Política de Privacidade
Última actualización: 2026-09-10 | Versión: 1.2.0
1. Identificación do Responsable
Responsable do Tratamento:
- Identidade: Pablo Ubach Royo (Particular)
- NIF: 46972018S
- Enderezo: 10600 Plasencia, España
- Email de contacto: hola@eurequiz.com
- Email de privacidade: hola@eurequiz.com
- Teléfono: No disponible
1 bis. Cando usas EureQuiz a través do teu centro educativo
Hai dúas situacións distintas e non se rexen igual. O resto desta política describe a primeira.
Contratas ti, como familia. O responsable do tratamento somos nós, coas bases legais da sección 4.
Dáche acceso o teu centro educativo. Entón o responsable é o centro e nós somos encargados do tratamento (art. 28 RGPD): tratamos os datos do alumnado seguindo unicamente as súas instrucións, cun contrato de encargo asinado con el.
- Non se pide consentimento ás familias para o que é a función educativa: a base legal é a misión realizada en interese público do centro (art. 6.1.e RGPD), conforme á lexislación educativa. Para calquera tratamento que se saia desa función, si fai falta.
- Os teus dereitos exércense ante o centro, que é o responsable: acceso, rectificación, supresión, oposición, limitación e portabilidade. Nós estamos obrigados a axudarlle a atendelos. Podes escribirnos e oriéntámoste, pero a decisión é do colexio.
- Non usamos eses datos para nada noso: nin publicidade, nin venda a terceiros, nin adestramento de modelos de intelixencia artificial.
- Quen ve que dentro do centro: o profesorado ve o progreso do seu alumnado; a dirección, só datos agregados do centro, nunca dun alumno concreto.
E non hai excepción
Todo o que tratamos do alumnado facémolo por conta do centro e seguindo as súas instrucións. Non hai ningún tratamento de datos do alumnado que fagamos por conta propia.
2. Información Especial para Menores de Idade
🔒 Menores de 14 anos (Art. 7 LOPDGDD)
EureQuiz é unha plataforma educativa deseñada para estudantes de Educación Secundaria e Bacharelato. Se tes menos de 14 anos, necesitas o consentimento dos teus pais ou titores legais para poder rexistrarte e utilizar a plataforma.
Información para pais e titores:
Ao crear unha conta para un menor de 14 anos, ti (pai/nai/titor legal) confirmas que:
- Leu e comprendeu esta Política de Privacidade
- Autoriza expresamente o tratamento dos datos persoais do menor segundo o descrito neste documento
- Acepta que o menor participe en actividades educativas gamificadas que inclúen un sistema de puntos (XP) e progreso académico
Verificación do consentimento parental:
Durante o rexistro, se o usuario indica unha data de nacemento inferior a 14 anos, solicitarase:
- Email do pai/nai/titor legal
- Confirmación expresa do consentimento mediante correo electrónico
- Prazo de validación: 14 días
Maiores de 14 anos:
Se tes entre 14 e 18 anos, podes rexistrarte ti mesmo, pero recomendámosche informar os teus pais ou titores sobre o teu uso de EureQuiz.
3. Datos Persoais que Recollemos
3.1. Datos de Rexistro (obrigatorios)
- Nome completo
- Correo electrónico
- Data de nacemento (para verificar a idade e adaptar os contidos)
- Nivel educativo (curso académico: 1.º ESO, 2.º ESO, etc.)
- Contrasinal (almacenado mediante hash seguro)
Estes datos son necesarios para crear a túa conta; se non os facilitas, non poderás rexistrarte nin usar o servizo.
3.2. Datos de Uso e Progreso Académico (automáticos)
- Historial de exercicios: exercicios completados, respostas correctas/incorrectas, tempo dedicado
- Puntos de experiencia (XP): progreso acumulado por curso e tema
- Logros e estatísticas: racha de acertos, nivel alcanzado, insignias obtidas
- Uso de pistas: número de axudas solicitadas durante os exercicios
- Data e hora de acceso: rexistro de sesións e actividade na plataforma
3.3. Datos Técnicos (automáticos)
- Cookie de sesión: eurequiz-auth - Sesión (se borra al cerrar navegador)
- Enderezo IP, navegador e localización aproximada (país/rexión/cidade): rexistramos estes datos en cada inicio de sesión, rexistro e recuperación de contrasinal para garantir a seguridade da conta (detección de accesos inusuais, prevención de fraude) en cumprimento do art. 32 RGPD. Consérvanse durante 90 días e elimínanse automaticamente despois. Podes consultar o historial das túas conexións no teu panel de conta (dereito de acceso, art. 15 RGPD).
- Tipo de dispositivo: para optimizar a experiencia de usuario
✅ NON recompilamos:
- Datos bancarios ou de pagamento directamente (os pagamentos procésanse a través de Stripe, Inc., que actúa como procesador de pagamentos independente)
- Xeolocalización precisa
- Información sensible (saúde, relixión, orientación sexual, etc.)
- Imaxes ou fotografías
4. Finalidade e Base Legal do Tratamento
| Finalidade | Base Legal (RGPD) |
|---|
| Xestión da conta de usuario e autenticación | Execución do contrato (Art. 6.1.b RGPD) |
| Personalización de exercicios segundo o nivel educativo | Interese lexítimo (Art. 6.1.f RGPD) |
| Rexistro de progreso académico (XP, estatísticas, logros) | Interese lexítimo (Art. 6.1.f RGPD) |
| Comunicacións relacionadas co servizo (cambios, notificacións) | Execución do contrato (Art. 6.1.b RGPD) |
| Seguridade e prevención de fraude | Interese lexítimo (Art. 6.1.f RGPD) |
Rexistro de conexións (IP, navegador, localización aproximada)
Datos: enderezo IP, user-agent do navegador, país/rexión/cidade aproximada. Eventos rexistrados: rexistro, inicio de sesión, recuperación de contrasinal, peche de sesión. Prazo de conservación: 90 días (limpeza automática diaria). | Interese lexítimo (Art. 6.1.f RGPD) e obrigación legal de seguridade (Art. 6.1.c + Art. 32 RGPD — medidas técnicas para garantir a seguridade do tratamento) |
| Cumprimento de obrigas legais | Obrigación legal (Art. 6.1.c RGPD) |
Notificacións push web (sistema VAPID)
Datos: endpoint de subscrición único do navegador/dispositivo. Finalidade: envío de recordatorios e alertas de actividade. Prazo de conservación: ata que o usuario revoga o permiso no seu navegador ou cancela a conta. | Consentimento do usuario (Art. 6.1.a RGPD) — opt-in explícito no navegador |
Emparellamento automático de duelos entre alumnos
Datos: curso, franxa de idade e tema elixido para a busca. Finalidade: atopar un rival do teu mesmo nivel fóra da túa aula, só se activas a función (dispoñible a partir dos 14 anos). Revogable en calquera momento desde o teu perfil. | Consentimento do usuario (Art. 6.1.a RGPD) — activación voluntaria desde o perfil, revogable en calquera momento |
Non tomamos decisións automatizadas nin elaboramos perfís con efectos xurídicos sobre ti.
Emparellamento de duelos entre alumnos. Se activas a busca automática de rival (só dispoñible a partir dos 14 anos e desactivable en calquera momento desde o teu perfil), emparellámoste con calquera outro alumno do teu mesmo nivel que tamén a teña activada, sexa do teu centro ou de calquera outro, para disputar un duelo de coñecementos. Non hai chat nin mensaxaría entre os dous alumnos, nin acceso ao perfil do outro: cada un ve unicamente o nome de pía e a inicial do apelido do seu rival, como no resto de duelos da aplicación. A base xurídica é o teu consentimento, que podes retirar desactivando a función; os alumnos menores de 14 anos non poden usala.
5. Destinatarios dos Datos
Os teus datos persoais poden ser comunicados aos seguintes destinatarios, con todos os cales asinamos acordos de protección de datos (DPA - Data Processing Agreements):
Lista completa de sub-encargados (RGPD art. 28.3.d):
| Sub-encargado | Servizo | Sede | Transferencia |
|---|
| Supabase Inc. | Base de datos + auth | Frankfurt (UE) | — |
| Vercel Inc. | Hosting + CDN | París (UE) | — |
| Resend Inc. | Email transaccional | EUA | SCC 2021/914 + EU-US DPF |
| Stripe Payments Europe Ltd. | Procesamento de pagos | Dublín (UE) | EU-US DPF + SCC |
| Sentry (Functional Software) | Captura de erros | Frankfurt (UE) | — |
| Upstash Inc. | Rate limiting | Irlanda (UE) | — |
| Umami Software Inc. | Analítica web (cookieless) | Frankfurt (UE) | SCCs (Umami Cloud DPA) |
Detalles completos (DPA, política de privacidade de cada un, datos procesados) máis abaixo.
Detalle por provedor:
1. Base de Datos e Autenticación
- Provedor: Supabase Inc.
- Localización: Frankfurt, Alemania (EU)
- Función: Almacenamento seguro de datos de usuario e autenticación
- Garantías: Servidores na UE, infraestrutura con certificación SOC 2 do provedor, DPA asinado
- DPA: https://supabase.com/legal/dpa
2. Hosting e CDN
- Provedor: Vercel Inc.
- Localización: París, Francia (EU)
- Función: Aloxamento da aplicación web
- Garantías: Servidores na UE, infraestrutura con certificación SOC 2 do provedor, DPA asinado
- DPA: https://vercel.com/legal/dpa
3. Email Transaccional
- Provedor: Resend Inc.
- Localización: San Francisco, CA, EEUU
- Función: Envío de emails transaccionais (consentimento parental, alertas de inactividade, resumo semanal)
- Datos procesados: Email do destinatario, nome do alumno/titor no corpo do email
- Transferencia internacional: EU-US Data Privacy Framework
- Garantías: Adherido ao EU-US Data Privacy Framework, DPA dispoñible
- DPA: https://resend.com/legal/dpa
4. Procesamento de Pagos
- Provedor: Stripe Payments Europe Ltd.
- Localización: Dublín, Irlanda (EU) — datos transferidos a Stripe Inc. (EEUU)
- Función: Procesamiento de pagos, gestión de suscripciones, prevención de fraude.
- Datos procesados: Email, nome, datos de facturación, método de pago (NUNCA almacenamos datos de tarxeta — xestiónaos Stripe directamente)
- Transferencia internacional: EU-US Data Privacy Framework + cláusulas contractuales tipo (SCC)
- DPA: https://stripe.com/legal/dpa
5. Monitoring de Erros
- Provedor: Sentry (Functional Software, Inc.)
- Localización: Frankfurt, Alemania (UE) — región europea de Sentry
- Función: Captura de errores y excepciones (stack traces, request ID, user ID pseudonimizado). NO captura contenido del request body por configuración.
- Datos procesados: Stack traces de erros, identificador de usuario pseudonimizado, ruta do erro. NON se captura contido do corpo da solicitude.
- Transferencia internacional: Datos en la UE; el acceso del proveedor desde EE. UU. se ampara en su DPA (marco de privacidad UE-EE. UU.)
- DPA: https://sentry.io/legal/dpa/
6. Rate Limiting / Protección antiabuso
- Provedor: Upstash, Inc.
- Localización: Irlanda (UE) — AWS eu-west-1
- Función: Rate limiting (limita peticiones por IP). Almacena temporalmente IPs en Redis con TTL corto (≤ 1h).
- Datos procesados: IP do cliente, ruta do endpoint. TTL curto (≤ 1 hora).
- DPA: https://upstash.com/trust/dpa.pdf
7. Analítica Web
- Provedor: Umami Software, Inc. (Umami Cloud)
- Localización: Frankfurt, Alemania (UE) — región europea de la cuenta
- Función: Analítica web sin cookies y sin fingerprint (IP procesada de forma efímera). Visible solo si el usuario ha consentido analíticas.
- Datos procesados: URL de páxina, referrer, user-agent agregado. SEN cookies, SEN fingerprint, IP truncada.
- Activación: Só se aceptaches as analíticas no báner de cookies.
Importante: Ningún destes provedores utiliza os teus datos para fins propios. Actúan exclusivamente como encargados do tratamento baixo as nosas instrucións.
6. Prazo de Conservación
- Conta activa: Mentres manteñas a túa conta activa e utilices o servizo
- Solicitude de eliminación: Se solicitas eliminar a túa conta, os teus datos persoais borraranse permanentemente nun prazo de 30 días (prazo de gracia por se cambias de opinión)
- Conta inactiva: Se non accedes durante máis de 2 anos, enviarémosche un recordatorio. Se non respondes en 30 días, procederemos á eliminación da túa conta
- Rexistro de conexións (IP, navegador, localización): 90 días desde cada evento. Limpeza automática diaria.
- Rexistros de auditoría administrativa (audit_log): 12 meses, conforme ás obrigas de trazabilidade (art. 30 RXPD).
- Datos estatísticos agregados: Poderemos conservar datos anonimizados (sen identificación persoal) para estatísticas internas de uso da plataforma
7. Os Teus Dereitos (RGPD)
Tes dereito a exercer os seguintes dereitos sobre os teus datos persoais. Para menores de 14 anos, estes dereitos deben ser exercidos polos seus pais ou titores legais.
✅ Dereito de Acceso
Podes solicitar unha copia de todos os teus datos persoais en formato JSON descargable desde o teu panel de conta.
✏️ Dereito de Rectificación
Podes modificar o teu nome, email e nivel educativo desde a sección «O meu perfil» en calquera momento.
🗑️ Dereito de Supresión
Podes eliminar a túa conta completa desde «Configuración > Eliminar conta». Os datos borraranse en 30 días.
⛔ Dereito de Oposición
Podes opoñerte ao tratamento dos teus datos baseado no interese lexítimo (por exemplo, análise do progreso académico).
📦 Dereito de Portabilidade
Podes obter os teus datos en formato estruturado (JSON) para transferilos a outra plataforma.
🔒 Dereito de Limitación
Podes solicitar que suspendamos o tratamento dos teus datos mentres verificamos a súa exactitude ou lexitimidade.
↩️ Dereito a Retirar o Consentimento
Podes retirar o teu consentimento en calquera momento para os tratamentos que o requiran, sen que iso afecte á licitude do tratamento anterior.
Como exercer os teus dereitos?
- Desde a túa conta: Accede a «Configuración > Privacidade e Datos» para exportar ou eliminar os teus datos
- Por email: Escribe a hola@eurequiz.com coa túa solicitude
- Prazo de resposta: Responderémosche nun máximo de 30 días
⚖️ Dereito a reclamar ante a AEPD: Se consideras que non atendemos correctamente os teus dereitos, podes presentar unha reclamación ante a Axencia Española de Protección de Datos (AEPD) en www.aepd.es
8. Medidas de Seguridade
Implementamos as seguintes medidas técnicas e organizativas:
- Cifrado en tránsito: Todas as comunicacións usan HTTPS (TLS 1.3)
- Cifrado en repouso: Base de datos cifrada en Supabase
- Contrasinais: Cifrados co algoritmo bcrypt (non almacenamos contrasinais en texto plano)
- Control de acceso: Row Level Security (RLS) na base de datos para que cada usuario só acceda aos seus datos
- Peche de sesión automático: A sesión péchase automaticamente tras 15 minutos de inactividade
- Modo equipo público: Opción para non persistir a sesión en ordenadores compartidos
- Copias de seguridade: Backups automáticos diarios con retención de 7 días
9. Cookies
EureQuiz utiliza unha cookie técnica necesaria para o inicio de sesión (exenta de consentimento segundo o Art. 22.2 LSSI-CE) e, opcionalmente, Umami Analytics para estatísticas de uso anónimas (require o teu consentimento).
| Nome | Finalidade | Duración | Tipo |
|---|
| eurequiz-auth | Autenticación e xestión de sesión | Sesión (se borra al cerrar navegador) | Técnica (necesaria) |
| sen cookie | Umami Cloud (Umami Software Inc., Estados Unidos, con cláusulas contractuais tipo) — estatísticas anónimas de uso (sen cookies, sen datos persoais) | Só se o consentes | Analítica (opcional) |
Para máis información, consulta a nosa Política de Cookies completa.
10. Cambios nesta Política
Reservámonos o dereito de modificar esta Política de Privacidade para adaptala a cambios lexislativos ou nos nosos servizos. En caso de cambios significativos:
- Notificarémosche por email con polo menos 15 días de antelación
- Publicaremos a nova versión coa data de actualización na parte superior
- Poderás revisar o historial de cambios no noso repositorio público (se procede)
Data de entrada en vigor: 2026-03-15
11. Contacto
Para calquera consulta relacionada coa protección dos teus datos persoais:
- Email de Privacidade: hola@eurequiz.com
- Email de Soporte: hola@eurequiz.com
- Enderezo postal: 10600 Plasencia, España
© 2026 Pablo Ubach Royo. Todos os dereitos reservados.
Termos de Uso|Política de Cookies