Política de Privacidad

EASEC — European Accreditation of Soft Skills & Employability Competencies®  ·  Última actualización: octubre 2026  ·  Aplicable globalmente a todos los servicios y plataformas de EASEC

1. Introducción

EASEC — European Accreditation of Soft Skills & Employability Competencies — es una autoridad de certificación internacional independiente dedicada a evaluar, certificar y acreditar competencias transversales y habilidades de empleabilidad bajo estándares internacionalmente reconocidos, incluyendo ESCO, EQF, Tuning, el Marco de Empleos del Futuro del Foro Económico Mundial, UNESCO y O*NET.

Esta Política de Privacidad explica cómo se recopilan, procesan, almacenan, comparten y protegen los datos personales cuando personas, instituciones u organizaciones interactúan con cualquier servicio, plataforma o entorno digital de EASEC.

EASEC opera a través de tres verticales — EASEC for Schools, EASEC for Higher Education y EASEC for Work — estructuradas comercialmente en cuatro líneas de servicio: Acreditación de Programas; Evaluaciones Diagnósticas y de Certificación (Centro de Certificación); Certificaciones Profesionales de Perfil; y la Plataforma de Inteligencia del Talento. Esta Política se aplica de manera uniforme en todas las verticales y líneas de servicio, con disposiciones específicas indicadas cuando corresponda.

EASEC también ofrece diez programas de certificación profesional en competencias y opera la Skills-First Employer Network (skillsfirst.easec.eu) y el EASEC International Cooperation Programme, todos cubiertos por esta Política.

Al acceder o utilizar cualquier servicio de EASEC, usted reconoce haber leído y comprendido esta Política de Privacidad. Cuando los servicios se acceden a través de una institución, un empleador o un Authorised Partner, debe consultar también los avisos de privacidad propios de dicha organización.

2. Entidades Legales que Operan Bajo Esta Política

Ambas entidades operan bajo un marco unificado de gobernanza de privacidad. Las referencias a «EASEC» en el resto de esta Política se aplican a ambas entidades según el contexto correspondiente.

3. Marco Regulatorio y Alineación con Estándares

EASEC opera en cumplimiento de los siguientes marcos regulatorios:

• Reglamento (UE) 2016/679 (RGPD) — Reglamento General de Protección de Datos
• Ley Orgánica 3/2018 (LOPDGDD) — de Protección de Datos Personales y Garantía de los Derechos Digitales
• Reglamento (UE) 2024/1689 (Ley de IA de la UE) — Reglamento de Inteligencia Artificial, aplicable al despliegue de sistemas de IA por parte de EASEC en procesos de evaluación, incluyendo las obligaciones de transparencia del Artículo 50 y, cuando corresponda, los requisitos de clasificación de riesgo y conformidad relevantes para sistemas de IA utilizados en contextos educativos y de empleo
• Reglamento (UE) 910/2014 (eIDAS) — sobre identificación electrónica y servicios de confianza, aplicable a la emisión y verificación de credenciales digitales
• Europass Digital Credentials Infrastructure (EDCI) — principios de interoperabilidad para formatos de credenciales digitales
• Texas Data Privacy and Security Act (TDPSA) y legislación federal de privacidad aplicable en EE. UU., cuando Innzpira LLC es la entidad procesadora
• Estándar Open Badge 3.0 (1EdTech) — que rige la emisión y portabilidad de insignias digitales
• 1EdTech CASE (Competency and Academic Standards Exchange) — marco de metadatos aplicado a las credenciales emitidas

EASEC posee certificaciones bajo ISO 9001 (Gestión de Calidad) e ISO 27001 (Gestión de Seguridad de la Información), y mantiene un procedimiento formal de apelaciones y reclamaciones alineado con ISO/IEC 17024 (Evaluación de la Conformidad — Requisitos Generales para Organismos que Operan la Certificación de Personas).

4. Delegado de Protección de Datos y Contacto

EASEC ha designado un Delegado de Protección de Datos (DPD) responsable de supervisar el cumplimiento de las obligaciones de protección de datos y de actuar como contacto principal para los interesados y las autoridades de control.

Todas las solicitudes de los interesados, reclamaciones de privacidad o consultas relativas a esta Política deben dirigirse al DPD. EASEC se compromete a responder a las solicitudes verificadas de los interesados en un plazo de treinta (30) días naturales.

5. Rol de EASEC como Autoridad de Certificación

Independientemente de cómo una persona acceda a los servicios de EASEC — directamente, a través de una institución, un empleador, un Authorised Partner o el International Cooperation Programme — EASEC actúa como el emisor legal independiente de todas las certificaciones de competencias y credenciales digitales. En concreto, EASEC:

• Determina y aplica todas las metodologías de certificación, reglas de puntuación y marcos de competencias
• Es la única autoridad responsable de decidir si una certificación de competencias se emite, mantiene o revoca
• Mantiene todos los registros de certificación, pistas de auditoría y sistemas de verificación
• Es responsable de la autenticidad, integridad y disponibilidad permanente de las credenciales emitidas
• Opera como una infraestructura de confianza que permite la trazabilidad de credenciales y la verificación pública a través de cert.easec.eu/certificates/verify y, cuando esté activado, a través de un registro público de credenciales basado en blockchain que permite a terceros verificar la autenticidad e integridad de las credenciales de forma independiente de los propios sistemas de EASEC
• Mantiene el Assessment Integrity Framework (AIF) que rige la integridad de todos los procesos de evaluación

Las credenciales con marca compartida incluyen el logotipo de la institución o del empleador, pero esto no altera el rol de EASEC como única autoridad legal emisora, ni transfiere a las instituciones ningún derecho de propiedad o responsabilidad sobre los datos de certificación que posee EASEC.

6. Plataformas y Dominios Cubiertos por Esta Política

7. Relación con Instituciones, Empleadores, Partners y Consumidores Directos

Instituciones y Centros de Certificación

Cuando universidades, colegios o grupos educativos operan como Centros de Certificación EASEC, la institución actúa como Responsable del Tratamiento independiente para los datos de los participantes que recopila e introduce en la plataforma de EASEC. EASEC actúa como Responsable del Tratamiento independiente para los registros de certificación, la emisión de credenciales y los datos de verificación. Para el propósito limitado de administrar evaluaciones y generar analíticas de cohorte, EASEC puede actuar como Encargado del Tratamiento siguiendo las instrucciones institucionales.

Empleadores y Clientes de EASEC for Work

Cuando empleadores o consultorías acceden a los servicios de EASEC for Work, el empleador o la consultoría es el Responsable del Tratamiento para los datos de empleados o candidatos introducidos en la plataforma. EASEC actúa como Encargado del Tratamiento para la administración de evaluaciones y la generación de informes, y como Responsable del Tratamiento independiente para la emisión de credenciales y las cuentas individuales del EASEC Wallet.

Consumidores Directos Individuales (B2C)

Cuando personas adquieren servicios de evaluación o certificación directamente a través de www.easec.eu, EASEC actúa como único Responsable del Tratamiento para todos los datos recopilados en relación con dicha compra y la evaluación y emisión de credenciales resultantes. Ningún intermediario institucional participa en las transacciones B2C. Se aplican los mismos estándares de certificación y condiciones de validez de credenciales que en los acuerdos institucionales B2B.

Authorised Partners

EASEC opera una Red de Authorised Partners que comprende tres categorías de partner: Authorised Representatives, Authorised Resellers y Authorised Referral Partners. Los Authorised Partners pueden introducir clientes a los servicios de EASEC y, en algunos casos, facilitar la incorporación y administración. Los Partners no acceden a datos personales de las personas evaluadas salvo que estén explícitamente autorizados en el Acuerdo de Partner aplicable de EASEC. Los derechos, obligaciones y condiciones de tratamiento de datos aplicables a cada categoría de partner se rigen por el Acuerdo de Partner correspondiente.

Participantes del International Cooperation Programme

Las instituciones que acceden a los servicios de EASEC a través del EASEC International Cooperation Programme están sujetas a esta Política de Privacidad y a las condiciones de protección de datos establecidas en el acuerdo de cooperación o memorándum de entendimiento aplicable. EASEC actúa como Responsable del Tratamiento independiente para todos los registros de certificación y emisión de credenciales derivados de los servicios prestados en el marco del Programa.

8. Categorías de Datos Personales Tratados

Datos de Identidad y Contacto

• Nombre completo y apellidos
• Dirección de correo electrónico (institucional o personal)
• País o región
• Afiliación institucional o del empleador

Datos de Evaluación y Certificación

• Respuestas de evaluación psicométrica (elementos del instrumento de autoinforme)
• Resultados de puntuación y niveles de competencia
• Resultados de certificación y niveles de competencia alcanzados (Emerging, Foundational, Intermediate, Advanced o Mastery)
• Identificadores de credenciales, metadatos, datos de competencias según estándar CASE y metadatos de alineación con marcos (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Registros de emisión y verificación con marca temporal

Datos de Evaluación Situacional Asistida por IA

Las siguientes categorías de datos se generan y procesan en relación con la dimensión de evaluación situacional del EASEC AI Engine, integrada como una capa cualitativa complementaria en los instrumentos diagnósticos y de certificación de EASEC:

• Respuesta situacional en texto abierto: el texto libre escrito por el participante en respuesta a un escenario situacional generado por IA. Esto constituye un dato comportamental y potencialmente psicológico y se trata con especial cuidado.
• Análisis interpretativo generado por IA: la salida cualitativa estructurada (fortalezas identificadas, oportunidades de desarrollo, contextos de rendimiento sugeridos y pasos siguientes recomendados) producida por el EASEC AI Engine a partir de la respuesta en texto abierto del participante. Este análisis es accesible exclusivamente para el participante individual a través de su EASEC Wallet.
• Datos de tiempo de respuesta: el tiempo transcurrido entre la presentación del escenario situacional y el envío de la respuesta del participante, registrado como métrica contextual comportamental.
• Indicador interno de competencia: una clasificación interna derivada por el AI Engine en una escala numérica de 1 a 5, utilizada únicamente para la calibración del instrumento y el aseguramiento de la calidad. Este indicador no se muestra al participante, no se comunica a ninguna institución o empleador y no forma parte de la puntuación certificada de la evaluación.

Datos de Evaluación para Certificación Profesional

Para los participantes que completan programas de certificación profesional de EASEC (incluyendo las diez certificaciones profesionales en los dominios For Schools, For Higher Education y For Work), se procesan las mismas categorías de datos de evaluación psicométrica y de evaluación situacional asistida por IA descritas anteriormente, junto con:

• Datos de rol profesional y contexto de dominio proporcionados durante el registro, cuando aplique
• Datos de alineación con el marco de competencias específico de la certificación profesional evaluada

Datos de Acreditación de Programas

• Documentación de programas presentada por instituciones
• Listas de participantes (nombre y correo electrónico institucional) proporcionadas para encuestas de calidad
• Respuestas de encuestas de calidad y satisfacción
• Registros de evaluación de alineación del programa (datos de alineación con ESCO, EQF, Tuning y el marco WEF Future of Jobs)

Datos de Monitoreo de Integridad de Evaluaciones

En relación con el EASEC Assessment Integrity Framework (AIF), EASEC puede procesar las siguientes categorías de datos con el propósito de detectar y prevenir el fraude en las evaluaciones:

• Datos de análisis de patrones de respuesta (detección de anomalías en tiempo, consistencia e indicadores comportamentales)
• Señales de detección de contenido generado por IA
• Metadatos de sesión (dispositivo, navegador, dirección IP, patrones de tiempo)

Este tratamiento se basa en el interés legítimo de EASEC en mantener la integridad y credibilidad de su estándar de certificación. Los datos procesados con fines de monitoreo de integridad se conservan solo durante el tiempo necesario para completar la revisión de integridad y, cuando se confirma una infracción, durante el tiempo necesario para sustentar la aplicación y las apelaciones.

Datos del Registro de Credenciales en Blockchain

Cuando una credencial se registra en el registro público de credenciales en blockchain, EASEC procesa y publica los siguientes datos:

• Un hash criptográfico de la credencial (una derivación matemática unidireccional que no permite reconstruir la credencial ni identificar a su titular)
• La fecha de emisión

Ningún dato personal, nombre de competencia, resultado de evaluación, identificador de credencial ni ningún otro contenido de la credencial se publica en la blockchain. El tratamiento de estos datos se describe en detalle en la Sección 13A.

Datos de Plataforma y Técnicos

• Dirección IP y geolocalización aproximada
• Tipo de dispositivo, navegador y sistema operativo
• Registros de actividad de sesión y datos de navegación
• Eventos de seguridad y registros de acceso

Datos de Comunicaciones

• Solicitudes de soporte y correspondencia
• Respuestas de retroalimentación y encuestas
• Preferencias de boletines y comunicaciones

Datos de Facturación y Comerciales

• Nombre de la entidad legal, dirección de facturación e identificación fiscal (B2B) o nombre y dirección de facturación individual (B2C)
• Referencias de transacciones de pago (procesadas por Stripe — EASEC no almacena datos de tarjetas)
• Registros de facturas y contratos
• Fechas de activación de créditos y períodos de validez de créditos

9. Finalidades del Tratamiento y Bases Legales

10. Toma de Decisiones Automatizada y Resultados de Certificación

El proceso de certificación de competencias de EASEC implica una puntuación automatizada que puede producir un efecto legal o de significación similar — concretamente, si se emite o no una credencial de competencia.

El proceso de certificación automatizado:

• Aplica modelos psicométricos validados y reglas de puntuación predefinidas alineadas con marcos de competencias internacionalmente reconocidos (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Está diseñado para garantizar la consistencia, objetividad y comparabilidad en todas las evaluaciones
• No implica juicio humano subjetivo en el cálculo de la puntuación en sí
• Produce un resultado de nivel de competencia (Emerging, Foundational, Intermediate, Advanced o Mastery) y determina si se alcanza el umbral mínimo para la certificación

Cuando las analíticas o informes de la plataforma EASEC for Work se generan automáticamente a partir de datos de evaluación, estos constituyen resultados informativos de apoyo a la toma de decisiones del empleador y no constituyen en sí mismos decisiones automatizadas con efecto legal para las personas.

10A. EASEC AI Engine — Dimensión de Evaluación Situacional

10A.1 Naturaleza y Propósito

El EASEC AI Engine es un componente cualitativo de evaluación integrado en los instrumentos de evaluación diagnóstica y de certificación de EASEC en las tres verticales. Presenta al participante un escenario situacional contextualizado generado por un modelo de lenguaje de IA, calibrado según la competencia evaluada del participante, su segmento, rango de edad aproximado y contexto cultural. La respuesta en texto libre del participante es analizada por el AI Engine para producir una lectura interpretativa.

Esta dimensión es de naturaleza interpretativa y de desarrollo. No constituye, influye ni modifica la puntuación certificada de competencia del participante, que se determina exclusivamente mediante el instrumento psicométrico validado y el modelo de puntuación automatizado descritos en la Sección 10. La salida del AI Engine no se comparte con ninguna institución, empleador, partner ni tercero — es accesible exclusivamente para el participante individual a través de su cuenta personal del EASEC Wallet.

10A.2 Divulgación de Transparencia en el Punto de Interacción

Antes de iniciar la dimensión del AI Engine, los participantes son informados dentro de la interfaz de evaluación sobre todo lo siguiente:

• (a) que el escenario situacional ha sido generado por un sistema de inteligencia artificial (el EASEC AI Engine), calibrado según su perfil;
• (b) que su respuesta en texto abierto será procesada por un sistema de IA para producir un análisis cualitativo interpretativo;
• (c) que este análisis es interpretativo, de desarrollo, y no forma parte de su puntuación certificada de evaluación;
• (d) que la dimensión de IA opera con total independencia metodológica respecto a la puntuación psicométrica;
• (e) que pueden solicitar la revisión del análisis interpretativo por un evaluador cualificado de EASEC en cualquier momento, y que está disponible un procedimiento formal de apelaciones y reclamaciones alineado con ISO/IEC 17024;
• (f) las referencias regulatorias aplicables: Ley de IA de la UE 2024/1689, Artículo 50; RGPD Artículo 22.

La acción explícita del participante de continuar (hacer clic en el botón de inicio) constituye un reconocimiento informado de estas divulgaciones. El participante puede optar por no completar la dimensión del AI Engine sin que esto afecte su acceso a la evaluación psicométrica o a la certificación.

10A.3 Subencargados de IA

Ambos proveedores están contratados bajo acuerdos de tratamiento de datos (DPA) que: (a) prohíben expresamente el uso de datos de participantes de EASEC para entrenamiento, ajuste fino o mejora de modelos de IA; (b) garantizan que los datos transmitidos vía API no son retenidos por el proveedor más allá del tiempo necesario para generar la respuesta de la API; (c) exigen el cumplimiento de la legislación de protección de datos de la UE aplicable a través de Cláusulas Contractuales Tipo.

10A.4 Almacenamiento de Datos e Infraestructura

Todos los datos del AI Engine — incluyendo respuestas en texto abierto, análisis generados por IA, datos de tiempo de respuesta e indicadores internos de competencia — se almacenan exclusivamente dentro de la infraestructura en la nube de EASEC ubicada en el Espacio Económico Europeo: Google Cloud Platform (región UE) y DigitalOcean (región UE). Ningún dato del AI Engine se almacena permanentemente fuera del EEE.

10A.5 Lo Que las Instituciones y Empleadores Ven y No Ven

Los Centros de Certificación institucionales y los clientes empleadores con acceso a la plataforma de EASEC reciben:

• Resultados de certificación psicométrica (nivel de competencia y si se alcanzó el umbral de certificación)
• La credencial digital emitida (diploma, Open Badge, Europass EDC) asociada a la persona
• Analíticas de cohorte derivadas de los datos de evaluación certificados (agregadas o por individuo, según lo acordado en el acuerdo institucional)

Los Centros de Certificación institucionales y los clientes empleadores NO reciben, y EASEC no comparte con ellos:

• La respuesta situacional en texto abierto del participante escrita durante la dimensión del AI Engine
• El análisis interpretativo generado por IA (fortalezas, oportunidades, contextos de rendimiento, pasos siguientes)
• El indicador interno de competencia generado por el AI Engine

10A.6 Protocolo de Revisión Humana

Los participantes tienen derecho a solicitar la revisión de su análisis interpretativo del AI Engine por un evaluador cualificado de EASEC. Este derecho se presenta a los participantes dentro de la interfaz de evaluación al finalizar la dimensión del AI Engine. Las solicitudes de revisión también pueden enviarse en cualquier momento a [email protected]. EASEC se compromete a acusar recibo de las solicitudes de revisión en un plazo de cinco (5) días hábiles.

10A.7 Derechos en Relación con el Tratamiento por IA

El análisis interpretativo del AI Engine constituye un tratamiento automatizado de datos personales para producir una salida que describe las características de la persona. De conformidad con el Artículo 22 del RGPD, los participantes tienen derecho a: (a) obtener revisión humana del análisis del AI Engine; (b) expresar su punto de vista; (c) impugnar el análisis cuando consideren que no les representa con precisión. Además, los participantes pueden presentar una apelación formal a través del procedimiento de apelaciones y reclamaciones alineado con ISO/IEC 17024 de EASEC (Política P-APR-01). Para ejercer estos derechos, contacte con [email protected] o [email protected].

11. Participación de Menores

Los servicios de EASEC for Schools están específicamente diseñados para estudiantes de secundaria y bachillerato de entre 15 y 18 años. Los servicios de EASEC for Higher Education y EASEC for Work están destinados a personas de 18 años o más. Las compras directas B2C están disponibles únicamente para personas de 18 años o más.

Las instituciones no deben inscribir a estudiantes menores de 15 años en ningún servicio de EASEC.

12. Cuentas Personales del EASEC Wallet

Al completar su primera evaluación de competencias de EASEC — ya sea a través de una institución educativa, un empleador, un Authorised Partner, el International Cooperation Programme o mediante una compra directa B2C — a cada persona se le asigna automáticamente una cuenta personal del EASEC Wallet. Esta cuenta:

• Pertenece a la persona y es independiente de cualquier relación contractual institucional, del empleador o del partner con EASEC
• Persiste indefinidamente, durante el tiempo que la persona elija mantenerla
• Almacena todas las certificaciones de competencias y certificaciones profesionales de EASEC emitidas a esa persona, de forma permanente y sin vencimiento del propio registro
• Almacena los análisis interpretativos del AI Engine generados para esa persona, accesibles exclusivamente para ella
• Permite a la persona descargar, compartir y gestionar sus credenciales en cualquier momento, incluyendo compartirlas en LinkedIn y otras plataformas profesionales
• No puede ser cerrada ni restringida por ninguna institución, empleador, partner o programa de cooperación
• Permite a la persona configurar sus propias preferencias de tratamiento de datos y ajustes de permisos directamente dentro de la plataforma

Las personas pueden solicitar el cierre de su cuenta del Wallet en cualquier momento contactándo a [email protected]. El cierre de una cuenta del Wallet no elimina los registros de emisión de certificaciones mantenidos por EASEC con fines de verificación y auditoría.

12A. Control Individual de Datos y Gestión de Permisos

Cada persona con una cuenta personal del EASEC Wallet tiene control total sobre los permisos de acceso a datos concedidos a las instituciones y empleadores que le han administrado evaluaciones de EASEC. A través de los ajustes de su cuenta del Wallet, las personas pueden:

• (a) Ver qué instituciones y empleadores tienen actualmente acceso a sus resultados de evaluación, registros de credenciales y datos de perfil;
• (b) Revocar permisos de acceso concedidos a cualquier institución o empleador específico en cualquier momento, con efecto inmediato;
• (c) Configurar si EASEC puede utilizar sus datos individuales (más allá de lo requerido para la integridad de la certificación) con fines de investigación y mejora internas;
• (d) Ejercer todos los derechos del interesado aplicables del RGPD directamente a través de la interfaz de la plataforma.

Efecto de Revocar el Acceso Institucional

• La institución o el empleador pierde inmediatamente toda visibilidad sobre los datos identificativos de la persona, incluyendo nombre, apellidos, dirección de correo electrónico, resultados de evaluación, registros de credenciales y datos históricos de rendimiento.
• Los datos de la persona se anonimizan desde la perspectiva de la institución. Los datos agregados y de referencia pueden permanecer disponibles para la institución únicamente en forma completamente no identificable.
• EASEC continúa conservando los registros de certificación y datos personales del Wallet de conformidad con esta Política.
• Las obligaciones de EASEC como emisor de certificaciones son independientes de cualquier relación institucional.
• Las credenciales emitidas permanecen verificables permanentemente a través de la infraestructura de verificación pública de EASEC, ya que la integridad del registro de certificación es una función central del rol de EASEC como autoridad de certificación independiente y no puede verse afectada por la revocación de acceso institucional.

Efecto de Revocar o Restringir el Tratamiento Propio de EASEC

• Los registros de emisión de certificaciones y los metadatos de credenciales no pueden eliminarse del registro de certificación de EASEC, ya que su conservación es necesaria para preservar la integridad del sistema de verificación del que dependen las partes interesadas (empleadores, instituciones, organismos reguladores a nivel mundial).
• Los datos del AI Engine (respuesta en texto abierto, análisis interpretativo, indicador interno) pueden eliminarse previa solicitud válida de supresión, sujeta al período de retención de 24 meses establecido en la Sección 18, cuando no exista un interés legítimo prevalente.
• Todas las demás categorías de datos personales están sujetas a derechos de supresión o limitación según lo establecido en la Sección 20.

13. Credenciales Digitales y Verificación Pública

EASEC emite credenciales en los siguientes formatos:

• Diploma digital con marca compartida — PDF con los logotipos de EASEC y de la institución o empleador, con un código de verificación único y código QR
• Credencial digital verificable — compartible directamente en LinkedIn y otras plataformas profesionales
• Open Badge 3.0 — compatible con cualquier billetera digital o plataforma de insignias que cumpla con los estándares
• Europass Digital Credential (EDC) — compatible con la infraestructura y el portafolio de Europass
• Credencial anclada en blockchain — una capa adicional de integridad y verificación basada en el Ethereum Attestation Service (EAS) desplegado en la red Base, como se describe en la Sección 13A

Los metadatos de las credenciales incluyen datos de alineación con marcos mapeados a ESCO, EQF, Tuning, WEF Future of Jobs, UNESCO y O*NET según corresponda.

Cada credencial tiene una validez declarada de tres (3) años desde su emisión. El registro de la credencial nunca se elimina del registro de certificación de EASEC. Las credenciales son verificables públicamente en https://cert.easec.eu/certificates/verify. El servicio de verificación no expone datos de respuestas de evaluación ni salidas del AI Engine.

13A. Registro Público de Credenciales en Blockchain

13A.1 Qué Hacemos

Cuando EASEC emite una credencial digital (Open Badge), puede registrar una prueba de su existencia en un registro público basado en tecnología blockchain: la red Base, a través del Ethereum Attestation Service (EAS). Este registro permite a cualquier parte verificar que una credencial fue emitida por EASEC, en qué fecha, que no ha sido alterada y si ha sido revocada, sin necesidad de consultar directamente a EASEC.

13A.2 Qué Datos se Publican

Los siguientes datos — y únicamente los siguientes datos — se publican en la blockchain para cada credencial registrada:

• Un hash criptográfico de la credencial: un código matemático unidireccional calculado a partir de la credencial. El hash permite a cualquier parte en posesión de la credencial verificar su autenticidad e integridad calculando el hash de forma independiente y comparándolo con el registro publicado. El hash no permite reconstruir la credencial ni identificar a su titular.
• La fecha de emisión.

13A.3 Qué Datos No se Publican

Ningún dato personal se publica en la blockchain. En concreto, los siguientes no están incluidos en el registro on-chain: el nombre del titular, dirección de correo electrónico, identificador de credencial, la competencia evaluada, el resultado de la evaluación, el nivel de competencia ni ningún otro contenido de la credencial. A partir del hash criptográfico solo, no es posible determinar a quién pertenece una credencial: únicamente una parte que ya posea la credencial puede calcular su hash y verificar la coincidencia.

13A.4 Base Legal

Este tratamiento se basa en el interés legítimo de EASEC y de terceros que verifican credenciales (empleadores, instituciones educativas, organismos reguladores, entre otros) en garantizar la autenticidad e integridad de las credenciales emitidas y prevenir su falsificación [Art. 6(1)(f) RGPD]. EASEC ha limitado los datos publicados al mínimo necesario para dicho fin.

13A.5 Naturaleza Permanente

Debido a la naturaleza de la tecnología blockchain, la información registrada en la red no puede ser modificada ni eliminada una vez publicada, ni por EASEC ni por ningún tercero. Si una credencial es revocada, EASEC marca la atestación on-chain correspondiente como revocada, pero el hash criptográfico y la fecha de emisión permanecen en la red.

13A.6 Revocabilidad

Cada atestación on-chain se registra como revocable. Si EASEC revoca una credencial en sus propios sistemas, también marca la atestación blockchain correspondiente como revocada.

13A.7 Arquitectura Técnica

EASEC utiliza el contrato estándar de EAS ya desplegado en la red Base y no despliega ni mantiene contratos inteligentes propietarios. Esto elimina la necesidad de desarrollar, auditar o mantener código blockchain personalizado.

13A.8 Destinatarios y Transferencias Internacionales

El registro blockchain es público y se replica en los nodos de la red Base, operados por terceros en diversos países, incluyendo países situados fuera del Espacio Económico Europeo. Para enviar atestaciones a la red, EASEC utiliza un proveedor de acceso a infraestructura blockchain que actúa como encargado del tratamiento bajo un acuerdo de tratamiento de datos.

13A.9 Retención

El hash criptográfico y la fecha de emisión se conservan en la red blockchain de forma indefinida debido a su naturaleza inmutable. Dentro de los propios sistemas de EASEC, el vínculo entre la credencial de una persona y su registro en blockchain se conserva mientras exista la credencial.

13A.10 Su Derecho de Oposición

Puede oponerse al registro de su credencial en el registro público de credenciales en blockchain escribiendo a [email protected] o [email protected]:

• Antes de la emisión: si usted se opone antes de que se emita su credencial, EASEC no la registrará en la blockchain.
• Después del registro: si la credencial ya ha sido registrada, EASEC marcará la atestación on-chain como revocada y eliminará de sus propios sistemas el vínculo entre su credencial y el registro blockchain, de modo que el hash criptográfico publicado ya no estará asociado a usted desde los sistemas de EASEC. El hash criptográfico y la fecha de emisión permanecerán en la blockchain debido a la naturaleza inmutable de la tecnología; sin embargo, el hash solo no permite su identificación.

El ejercicio de este derecho no afecta la validez de su credencial ni su acceso a ningún otro servicio de EASEC.

13A.11 Relación con la Verificación Primaria

El registro público de credenciales en blockchain es una capa adicional de integridad y verificación. No reemplaza ni modifica el sistema primario de verificación de credenciales disponible en cert.easec.eu/certificates/verify. El registro en blockchain no certifica por sí mismo la identidad del titular ni confiere a la credencial validez legal o reconocimiento oficial más allá del que la credencial ya posee.

13A.12 Europass Digital Credentials

Las Europass Digital Credentials (EDC) no están incluidas en el registro público de credenciales en blockchain en esta fase. Si EASEC decide incluirlas en el futuro, se registrará un esquema de atestación separado para ese propósito. El registro de un esquema adicional no afecta a las atestaciones existentes ni al esquema actual.

14. Marca Compartida y Perfiles Institucionales

Las credenciales emitidas bajo un acuerdo institucional incluyen la marca compartida de EASEC y de la institución o empleador participante. Esta marca compartida no transfiere ninguna responsabilidad de Responsable del Tratamiento a la institución respecto a los registros de certificación de EASEC, ni altera el estatus de EASEC como única autoridad legal emisora.

Cuando una institución opera como Centro de Certificación EASEC o posee el estatus de Acreditación de Programa, EASEC publica y mantiene un perfil institucional en el sitio web de EASEC durante la vigencia del acuerdo. El estatus de Acreditación de Programa se concede cuando el programa de una institución demuestra al menos un 80 % de alineación con los marcos internacionales de competencias aplicables (ESCO, EQF, Tuning y WEF Future of Jobs). Este perfil puede incluir el nombre de la institución, logotipo, datos de contacto, número de personas certificadas, áreas de competencia destacadas y estatus de acreditación. Las instituciones pueden configurar su perfil a través de su cuenta administrativa en cert.easec.eu.

15. Servicios de Terceros y Proveedores de Tecnología

«CCT» se refiere a las Cláusulas Contractuales Tipo de la UE conforme al Artículo 46 del RGPD.

EASEC no vende datos personales a ningún tercero y no utiliza datos personales para publicidad comportamental dirigida a usuarios individuales en función del contenido de sus evaluaciones o resultados de certificación.

16. Compartición de Datos

• Instituciones y empleadores participantes — para analíticas de cohorte, informes de calidad y gestión de programas, de conformidad con los acuerdos institucionales y los ajustes de permisos de la persona en su EASEC Wallet
• Authorised Partners — únicamente cuando estén explícitamente autorizados en el Acuerdo de Partner aplicable y limitado a los datos necesarios para la función autorizada del partner
• Proveedores de tecnología e infraestructura — listados en la Sección 15, para la operación y mantenimiento de las plataformas de EASEC
• Sistemas e infraestructuras de verificación de credenciales — incluyendo integraciones con Europass y LinkedIn, cuando las personas eligen compartir sus credenciales a través de esos canales
• Proveedor de infraestructura blockchain — cuando una credencial se registra en el registro público de credenciales en blockchain, el proveedor de acceso a infraestructura blockchain recibe exclusivamente el hash criptográfico y la fecha de emisión con el fin de enviar la atestación a la red Base. Este tratamiento se basa en el interés legítimo de EASEC como se describe en la Sección 13A.4. Las personas pueden ejercer el derecho de oposición como se describe en la Sección 13A.10.
• Red pública de blockchain — cuando una credencial se registra, el hash criptográfico y la fecha de emisión se publican en la red Base y son accesibles para cualquier parte. Ningún dato personal está incluido en el registro on-chain.
• Autoridades competentes y organismos supervisores — cuando lo exija la legislación aplicable, una orden judicial o una investigación regulatoria
• Innzpira LLC — cuando la facturación y prestación de servicios de EASEC for Work en USD requiere el intercambio de datos entre las dos entidades del grupo, regulado por un acuerdo de transferencia de datos intragrupo que incorpora las garantías adecuadas

17. Transferencias Internacionales de Datos

• Cláusulas Contractuales Tipo de la UE (CCT) — aplicadas a las transferencias a proveedores en EE. UU. y otros países sin decisión de adecuación, conforme al Artículo 46(2)(c) del RGPD
• Decisiones de adecuación — en las que se confía cuando la Comisión Europea ha determinado que un país destinatario proporciona un nivel adecuado de protección
• Acuerdo intragrupo — que regula los flujos de datos entre INNZPIRA ANALYTICS S.L. e Innzpira LLC, incorporando CCT
• Red pública de blockchain — los datos de atestación de credenciales (hash criptográfico y fecha de emisión) se publican en la red Base y se replican en nodos operados por terceros en diversas jurisdicciones, incluyendo jurisdicciones fuera del EEE. Dado que los datos publicados no constituyen datos personales (el hash solo no permite la identificación), esta replicación no constituye una transferencia de datos personales en el sentido del Capítulo V del RGPD. La transferencia de EASEC al proveedor de acceso a infraestructura blockchain se rige por un acuerdo de tratamiento de datos que incorpora las garantías adecuadas.

17A. Cumplimiento Regulatorio Global

EASEC opera en más de 64 países y está comprometido con el cumplimiento de los estándares de protección de datos aplicables en cada jurisdicción donde se accede a sus servicios. A continuación se resume el enfoque de EASEC respecto a los principales marcos regulatorios internacionales además del RGPD de la UE.

India — Digital Personal Data Protection Act 2023 (DPDP Act)

Para evaluaciones que involucren participantes ubicados en India, EASEC actúa como Data Fiduciary en el sentido de la DPDP Act. EASEC procesa datos personales sobre la base del consentimiento obtenido a través del mecanismo de consentimiento de la evaluación. Los participantes en India tienen derecho a acceder, corregir y suprimir sus datos personales, y a la reparación de agravios a través del DPD de EASEC. Las transferencias transfronterizas de datos personales de India a la infraestructura del EEE de EASEC se realizan bajo los mecanismos de transferencia lícitos aplicables de la DPDP Act y sus normas de implementación.

Brasil — Lei Geral de Proteção de Dados (LGPD)

Para participantes brasileños, EASEC procesa datos personales sobre las bases legales de ejecución de contrato e interés legítimo según lo previsto en la LGPD. De conformidad con el Artículo 20 de la LGPD, los participantes tienen derecho a solicitar la revisión de decisiones automatizadas. Este derecho se opera a través del Protocolo de Revisión Humana descrito en las Secciones 10 y 10A.6, y a través del procedimiento de apelaciones alineado con ISO/IEC 17024.

Colombia — Ley 1581 de 2012

Para participantes colombianos, EASEC obtiene autorización expresa para el tratamiento de categorías de datos sensibles (incluyendo respuestas de evaluación psicométrica y situacional, que pueden relacionarse con características psicológicas) de conformidad con los requisitos de la Ley 1581. El mecanismo de consentimiento de la evaluación constituye la autorización expresa requerida.

Chile — Ley 21.096 y Ley 19.628

Para participantes chilenos, EASEC aplica los principios de limitación de finalidad, proporcionalidad y derechos de habeas data de conformidad con la legislación de protección de datos chilena aplicable. Los participantes pueden ejercer derechos de acceso, rectificación, cancelación y oposición a través del DPD.

Singapur — Personal Data Protection Act 2012 (PDPA)

Para participantes y clientes institucionales de Singapur, EASEC cumple con las obligaciones de la PDPA incluyendo limitación de finalidad, precisión de datos, protección y limitación de retención. Las transferencias transfronterizas se realizan bajo los acuerdos contractuales requeridos por la PDPA.

Japón — Act on the Protection of Personal Information (APPI)

Para participantes japoneses, EASEC procesa datos personales de conformidad con los requisitos de la APPI respecto a la especificación de finalidad, limitación de uso y restricciones de divulgación a terceros. Las transferencias transfronterizas de datos cumplen con las normas de la APPI.

Argentina — Ley 25.326 de Protección de Datos Personales

Para participantes argentinos, EASEC procesa datos personales en cumplimiento de la Ley 25.326, aplicando los principios de calidad, finalidad, consentimiento y seguridad. Los datos sensibles (incluyendo datos psicométricos) se procesan únicamente con el consentimiento expreso del titular de los datos.

México — Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Para participantes mexicanos, EASEC actúa como Responsable del tratamiento y cumple con la LFPDPPP, incluyendo la obligación de poner a disposición un Aviso de Privacidad y de honrar los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición).

Otras Jurisdicciones

Para participantes y clientes en jurisdicciones no específicamente mencionadas anteriormente, el marco de tratamiento conforme al RGPD de EASEC proporciona un nivel de protección que cumple o supera los requisitos de la mayoría de las leyes nacionales de protección de datos aplicables. Las personas en cualquier jurisdicción pueden ejercer sus derechos a través de los datos de contacto del DPD establecidos en la Sección 4.

18. Retención de Datos

19. Medidas de Seguridad

EASEC implementa medidas de seguridad técnicas y organizativas de conformidad con su certificación ISO 27001, incluyendo:

• Cifrado de datos en tránsito (TLS/HTTPS) y en reposo
• Controles de acceso basados en roles que limitan el acceso a datos únicamente al personal autorizado
• Monitoreo continuo, detección de intrusiones y registro de eventos de seguridad
• Entornos de alojamiento en la nube seguros (Google Cloud Platform, DigitalOcean) con redundancia geográfica dentro del EEE
• Copias de seguridad automatizadas periódicas y procedimientos de recuperación probados
• Revisiones de seguridad periódicas y evaluaciones de vulnerabilidades
• Procedimientos de respuesta a incidentes alineados con los requisitos de notificación de brechas de 72 horas del RGPD
• Evaluación de seguridad de proveedores para todos los proveedores terceros con acceso a datos personales, incluyendo subencargados de IA
• Formación interna en protección de datos para todo el personal de EASEC
• Medidas de monitoreo de integridad de evaluaciones bajo el AIF, diseñadas y operadas de conformidad con los principios de minimización de datos y limitación de finalidad
• Cuando las credenciales ancladas en blockchain están activadas, la publicación de hashes criptográficos en un libro mayor distribuido e inmutable proporciona una capa adicional de evidencia de manipulación que permite la verificación independiente de la integridad de las credenciales sin depender de la propia infraestructura de EASEC

En caso de una brecha de datos personales que probablemente resulte en un alto riesgo para los derechos y libertades de las personas, EASEC notificará a las personas afectadas sin demora indebida y notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas.

20. Derechos de los Interesados

Las solicitudes pueden enviarse a [email protected] o directamente al DPD en [email protected]. EASEC verificará la identidad del solicitante antes del tratamiento y responderá en un plazo de treinta (30) días naturales.

21. Cookies

EASEC utiliza cookies y tecnologías de seguimiento similares en www.easec.eu. El consentimiento de cookies se gestiona a través de CookieYes, una plataforma de gestión de consentimiento conforme al RGPD.

Puede gestionar sus preferencias en cualquier momento a través del panel de configuración de cookies disponible en el pie de página del sitio web.

Solo las cookies estrictamente necesarias se activan sin su consentimiento. Todas las demás categorías de cookies — Analítica, Marketing y Funcional — requieren su consentimiento explícito antes de ser activadas. Para más detalles, consulte la Política de Cookies de EASEC.

22. Investigación, Benchmarking y Desarrollo de Estándares

• Mejora y validación de instrumentos de evaluación psicométrica y del EASEC AI Engine
• Desarrollo de referencias internacionales de competencias y perfiles de competencias alineados con los marcos ESCO, EQF, Tuning, WEF, UNESCO y O*NET
• Elaboración de informes anonimizados sectoriales o regionales sobre tendencias de competencias
• Avance de la investigación sobre competencias de empleabilidad en colaboración con socios académicos o institucionales
• Apoyo a la evolución del estándar de certificación EASEC
• Publicaciones académicas, contribuciones en conferencias y proyectos de investigación colaborativa

EASEC no vende datos personales. EASEC no utiliza datos personales para publicidad comportamental. Los resultados de investigación no incluyen ninguna información individualmente identificable. Las personas pueden configurar su preferencia de tratamiento para investigación a través de los ajustes de su cuenta del EASEC Wallet.

23. Cambios en Esta Política

EASEC puede actualizar esta Política de Privacidad para reflejar cambios en la legislación aplicable, las prácticas operativas o los servicios ofrecidos. Los cambios sustanciales se comunicarán actualizando la fecha de «Última actualización» en la parte superior de esta Política y, cuando corresponda, mediante notificación directa a los usuarios registrados, Authorised Partners o instituciones.

El uso continuado de los servicios de EASEC tras la publicación de una Política actualizada constituye la aceptación de los términos revisados. Las versiones anteriores pueden obtenerse contactándo a [email protected].

24. Contacto