Creci

Política de Privacidad

Última actualización: 8 de noviembre de 2026.

1. Quién es el responsable de cada tratamiento

Creci es una herramienta que las escuelas infantiles ("el centro") usan para gestionar la entrada/salida de los niños y comunicarse con las familias. El centro es el responsable del tratamiento de los datos de los niños y las familias: decide qué datos se recogen y para qué. Creci actúa como encargado del tratamiento, procesando esos datos únicamente por instrucción del centro, según lo establecido en el contrato de encargo de tratamiento firmado con cada centro.

Para los datos del propio personal del centro que usa la aplicación (email, nombre, cumpleaños si se indica y, si el centro activa el fichaje, su registro de jornada), Creci actúa igualmente como encargado, bajo instrucción del centro como empleador.

2. Qué datos se tratan

  • Del niño: nombre, mes/año (y opcionalmente día) de nacimiento, grupo/aula, horas de entrada y salida diarias.
  • Datos de salud (categoría especial, art. 9 RGPD): alergias y notas médicas, pauta de medicación que la familia autoriza y registro de cada toma, y parte de incidencias (golpes, caídas, fiebre) con lo ocurrido y lo que se hizo, si el centro registra cada una de estas cosas. Se recogen únicamente con la finalidad de garantizar la seguridad del niño durante su estancia.
  • De la familia: email de contacto, nombre de personas autorizadas a recoger al niño (si se indica).
  • Observaciones de desarrollo: notas del personal sobre la evolución del niño por áreas (lenguaje, autonomía, motricidad, convivencia), con fotos si el centro las adjunta, y el informe que se genera a partir de ellas. Son valoraciones pedagógicas del centro, no un diagnóstico.
  • Fotografías e informes diarios: comida, siesta, cambios de pañal, estado de ánimo, fotos publicadas por el centro. Las fotos pueden ser editadas por el personal para difuminar caras de otros niños antes de publicarlas.
  • Del personal del centro: nombre, email, y opcionalmente día/mes de cumpleaños. Si el centro activa el fichaje, también cada entrada y salida que la persona ficha y, si dirección corrige alguna, la hora anterior y la nueva, quién la cambió, cuándo y por qué. Con esos datos Creci calcula la ratio adulto/niño exigida al centro y lleva el registro diario de jornada que el centro, como empleador, debe conservar (art. 34.9 del Estatuto de los Trabajadores). Cada persona puede consultar y descargar su propio registro desde el panel.
  • De pagos: importe y fecha de vencimiento de la mensualidad, y si está pagada o pendiente. Si el centro usa la domiciliación bancaria, además el IBAN y el titular de la cuenta que la familia facilita al centro, junto con la referencia y la fecha del mandato SEPA — los datos mínimos que el banco exige en el fichero de remesas. Creci no cobra: genera ese fichero para que lo presente el centro, y no trata datos de tarjeta en ningún caso.
  • Fiscales: si el centro presenta el modelo 233 (declaración informativa de gastos en guarderías), el nombre, los apellidos y el NIF de la madre o de la persona con la custodia y del otro progenitor, la fecha de nacimiento completa del niño y su NIF si lo tiene, y lo pagado por terceros (ayudas públicas, cheque guardería de la empresa). Son los datos que exige la Orden HAC/1400/2018; la base es la obligación legal del centro (art. 6.1.c RGPD) y el centro presenta la declaración por sí mismo.
  • De familias prospecto (solo en centros que usan esta función, antes de matricularse): nombre, email, teléfono, mes/año de nacimiento del niño, notas que el centro decida registrar. Si el centro les envía la ficha de matrícula, también lo que la familia escribe en ella: nombre, apellidos, sexo y fecha de nacimiento del niño, alergias o notas médicas (solo con su consentimiento explícito, que se guarda con su fecha), horario que desea y contactos.
  • Técnicos: cookie de sesión (para mantener iniciada la sesión, tanto del personal como de la familia que entra con su código) y, si se activan las notificaciones, un identificador de suscripción push del navegador. Todas son cookies técnicas necesarias para que la aplicación funcione: no se usan cookies de analítica ni publicidad, ni se cargan recursos de terceros en ninguna pantalla.

3. Base legal

  • Ejecución del contrato entre el centro y la familia (gestión de la plaza del niño).
  • Interés vital del menor, para los datos de alergias y notas médicas (art. 9.2.c RGPD).
  • Consentimiento explícito de la familia para los datos de salud que facilita ella misma: las alergias y notas médicas de la ficha de matrícula y la medicación que autoriza desde su portal (art. 9.2.a RGPD). Se puede retirar en cualquier momento pidiéndoselo al centro.
  • Consentimiento de la familia, cuando el centro lo recabe expresamente (por ejemplo, para el uso de fotografías).
  • Obligación legal del centro como empleador, para el registro de jornada del personal (art. 6.1.c RGPD en relación con el art. 34.9 del Estatuto de los Trabajadores).

4. Con quién se comparten los datos

Los datos se alojan y procesan a través de los siguientes proveedores (subencargados):

  • Cloudflare, Inc. — alojamiento de la aplicación, base de datos y fotos. Los datos se procesan en Europa Occidental.
  • Hetzner Online GmbH (Alemania) — servidor propio que actúa como entrada pública de creci.es y reenvía el tráfico a la aplicación. Existe porque las operadoras españolas bloquean periódicamente direcciones IP compartidas de Cloudflare por orden judicial, lo que dejaría el servicio inaccesible. Todo el tráfico del sitio pasa por él; no almacena datos.
  • Resend, Inc. (EE. UU.) — envío de los emails del centro a las familias y al personal (invitaciones, códigos de acceso, enlaces para crear la contraseña y avisos por email). Recibe la dirección del destinatario y el contenido del mensaje, que puede incluir el nombre del niño y del centro. Los envíos salen desde servidores en la Unión Europea, pero Resend conserva el registro de cada mensaje durante 30 días en EE. UU. Las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU., en el que Resend está certificada, y en las Cláusulas Contractuales Tipo de la Comisión Europea.
  • Google Ireland Limited / Google LLC (Firebase Cloud Messaging) — entrega de los avisos de la app Creci para Android a quien los activa en su móvil. Recibe un identificador del dispositivo y el texto del aviso (por ejemplo, «Lucía ha llegado a las 9:05»), y lo conserva solo hasta entregarlo, como máximo cuatro semanas si el móvil está apagado. Las transferencias fuera del EEE se basan en las Cláusulas Contractuales Tipo de la Comisión Europea y el Marco de Privacidad de Datos UE-EE. UU. Los avisos en el navegador, en cambio, viajan cifrados por el servicio de notificaciones del propio navegador (Google, Apple o Mozilla), que no puede leer su contenido.
  • Cloudflare Workers AI — traducción automática para las familias que eligen un idioma distinto del español, lectura del menú subido en PDF por el centro y la ayuda de redacción del panel («Mejorar redacción»). Para traducir recibe los textos que esa familia ve traducidos: novedades, menú, calendario, notas del parte del día y, de su propio hijo, alergias, incidencias y observaciones de desarrollo. Para la ayuda de redacción recibe solo el texto que una persona del equipo ha escrito y pide mejorar —una circular, la nota del parte del día o una observación de desarrollo—, con el nombre del niño sustituido por una marca antes de enviarlo; la propuesta vuelve al panel y no se guarda ni se publica salvo que esa persona decida usarla. Cloudflare no usa estos textos para entrenar modelos ni los conserva después de procesarlos; Creci guarda cada traducción 30 días, para no repetirla, y después la borra, y no guarda las propuestas de redacción. Este procesamiento puede hacerse fuera del Espacio Económico Europeo: las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. y en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), que incorpora el contrato de encargo de Cloudflare.
  • Anthropic, PBC (EE. UU.) — únicamente como respaldo, cuando la lectura automática del menú en PDF no puede completarse por el método principal. Solo recibe el propio documento del menú (comida por día), nunca datos de niños o familias. Las transferencias fuera del EEE se basan en las Cláusulas Contractuales Tipo de la Comisión Europea o el marco vigente equivalente.
  • Meta Platforms, Inc. (Instagram) — únicamente si el centro decide, de forma manual y puntual, publicar una novedad concreta en su propia cuenta de Instagram.
  • Stripe Payments Europe, Ltd. (Irlanda) — únicamente para el pago de la suscripción del propio centro a Creci, cuando contrata un plan de pago. Trata los datos de facturación y de tarjeta del centro, nunca datos de niños ni de familias, y Creci no llega a ver los datos de la tarjeta.

No se venden ni ceden datos a terceros con fines comerciales o publicitarios.

5. Cuánto tiempo se conservan los datos

Mientras el niño esté matriculado en el centro y este mantenga activa su cuenta de Creci. Cuando el centro da de baja a un niño:

  • Sus datos del día a día (fotos, partes, mensajes, salud, autorizaciones, contactos) se eliminan 12 meses después de la baja, o más tarde si aún hacen falta para la declaración del modelo 233 de enero o para la declaración de la renta de las familias de ese año (como muy tarde, el 1 de julio del año siguiente al último pago).
  • Sus datos de pagos y fiscales (mensualidades, recibos, conceptos, lo pagado por terceros, adeudos SEPA, datos del modelo 233 y el nombre y NIF de las personas que figuran en él) no se eliminan entonces: el centro está obligado a conservarlos (art. 30 del Código de Comercio, seis años; art. 70 de la Ley General Tributaria). Quedan bloqueados (art. 32 LOPDGDD): fuera de todas las pantallas, sin usarse para nada más, y solo se pueden extraer para ponerlos a disposición de una autoridad (Agencia Tributaria, juzgados, autoridad de protección de datos); cada extracción queda registrada. Se eliminan el 1 de enero del séptimo año siguiente al último pago. Los ficheros de remesas SEPA del centro siguen el mismo plazo.
  • Una solicitud de supresión de una familia se atiende del mismo modo, de inmediato: se elimina el día a día y los datos de pagos quedan bloqueados, porque la ley obliga a conservarlos (art. 17.3.b RGPD).

Si el centro cierra su cuenta de Creci, se eliminan todos sus datos, como decida el centro como responsable del tratamiento; antes conviene que descargue lo que deba conservar. Los datos técnicos de acceso (sesiones abiertas, códigos de un solo uso) se eliminan automáticamente en cuanto caducan. La ficha de matrícula que rellena una familia se elimina 12 meses después de rellenarla por última vez: si el niño se matricula, sus datos pasan antes a su ficha en el centro.

El registro de jornada del personal se conserva cuatro años desde cada día registrado (art. 34.9 del Estatuto de los Trabajadores), también si la cuenta de esa persona se elimina antes: entonces se guarda con su nombre y email, solo para ese fin y sin acceso al panel, y se borra automáticamente al cumplirse el plazo.

6. Derechos de las familias

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Al ser el centro el responsable del tratamiento, estos derechos deben ejercerse en primer lugar ante el propio centro. Si preferís contactar directamente con Creci: hola@creci.es.

7. Seguridad

El acceso del personal requiere email y contraseña. Las contraseñas no se guardan nunca en claro: se almacena únicamente su derivación mediante PBKDF2-SHA256 con sal única por cuenta. Para crearlas o recuperarlas se envía un enlace de un solo uso al email registrado, y al cambiar una contraseña se cierran todas las sesiones abiertas de esa cuenta. Las familias entran con su email y un código de un solo uso que caduca en diez minutos y admite cinco intentos; cada email puede pedir como máximo diez códigos al día, y para contarlos se guarda solo un resumen criptográfico (hash) del email durante dos días; el enlace de cada niño solo abre su portal en un dispositivo donde esa familia ya ha entrado con su código, y el centro puede revocarlo y emitir uno nuevo en cualquier momento desde el panel. Las conexiones se cifran mediante HTTPS y se fuerzan mediante HSTS. La aplicación no carga recursos de terceros: tipografías y estilos se sirven desde nuestro propio dominio, de modo que abrir una pantalla de Creci no comunica la dirección IP de la familia a ningún proveedor externo. Las fotos solo se entregan a quien tiene acceso a la publicación correspondiente, y queda registro de quién edita alergias o el parte del día de cada niño.

8. Menores

Esta aplicación trata datos de menores de 14 años por cuenta del centro educativo, con las bases legales del apartado 3: el contrato del centro con la familia y, cuando hace falta, el consentimiento expreso de quienes tienen la patria potestad, que el centro recaba y del que queda constancia. Cada tutor con acceso entra con su propio email; el centro puede quitar el acceso al portal a un tutor concreto, por ejemplo cuando una resolución judicial lo exige.

9. Contacto

Para cualquier duda sobre esta política: hola@creci.es.