará directamente las notificaciones que le correspondan por tratamientos propios.

Los incidentes se documentarán con sus hechos, efectos, decisiones y medidas adoptadas. La comunicación externa respetará el plazo legal aplicable, que puede ser de hasta cuarenta y ocho horas desde que el responsable toma conocimiento en los supuestos previstos por el Reglamento.

15. Derechos de los titulares

Los titulares pueden ejercer los derechos de información, acceso, actualización, inclusión, rectificación, supresión o cancelación, oposición y los demás reconocidos por la normativa. La solicitud debe permitir verificar la identidad y precisar el derecho ejercido.

Cuando los datos provengan de una Institución y se traten dentro de la Plataforma, la solicitud debe dirigirse primero a dicha Institución, que decide sobre su atención. ALCASYS prestará asistencia técnica como encargado. Para datos tratados directamente por ALCASYS, la solicitud puede enviarse a privacidad@alcasys.com.

16. Cookies y tecnologias similares

Los sitios y aplicaciones de ALCASYS pueden utilizar tecnologias estrictamente necesarias para autenticación, seguridad, preferencias y continuidad de sesión. Si se incorporan cookies analíticas, publicitarias o de terceros que requieran consentimiento, se informará su finalidad y se habilitará un mecanismo de elección antes de activarlas.

17. Decisiones automatizadas

ALCASYS no adopta por cuenta propia decisiones con efectos jurídicos sobre estudiantes, familias o trabajadores basadas exclusivamente en tratamiento automatizado. Los reportes, alertas e indicadores sirven de apoyo y deben ser evaluados por la Institución.

18. Modificaciones y contacto

ALCASYS puede actualizar esta Política por cambios normativos, operativos o tecnológicos. Publicará la versión y fecha vigentes y comunicará los cambios materiales por medios razonables.

Consultas y solicitudes sobre privacidad: privacidad@alcasys.com. Las reclamaciones también pueden presentarse ante la Autoridad Nacional de Protección de Datos Personales conforme a sus procedimientos.

Control y revisión del documento

Este documento será revisado al menos una vez al año y cuando existan cambios relevantes en la normativa, el servicio, la infraestructura, los riesgos o las obligaciones contractuales. La versión vigente será la publicada por ALCASYS.