# ESTATUTO INSTITUCIONAL DE PROTECCIÓN DE DATOS PERSONALES, GOBERNANZA RGPD Y TRAZABILIDAD REGISTRAL ACADÉMICA **UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE (SAEJEE — UNIVERSIDAD EUROPEA DE PARÍS)** **Referencia Institucional:** `PDP-UEP-SAEJEE-2026-v6.0` --- ## TÍTULO I. DISPOSICIONES GENERALES, PERSONERÍA JURÍDICA DEL RESPONSABLE DEL TRATAMIENTO Y ESTRUCTURA DE GOBERNANZA **ARTÍCULO 1.º – Encuadre normativo, personería jurídica, plena vigencia institucional y verificación registral en los sistemas oficiales del Estado francés (data.gouv.fr / DINUM / INSEE / SIRENE)** **I. –** En el marco de la enseñanza superior privada libre, la investigación doctoral de tercer ciclo y la docencia ejecutiva transnacional, la tutela efectiva de los datos personales constituye un pilar estatutario que vertebra la fe pública universitaria, la trazabilidad de las titulaciones expedidas y la seguridad jurídica de los estudiantes y graduados de **UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE (SAEJEE — UNIVERSIDAD EUROPEA DE PARÍS)**. En aplicación directa del principio de responsabilidad proactiva (*accountability*) consagrado en el artículo 5, apartado 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento General de Protección de Datos — RGPD), y de la doctrina jurisprudencial del Tribunal de Justicia de la Unión Europea (asuntos *C-210/16 Wirtschaftsakademie*, *C-40/17 Fashion ID* y *C-311/18 Schrems II*), la institución estructura su sistema de gobierno de datos bajo los estándares técnicos y deliberativos de la *Commission Nationale de l'Informatique et des Libertés* (CNIL) de la República Francesa. **II. –** De conformidad con los artículos 12, 13 y 14 del RGPD y con la legislación interna francesa ([*Loi du 1er juillet 1901 relative au contrat d'association*](legislation-francaise/loi-1901/index.html) [[PDF](legislation-francaise/pdfs/loi-1901.pdf)] y [*Code de l'éducation*](legislation-francaise/code-education/index.html) [[PDF](legislation-francaise/pdfs/code-education.pdf)]), la identificación registral, estatutaria y fiscal del Responsable del Tratamiento (*Responsable du traitement* / *Data Controller*) queda establecida en los siguientes términos verificables en las bases oficiales del Estado francés: 1° **Denominación oficial e institucional del Responsable del Tratamiento:** - *a)* **Denominación registral en la República Francesa:** `UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE` (operando conjuntamente bajo el acrónimo estatutario e identificador institucional **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** y su denominación oficial en lengua española **UNIVERSIDAD EUROPEA DE PARÍS**, conforme al [Aviso Legal e Impressum Estatutario](#mentions-legales) [[PDF](documentos/aviso-legal-es.pdf)]). - *b)* **Personería jurídica y naturaleza estatutaria:** Establecimiento privado de enseñanza superior libre constituido como asociación declarada de derecho privado francés (*Association déclarée*, categoría jurídica oficial INSEE `9220`), regido por los artículos [1](legislation-francaise/loi-1901/index.html#LEGIARTI000006490433), [2](legislation-francaise/loi-1901/index.html#LEGIARTI000006490434) y [5](legislation-francaise/loi-1901/index.html#LEGIARTI000044265460) de la [*Loi du 1er juillet 1901*](legislation-francaise/loi-1901/index.html) y por el Libro VII, Título III del [*Code de l'éducation*](legislation-francaise/code-education/index.html) ([*Article L. 731-1*](legislation-francaise/articles/LEGIARTI000042815166.html) [[PDF](legislation-francaise/pdfs/articles/LEGIARTI000042815166.pdf)]). - *c)* **Antigüedad y plena vigencia institucional ininterrumpida:** Constituida en París el **11 de junio de 1991**, acreditando más de **treinta y cinco (35) años** de actividad administrativa ininterrumpida (*État administratif : EN ACTIVITÉ*) en los registros oficiales de la República Francesa. 2° **Identificadores registrales, estadísticos y fiscales ante el Estado francés:** - *a)* **Número único de identificación SIREN (INSEE):** `399 107 937` ([Certificado Oficial INSEE SIRENE — PDF](documentos/avis-situation-sirene-insee-39910793700019.pdf)). - *b)* **Número SIRET del establecimiento sede principal:** `399 107 937 00019` · Clave de Identificación Numérica (NIC): `00019` ([Ficha de Establecimiento y Cartografía Oficial — PDF](documentos/fiche-etablissement-siret-39910793700019-avec-carte.pdf)). - *c)* **Inscripción en el *Répertoire National des Associations* (RNA — Ministerio del Interior / Prefectura de Policía de París):** `W751108902` (con número de asiento histórico prefectural `751P00108902`). - *d)* **Identificador Internacional de Entidad Jurídica (Código LEI — ISO 17442 / INSEE):** `9695003637S275T57497`. - *e)* **Código de Actividad Principal (APE / NAF):** `94.99Z` (*Autres organisations fonctionnant par adhésion volontaire*), correlacionado en la nomenclatura NAF 2025 con el código `94.99Y`. - *f)* **Número de IVA Intracomunitario (DGFiP — Unión Europea):** `FR55399107937`. - *g)* **Domicilio social y sede estatutaria única:** `229 Boulevard Voltaire, 75011 Paris, République Française` (con sede histórica fundacional documentada en `18 Rue de Londres, 75009 Paris`). - *h)* **Verificación Estatal (Marianne · République Française — data.gouv.fr / DINUM / INSEE):** Inscripción oficial auditable en los sistemas gubernamentales de la *Direction Interministérielle du Numérique* (DINUM) y del *Institut National de la Statistique et des Études Économiques* (INSEE) ([Expediente de Verificación Estatal Marianne — PDF](documentos/situation-sirene-marianne-39910793700019.pdf)), accesible ópticamente mediante el código QR oficial obrante en el [Aviso Legal e Impressum Estatutario](#mentions-legales). **ARTÍCULO 2 – Directorio de gobernanza institucional, Delegación de Protección de Datos (DPO / DPD) y canales oficiales de tutela** **I. –** La supervisión ejecutiva, la auditoría de cumplimiento normativo, la custodia de las actas académicas y la atención de las solicitudes de los titulares de datos personales se articulan a través de los siguientes órganos estatutarios y canales oficiales: | Órgano o Función Estatutaria | Titular / Unidad Responsable | Canal Electrónico e Institucional Oficial | | --- | --- | --- | | **Rectorado Institucional y Representación Legal** | Prof. Dr. Ramón L. Maiha Mulleras (Prof. Dr. Ramón L. Maiha M.) | [info@universiteeuropeenne.paris](mailto:info@universiteeuropeenne.paris) | | **Presidencia y Vicerrectoría de Asuntos Académicos (CAO)** | D. Ramón Segundo | [cao@universiteeuropeenne.paris](mailto:cao@universiteeuropeenne.paris) | | **Consejería Jurídica (CLO) y Responsable PRADA** (*Personne Responsable de l'Accès aux Documents Administratifs*) | D. Manuel Santos | [prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris) · [clo@universiteeuropeenne.paris](mailto:clo@universiteeuropeenne.paris) | | **Delegación de Protección de Datos (DPO / DPD)** | Unidad de Protección de Datos y Garantías RGPD | [dpd@universiteeuropeenne.paris](mailto:dpd@universiteeuropeenne.paris) | | **Dirección de Cumplimiento Normativo (CCO)** | Dña. Alicia Bejarano | [cco@universiteeuropeenne.paris](mailto:cco@universiteeuropeenne.paris) · [communication@universiteeuropeenne.paris](mailto:communication@universiteeuropeenne.paris) | | **Dirección de Tecnologías de la Información y Sistemas (CIO)** | Dña. Krisbell Amesty | [cio@universiteeuropeenne.paris](mailto:cio@universiteeuropeenne.paris) · [webmaster@universiteeuropeenne.paris](mailto:webmaster@universiteeuropeenne.paris) · [hebergement@universiteeuropeenne.paris](mailto:hebergement@universiteeuropeenne.paris) | | **Secretaría General Académica y Servicio de Educación a Distancia (SEAD)** | Registro Central de Matrículas y Expedientes | [scolarite@saejee.eu](mailto:scolarite@saejee.eu) · [ead@universiteeuropeenne.paris](mailto:ead@universiteeuropeenne.paris) · [scolarite-distance@universiteeuropeenne.paris](mailto:scolarite-distance@universiteeuropeenne.paris) | | **Dirección de Investigación e Innovación Doctoral (CRO)** | Dña. María Herrera | [cro@universiteeuropeenne.paris](mailto:cro@universiteeuropeenne.paris) | | **Unidad Técnica de Aseguramiento de la Calidad (CQO)** | D. Carlos Salinas | [cqo@universiteeuropeenne.paris](mailto:cqo@universiteeuropeenne.paris) | | **Dirección de Admisiones (CMO) e Inserción Profesional** | Dña. Valentina Márquez · D. Andrés Castro | [cmo@universiteeuropeenne.paris](mailto:cmo@universiteeuropeenne.paris) · [careers@universiteeuropeenne.paris](mailto:careers@universiteeuropeenne.paris) | | **Soporte Técnico de Infraestructura y Atención al Estudiante** | D. Henry Carmona · D. Anthony España | [itsupport@universiteeuropeenne.paris](mailto:itsupport@universiteeuropeenne.paris) · [support@universiteeuropeenne.paris](mailto:support@universiteeuropeenne.paris) · Tel./WhatsApp: [+33 (7) 70 22 36 99](tel:+33770223699) | **II. –** *Trascendencia jurídica de la centralización registral en el ámbito transnacional:* La consignación íntegra de los identificadores oficiales del Estado francés (`SIREN 399 107 937`, `SIRET 399 107 937 00019`, `RNA W751108902`, `LEI 9695003637S275T57497` y `TVA FR55399107937`) dota al estudiante y al graduado de una trazabilidad jurídica inexpugnable. Tanto en los procesos de evaluación pericial y apostillado internacional como en las auditorías algorítmicas o documentales de credenciales, el origen del expediente académico queda indisolublemente vinculado a una persona jurídica francesa con treinta y cinco (35) años de vigencia verificable en los repertorios oficiales de la República Francesa. --- ## TÍTULO II. MARCO JURÍDICO APLICABLE, JERARQUÍA NORMATIVA Y DOCTRINA DE AUTONOMÍA DE LAS BASES DE LICITUD **ARTÍCULO 3 – Jerarquía normativa comunitaria (RGPD) y legislación nacional francesa (Loi Informatique et Libertés)** **I. –** Todas las operaciones de tratamiento de datos personales ejecutadas por **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** —incluyendo la recogida, estructuración, conservación, cotejo criptográfico, transferencia regulada y supresión segura— se rigen de manera directa e imperativa por el Derecho de la Unión Europea y el ordenamiento jurídico de la República Francesa: 1° **Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD):** - *a)* **Artículo 3 (Ámbito de aplicación territorial):** Sujeción directa al RGPD en virtud del establecimiento principal del Responsable del Tratamiento en París (República Francesa), amparando con idéntico estándar de protección europea a todos los estudiantes, postulantes, docentes y graduados con independencia de su nacionalidad o país de residencia (incluyendo América Latina — LATAM y el resto del mundo). - *b)* **Artículo 5 (Principios relativos al tratamiento):** Observancia estricta de los principios de licitud, lealtad y transparencia (`Art. 5.1.a`), limitación de la finalidad (`Art. 5.1.b`), minimización de datos (`Art. 5.1.c`), exactitud registral (`Art. 5.1.d`), limitación del plazo de conservación (`Art. 5.1.e`), integridad y confidencialidad (`Art. 5.1.f`) y responsabilidad proactiva (`Art. 5.2`). - *c)* **Artículos 6, 7, 8 y 9 (Bases de licitud y categorías especiales):** Fundamentación taxativa de cada tratamiento en la ejecución del contrato formativo (`Art. 6.1.b`), el cumplimiento de obligaciones legales francesas y europeas (`Art. 6.1.c`), el interés legítimo institucional ponderado en la seguridad informática y la verificación antifraude de diplomas (`Art. 6.1.f`) o el consentimiento específico, libre e informado (`Art. 6.1.a`), así como las garantías reforzadas para proyectos de investigación científica o clínica (`Art. 9.2.a`, `Art. 9.2.j` y `Art. 89`). - *d)* **Artículos 12 a 22 (Derechos del interesado) y Artículos 24 a 39 (Seguridad y gobernanza):** Régimen garantista de derechos ARCO+, privacidad desde el diseño y por defecto (`Art. 25`), contratos vinculantes de encargo de tratamiento (`Art. 28`), Registro de Actividades de Tratamiento (`Art. 30`), seguridad criptográfica y lógica (`Art. 32`), notificación de brechas en un máximo de setenta y dos (72) horas (`Arts. 33 y 34`) y Evaluaciones de Impacto (`Art. 35`). - *e)* **Artículos 44 a 49 (Transferencias internacionales):** Aplicación de Cláusulas Contractuales Tipo de la Comisión Europea (`Art. 46.2.c`) y salvaguardas técnicas suplementarias en los flujos transfronterizos fuera del Espacio Económico Europeo (EEE). 2° **Legislación interna de la República Francesa (*Loi Informatique et Libertés* y deliberaciones CNIL):** - *a)* ***Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés* (modificada por la Ley n.º 2018-493 y la Ordenanza n.º 2018-1125):** Norma estatutaria francesa que complementa el RGPD en el territorio nacional y regula el régimen sancionador y de supervisión de la *Commission Nationale de l'Informatique et des Libertés* (CNIL). - *b)* **Artículo 82 de la *Loi n° 78-17*:** Transposición en derecho francés de la Directiva 2002/58/CE (*ePrivacy*), que rige el depósito y lectura de cookies y rastreadores en los equipos terminales de los usuarios, exigiendo consentimiento previo e informado para todo dispositivo no estrictamente necesario para la prestación técnica del servicio. **ARTÍCULO 4 – Articulación con el corpus legislativo de educación superior e investigación y regla de exclusión de base legal genérica** **I. –** La capacidad jurídica de la institución para organizar programas de formación superior, dirigir investigaciones doctorales y expedir diplomas académicos emana de las siguientes disposiciones de nuestra biblioteca legislativa oficial: - *a)* [**Article L. 151-1 del *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000006524458.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000006524458.pdf)): Garantía constitucional y legal de la libertad de enseñanza superior en la República Francesa. - *b)* [**Article L. 613-2 del *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027747939.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000027747939.pdf)): Régimen legal de los diplomas propios de establecimiento e interuniversitarios (*Diplôme Interuniversitaire* — `DIU / DIU-DOCTORAT` y *Diplôme d'Université* — `DU`). - *c)* [**Article L. 731-1 del *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000042815166.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000042815166.pdf)): Régimen de apertura y funcionamiento de los establecimientos privados de enseñanza superior libre. - *d)* [**Article L. 444-1**](legislation-francaise/articles/LEGIARTI000006525041.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000006525041.pdf)) y [**Article L. 444-8 del *Code de l'éducation***](legislation-francaise/code-education/index.html#LEGIARTI000006525050): Marco regulatorio de la enseñanza a distancia y formalización contractual con el estudiante. - *e)* [**Article L. 718-16 del *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027743556.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000027743556.pdf)): Convenios de cooperación interuniversitaria internacional para la cotutela, codirección y certificación conjunta de estudios. - *f)* [**Article L. 123-3 del *Code de l'éducation***](legislation-francaise/articles/LEGIARTI000027747739.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000027747739.pdf)): Misión de formación continua a lo largo de la vida y alta especialización ejecutiva hasta el Nivel 8 del Marco Europeo de Cualificaciones (EQF 8). - *g)* [**Article L. 412-1 del *Code de la recherche***](legislation-francaise/articles/LEGIARTI000044467582.html) ([PDF](legislation-francaise/pdfs/articles/LEGIARTI000044467582.pdf)) y [**Arrêté du 25 mai 2016**](legislation-francaise/doctorat/index.html) ([PDF](legislation-francaise/pdfs/doctorat.pdf)): Formación doctoral para la investigación e innovación científica de tercer ciclo. **II. –** *Doctrina vinculante de separación entre habilitación educativa y base de licitud RGPD:* Se establece con rango de norma estatutaria interna que los preceptos citados del [*Code de l'éducation*](legislation-francaise/code-education/index.html) y del [*Code de la recherche*](legislation-francaise/code-recherche/index.html) fundamentan la personería jurídica, la capacidad docente y la potestad certificadora de la Universidad, pero **no se invocan como una dispensa ni como una base legal genérica sustitutiva del artículo 6 del RGPD**. Cada operación de tratamiento de datos personales realizada por la institución se sostiene de manera autónoma, explícita y verificable sobre una de las bases jurídicas tasadas en los artículos 6 y 9 del RGPD. --- ## TÍTULO III. CATEGORÍAS DE INTERESADOS, MODALIDADES FORMATIVAS Y REGISTRO MATRIZ DE ACTIVIDADES DE TRATAMIENTO (ART. 30 RGPD) **ARTÍCULO 5 – Clasificación estatutaria de los titulares de datos y arquitectura de los entornos formativos** **I. –** A efectos de aplicar salvaguardas técnicas y jurídicas proporcionales a cada relación institucional, la Universidad clasifica a los titulares de datos personales (*personnes concernées*) en seis (6) categorías diferenciadas: - 1° **Postulantes y Candidatos a Admisión:** Profesionales y titulados universitarios que presentan solicitudes de información, evaluación curricular previa o dosieres de candidatura. - 2° **Estudiantes Matriculados:** Alumnos activos inscritos en programas de Títulos Universitarios Propios de Posgrado y Tercer Ciclo (Doctorados Ph.D./DBA, Másteres Universitarios, 70 %), Diplomas de Universidad (DU, 20 %), Diplomas Interuniversitarios (DIU / DIU-DOCTORAT, 10 %) o Certificación Ejecutiva. - 3° **Graduados y Miembros del Cuerpo de Egresados (*Alumni*):** Titulares de diplomas, actas de grado y Suplementos Europeos al Título (SET) expedidos por la institución y custodiados en el registro histórico permanente. - 4° **Personal Docente, Directores de Tesis e Investigadores:** Profesores ordinarios, catedráticos invitados y tutores clínicos o forenses adscritos a las seis (6) Divisiones Académicas (UFR). - 5° **Evaluadores Externos y Miembros de Tribunales (*Jurys de Thèse*):** Académicos y peritos designados para la evaluación sumativa y los tribunales de defensa oral y pública de tesis doctoral. - 6° **Usuarios de Entornos Digitales y Consultantes Registrales:** Visitantes del portal institucional (`www.universiteeuropeenne.paris`) y autoridades o terceros que consultan el sistema criptográfico de verificación documental ([https://www.saejee.eu/verification/](https://www.saejee.eu/verification/)). **II. –** Las actividades de tratamiento se desarrollan tanto en la modalidad de enseñanza a distancia mediante el Entorno Digital de Trabajo (Campus Virtual LMS alojado íntegramente en centros de datos europeos de **OVHcloud SAS** en Francia y **Hetzner Online GmbH** en Alemania) como en las actividades presenciales y clínicas/periciales supervisadas (práctica directa auditada en el *Logbook* y defensa oral ante tribunal). **ARTÍCULO 6 – Catálogo matriz del Registro de Actividades de Tratamiento (Artículo 30 del RGPD)** **I. –** En cumplimiento del artículo 30 del RGPD, se publica la matriz estructurada de las actividades de tratamiento ejecutadas bajo la responsabilidad de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS**: | Actividad de Tratamiento | Categorías de Datos Personales | Origen de los Datos | Finalidad Específica del Procesamiento | Base Jurídica de Licitud (Arts. 6 y 9 RGPD) | Carácter del Suministro | | --- | --- | --- | --- | --- | --- | | **1. Gestión de Admisión y Matriculación** | Nombre y apellidos, documento de identidad/pasaporte, fecha y lugar de nacimiento, contacto, títulos universitarios previos y currículum. | Directo (aportado por el postulante). | Verificación de requisitos de acceso al ciclo correspondiente, formalización del contrato de estudios y asignación de matrícula institucional única. | Ejecución de contrato o medidas precontractuales (`Art. 6.1.b RGPD`). | **Obligatorio** (su omisión impide tramitar la admisión y la matrícula). | | **2. Docencia y Evaluación en Campus Virtual (LMS)** | Credenciales cifradas, registros de conexión (IP, sellos de tiempo), entregas académicas, exámenes sumativos (escala `0–20`) e interacciones docentes. | Directo e indirecto (interacción en el LMS). | Impartición de la enseñanza a distancia ([*Art. L. 444-1*](legislation-francaise/articles/LEGIARTI000006525041.html)), seguimiento pedagógico, evaluación continua (Anexo B) y seguridad lógica del campus. | Ejecución contractual (`Art. 6.1.b RGPD`) e interés legítimo en ciberseguridad (`Art. 6.1.f RGPD`). | **Obligatorio** (indispensable para cursar y aprobar el plan de estudios). | | **3. Práctica Clínica, Forense o Pericial Supervisada** | Bitácora procedimental (*Logbook*), horas de práctica supervisada directa, actas de evaluación pericial e informes de tutores (con datos de terceros 100 % anonimizados). | Directo (estudiante y tutor supervisor). | Auditoría y certificación de las horas de práctica profesional directa supervisada (Anexo A del SET) dentro del Doble Track Formativo. | Ejecución contractual (`Art. 6.1.b RGPD`). | **Obligatorio** (en los programas con componente práctico y pericial auditado). | | **4. Gestión Financiera, Facturación y Garantías de Reembolso** | Datos de facturación, comprobantes bancarios, identificadores de transacción PayPal, historial de pagos y solicitudes de desistimiento o garantía. | Directo y pasarela financiera certificada. | Emisión de facturas, contabilidad legal francesa, cumplimiento tributario (`TVA FR55399107937`) y ejecución del Triple Blindaje de Reembolso (14 días legal, 30 días institucional y 180 días PayPal). | Ejecución contractual (`Art. 6.1.b RGPD`) y obligación legal fiscal/mercantil (`Art. 6.1.c RGPD` · *Art. L. 123-22 Code de commerce*). | **Obligatorio** (requisito legal para la gestión arancelaria y fiscal). | | **5. Expedición de Títulos, SET y Verificación Criptográfica QR** | Identidad del graduado, matrícula única, denominación del título (Título Universitario Propio / DU / DIU-DOCTORAT), mención, actas de tesis, firmas `PAdES` y código QR. | Generación registral interna sobre expediente consolidado. | Expedición de diplomas y Suplementos Europeos al Título (SET), archivo histórico permanente y validación pública antifraude mediante código QR y firma `eIDAS`. | Ejecución contractual (`Art. 6.1.b`), obligación legal (`Art. 6.1.c`) e interés legítimo en la fe pública y lucha contra el fraude (`Art. 6.1.f RGPD`). | **Obligatorio** (inherente a la validez, autenticidad y verificación del título). | | **6. Investigación Doctoral y Estudios Científicos (Anexo C)** | Manuscritos de tesis doctoral, protocolos metodológicos (`PRISMA` / `ICH-GCP`), dictámenes de jurado y conjuntos de datos anonimizados o seudonimizados. | Directo (doctorando, codirectores y centros asociados). | Dirección, evaluación y publicación de investigaciones doctorales de tercer ciclo ([*Art. L. 412-1 Code de la recherche*](legislation-francaise/articles/LEGIARTI000044467582.html)). | Ejecución contractual (`Art. 6.1.b`), consentimiento explícito (`Art. 9.2.a`) o fines de investigación científica con garantías (`Art. 9.2.j` y `Art. 89 RGPD`). | **Obligatorio** para la obtención del grado doctoral correspondiente. | **II. –** *Regla de exclusión de consentimientos tácitos o globales:* Se establece expresamente que ni la formalización de la matrícula ni la navegación por los portales institucionales constituyen un consentimiento general o indeterminado para tratamientos ajenos a los fines declarados en la matriz anterior. De este modo, las operaciones necesarias para la ejecución académica y la custodia registral descansan sobre bases contractuales y legales sólidas (`Arts. 6.1.b y 6.1.c RGPD`), mientras que las operaciones accesorias (como las cookies analíticas o los boletines informativos) dependen exclusivamente del consentimiento libre y revocable del interesado (`Art. 6.1.a RGPD`). --- ## TÍTULO IV. CUSTODIA DEL EXPEDIENTE ACADÉMICO MATRIZ, ARQUITECTURA CRIPTOGRÁFICA DEL CÓDIGO QR Y PROTECCIÓN EN INVESTIGACIÓN **ARTÍCULO 7 – Fe pública universitaria, unidad jurídica del expediente matriz y arquitectura criptográfica del código QR** **I. –** La custodia permanente de los expedientes de graduación, diplomas en formato A3 y Suplementos Europeos al Título (SET) constituye una función esencial de seguridad jurídica de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS**. El expediente académico de cada egresado se estructura como una **unidad documental y jurídica indisoluble** identificada bajo un número de matrícula institucional único, e integrada por: - 1° **El Cuerpo Principal del Diploma y del Suplemento Europeo al Título (SET / *Diploma Supplement*):** Estructurado conforme a las ocho (8) secciones normalizadas por la Comisión Europea, el Consejo de Europa y la UNESCO/CEPES. - 2° **El Anexo A (Registro Procedimental y *Logbook* de Prácticas Auditadas):** Que certifica la carga de práctica profesional, clínica o pericial directa supervisada (alcanzando en el programa doctoral de referencia el **57,27 %** de la carga total, equivalente a **4.948 horas** y **2.467 procedimientos** verificados). - 3° **El Anexo B (Batería de Evaluaciones Sumativas):** Calificadas rigurosamente bajo la escala oficial francesa de **0 a 20 puntos**. - 4° **El Anexo C (Investigación Científica y Tesis Doctoral):** Que documenta el trabajo original de investigación y el acta de defensa ante el tribunal examinador (*Jury de Thèse*). **II. –** La verificación electrónica de autenticidad de los documentos expedidos opera bajo los siguientes estándares criptográficos y de privacidad desde el diseño (*Privacy by Design*, `Art. 25 RGPD`): - *a)* **Canal oficial de validación criptográfica:** El código QR bidimensional impreso en cada título y resumen académico enlaza al portal institucional seguro de verificación ([https://www.saejee.eu/verification/](https://www.saejee.eu/verification/)), dotado de acceso de cotejo documental mediante las credenciales institucionales de consulta (usuario: `ESIGNACT` · clave de acceso: `ESIGN-UETA`). - *b)* **Firma electrónica avanzada PAdES y sellado de tiempo eIDAS:** Los documentos digitales nativos incorporan firmas criptográficas en estándar **PAdES** (*PDF Advanced Electronic Signatures*) con sellado de tiempo cualificado (*timestamping*), de conformidad con el Reglamento (UE) n.º 910/2014 (**Reglamento eIDAS**) y el artículo 1367 del *Code civil* francés. - *c)* **Minimización estricta en la consulta pública del código QR:** La verificación mediante código QR confirma exclusivamente la autenticidad de las firmas digitales y la exactitud de los datos registrales esenciales del título (nombre y apellidos del graduado, número de matrícula, denominación del programa, nivel académico y mención obtenida), **sin exponer públicamente a terceros no autorizados las calificaciones individuales desglosadas del Anexo B, el detalle de los casos del Anexo A ni los datos de contacto o domicilio privado del egresado**. **ARTÍCULO 8 – Consistencia registral del Doble Track Formativo y distinción técnica entre anonimización y seudonimización en investigación** **I. –** Los registros académicos custodiados por la Secretaría General ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)) reflejan con exactitud aritmética y documental la arquitectura del **Doble Track Formativo** ([Artículo 5 de las Condiciones Generales de Contratación](#conditions-generales-de-vente)): **180 créditos ECTS** bajo el parámetro del Espacio Europeo de Educación Superior (EEES) y **8.640 horas** cronológicas totales para los sistemas de evaluación de América Latina (LATAM), ubicando las titulaciones de tercer ciclo en el **Nivel 8 del Marco Europeo de Cualificaciones (EQF 8)**. **II. –** En el marco de las investigaciones doctorales (Anexo C) y las prácticas clínicas, neuropsicológicas o forenses (Anexo A) que involucren el análisis de casos reales, la institución aplica de forma imperativa la distinción técnica y jurídica establecida en el RGPD: - 1° **Anonimización irreversible:** Proceso técnico definitivo mediante el cual se suprimen todos los identificadores directos e indirectos de los sujetos o pacientes evaluados en campo, de modo que resulte imposible su reidentificación por ningún medio razonable. Todo registro incorporado por el estudiante a su *Logbook* (Anexo A) o a su memoria de tesis (Anexo C) debe encontrarse previamente anonimizado de manera irreversible. - 2° **Seudonimización criptográfica (`Art. 4.5` y `Art. 32.1.a RGPD`):** Medida de seguridad consistente en sustituir los atributos identificativos por un código alfanumérico o hash, custodiando la tabla de correspondencia de forma separada y cifrada bajo control exclusivo del centro clínico o investigador autorizado. Los datos seudonimizados conservan la naturaleza jurídica de datos personales y permanecen íntegramente protegidos por el RGPD. --- ## TÍTULO V. DESTINATARIOS, SOBERANÍA DE INFRAESTRUCTURA EN LA UNIÓN EUROPEA Y TRANSFERENCIAS INTERNACIONALES DE DATOS **ARTÍCULO 9 – Categorización jurídica de destinatarios, encargados tecnológicos europeos y cooperación interuniversitaria** **I. –** La Universidad delimita rigurosamente el estatuto jurídico de las entidades que intervienen en el flujo de información institucional, prohibiendo cualquier cesión comercial o divulgación no autorizada a terceros: - 1° **Personal interno habilitado bajo deber de reserva:** Órganos rectorales, Secretaría General Académica ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)), Unidad Jurídica PRADA/DPD y claustro examinador, quienes acceden únicamente a los datos indispensables para sus funciones estatutarias bajo control de acceso basado en roles (*RBAC*). - 2° **Encargados del Tratamiento (*Sous-traitants* / *Data Processors* — `Art. 28 RGPD`):** Proveedores de infraestructura en la nube y alojamiento de sistemas que procesan datos exclusivamente por cuenta de la Universidad mediante Acuerdos de Encargo de Tratamiento (*Data Processing Agreements — DPA*) auditados y radicados íntegramente en el territorio de la Unión Europea: *a)* **OVHcloud SAS:** Sociedad francesa con sede social en `2 rue Kellermann, 59100 Roubaix, République Française` (`RCS Lille Métropole 424 761 419`), cuyos centros de datos de alta seguridad en París, Roubaix y Gravelines (Francia) alojan el núcleo de los repositorios institucionales. - *b)* **Hetzner Online GmbH:** Sociedad alemana con sede social en `Industriestr. 25, 91710 Gunzenhausen, República Federal de Alemania`, cuyos centros de datos certificados bajo norma ISO/IEC 27001 en Gunzenhausen y Núremberg (Alemania) proveen redundancia geográfica dentro del Espacio Económico Europeo. 3° **Corresponsables del Tratamiento en Cooperación Interuniversitaria (*Responsables conjoints* — `Art. 26 RGPD`):** En los programas de Diploma Interuniversitario de Doctorado (`DIU-DOCTORAT`) y posgrado impartidos bajo convenios de cooperación interuniversitaria al amparo del [*Article L. 718-16 del Code de l'éducation*](legislation-francaise/articles/LEGIARTI000027743556.html) —incluyendo la cooperación académica con **Helmstedt University** (Alemania) y el marco de referencia científico y clínico con **Universitätsmedizin Berlin** (Alemania)—, el intercambio de actas académicas y registros de cotutela se rige por acuerdos de corresponsabilidad que garantizan la aplicación uniforme del RGPD en suelo europeo. 4° **Responsables Independientes (*Responsables distincts*):** Notarios públicos europeos, autoridades de apostillado bajo la Convención de La Haya de 1961, ministerios u organismos de reconocimiento extranjeros a los que acuda el propio graduado, y entidades financieras o pasarelas de pago certificadas (tales como **PayPal**, donde la Universidad opera bajo su identidad fiscal verificada `SIREN 399 107 937` · `TVA FR55399107937`). **ARTÍCULO 10 – Régimen de transferencias internacionales de datos fuera del Espacio Económico Europeo (Doctrina Schrems II)** **I. –** Cuando el desarrollo de programas internacionales, el acceso remoto de estudiantes o tutores residentes en América Latina (LATAM) o la tramitación de expedientes ante autoridades extracomunitarias impliquen un flujo transfronterizo de datos fuera del Espacio Económico Europeo (EEE), la Universidad aplica las garantías establecidas en el Capítulo V del RGPD (`Arts. 44 a 49`): - 1° **Decisiones de Adecuación de la Comisión Europea (`Art. 45 RGPD`):** Aplicables de pleno derecho cuando el destinatario se ubique en una jurisdicción declarada de nivel adecuado por la Comisión Europea. - 2° **Cláusulas Contractuales Tipo (SCC) y Evaluación de Impacto de la Transferencia (TIA) (`Art. 46.2.c RGPD`):** Para las jurisdicciones de América Latina y terceros países que no cuenten con una decisión general de adecuación, los flujos sistemáticos con docentes asociados o centros colaboradores se formalizan mediante las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, complementadas —en estricto cumplimiento de la sentencia *Schrems II* del TJUE (Asunto C-311/18)— con Evaluaciones de Impacto de la Transferencia (TIA) y salvaguardas criptográficas de extremo a extremo (cifrado `TLS 1.3` en tránsito y `AES-256` en reposo con claves custodiadas en Francia y Alemania bajo arquitectura *Zero-Trust*). - 3° **Ejecución del contrato formativo y defensa de derechos en trámites de reconocimiento (`Arts. 49.1.b y 49.1.e RGPD`):** Las comunicaciones puntuales de expedientes o certificaciones solicitadas por el propio estudiante o graduado hacia su país de residencia para la ejecución de su contrato de estudios o para el ejercicio de sus derechos de reconocimiento y homologación profesional se amparan legítimamente en las excepciones tasadas del artículo 49, apartado 1, letras b) y e), del RGPD. - 4° **Consulta de garantías:** Todo titular puede solicitar información detallada sobre las garantías de transferencia aplicables a su expediente dirigiéndose a la Unidad Jurídica PRADA ([prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris)). --- ## TÍTULO VI. PLAZOS DE CONSERVACIÓN, DOCTRINA DUAL DE ARCHIVO PERMANENTE DE TITULACIONES Y DESTRUCCIÓN SEGURA **ARTÍCULO 11 – Estratificación del ciclo de vida documental y Doctrina Dual de Archivo Permanente de Titulaciones** **I. –** En observancia del principio de limitación del plazo de conservación (`Art. 5.1.e RGPD`), la institución estructura el ciclo de vida de los datos personales en tres (3) fases sucesivas y auditables: - 1° **Fase I — Base Activa Operativa (*Base active*):** Conservación durante el desarrollo efectivo del programa de estudios, permitiendo el acceso de los servicios docentes, de tutoría y de Secretaría Académica. - 2° **Fase II — Archivo Intermedio y Registro Histórico Restringido (*Archivage intermédiaire et définitif restreint*):** Una vez concluido el programa o expedido el diploma, los datos pasan a un repositorio segregado con control de acceso criptográfico restringido exclusivamente a la Secretaría General y a la Consejería Jurídica PRADA para el cumplimiento de obligaciones legales fiscales y la verificación perpetua de titulaciones. - 3° **Fase III — Supresión Segura o Anonimización Irreversible:** Vencidos los plazos legales de retención de los datos administrativos o técnicos no pertenecientes al acta de grado, se ejecuta su borrado lógico definitivo mediante algoritmos de sobrescritura segura (*data wiping*) o su anonimización estadística irreversible. **II. –** *Doctrina Dual de Archivo Permanente de Titulaciones e Inviolabilidad del Registro Académico:* La conservación perpetua de los asientos de graduación, actas de defensa de tesis, diplomas expedidos y Suplementos Europeos al Título (SET) se fundamenta jurídicamente en la convergencia del interés legítimo institucional en preservar la fe pública universitaria y prevenir el fraude documental (`Art. 6.1.f RGPD`) con las excepciones expresas al derecho de supresión consagradas en el **artículo 17, apartado 3, letras b), d) y e), del RGPD** (cumplimiento de deberes de archivo de interés público, fines de archivo histórico/científico y formulación, ejercicio o defensa de reclamaciones y derechos del propio titulado). En consecuencia, el ejercicio del derecho de supresión por parte de un graduado permite eliminar datos accesorios de contacto o historiales de navegación del campus virtual, pero **mantiene incólume e inalterable el asiento registral matriz del título expedido** (nombre del graduado, matrícula única, denominación del diploma, fecha de expedición y código QR de verificación), garantizando la validez perpetua del grado ante cualquier autoridad o empleador internacional. **ARTÍCULO 12 – Matriz normativa de plazos de conservación y retención documental** **I. –** Los plazos de conservación aplicables a cada categoría documental dentro de **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** se rigen por la siguiente tabla vinculante: | Categoría Documental / Registro | Plazo en Base Activa | Plazo en Archivo Restringido | Fundamento Normativo (RGPD y Derecho Francés) | | --- | --- | --- | --- | | **1. Actas de Grado, Diplomas Expedidos, SET y Asiento de Verificación QR** | Duración de los estudios hasta la titulación. | **Permanente (Perpetuo)** en el Archivo Histórico de Secretaría General ([scolarite@saejee.eu](mailto:scolarite@saejee.eu)). | `Arts. 6.1.f`, `17.3.b`, `17.3.d` y `17.3.e RGPD` · Seguridad jurídica del graduado y fe pública universitaria. | | **2. Documentación Contable, Facturas, Aranceles y Comprobantes de Pago** | Ejercicio fiscal en curso. | **Diez (10) años** a partir del cierre del ejercicio contable. | `Art. 6.1.c RGPD` en relación con el **Article L. 123-22 del *Code de commerce*** francés y el *Code général des impôts*. | | **3. Expedientes de Ejercicio de Derechos RGPD y Actuaciones PRADA** | Durante la tramitación de la solicitud (máx. 1 a 3 meses). | **Cinco (5) años** desde la notificación de la resolución definitiva. | `Art. 6.1.c` y `Art. 6.1.f RGPD` · Plazo general de prescripción civil francés (*Art. 2224 Code civil*). | | **4. Dosieres de Postulantes no Matriculados y Consultas de Admisión** | Hasta **tres (3) años** desde el último contacto activo del candidato. | Supresión definitiva o anonimización al término de los 3 años. | `Art. 5.1.e RGPD` y referencial de retención de prospectos de la **CNIL**. | | **5. Registros Técnicos de Conexión (*Logs*), Direcciones IP y Sesiones LMS** | Hasta **doce (12) meses** en los sistemas de auditoría de seguridad. | Purga automática mediante sobrescritura segura al cumplir 12 meses. | `Art. 6.1.f` y `Art. 32 RGPD` · Criterios técnicos de ciberseguridad de la **CNIL**. | --- ## TÍTULO VII. DERECHOS DE LOS TITULARES, SEGURIDAD TÉCNICA (ART. 32 RGPD) Y GOBERNANZA DE TECNOLOGÍAS DE SEGUIMIENTO **ARTÍCULO 13 – Catálogo de derechos ARCO+, procedimiento operativo de ejercicio y ausencia de decisiones automatizadas** **I. –** Todo titular cuyos datos personales sean objeto de tratamiento por parte de la Universidad goza de la facultad de ejercitar de forma gratuita y en cualquier momento los derechos reconocidos en los artículos 15 a 22 del RGPD: - 1° **Derecho de acceso (`Art. 15 RGPD`):** Obtener confirmación sobre si se están tratando sus datos personales y recibir copia estructurada de los mismos. - 2° **Derecho de rectificación (`Art. 16 RGPD`):** Solicitar la subsanación de datos inexactos o la actualización de datos incompletos en su expediente administrativo o académico. - 3° **Derecho de supresión (`Art. 17 RGPD`):** Solicitar la eliminación de aquellos datos que ya no resulten necesarios para la finalidad que motivó su recogida, dejando a salvo la conservación perpetua del asiento registral de los títulos expedidos conforme al Artículo 11. - 4° **Derecho a la limitación del tratamiento (`Art. 18 RGPD`):** Obtener la suspensión temporal del procesamiento o el bloqueo preventivo de los datos durante la verificación de una impugnación. - 5° **Derecho a la portabilidad de los datos (`Art. 20 RGPD`):** Recibir los datos facilitados en un formato estructurado, de uso común y lectura mecánica. - 6° **Derecho de oposición (`Art. 21 RGPD`) y revocación del consentimiento (`Art. 7.3 RGPD`):** Oponerse por motivos particulares a tratamientos fundados en el interés legítimo o retirar en cualquier momento el consentimiento prestado para tratamientos opcionales sin efectos retroactivos. **II. –** *Procedimiento formal de tramitación y plazos legales:* - *a)* **Canales oficiales de recepción:** Las solicitudes se presentan por vía electrónica ante la Consejería Jurídica y Responsable PRADA ([prada@universiteeuropeenne.paris](mailto:prada@universiteeuropeenne.paris)) o ante la Delegación de Protección de Datos ([dpd@universiteeuropeenne.paris](mailto:dpd@universiteeuropeenne.paris)), o por vía postal certificada dirigida a la sede estatutaria en `229 Boulevard Voltaire, 75011 Paris, République Française`. - *b)* **Verificación proporcional de identidad:** Las solicitudes remitidas desde el correo electrónico institucional o registrado del estudiante se tramitan con validación directa; únicamente en caso de duda razonable sobre la identidad del peticionario se requerirá copia de un documento oficial de identidad para evitar revelaciones no autorizadas a terceros. - *c)* **Plazo de resolución:** La Universidad resolverá y notificará su respuesta dentro del plazo máximo de **un (1) mes** a contar desde la recepción de la solicitud (prorrogable por dos meses adicionales en supuestos de especial complejidad técnica, previa notificación motivada dentro del primer mes, conforme al `Art. 12.3 RGPD`). - *d)* **Tutela administrativa:** Sin perjuicio de los mecanismos internos de resolución amistosa a través de la Unidad PRADA/DPD, el titular cuenta con el derecho reconocido en el artículo 77 del RGPD y en la *Loi n° 78-17* ante la autoridad nacional de control competente en la República Francesa (*Commission Nationale de l'Informatique et des Libertés — CNIL*, con sede en `3 Place de Fontenoy, 75007 Paris, France`) o ante la autoridad supervisora de su lugar de residencia habitual. **III. –** *Ausencia de decisiones individuales automatizadas (`Art. 22 RGPD`):* Se certifica estatutariamente que **SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS** no adopta decisiones basadas únicamente en el tratamiento automatizado ni elabora perfiles algorítmicos que produzcan efectos jurídicos sobre la admisión, calificación, evaluación de tesis o titulación de los estudiantes. Toda decisión académica y evaluadora es adoptada con intervención humana colegiada de las Comisiones de Admisión, el cuerpo docente y los Tribunales Examinadores. **ARTÍCULO 14 – Medidas de seguridad técnicas y organizativas (Art. 32 RGPD) y régimen de tecnologías de seguimiento (Art. 82 Loi 78-17)** **I. –** De conformidad con el artículo 32 del RGPD, la Universidad mantiene una arquitectura de seguridad informática en profundidad que comprende: - 1° **Cifrado criptográfico integral:** Transmisión de datos bajo protocolo `TLS 1.3`, almacenamiento cifrado en reposo (`AES-256`) y sellado criptográfico `PAdES` / `eIDAS` en toda la documentación certificada. - 2° **Redundancia geográfica europea y copias de resguardo:** Copias de seguridad automatizadas e inmutables alojadas exclusivamente en los centros de datos de **OVHcloud SAS** (Francia) y **Hetzner Online GmbH** (Alemania). - 3° **Protocolo de notificación de incidentes (`Arts. 33 y 34 RGPD`):** Auditoría continua de integridad y procedimiento de notificación a la autoridad de control dentro del plazo máximo de **setenta y dos (72) horas** ante cualquier brecha de seguridad que entrañe riesgo para los derechos y libertades de los interesados, así como Evaluaciones de Impacto (`EIPD / DPIA — Art. 35 RGPD`) previas al despliegue de nuevos módulos tecnológicos. **II. –** *Gobernanza de cookies y trazabilidad de garantías financieras (Directiva ePrivacy y Artículo 82 de la Loi n° 78-17):* - *a)* **Cookies técnicas y estrictamente necesarias (exentas de consentimiento):** Dispositivos indispensables para la navegación segura, el mantenimiento de la sesión autenticada en el Campus Virtual (LMS) y la trazabilidad criptográfica de las transacciones arancelarias procesadas bajo la identidad fiscal `UNIVERSITÉ EUROPÉENNE DE PARIS` (`SIREN 399 107 937` · `TVA FR55399107937`), garantizando la operatividad del **Triple Blindaje Financiero del Estudiante** ([Artículo 11 de las Condiciones Generales de Contratación](#conditions-generales-de-vente): 14 días de desistimiento legal europeo, 30 días de garantía institucional de satisfacción y 180 días de Protección al Comprador de PayPal). - *b)* **Cookies analíticas y de preferencias de interfaz (sujetas a consentimiento previo):** Dispositivos de medición estadística agregada y recordatorio de idioma, cuya activación requiere el consentimiento previo del usuario mediante un panel de configuración simétrico que permite aceptar o rechazar en un solo clic y con idéntica jerarquía visual, evitando cualquier patrón de diseño engañoso (*dark pattern*) y coordinándose íntegramente con la [Política de Confidencialidad](#politique-confidentialite) ([PDF](documentos/politica-confidencialidad-es.pdf)) y el [Aviso Legal e Impressum Estatutario](#mentions-legales) ([PDF](documentos/aviso-legal-es.pdf)). ---