Política de privacidad

Última actualización: 1 de octubre de 2026

Esta política explica qué datos personales se tratan al usar Penwin In: la app para iOS y Android, el panel de administración de in.penwin.cloud y auth.penwin.cloud, y el servicio que autentica a los dispositivos en la WiFi de los centros educativos que lo tienen contratado.

1. Quién trata tus datos

Penwin In es un servicio de Baby Penguin, S.L. (marca comercial PenwinEdu), con NIF B66358623 y domicilio en Benet Cortada, 14 · 08174 Sant Cugat del Vallès (Barcelona). Puedes escribirnos a info@penwin.org.

Según de quién sean los datos, actuamos en uno de estos dos papeles:

Encargado del tratamiento. Los datos del alumnado, el profesorado, el personal y los invitados que se conectan a la WiFi de un centro los tratamos por cuenta de ese centro, que es el responsable del tratamiento: decide quién puede conectarse y con qué finalidad, y nos da las instrucciones en el contrato de encargo que firma con nosotros.
Responsable del tratamiento. Lo somos de los datos de las personas que administran el servicio en nombre de un centro (su cuenta del panel y los datos de facturación) y de quienes nos escriben.

2. Qué datos tratamos y para qué

Al usar la app Penwin In

Tu correo electrónico del centro. Lo escribes para identificarte. Con él comprobamos que perteneces a un centro que usa el servicio y te enviamos un código de un solo uso. El código no se guarda: solo conservamos una huella que permite comprobarlo, junto con la dirección IP desde la que se pidió, para evitar abusos.
El nombre y el modelo de tu dispositivo (por ejemplo, «iPhone · iPhone15,2») y su sistema (iOS o Android), para que tú y el administrador de tu centro podáis reconocer a qué aparato corresponde cada certificado.
El certificado digital que te emitimos: su número de serie, a nombre de quién está y sus fechas de emisión, caducidad y, en su caso, revocación. Es lo que identifica a tu dispositivo en la WiFi en lugar de una contraseña. El certificado y su clave se instalan en tu dispositivo.
Un identificador para notificaciones, solo en iOS y solo si las aceptas. Sirve para avisarte de que tu certificado ha sido revocado. No se usa para publicidad.
Si entras como invitado, el código que te ha dado el centro, en lugar del correo.
Informes de errores. Si la app falla, se envía un informe técnico (el error, la versión de la app y del sistema y el modelo del dispositivo) para poder corregirlo.

La app no accede a tu ubicación, tus contactos, tus fotos, tu cámara ni tu micrófono; no muestra publicidad, no incluye rastreadores de terceros con fines comerciales y no elabora perfiles.

Al conectarte a la WiFi del centro

Cada vez que un dispositivo intenta conectarse, el servicio registra:

el usuario o el certificado con el que se identifica;
la dirección MAC del dispositivo;
el punto de acceso, el nombre de la red y la dirección IP pública del centro desde la que llega la petición;
la fecha y la hora, el resultado (aceptado o rechazado), el motivo y la red (VLAN) asignada.

Estos registros sirven para decidir si el dispositivo puede entrar, para que el centro pueda resolver incidencias de conexión y para proteger la red. No registramos ni inspeccionamos tu navegación: el servicio solo interviene en el momento de conectarse.

Cuando la conexión se hace con usuario y contraseña, la contraseña se comprueba contra el directorio del centro (Google Workspace o Microsoft 365) o contra las cuentas que el propio centro haya creado en el panel; en ese último caso solo se guarda su huella (hash), nunca la contraseña en claro.

Al administrar el servicio desde el panel

Cuenta de administrador: nombre, correo electrónico y centro al que pertenece, para darle acceso y enviarle los avisos del servicio.
Directorio del centro: si el centro conecta su Google Workspace o Microsoft 365, se sincronizan el nombre, el correo, el grupo o la unidad organizativa y el estado de cada cuenta, que es lo necesario para saber quién puede conectarse y a qué red.
Dispositivos dados de alta: su dirección MAC, la etiqueta que se les ponga y la persona a la que están asignados.
Facturación: los datos de pago los gestiona nuestro proveedor de pagos; nosotros no almacenamos los números de tarjeta.
Asistente del panel: las preguntas que el administrador le escribe se envían a un proveedor de modelos de inteligencia artificial para generar la respuesta.

Al visitar esta web

Solo usamos las cookies técnicas imprescindibles para mantener la sesión de quien entra en el panel. No usamos cookies de analítica ni de publicidad.

3. Con qué base jurídica

Datos de las personas que se conectan a la WiFi: la base la determina el centro como responsable (normalmente, el cumplimiento de su función educativa y su interés legítimo en proteger su red). Nosotros los tratamos en ejecución del contrato de encargo.
Cuentas de administrador y facturación: la ejecución del contrato con el centro.
Notificaciones de la app: tu consentimiento, que puedes retirar en los ajustes del dispositivo.
Informes de errores y medidas contra el abuso: nuestro interés legítimo en mantener el servicio seguro y en funcionamiento.

4. Cuánto tiempo los conservamos

Registros de conexión a la WiFi: 90 días; después se borran automáticamente.
Códigos de un solo uso: caducan a los 10 minutos y no pueden reutilizarse.
Certificados e identificadores de notificación: mientras el certificado esté en vigor y el centro mantenga tu acceso. El centro puede revocarlo en cualquier momento.
Cuentas y dispositivos del centro: mientras dure el contrato con el centro. Al terminar, los datos se eliminan o se devuelven al centro, según nos indique.
Datos de facturación: durante los plazos que exige la normativa mercantil y fiscal.

5. Con quién los compartimos

No vendemos datos ni los cedemos con fines comerciales. Los ve el centro educativo al que perteneces, a través de su panel, y los tratan por cuenta nuestra estos proveedores, con los que tenemos contratos de encargo de tratamiento:

Supabase: base de datos y almacenamiento, en la Unión Europea (Fráncfort).
Hetzner: servidor que autentica las conexiones a la WiFi, en la Unión Europea.
Vercel: alojamiento de la web, el panel y la API.
Resend: envío de los correos del servicio, como el del código de acceso.
Sentry: informes de errores, en la Unión Europea (Alemania).
Google Firebase: entrega de las notificaciones de la app en iOS, a través de Apple.
Stripe: cobro de las suscripciones de los centros.
Anthropic y Mistral AI: generación de las respuestas del asistente del panel.

Algunos de estos proveedores tienen su matriz fuera del Espacio Económico Europeo, lo que puede suponer una transferencia internacional de datos. En ese caso se ampara en las garantías que prevé la normativa: decisiones de adecuación de la Comisión Europea o cláusulas contractuales tipo.

Fuera de estos casos, solo comunicaremos datos cuando una ley o una autoridad competente nos obligue.

6. Datos de menores

Penwin In se usa en centros educativos y parte de sus usuarios son menores de edad. El alta de cada alumno la decide y la gestiona su centro, que es quien informa a las familias y, cuando hace falta, recaba su autorización. Nosotros no pedimos a los menores más datos que los descritos aquí ni los usamos para otra cosa que darles acceso a la WiFi de su centro.

7. Tus derechos y cómo eliminar tus datos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad:

Si eres alumno, docente, personal o invitado de un centro, dirigiéndote a tu centro, que es el responsable de tus datos. Si nos escribes a nosotros, trasladaremos tu solicitud al centro y le ayudaremos a atenderla.
Si administras el servicio o nos has escrito, escribiendo a info@penwin.org e indicando el derecho que ejercitas.

Para eliminar tus datos de la app, pide a tu centro que revoque tu certificado y dé de baja tu acceso, o escríbenos a info@penwin.org desde el correo con el que te diste de alta: revocaremos el certificado y borraremos el identificador de notificaciones asociado. En tu dispositivo, basta con desinstalar la app y quitar el perfil o el certificado de la WiFi desde los ajustes del sistema.

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Seguridad

Todas las comunicaciones de la app, la web y el panel van cifradas. El acceso a la WiFi se basa en certificados digitales individuales o en credenciales comprobadas dentro de un túnel cifrado, las contraseñas y los códigos se guardan como huellas (hash), nunca en claro, y cada centro solo puede ver los datos de sus propios usuarios.

9. Cambios en esta política

Si cambiamos la forma en que tratamos los datos, actualizaremos esta página y la fecha que figura al principio. Cuando el cambio sea relevante, avisaremos además a los centros.