Política de privacidad

Esta política explica qué datos personales trata Change Dyslexia cuando usas Dytective, para qué, durante cuánto tiempo, con quién los compartimos y qué derechos tienes.

Dytective la usan colegios, profesionales, entidades sociales y familias. Lo más importante que debes saber es que no siempre tratamos los datos en el mismo papel:

Con los datos de los alumnos de un colegio, de un profesional o de una entidad social, trabajamos por encargo de ellos. Ellos deciden qué alumnos dan de alta y para qué usan Dytective, y nosotros tratamos esos datos solo para prestarles el servicio. La ley llama a esta figura encargado del tratamiento, y al colegio, profesional o entidad, responsable del tratamiento.
Con los datos de las cuentas de nuestros clientes y con los de los hijos que da de alta una familia, decidimos nosotros. En esos casos somos responsables del tratamiento.

El apartado 2 explica cada caso con detalle.

Si eres un colegio, un profesional o una entidad social, los datos de tus alumnos son tuyos y nosotros los tratamos por tu encargo. Si eres una familia, los datos de tus hijos los tratamos nosotros como responsables.

1. Quién es el responsable

Razón social: CHANGE DYSLEXIA S.L. (nombre comercial: Change Dyslexia).
NIF: B66670878.
Domicilio: Lope de Rueda 49, 4.º A, 28009 Madrid (España).
Datos registrales: Inscrita en el Registro Mercantil de Madrid: Asiento 1/3077/272, Folio 40, fecha de presentación 16/11/2020, Entrada 1/2020.
Correo para cualquier asunto de protección de datos: responsablededatos@changedyslexia.org.

1.1. Normativa aplicable

Tratamos los datos conforme al Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1.2. Delegada de protección de datos

Tenemos una delegada de protección de datos (DPO, por sus siglas en inglés): la persona que supervisa que cumplimos la normativa y a quien puedes dirigirte directamente. Puedes escribirle a dpo@changedyslexia.org.

Somos Change Dyslexia, en Madrid. Para cualquier duda sobre tus datos, escribe a responsablededatos@changedyslexia.org o a nuestra delegada de protección de datos, en dpo@changedyslexia.org.

2. Qué hacemos con los datos y en nombre de quién

Este apartado separa lo que hacemos por encargo de nuestros clientes de lo que hacemos por nuestra cuenta.

2.1. Datos de los alumnos de colegios, profesionales y entidades sociales: trabajamos por su encargo

Cuando un colegio, un profesional o una entidad social da de alta a sus alumnos, él es el responsable de esos datos y nosotros, el encargado. Solo los tratamos siguiendo sus instrucciones, que recoge el contrato de encargo del tratamiento que acepta al darse de alta. Con esos datos:

Damos acceso al alumno a Dytective con un nombre de usuario y una contraseña.
Hacemos la prueba de cribado y calculamos su resultado.
Le proponemos ejercicios adaptados a su edad y a su nivel, y guardamos su progreso.
Preparamos los informes de actividad y de evolución que ven el centro y sus docentes.
Avisamos por correo al centro, y a los docentes que lo tengan activado, de que hay resultados nuevos. El resultado se consulta solo dentro de la plataforma: el correo no lo incluye.
Damos soporte técnico cuando el centro nos lo pide: por ejemplo, entrar en su cuenta para ver un error, reiniciar una prueba o reproducir un problema con una copia de un alumno, que borramos al cerrar la incidencia.

También usamos los resultados de todos los alumnos, juntos y sin identificar a nadie, para calcular medias por edad. Sirven para que cada informe compare a un alumno con la media de los niños de su edad.

Si eres familia de un alumno de un colegio, quien responde de sus datos es el colegio. Puedes dirigirte a él para cualquier consulta o para ejercer tus derechos; si nos escribes a nosotros, se lo trasladamos y le ayudamos a responderte.

Los centros del programa de la Fundación “la Caixa” autorizan además que entreguemos datos anonimizados de sus alumnos a la Fundación “la Caixa” y a un grupo de investigación universitario, como explica el apartado 5.

2.2. Datos de los hijos que da de alta una familia: somos responsables

Cuando una familia da de alta a sus hijos en Dytective, nosotros somos los responsables de esos datos. Los tratamos para lo mismo que en el apartado 2.1: dar acceso, hacer la prueba de cribado, proponer ejercicios, guardar el progreso, preparar los informes y dar soporte. Los datos los aporta el padre, la madre o el tutor legal, que es quien da el consentimiento por el menor.

2.3. Datos de las cuentas: somos responsables

De la persona que crea una cuenta (un colegio, un docente al que el colegio da acceso, un profesional, una entidad social o una familia) somos responsables. Usamos esos datos para:

Crear y gestionar la cuenta, y permitir el acceso, también con Google o Apple si lo eliges.
Prestar el servicio contratado, cobrarlo y emitir las facturas.
Verificar que un centro educativo es quien dice ser.
Enviarte los correos necesarios para usar el servicio: confirmación del alta, recuperación de contraseña, avisos de la suscripción, de resultados y de actividad.
Atender tus consultas de soporte.
Tramitar las solicitudes de beca.

Las cuentas de los docentes las crea su colegio, que nos facilita su nombre, apellidos y correo, y acepta las condiciones y esta política en su nombre.

2.4. Otros tratamientos que hacemos por nuestra cuenta

Prueba de lo que has aceptado. Guardamos qué versión de las condiciones, de esta política y de la información sobre la prueba de cribado aceptó cada cuenta, cuándo, por qué canal (web o app) y desde qué dirección IP y navegador. Así podemos demostrar tu consentimiento, como exige la ley.
Seguridad. Guardamos la dirección IP desde la que se crea cada cuenta, y registramos las altas que rechazamos por parecer automáticas (motivo, canal e IP) y los intentos fallidos de inicio de sesión (el usuario que se intentó, nunca la contraseña). Sirve para proteger la plataforma frente a abusos.
Encuentros online. Si te inscribes en uno de nuestros encuentros para docentes, usamos tus datos para organizarlo, enviarte el enlace y los recordatorios, escribirte después sobre ese encuentro y analizar la participación para planificar los siguientes. No usamos esas listas para enviarte publicidad. Si además marcas la casilla opcional de la inscripción, que es independiente de la de las condiciones, podremos escribirte para informarte de otros encuentros online; la base es tu consentimiento. Si te inscribes en varios encuentros, vale lo que marcaste en la inscripción más reciente. Puedes retirar esa autorización cuando quieras escribiendo a responsablededatos@changedyslexia.org; la anotamos nosotros al recibir tu correo.
Novedades. Si marcas la casilla correspondiente, podremos enviarte noticias sobre Change Dyslexia y nuestras investigaciones. Puedes retirar ese permiso cuando quieras desde la sección Notificaciones de tu cuenta.
Información de la Fundación “la Caixa”. Si eres un centro o una entidad del programa y marcas la casilla correspondiente, nos das permiso para facilitar el correo de tu cuenta a la Fundación “la Caixa”, para que pueda enviarte información sobre sus actividades. Junto con los datos del apartado 5.1, la Fundación “la Caixa” sabe así qué centros han aceptado recibir sus comunicaciones. Puedes retirar ese permiso cuando quieras escribiéndonos.
Web y cookies. Usamos cookies técnicas para que la web funcione y, solo si lo aceptas, Google Analytics para medir cómo se usa. Lo explica la política de cookies.

2.5. Cuánto tiempo guardamos los datos

Datos de la cuenta y de sus alumnos: mientras la cuenta esté abierta.
Alumno o cuenta que borras desde Dytective: los guardamos 30 días y a partir de entonces los suprimimos definitivamente, de forma automática. Normalmente se hace ese mismo día; solo si hay muchas supresiones pendientes a la vez se reparten entre las noches siguientes, para no afectar al servicio. Ese margen existe para que un centro que borra un alumno por error pueda recuperarlo.
Si nos pides la supresión de tus datos ejerciendo tu derecho, la hacemos en el momento, sin esperar esos 30 días.
Cuentas sin uso: si una cuenta pasa dos años sin usarse (ni la cuenta, ni sus docentes, ni sus alumnos), la borramos y, a partir de los 30 días de margen, la suprimimos. Si el último uso fue hace menos de tres años, antes te avisamos por correo y tienes 7 días para entrar y conservarla. No avisamos cuando la dirección probablemente ya no es tuya (último uso hace más de tres años, una cuenta que nunca se llegó a usar o cuyo correo nunca se validó, o una cuenta cuya baja ya se había iniciado), porque el aviso podría llegarle a otra persona y revelarle que existe la cuenta.
Facturas: por obligación fiscal, las conservamos 6 años desde el final del año en que se emitieron, también si suprimes la cuenta. En ese caso solo guardamos los datos que figuran en la factura (nombre, razón social, NIF y dirección).
Registro de lo que has aceptado: se suprime junto con la cuenta.
Registros de seguridad y de funcionamiento: 10 días.
Errores técnicos del juego: 90 días.
Ficheros de importación de alumnos: los borramos en cuanto se procesan, y como mucho a las 3 horas si la importación se abandona.
Justificantes de las solicitudes de beca: 1 año desde que se resuelve la solicitud.
Inscripciones a encuentros online: 12 meses desde el encuentro. La autorización para informarte de otros encuentros dura 12 meses desde la inscripción en que la diste: pasado ese plazo dejamos de escribirte, salvo que vuelvas a autorizarlo en una inscripción nueva.
Constancia de las supresiones que hacemos (cuándo, qué se suprimió y por qué motivo, con un identificador interno y sin tu nombre, tu correo ni ningún otro dato tuyo) y de las comunicaciones de datos para investigación: 6 años, para poder demostrar que cumplimos la ley.
Copias de seguridad: se borran solas a los 7 días.

Hay datos que no dependen de nosotros: Stripe, que gestiona los pagos, conserva sus propios registros de los pagos el tiempo que le exige la ley. Y lo que ya hemos comunicado a otros (apartado 5) sigue sus propias reglas.

Con los alumnos de un centro trabajamos por su encargo; con las cuentas y con los hijos de las familias decidimos nosotros. Lo que borras se suprime de verdad a partir de los 30 días, y si nos pides la supresión, en el momento.

3. Bases legales y datos que recogemos

La ley solo permite tratar datos personales si hay una razón que lo justifique, que llama base jurídica. Estas son las nuestras.

3.1. Por qué podemos tratar los datos

Para darte el servicio que contratas (cuenta, acceso, facturación, soporte, correos del servicio): porque es necesario para cumplir el contrato contigo.
Para conservar las facturas y demostrar qué has aceptado: porque nos lo exige la ley.
Para la seguridad de la plataforma: por nuestro interés legítimo en protegerla, y la de nuestros usuarios, frente a abusos.
Para tratar los datos de los hijos de una familia: el consentimiento del padre, la madre o el tutor legal. En España, los menores de 14 años necesitan el consentimiento de quien tenga su patria potestad o tutela.
Para las novedades, Google Analytics y los encuentros online: tu consentimiento, que puedes retirar cuando quieras.
Para los datos de los alumnos de un colegio, profesional o entidad: la base la tiene el colegio, el profesional o la entidad, que es el responsable. Nosotros los tratamos por su encargo.

3.2. Qué datos recogemos

De cada alumno (los introduce el centro, el profesional, la entidad o la familia):

Nombre de usuario y contraseña. Pedimos que el nombre de usuario no sea el nombre real del niño.
Fecha de nacimiento y sexo.
Idioma, y cuatro respuestas de sí o no: si su lengua materna es el idioma en que usa Dytective (castellano o catalán), si ha suspendido lengua alguna vez, si ya sabe leer y si es bilingüe. La lengua materna y los suspensos en lengua se tienen en cuenta en la prueba de cribado, y saber leer, para elegir los ejercicios. La de bilingüe la recogemos para los nuevos modelos de la prueba de cribado que estamos desarrollando.
Las respuestas de la prueba de cribado y su resultado.
Su actividad en los ejercicios: sesiones, niveles, aciertos y fallos.

El resultado de la prueba es un dato de salud, que la ley protege especialmente. La prueba de cribado indica si hay riesgo de dislexia; no es un diagnóstico.

De cada cuenta: nombre y apellidos, correo electrónico, contraseña, teléfono (opcional), país, centro o tipo de profesional e idioma. Si entras con Google o Apple, el identificador de esa cuenta. Si eres una entidad social, su nombre, CIF, dirección y ubicación (coordenadas, código postal, municipio, provincia y comunidad autónoma). Para facturar: razón social, NIF y dirección. Y la dirección IP desde la que te das de alta.

Si pides una beca: el motivo y un justificante de otra ayuda que recibas, que puede incluir información sobre tu situación económica.

Si te inscribes en un encuentro online: nombre, correo, país, centro, papel y cursos en que das clase, cuánto usas Dytective, las preguntas que quieras plantear, la dirección IP de la inscripción, si te conectaste y si nos autorizas a informarte de otros encuentros. Te pedimos que en los campos de texto no escribas datos de tus alumnos.

3.3. El consentimiento de las familias de los alumnos

Un colegio, un profesional o una entidad social que usa Dytective con sus alumnos es el responsable de sus datos, y por eso le corresponde a él informar a las familias y obtener su consentimiento por los medios que considere adecuados. Al aceptar nuestras condiciones del servicio, declara que cuenta con ese consentimiento.

Para ayudarle, ponemos a su disposición un formulario de ejemplo que puede adaptar.

Tratamos los datos para darte el servicio, porque la ley nos lo pide, por seguridad o porque lo has consentido. El resultado de la prueba de cribado es un dato de salud y no es un diagnóstico. Las familias de los alumnos de un centro dan su consentimiento al centro.

4. Seguridad y dónde están los datos

Aplicamos medidas técnicas y organizativas para proteger los datos frente a pérdidas, accesos indebidos o alteraciones: conexiones cifradas, contraseñas guardadas de forma que nadie pueda leerlas, permisos para que cada cuenta solo vea sus propios alumnos, y acceso del personal de Change Dyslexia limitado a quien lo necesita y con cuenta corporativa.

Dónde se guardan. La base de datos, sus copias de seguridad y los servidores de Dytective están en la Unión Europea, en centros de datos de DigitalOcean en Fráncfort (Alemania) y Ámsterdam (Países Bajos). DigitalOcean es una empresa de Estados Unidos y puede acceder a ellos desde allí para mantener el servicio, con las garantías que explica el apartado 5.5.

Protegemos los datos y los guardamos en la Unión Europea, aunque algunos proveedores pueden acceder desde fuera con garantías legales.

5. A quién comunicamos datos

No vendemos datos personales ni los usamos con fines publicitarios. Estos son los únicos casos en que los comunicamos a otros.

5.1. La Fundación “la Caixa”: centros del programa

La Fundación “la Caixa” hace posible que Dytective sea gratuito para los centros educativos de su programa. A cambio, y según el contrato que tenemos con ella, le facilitamos datos de esos centros y datos anonimizados de sus alumnos para que mida el impacto del programa y elabore estadísticas sobre la prevalencia de la dislexia en España. Es una condición para acceder gratis a Dytective a través del programa, y el centro lo autoriza al aceptar nuestras condiciones y el contrato de encargo del tratamiento.

De cada centro: un identificador interno, su código oficial de centro, nombre, fecha de alta en Dytective, comunidad autónoma, provincia y municipio, y si ha aceptado recibir información de la Fundación “la Caixa” (apartado 2.4).
De cada alumno dado de alta desde el 1 de septiembre de 2025, sin nada que lo identifique: el código de su centro, el mes y el año en que se dio de alta, el sexo, el año de nacimiento (no la fecha), el idioma en que juega, cuántas sesiones ha hecho desde el 1 de octubre de 2025, el día de la última, si ha hecho la prueba de cribado y si el último resultado indica riesgo o no.

No se entrega ningún identificador del alumno, ni su nombre de usuario o su contraseña, ni sus respuestas sobre lengua y lectura. La Fundación “la Caixa” no tiene las listas de clase ni ningún otro dato de los alumnos, así que no puede saber a qué niño corresponde cada fila: por eso, según el criterio de nuestra delegada de protección de datos y de la persona delegada de protección de datos de la Fundación “la Caixa” (octubre de 2026), para la Fundación “la Caixa” son datos anonimizados. Change Dyslexia no los entrega a nadie más. Un alumno que el centro borra deja de entregarse en el momento.

5.2. Investigación universitaria: centros del programa

Con los centros del programa de la Fundación “la Caixa” colaboramos con un grupo de investigación universitario que estudia el impacto del programa en los alumnos. Le entregamos los datos dos veces, al principio y al final del estudio, sin nada que permita saber quién es cada alumno ni cada centro:

De cada centro: municipio, provincia, comunidad autónoma, si es público, privado o concertado, cuándo se dio de alta, cuántos alumnos y sesiones tiene, y cuándo fueron su primera y su última sesión.
De cada alumno: solo el año de nacimiento (no la fecha), el sexo, las respuestas de sí o no sobre lengua materna, bilingüismo y suspensos en lengua, sus sesiones (fecha y nivel alcanzado) y si el resultado de su última prueba indica riesgo o no.

No salen nombres, nombres de usuario, códigos de centro ni ningún identificador nuestro. Cada entrega usa identificadores nuevos y al azar, y no guardamos ninguna tabla que permita relacionarlos con un alumno o un centro, así que ni nosotros podemos saber a quién corresponde cada fila. Nuestra delegada de protección de datos ha revisado esta lista de datos y considera que, así, los datos están anonimizados (criterio de 1 de octubre de 2026, reconfirmado el 6 de octubre de 2026). Esa valoración se refiere al grupo de investigación que los recibe, y cambiaría si los datos se publicaran o se cedieran a otros. Por eso el grupo se ha comprometido por contrato (firmado el 7 de octubre de 2026) a no intentar identificar a nadie, a no cruzar los datos con otras fuentes y a no publicarlos ni comunicarlos a terceros: solo publica resultados agregados. Change Dyslexia tampoco los publica ni los cede a nadie más. Un centro sin alumnos no aparece, porque no hay nada que entregar.

El grupo de investigación conserva los datos hasta publicar sus resultados, y como máximo 3 años desde cada entrega; después los borra y nos lo certifica.

El centro puede oponerse en cualquier momento escribiendo a nuestra delegada de protección de datos, en dpo@changedyslexia.org. Desde ese momento sus datos no se incluyen en ninguna entrega. Lo ya entregado no se puede retirar, porque no hay forma de saber qué filas son las suyas.

5.3. Proveedores que tratan datos por nuestro encargo

Para prestar el servicio usamos estos proveedores. Solo tratan los datos siguiendo nuestras instrucciones, con un contrato que los obliga a protegerlos:

DigitalOcean (servidores, base de datos y copias de seguridad).
Brevo (envío de todos nuestros correos y listas de los encuentros online, a las que solo enviamos nombre y correo).
Google: Firebase Authentication (entrar con Google o Apple), Google Analytics (medición de uso, solo si aceptas las cookies) y Google Meet (sala de los encuentros online).
Stripe (pagos con tarjeta). Recibe tu correo y los datos del pago, nunca datos de alumnos. Los datos de la tarjeta van directamente de tu navegador a Stripe y no pasan por nuestros servidores.
RevenueCat (compras dentro de la app).
Freshworks (Freshdesk, nuestra herramienta de soporte).
Sentry (registro de errores de la app).

5.4. Terceros que tratan datos por su cuenta

Stripe usa parte de los datos de los pagos para sus propios fines: prevenir el fraude, cumplir sus obligaciones legales y mejorar sus servicios. En eso es responsable por su cuenta.
Google (Google Maps Platform), solo en el alta de una cuenta de entidad social en España. Recibe lo que escribes en el campo de dirección para proponerte direcciones (Places) y, cuando eliges una, nos devuelve sus coordenadas, código postal, municipio, provincia y comunidad autónoma (Geocoding), que guardamos con los datos de la entidad. La consulta la hace nuestro servidor, así que Google no recibe tu dirección IP. Google trata esos datos por su cuenta, como responsable, y puede usarlos para sus propios fines.
Administraciones y tribunales, cuando la ley nos obligue.

5.5. Transferencias fuera de la Unión Europea

Varios de estos proveedores son de Estados Unidos o tienen filiales o proveedores allí, y pueden tratar datos desde fuera del Espacio Económico Europeo: DigitalOcean, Brevo, Google, Stripe, RevenueCat, Freshworks y Sentry. Brevo y Stripe pueden hacerlo también desde la India.

Esas transferencias se hacen con las garantías que exige el RGPD: el Marco de Privacidad de Datos UE-EE. UU., para las empresas adheridas, y las cláusulas contractuales tipo aprobadas por la Comisión Europea.

No vendemos datos. Los compartimos con los proveedores que necesitamos para dar el servicio. De los alumnos de los centros del programa de la Fundación “la Caixa”, la Fundación “la Caixa” y un grupo de investigación universitario reciben solo datos anonimizados.

6. Tus derechos

Puedes pedirnos en cualquier momento:

Acceso: saber qué datos tuyos tenemos y obtener una copia.
Rectificación: corregir los que estén mal.
Supresión: que los borremos.
Oposición: que dejemos de tratarlos para un fin concreto.
Limitación: que los guardemos sin usarlos mientras se resuelve una reclamación.
Portabilidad: recibirlos en un formato que puedas llevar a otro servicio.
Retirar tu consentimiento, cuando sea esa la base, sin que eso afecte a lo ya hecho.

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre nadie. El resultado de la prueba de cribado es una orientación para el centro o la familia, no una decisión.

6.1. Cómo ejercerlos

Escribe a responsablededatos@changedyslexia.org o a nuestra delegada de protección de datos, en dpo@changedyslexia.org, diciendo qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, podemos pedirte que la acredites. Te responderemos en el plazo de un mes.

Si se trata de los datos de un alumno de un colegio, profesional o entidad social, el responsable es él: dirígete a él. Si nos escribes a nosotros, se lo trasladaremos y le ayudaremos a atenderte.

6.2. Si no estás de acuerdo

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Te agradeceremos que antes nos escribas, para intentar resolverlo.

Puedes ver, corregir, borrar o llevarte tus datos, y oponerte a ciertos usos. Escríbenos y te respondemos en un mes. Si los datos son de un alumno de un centro, dirígete al centro.

7. Cambios en esta política

Si cambiamos esta política de forma importante, te lo diremos y, cuando haga falta, te pediremos que la vuelvas a aceptar al entrar en Dytective. Guardamos qué versión aceptó cada cuenta.

Si la política cambia, te avisamos y, si hace falta, te pedimos que la aceptes de nuevo.