Política de Privacidad

Fecha de entrada en vigor: 8 de septiembre de 2026  |  Última actualización: 8 de septiembre de 2026

La presente Política de Privacidad explica cómo Zentrum24 LLC («Zentrum24 Academy», «nosotros» o «nuestro») recopila, utiliza, comunica y protege los datos personales en relación con la plataforma de formación en cumplimiento normativo Zentrum24 Academy (el «Servicio») — un sistema de gestión del aprendizaje (LMS) SaaS multiinquilino destinado al personal de los sectores farmacéutico y de ciencias de la vida sujetos a regulación (GxP). Asimismo, describe los derechos que asisten a las personas físicas en virtud del Reglamento General de Protección de Datos de la UE («GDPR»), el UK GDPR, la California Consumer Privacy Act, en su versión modificada por la CPRA («CCPA/CPRA»), y normas equivalentes.

Le rogamos que lea la presente Política junto con nuestra Política de Cookies, nuestra página de Subencargados y —en el caso de los clientes— el Anexo de Tratamiento de Datos («DPA») que forma parte de nuestro contrato de cliente. Si alguna cláusula del DPA entrara en conflicto con la presente Política en lo relativo a los Datos de Formación del Cliente (definidos más adelante), prevalecerá el DPA.

1. Quiénes somos y nuestras funciones (responsable del tratamiento frente a encargado del tratamiento)

Zentrum24 LLC es la entidad responsable del Servicio.

• Entidad registrada: Zentrum24 LLC
• Domicilio social: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Contacto de privacidad / DPO: contact@zentrum24.com
• Representante en la UE / el Reino Unido (en su caso, conforme al Art. 27 GDPR): No designado actualmente.

Nuestra función con arreglo a la normativa de protección de datos depende de la categoría de datos:

• Zentrum24 Academy actúa como encargado del tratamiento (un «proveedor de servicios» conforme a la CCPA/CPRA) respecto de los Datos de Formación del Cliente. Cuando una organización («Cliente» — normalmente un empleador) se suscribe al Servicio y carga o genera datos de formación relativos a su propio personal, el Cliente es el responsable del tratamiento y determina los fines y los medios del tratamiento. Zentrum24 Academy trata dichos datos únicamente siguiendo las instrucciones documentadas del Cliente, según se establece en el contrato de cliente y en el DPA. Los «Datos de Formación del Cliente» comprenden las identidades de los alumnos, las asignaciones de formación basadas en funciones, las finalizaciones de cursos, las puntuaciones de los cuestionarios, las firmas electrónicas conforme a 21 CFR Part 11, los certificados de finalización y los registros de auditoría a prueba de manipulaciones asociados.
• Zentrum24 Academy actúa como responsable del tratamiento (una «empresa» conforme a la CCPA/CPRA) respecto de los Datos de Cuenta y de Facturación y respecto de los datos que utilizamos para operar, proteger y mejorar el Servicio. Ello incluye la información de cuenta y de suscripción del Cliente, los datos de contacto de los administradores y demás contactos de la cuenta, los registros de facturación y nuestros propios registros de seguridad, operativos y de diagnóstico. Respecto de estos datos, Zentrum24 Academy determina los fines y los medios y responde directamente frente a las personas afectadas.

Usuarios finales (alumnos), tengan en cuenta lo siguiente: si utiliza Zentrum24 Academy porque su empleador u otra organización le ha facilitado el acceso, dicha organización —y no Zentrum24 Academy— es el responsable del tratamiento de sus registros de formación. Las preguntas sobre el uso que su empleador hace de sus datos, y la mayoría de las solicitudes de acceso o de supresión de registros de formación, deben dirigirse a dicha organización. Véase la Sección 9 (Sus derechos).

2. Qué datos recopilamos

2.1 Datos de cuenta (Zentrum24 Academy como responsable del tratamiento)

• Datos de la organización / del inquilino: denominación de la organización, plan y nivel de suscripción y parámetros de configuración.
• Datos del administrador y del contacto de la cuenta: nombre completo, dirección de correo electrónico profesional y función.

2.2 Datos personales de los usuarios (como encargado del tratamiento por cuenta de los Clientes; como responsable del tratamiento respecto de los administradores y contactos con los que tratamos directamente)

• Nombre completo, dirección de correo electrónico profesional e identificador de empleado opcional.
• Función RBAC asignada (administrador de inquilino, autor, gestor o alumno) y relaciones de dependencia jerárquica con el gestor.
• Datos de autenticación: contraseñas protegidas mediante hash (bcrypt), secretos de autenticación multifactor (TOTP) y códigos de respaldo y, cuando esté habilitado, identificadores SSO/SCIM. Los secretos se almacenan mediante cifrado de sobre de tipo KMS; no almacenamos contraseñas en texto claro.

2.3 Registros de formación (Datos de Formación del Cliente — Zentrum24 Academy como encargado del tratamiento)

• Asignaciones de cursos y de planes formativos, fechas de vencimiento y calendarios de recertificación.
• Progreso en los cursos SCORM, intentos y puntuaciones de los cuestionarios y estado de finalización.
• Firmas electrónicas conforme a 21 CFR Part 11 (identidad del firmante, significado de la firma, marca de tiempo) y certificados de finalización generados en PDF/A.

2.4 Datos de facturación (Zentrum24 Academy como responsable del tratamiento)

• Plan de suscripción, ciclo de facturación, facturas y estado de pago. Los datos de las tarjetas de pago son recopilados y tratados directamente por Stripe, Inc.; Zentrum24 Academy no almacena números de tarjeta completos.

2.5 Datos de auditoría, de seguridad y técnicos (Zentrum24 Academy como responsable del tratamiento a efectos de seguridad y operativa; reflejados en las pistas de auditoría del Cliente en calidad de encargado del tratamiento)

• Entradas del registro de auditoría, encadenadas mediante hash y a prueba de manipulaciones, que documentan eventos relevantes para la seguridad y el cumplimiento normativo.
• Dirección IP, información del agente de usuario o navegador, marcas de tiempo, actividad de la sesión y contadores de limitación de velocidad.
• Datos de diagnóstico y de error utilizados para detectar y resolver errores de la plataforma.

No recopilamos intencionadamente categorías especiales de datos personales (datos sensibles) a través del Servicio. Le rogamos que no cargue datos de salud, biométricos u otros datos sensibles en campos de texto libre, salvo que así se haya acordado expresamente con nosotros por escrito.

3. Cómo y por qué utilizamos los datos, y nuestras bases jurídicas

Cuando Zentrum24 Academy actúa como encargado del tratamiento, utilizamos los Datos de Formación del Cliente únicamente para prestar el Servicio siguiendo las instrucciones del Cliente; corresponde al Cliente determinar la base jurídica de su propio tratamiento (normalmente, sus intereses legítimos en la formación de su personal y sus obligaciones legales y regulatorias en el marco GxP). Cuando Zentrum24 Academy actúa como responsable del tratamiento, nos amparamos en las siguientes bases jurídicas conforme al GDPR / UK GDPR:

• Para prestar, administrar y proteger el Servicio — incluidas la autenticación, el RBAC, la MFA, el aislamiento entre inquilinos, la limitación de velocidad y el registro de auditoría. Base jurídica: ejecución de un contrato (Art. 6(1)(b)) con el Cliente y nuestros intereses legítimos (Art. 6(1)(f)) en operar una plataforma segura y fiable.
• Para gestionar la facturación y las suscripciones — emisión de facturas, conciliación de pagos y aplicación de las condiciones del plan a través de Stripe. Base jurídica: ejecución de un contrato; cumplimiento de obligaciones legales (Art. 6(1)(c)), p. ej., fiscales y contables; e intereses legítimos en el cobro de las cantidades adeudadas.
• Para proteger la plataforma y prevenir abusos — supervisión, detección de intrusiones, bloqueo de cuentas y verificación de la integridad de la cadena de auditoría. Base jurídica: intereses legítimos en la seguridad y en la prevención del fraude; cumplimiento de obligaciones legales.
• Para prestar soporte a los clientes y comunicar mensajes de servicio — atención de solicitudes y envío de avisos operativos (p. ej., notificaciones de seguridad o de disponibilidad). Base jurídica: ejecución de un contrato; intereses legítimos.
• Para mejorar y mantener el Servicio — diagnósticos agregados y resolución de incidencias. Base jurídica: intereses legítimos, ponderados frente a sus derechos; minimizamos los datos y, cuando resulta viable, los agregamos o los despersonalizamos.
• Para cumplir nuestras propias obligaciones legales, regulatorias y de cumplimiento normativo y para formular, ejercer o defender reclamaciones. Base jurídica: obligación legal; intereses legítimos.
• Cookies analíticas opcionales y cualesquiera comunicaciones de marketing, cuando proceda. Base jurídica: consentimiento (Art. 6(1)(a)), que puede retirar en cualquier momento.

Conforme a la CCPA/CPRA, los «fines empresariales o comerciales» para los que utilizamos la información personal se corresponden con los usos descritos anteriormente. Zentrum24 Academy no «vende» información personal ni la «comparte» con fines de publicidad conductual de contexto cruzado, en el sentido en que dichos términos se definen en la CCPA/CPRA. No utilizamos información personal sensible para fines que exijan reconocer un derecho de limitación.

4. Cookies y tecnologías similares

El Servicio utiliza una cookie de sesión esencial estrictamente necesaria — un JWT sin estado almacenado en una cookie httpOnly — para mantener su sesión iniciada, aplicar el cierre de sesión por inactividad y protegerle frente a la falsificación de peticiones en sitios cruzados. Esta cookie resulta imprescindible para el funcionamiento del Servicio y no se utiliza con fines publicitarios.

Cuando esté habilitada, podremos utilizar además analítica opcional para comprender el uso y mejorar el Servicio; estas herramientas solo se activan con su consentimiento cuando así se exija. Puede aceptar o rechazar las cookies no esenciales y retirar su consentimiento en cualquier momento a través de nuestros controles de cookies. Para consultar la lista completa de cookies, sus finalidades, su duración y la forma de gestionarlas, véase nuestra Política de Cookies.

5. Comunicación de datos y subencargados del tratamiento

No vendemos datos personales. Únicamente comunicamos datos personales según se describe a continuación:

• Al Cliente correspondiente (responsable del tratamiento): los datos de formación de un alumno son accesibles para los administradores y gestores de su propia organización dentro de ese inquilino.
• A subencargados del tratamiento que nos ayudan a operar el Servicio en virtud de contratos escritos que imponen obligaciones de protección de datos al menos tan protectoras como la presente Política y nuestro DPA. Nuestros subencargados actuales son:
  • Vercel Inc. — alojamiento de la aplicación y distribución de contenidos; Estados Unidos.
  • Supabase — base de datos PostgreSQL gestionada y almacenamiento de objetos privado y cifrado; Estados Unidos.
  • Stripe, Inc. — procesamiento de pagos y facturación de suscripciones; Estados Unidos.
  • Proveedor de correo electrónico / SMTP — envío de correo electrónico transaccional; todavía no se ha seleccionado un proveedor, que se añadirá aquí antes del lanzamiento.
  Para consultar la lista vigente y de referencia y para suscribirse a las notificaciones de cambios, véase nuestra página de Subencargados.
• Por motivos legales y de seguridad: cuando resulte necesario para cumplir la ley, un proceso legal válido o un requerimiento regulatorio, o para proteger los derechos, la seguridad y la integridad de Zentrum24 Academy, de nuestros Clientes o de terceros. Cuando estén implicados datos de un Cliente, se lo notificaremos siempre que la ley lo permita.
• En el marco de una operación societaria: en relación con una fusión, adquisición, financiación o venta de activos, con sujeción a la presente Política y a la legislación aplicable.

6. Transferencias internacionales de datos

El Servicio está alojado en Vercel (alojamiento de la aplicación) y en Supabase (base de datos PostgreSQL gestionada y almacenamiento de objetos), con tratamiento principal en los Estados Unidos (AWS us-east-1 (Northern Virginia, United States)). Si accede al Servicio desde el Espacio Económico Europeo, el Reino Unido u otra jurisdicción con normas sobre transferencias transfronterizas, sus datos personales podrán transferirse y tratarse en los Estados Unidos o en otros países cuya legislación pueda diferir de la de su jurisdicción.

Cuando transferimos datos personales a escala internacional, nos amparamos en garantías adecuadas, incluidas las Standard Contractual Clauses (SCCs) de la Comisión Europea y el International Data Transfer Addendum del Reino Unido, junto con medidas técnicas y organizativas complementarias (como el cifrado en tránsito y en reposo). Puede solicitar una copia del mecanismo de transferencia aplicable en contact@zentrum24.com. Nuestro DPA establece las condiciones de transferencia aplicables a los Datos de Formación del Cliente.

7. Conservación de los datos

Respecto de los Datos de Formación del Cliente, Zentrum24 Academy conserva los datos mientras la suscripción del Cliente permanezca activa y conforme a las instrucciones del Cliente, de modo que este pueda cumplir sus propias obligaciones de conservación de registros GxP (los registros de formación, las firmas electrónicas, los certificados y las pistas de auditoría deben conservarse con frecuencia durante períodos prolongados en virtud de 21 CFR Part 11, EU Annex 11 y requisitos conexos). A la terminación, devolveremos o suprimiremos los Datos de Formación del Cliente de conformidad con el DPA, sin perjuicio de cualesquiera obligaciones legales de conservación.

Respecto de los datos de Cuenta, de Facturación y de seguridad en los que actuamos como responsables del tratamiento, conservamos los datos durante la vigencia de la relación con el cliente y, con posterioridad, únicamente durante el tiempo necesario para los fines descritos en la presente Política — por ejemplo, para cumplir obligaciones fiscales, contables, de auditoría y de defensa jurídica, y para preservar la integridad de la cadena de auditoría a prueba de manipulaciones. Plazos de conservación específicos: registros de facturación y fiscales durante siete (7) años; registros de seguridad y de auditoría durante 24 meses; registros de formación y de examen durante el tiempo que exijan las obligaciones de conservación regulatorias del propio cliente.

8. Cómo protegemos los datos (medidas de seguridad)

Zentrum24 Academy aplica medidas técnicas y organizativas destinadas a proteger los datos personales, entre ellas:

• Aislamiento estricto entre inquilinos mediante seguridad a nivel de fila (RLS) de PostgreSQL, aplicada a través de un rol de aplicación sin privilegios de superusuario, de modo que los datos de un Cliente no puedan ser leídos por otro.
• Cifrado en tránsito (TLS) y en reposo, incluidos el almacenamiento de objetos cifrado y una base de datos PostgreSQL cifrada (Supabase).
• Autenticación robusta: autenticación multifactor (TOTP con códigos de respaldo), hash de contraseñas con bcrypt y complejidad configurable, historial de contraseñas y bloqueo de la cuenta tras intentos fallidos reiterados.
• Protección de secretos: cifrado de sobre de tipo KMS para los secretos de MFA y de SSO almacenados.
• Control de acceso: control de acceso basado en funciones (administrador de inquilino, autor, gestor, alumno) y, en los niveles elegibles, SSO SAML con aprovisionamiento SCIM.
• Controles de sesión y de abuso: sesiones JWT sin estado en cookies httpOnly con cierre por inactividad, además de limitación de velocidad por inquilino y por usuario.
• Integridad y responsabilidad proactiva: un registro de auditoría encadenado mediante hash y a prueba de manipulaciones, y firmas electrónicas conformes con 21 CFR Part 11.

Ningún sistema puede garantizarse como perfectamente seguro. Mantenemos procedimientos de respuesta ante incidentes y notificaremos a los Clientes afectados y, cuando así se exija, a las autoridades de control y a los interesados cualquier violación de la seguridad de los datos personales, de conformidad con la legislación aplicable y con el DPA.

9. Sus derechos

Con sujeción a la legislación aplicable, las personas físicas disponen de derechos sobre sus datos personales, que pueden comprender:

• Acceso — obtener confirmación de los datos personales que tratamos sobre usted, así como una copia de estos.
• Rectificación — corregir datos inexactos o incompletos.
• Supresión («derecho al olvido») — obtener la eliminación de los datos en determinadas circunstancias.
• Portabilidad — recibir determinados datos en un formato estructurado, de uso común y de lectura mecánica.
• Limitación y oposición — limitar determinados tratamientos u oponerse a ellos, incluidos los basados en intereses legítimos.
• Retirada del consentimiento — cuando el tratamiento se base en el consentimiento (p. ej., analítica opcional), en cualquier momento, sin que ello afecte a los tratamientos anteriores.
• Derechos conforme a la CCPA/CPRA — conocer, suprimir y corregir la información personal, y no sufrir discriminación por ejercer estos derechos. Dado que no vendemos ni compartimos información personal con fines de publicidad conductual de contexto cruzado, y que no utilizamos información personal sensible para fines que así lo requieran, no resultan de aplicación los derechos de exclusión voluntaria de la venta o comunicación ni de limitación del uso de datos sensibles; si ello llegara a cambiar, las solicitudes se atenderán como tales. Puede actuar a través de un agente autorizado y verificaremos las solicitudes conforme exija la ley.

Las solicitudes de los usuarios finales (alumnos) se canalizan normalmente a través de su empleador o Cliente. Respecto de los datos de formación, su organización es el responsable del tratamiento. Si usted es alumno y desea ejercer derechos sobre sus registros de formación, diríjase al administrador de su organización; si se dirige directamente a Zentrum24 Academy, remitiremos o trasladaremos su solicitud al Cliente correspondiente y le asistiremos en su respuesta, conforme a nuestras obligaciones como encargado del tratamiento. No decidimos el resultado de tales solicitudes por cuenta del Cliente.

10. Cómo ejercer sus derechos (incluidas la exportación y la supresión desde la aplicación)

Cuando Zentrum24 Academy sea el responsable del tratamiento (datos de Cuenta, de Facturación y de administradores o contactos), podrá ejercer sus derechos dirigiéndose a contact@zentrum24.com. Responderemos dentro de los plazos exigidos por la legislación aplicable (con carácter general, un mes conforme al GDPR / UK GDPR y 45 días conforme a la CCPA/CPRA, prorrogables cuando esté permitido). Es posible que debamos verificar su identidad antes de actuar, y no le discriminaremos por ejercer sus derechos.

El Servicio ofrece asimismo herramientas de autoservicio que los Clientes y, cuando esté habilitado, sus usuarios pueden utilizar directamente:

• Exportación de datos desde la aplicación: los administradores de inquilino pueden exportar los registros de formación y los datos de auditoría (por ejemplo, mediante las funciones de exportación de datos y de paquete de evidencias del Servicio) en formatos de lectura mecánica, con el fin de atender las solicitudes de acceso y de portabilidad.
• Supresión de cuentas: los administradores pueden desactivar o eliminar usuarios y pueden solicitar la supresión de los datos del inquilino a la terminación, con sujeción a las reglas de conservación de la Sección 7 y al DPA.

Si no queda satisfecho con nuestra respuesta, tiene derecho a presentar una reclamación ante su autoridad de control local (en el Reino Unido, la Information Commissioner's Office; en la UE, su autoridad nacional de protección de datos) o, en California, a dirigirse a la California Privacy Protection Agency o al Attorney General. Le agradeceríamos que nos diera la oportunidad de atender antes sus inquietudes.

11. Datos de menores

El Servicio es una herramienta de formación en cumplimiento normativo para el personal, concebida para su uso por organizaciones y su plantilla. No está dirigido a menores ni destinado a personas menores de 16 años. No recopilamos conscientemente datos personales de menores. Si considera que un menor ha facilitado datos personales a través del Servicio, póngase en contacto con nosotros en contact@zentrum24.com y adoptaremos, junto con el Cliente correspondiente, las medidas oportunas para suprimirlos.

12. Modificaciones de la presente Política

Podemos actualizar periódicamente la presente Política para reflejar cambios en nuestras prácticas, en la tecnología, en los requisitos legales o en el Servicio. Cuando introduzcamos modificaciones sustanciales, actualizaremos la fecha de «Última actualización» que figura más arriba y, cuando proceda, lo notificaremos a los Clientes a través del Servicio o por correo electrónico. El uso continuado del Servicio una vez que la actualización surta efecto constituirá la aceptación de la Política revisada, salvo cuando la ley exija un consentimiento adicional.

13. Contacto

Para cualquier pregunta, solicitud o reclamación relativa a la presente Política o a nuestro tratamiento de datos personales:

• Zentrum24 LLC
• Contacto de privacidad / protección de datos: contact@zentrum24.com
• Dirección postal: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Legislación aplicable: Estado de Wyoming, USA
• Representante en la UE / el Reino Unido (en su caso): No designado actualmente.

Recordatorio: los marcadores de posición entre corchetes deben completarse y la presente Política debe ser revisada por un asesor jurídico cualificado antes de su publicación.