Política de Privadesa
Darrera actualització: 2026-09-10 | Versió: 1.2.0
1. Identificació del Responsable
Responsable del Tractament:
- Identitat: Pablo Ubach Royo (Particular)
- NIF: 46972018S
- Adreça: 10600 Plasencia, España
- Correu electrònic de contacte: hola@eurequiz.com
- Correu electrònic de privadesa: hola@eurequiz.com
- Telèfon: No disponible
1 bis. Quan uses EureQuiz a través del teu centre educatiu
Hi ha dues situacions diferents i no es regeixen igual. La resta d'aquesta política descriu la primera.
Contractes tu, com a família. El responsable del tractament som nosaltres, amb les bases legals de la secció 4.
Et dona accés el teu centre educatiu. Aleshores el responsable és el centre i nosaltres som encarregats del tractament (art. 28 RGPD): tractem les dades de l'alumnat seguint únicament les seves instruccions, amb un contracte d'encàrrec signat amb ell.
- No es demana consentiment a les famílies per al que és la funció educativa: la base legal és la missió realitzada en interès públic del centre (art. 6.1.e RGPD), d'acord amb la legislació educativa. Per a qualsevol tractament que se'n surti, sí que cal.
- Els teus drets s'exerceixen davant el centre, que és el responsable: accés, rectificació, supressió, oposició, limitació i portabilitat. Nosaltres estem obligats a ajudar-lo a atendre'ls. Ens pots escriure i t'orientem, però la decisió és del col·legi.
- No fem servir aquestes dades per a res nostre: ni publicitat, ni venda a tercers, ni entrenament de models d'intel·ligència artificial.
- Qui veu què dins del centre: el professorat veu el progrés del seu alumnat; la direcció, només dades agregades del centre, mai d’un alumne concret.
I no hi ha excepció
Tot el que tractem de l'alumnat ho fem per compte del centre i seguint les seves instruccions. No hi ha cap tractament de dades de l'alumnat que fem per compte propi.
2. Informació Especial per a Menors d'Edat
🔒 Menors de 14 anys (Art. 7 LOPDGDD)
EureQuiz és una plataforma educativa dissenyada per a estudiants d'Educació Secundària i Batxillerat. Si tens menys de 14 anys, necessites el consentiment dels teus pares o tutors legals per poder registrar-te i utilitzar la plataforma.
Informació per a pares i tutors:
En crear un compte per a un menor de 14 anys, tu (pare/mare/tutor legal) confirmes que:
- Has llegit i comprès aquesta Política de Privadesa
- Autoritzes expressament el tractament de les dades personals del menor segons el que es descriu en aquest document
- Acceptes que el menor participi en activitats educatives gamificades que inclouen un sistema de punts (XP) i progrés acadèmic
Verificació del consentiment parental:
Durant el registre, si l'usuari indica una data de naixement inferior a 14 anys, se sol·licitarà:
- Correu electrònic del pare/mare/tutor legal
- Confirmació expressa del consentiment mitjançant correu electrònic
- Termini de validació: 14 dies
Majors de 14 anys:
Si tens entre 14 i 18 anys, pots registrar-te tu mateix, però et recomanem informar els teus pares o tutors sobre el teu ús d'EureQuiz.
3. Dades Personals que Recopilem
3.1. Dades de Registre (obligatòries)
- Nom complet
- Correu electrònic
- Data de naixement (per verificar l'edat i adaptar els continguts)
- Nivell educatiu (curs acadèmic: 1r ESO, 2n ESO, etc.)
- Contrasenya (emmagatzemada mitjançant hash segur)
Aquestes dades són necessàries per crear el teu compte; si no les facilites, no et podràs registrar ni utilitzar el servei.
3.2. Dades d'Ús i Progrés Acadèmic (automàtiques)
- Historial d'exercicis: exercicis completats, respostes correctes/incorrectes, temps dedicat
- Punts d'experiència (XP): progrés acumulat per curs i tema
- Assoliments i estadístiques: ratxa d'encerts, nivell assolit, insígnies obtingudes
- Ús de pistes: nombre d'ajudes sol·licitades durant els exercicis
- Data i hora d'accés: registre de sessions i activitat a la plataforma
3.3. Dades Tècniques (automàtiques)
- Cookie de sessió: eurequiz-auth - Sesión (se borra al cerrar navegador)
- Adreça IP, navegador i ubicació aproximada (país/regió/ciutat): registrem aquestes dades en cada inici de sessió, registre i recuperació de contrasenya per garantir la seguretat del compte (detecció d'accessos inusuals, prevenció de frau) en compliment de l'art. 32 RGPD. Es conserven durant 90 dies i s'eliminen automàticament després. Pots consultar l'historial de les teves connexions al teu tauler de compte (dret d'accés, art. 15 RGPD).
- Tipus de dispositiu: per optimitzar l'experiència d'usuari
✅ NO recopilem:
- Dades bancàries o de pagament directament (els pagaments es processen a través de Stripe, Inc., que actua com a processador de pagaments independent)
- Geolocalització precisa
- Informació sensible (salut, religió, orientació sexual, etc.)
- Imatges o fotografies
4. Finalitat i Base Legal del Tractament
| Finalitat | Base Legal (RGPD) |
|---|
| Gestió del compte d'usuari i autenticació | Execució del contracte (Art. 6.1.b RGPD) |
| Personalització d'exercicis segons el nivell educatiu | Interès legítim (Art. 6.1.f RGPD) |
| Registre del progrés acadèmic (XP, estadístiques, assoliments) | Interès legítim (Art. 6.1.f RGPD) |
| Comunicacions relacionades amb el servei (canvis, notificacions) | Execució del contracte (Art. 6.1.b RGPD) |
| Seguretat i prevenció del frau | Interès legítim (Art. 6.1.f RGPD) |
Registre de connexions (IP, navegador, ubicació aproximada)
Dades: adreça IP, user-agent del navegador, país/regió/ciutat aproximada. Esdeveniments registrats: registre, inici de sessió, recuperació de contrasenya, tancament de sessió. Termini de conservació: 90 dies (neteja automàtica diària). | Interès legítim (Art. 6.1.f RGPD) i obligació legal de seguretat (Art. 6.1.c + Art. 32 RGPD — mesures tècniques per garantir la seguretat del tractament) |
| Compliment d'obligacions legals | Obligació legal (Art. 6.1.c RGPD) |
Notificacions push web (sistema VAPID)
Dades: endpoint de subscripció únic del navegador/dispositiu. Finalitat: enviament de recordatoris i alertes d'activitat. Termini de conservació: fins que l'usuari revoca el permís al seu navegador o cancel·la el compte. | Consentiment de l'usuari (Art. 6.1.a RGPD) — opt-in explícit al navegador |
Aparellament automàtic de duels entre alumnes
Dades: curs, franja d'edat i tema triat per a la cerca. Finalitat: trobar un rival del teu mateix nivell fora de la teva aula, només si actives la funció (disponible a partir dels 14 anys). Revocable en qualsevol moment des del teu perfil. | Consentiment de l'usuari (Art. 6.1.a RGPD) — activació voluntària des del perfil, revocable en qualsevol moment |
No prenem decisions automatitzades ni elaborem perfils amb efectes jurídics sobre tu.
Aparellament de duels entre alumnes. Si actives la cerca automàtica de rival (només disponible a partir dels 14 anys i desactivable en qualsevol moment des del teu perfil), t'aparellem amb qualsevol altre alumne del teu mateix nivell que també la tingui activada, sigui del teu centre o de qualsevol altre, per disputar un duel de coneixements. No hi ha xat ni missatgeria entre els dos alumnes, ni accés al perfil de l'altre: cadascú veu únicament el nom de pila i la inicial del cognom del seu rival, com a la resta de duels de l'aplicació. La base jurídica és el teu consentiment, que pots retirar desactivant la funció; els alumnes menors de 14 anys no la poden fer servir.
5. Destinataris de les Dades
Les teves dades personals poden ser comunicades als destinataris següents, amb tots els quals hem signat acords de protecció de dades (DPA - Data Processing Agreements):
Llista completa de sub-encarregats (RGPD art. 28.3.d):
| Sub-encarregat | Servei | Seu | Transferència |
|---|
| Supabase Inc. | Base de dades + auth | Frankfurt (UE) | — |
| Vercel Inc. | Hosting + CDN | París (UE) | — |
| Resend Inc. | Correu electrònic transaccional | EUA | SCC 2021/914 + EU-US DPF |
| Stripe Payments Europe Ltd. | Processament de pagaments | Dublín (UE) | EU-US DPF + SCC |
| Sentry (Functional Software) | Captura d'errors | Frankfurt (UE) | — |
| Upstash Inc. | Rate limiting | Irlanda (UE) | — |
| Umami Software Inc. | Analítica web (cookieless) | Frankfurt (UE) | SCCs (Umami Cloud DPA) |
Detalls complets (DPA, política de privadesa de cadascun, dades processades) més avall.
Detall per proveïdor:
1. Base de Dades i Autenticació
- Proveïdor: Supabase Inc.
- Ubicació: Frankfurt, Alemania (EU)
- Funció: Emmagatzematge segur de dades d'usuari i autenticació
- Garanties: Servidors a la UE, infraestructura amb certificació SOC 2 del proveïdor, DPA signat
- DPA: https://supabase.com/legal/dpa
2. Hosting i CDN
- Proveïdor: Vercel Inc.
- Ubicació: París, Francia (EU)
- Funció: Allotjament de l'aplicació web
- Garanties: Servidors a la UE, infraestructura amb certificació SOC 2 del proveïdor, DPA signat
- DPA: https://vercel.com/legal/dpa
3. Correu Electrònic Transaccional
- Proveïdor: Resend Inc.
- Ubicació: San Francisco, CA, EEUU
- Funció: Enviament de correus electrònics transaccionals (consentiment parental, alertes d'inactivitat, resum setmanal)
- Dades processades: Correu electrònic del destinatari, nom de l'alumne/tutor al cos del correu electrònic
- Transferència internacional: EU-US Data Privacy Framework
- Garanties: Adherit a l'EU-US Data Privacy Framework, DPA disponible
- DPA: https://resend.com/legal/dpa
4. Processament de Pagaments
- Proveïdor: Stripe Payments Europe Ltd.
- Ubicació: Dublín, Irlanda (EU) — datos transferidos a Stripe Inc. (EEUU)
- Funció: Procesamiento de pagos, gestión de suscripciones, prevención de fraude.
- Dades processades: Correu electrònic, nom, dades de facturació, mètode de pagament (MAI emmagatzemem dades de targeta — les gestiona Stripe directament)
- Transferència internacional: EU-US Data Privacy Framework + cláusulas contractuales tipo (SCC)
- DPA: https://stripe.com/legal/dpa
5. Monitoratge d'Errors
- Proveïdor: Sentry (Functional Software, Inc.)
- Ubicació: Frankfurt, Alemania (UE) — región europea de Sentry
- Funció: Captura de errores y excepciones (stack traces, request ID, user ID pseudonimizado). NO captura contenido del request body por configuración.
- Dades processades: Stack traces d'errors, identificador d'usuari pseudonimitzat, ruta de l'error. NO es captura el contingut del cos de la sol·licitud.
- Transferència internacional: Datos en la UE; el acceso del proveedor desde EE. UU. se ampara en su DPA (marco de privacidad UE-EE. UU.)
- DPA: https://sentry.io/legal/dpa/
6. Rate Limiting / Protecció antiabús
- Proveïdor: Upstash, Inc.
- Ubicació: Irlanda (UE) — AWS eu-west-1
- Funció: Rate limiting (limita peticiones por IP). Almacena temporalmente IPs en Redis con TTL corto (≤ 1h).
- Dades processades: IP del client, ruta de l'endpoint. TTL curt (≤ 1 hora).
- DPA: https://upstash.com/trust/dpa.pdf
7. Analítica Web
- Proveïdor: Umami Software, Inc. (Umami Cloud)
- Ubicació: Frankfurt, Alemania (UE) — región europea de la cuenta
- Funció: Analítica web sin cookies y sin fingerprint (IP procesada de forma efímera). Visible solo si el usuario ha consentido analíticas.
- Dades processades: URL de pàgina, referrer, user-agent agregat. SENSE cookies, SENSE fingerprint, IP truncada.
- Activació: Només si has acceptat les analítiques al bàner de cookies.
Important: Cap d'aquests proveïdors utilitza les teves dades per a finalitats pròpies. Actuen exclusivament com a encarregats del tractament seguint les nostres instruccions.
6. Termini de Conservació
- Compte actiu: Mentre mantinguis el teu compte actiu i utilitzis el servei
- Sol·licitud d'eliminació: Si sol·licites eliminar el teu compte, les teves dades personals s'esborraran permanentment en un termini de 30 dies (termini de gràcia per si canvies d'opinió)
- Compte inactiu: Si no accedeixes durant més de 2 anys, t'enviarem un recordatori. Si no respons en 30 dies, procedirem a l'eliminació del teu compte
- Registre de connexions (IP, navegador, ubicació): 90 dies des de cada esdeveniment. Neteja automàtica diària.
- Registres d'auditoria administrativa (audit_log): 12 mesos, conforme a les obligacions de traçabilitat (art. 30 RGPD).
- Dades estadístiques agregades: Podrem conservar dades anonimitzades (sense identificació personal) per a estadístiques internes d'ús de la plataforma
7. Els Teus Drets (RGPD)
Tens dret a exercir els drets següents sobre les teves dades personals. Per als menors de 14 anys, aquests drets han de ser exercits pels seus pares o tutors legals.
✅ Dret d'Accés
Pots sol·licitar una còpia de totes les teves dades personals en format JSON descarregable des del teu tauler de compte.
✏️ Dret de Rectificació
Pots modificar el teu nom, correu electrònic i nivell educatiu des de la secció «El meu perfil» en qualsevol moment.
🗑️ Dret de Supressió
Pots sol·licitar l'eliminació del teu compte des de «Configuració › Eliminar compte». Les dades s'esborraran en 30 dies. Si el compte té un tutor legal vinculat, la baixa no s'executa directament: el sistema notifica el tutor perquè l'autoritzi, o pots escriure a hola@eurequiz.com.
⛔ Dret d'Oposició
Pots oposar-te al tractament de les teves dades basat en l'interès legítim (per exemple, anàlisi del progrés acadèmic).
📦 Dret de Portabilitat
Pots obtenir les teves dades en format estructurat (JSON) per transferir-les a una altra plataforma.
🔒 Dret de Limitació
Pots sol·licitar que suspenguem el tractament de les teves dades mentre en verifiquem l'exactitud o la legitimitat.
↩️ Dret a Retirar el Consentiment
Pots retirar el teu consentiment en qualsevol moment per als tractaments que ho requereixin, sense que això afecti la licitud del tractament anterior.
Com exercir els teus drets?
- Des del teu compte: Accedeix a «Configuració > Privadesa i Dades» per exportar o eliminar les teves dades
- Per correu electrònic: Escriu a hola@eurequiz.com amb la teva sol·licitud
- Termini de resposta: Et respondrem en un màxim de 30 dies
⚖️ Dret a reclamar davant l'AEPD: Si consideres que no hem atès correctament els teus drets, pots presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (AEPD) a www.aepd.es
8. Mesures de Seguretat
Implementem les mesures tècniques i organitzatives següents:
- Xifratge en trànsit: Totes les comunicacions utilitzen HTTPS (TLS 1.3)
- Xifratge en repòs: Base de dades xifrada a Supabase
- Contrasenyes: Xifrades amb l'algorisme bcrypt (no emmagatzemem contrasenyes en text pla)
- Control d'accés: Row Level Security (RLS) a la base de dades perquè cada usuari només accedeixi a les seves dades
- Tancament de sessió automàtic: La sessió es tanca automàticament després de 15 minuts d'inactivitat
- Mode equip públic: Opció per no mantenir la sessió en ordinadors compartits
- Còpies de seguretat: Còpies de seguretat automàtiques diàries amb retenció de 7 dies
9. Cookies
EureQuiz utilitza una cookie tècnica necessària per a l'inici de sessió (exempta de consentiment segons l'Art. 22.2 LSSI-CE) i, opcionalment, Umami Analytics per a estadístiques d'ús anònimes (requereix el teu consentiment).
| Nom | Finalitat | Durada | Tipus |
|---|
| eurequiz-auth | Autenticació i gestió de sessió | Sesión (se borra al cerrar navegador) | Tècnica (necessària) |
| sense cookie | Umami Cloud (Umami Software Inc., Estats Units, amb clàusules contractuals tipus) — estadístiques anònimes d'ús (sense cookies, sense dades personals) | Només si hi consents | Analítica (opcional) |
Per a més informació, consulta la nostra Política de Cookies completa.
10. Canvis en aquesta Política
Ens reservem el dret de modificar aquesta Política de Privadesa per adaptar-la a canvis legislatius o en els nostres serveis. En cas de canvis significatius:
- T'ho notificarem per correu electrònic amb almenys 15 dies d'antelació
- Publicarem la nova versió amb la data d'actualització a la part superior
- Podràs revisar l'historial de canvis al nostre repositori públic (si escau)
Data d'entrada en vigor: 2026-03-15
11. Contacte
Per a qualsevol consulta relacionada amb la protecció de les teves dades personals:
- Correu electrònic de Privadesa: hola@eurequiz.com
- Correu electrònic de Suport: hola@eurequiz.com
- Adreça postal: 10600 Plasencia, España
© 2026 Pablo Ubach Royo. Tots els drets reservats.
Termes d'Ús|Política de Cookies