Política de privacidad

1. El responsable del tratamiento

Metis IT&Software S.R.L., sociedad constituida en Rumanía (UE), NIF-IVA RO45457364, Registro Mercantil rumano n.º J2022000382407, Str. Râmnicu Vâlcea 8, of. 809, Sector 3, Bucarest (Rumanía). Contacto para la protección de datos: george.dumitru@biroul-de-it.ro, teléfono +40 730 740 522.

2. Un principio básico: no almacenamos las fotos

Las fotografías de los ejercicios se procesan y no se guardan en nuestros servidores — son cuadernos de alumnos, a veces con nombres en la página, y no queremos esa responsabilidad. En el historial se conserva solo el texto: la tarea (transcrita o reformulada por la IA) y la explicación generada.

3. Qué datos tratamos y por qué

a. La cuenta

El correo, el nombre (si entras con Google, Google nos comunica tu nombre y tu correo), la confirmación de la edad y la fecha de aceptación de los términos. Base jurídica: la ejecución del contrato (art. 6.1.b del RGPD).

b. Las explicaciones

El texto de las explicaciones y de las preguntas de aclaración, más la nota opcional que añades tú. Base: la ejecución del contrato.

c. El uso anónimo

Para las 3 explicaciones gratis sin cuenta usamos un identificador aleatorio en una cookie y un hash de la dirección IP (no la IP en bruto). Base: el interés legítimo (art. 6.1.f) — limitar el abuso.

d. Los pagos y las facturas

Los pagos los procesa Stripe. Recibimos de Stripe tu nombre, tu dirección de facturación, tu NIF (si lo indicas) y el estado de la suscripción; nunca los datos de la tarjeta. Con esos datos emitimos la factura a través de Oblio (servicio de facturación, Rumanía). Base: la ejecución del contrato y las obligaciones legales (facturación y contabilidad).

e. La contratación

Con cada suscripción guardamos la fecha en que aceptaste los términos (y su versión), tu petición de que el servicio empezara de inmediato y, si lo ejerces, la fecha de tu desistimiento, para poder acreditarlos. Base: las obligaciones legales de la contratación a distancia y nuestro interés legítimo en poder demostrarlas (art. 6.1.c y f).

f. Los correos

Los códigos de inicio de sesión, la confirmación del contrato, el aviso antes de cada renovación, la confirmación de un desistimiento y otros avisos del servicio, enviados con ZeptoMail (Zoho). Base: la ejecución del contrato y las obligaciones legales.

4. El procesamiento por IA

Para generar la explicación, tu fotografía y tu texto se transmiten a Anthropic (la API de Claude), que los procesa por cuenta nuestra. Anthropic conserva las imágenes y los textos un máximo de 30 días (hasta 2 años si detecta un uso contrario a su política de uso) y no los usa para entrenar sus modelos. Las explicaciones están generadas por inteligencia artificial — la interfaz muestra permanentemente este aviso (Reglamento (UE) 2024/1689 de inteligencia artificial, art. 50).

5. Menores

La cuenta pertenece a una persona mayor de edad. No pedimos datos personales de los alumnos; las instrucciones de la IA le prohíben expresamente comentar o pedir datos personales visibles en las fotos (nombre, colegio, curso). No usamos los datos para publicidad comportamental dirigida a menores.

6. Destinatarios y transferencias

• Vercel (alojamiento) — UE/EE. UU.;
• Supabase (base de datos) — región UE;
• Anthropic (procesamiento IA) — EE. UU.;
• Stripe (pagos) — UE/EE. UU.;
• Oblio (facturación) — Rumanía (UE);
• ZeptoMail, de Zoho (correos) — UE;
• Google (inicio de sesión, solo si lo usas) — UE/EE. UU.;
• Meta (medición de la publicidad, solo con tu consentimiento) — UE/EE. UU.;
• las autoridades fiscales, cuando la ley lo exige.

Las transferencias fuera del EEE se hacen sobre la base de las Cláusulas Contractuales Tipo y, cuando corresponde, del Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework). Puedes pedirnos una copia de las cláusulas en george.dumitru@biroul-de-it.ro.

7. Cuánto tiempo conservamos los datos

• la cuenta y el historial de explicaciones: hasta que elimines la cuenta;
• los códigos de inicio de sesión: caducan a los 10 minutos y se borran como máximo un día después;
• los contadores anónimos (cookie + hash de IP): 12 meses como máximo;
• estadísticas técnicas de las llamadas al modelo de IA (número de tokens, duración, coste), sin texto y sin el identificador de la cuenta: tras la eliminación de la cuenta quedan solo como datos anónimos;
• el registro de la contratación y del desistimiento: mientras dure la suscripción y, después, durante el plazo en que puedan exigirse responsabilidades derivadas del contrato;
• los datos de facturación: según las obligaciones fiscales (hasta 10 años).

8. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición, además del derecho a retirar tu consentimiento. La eliminación de la cuenta está disponible directamente en la aplicación («Perfil» → «Eliminar la cuenta definitivamente») y borra la cuenta, el historial y las explicaciones; quedan solo estadísticas técnicas anónimas, sin contenido. Para cualquier solicitud: george.dumitru@biroul-de-it.ro. También puedes dirigirte a la Agencia Española de Protección de Datos (aepd.es).

9. Cookies

Esenciales (no necesitan consentimiento)

• authjs.session-token (Euclides): mantiene la sesión de tu cuenta — 30 días;
• authjs.csrf-token y authjs.callback-url (Euclides): protegen el inicio de sesión y te devuelven a la página de la que venías — mientras dura la sesión del navegador;
• rt_consent (Euclides): recuerda, durante el alta, que marcaste las dos casillas — 15 minutos;
• rt_anon (Euclides): el identificador anónimo para el límite de explicaciones gratis — 12 meses;
• rt_cookie_consent (Euclides): recuerda tu elección sobre las cookies — 6 meses.

En el almacenamiento local del navegador guardamos también tu elección sobre las cookies (te la volvemos a preguntar a los 24 meses) y si has superado el test de Olimpiada.

No esenciales (solo con consentimiento)

• _fbp y _fbc (Meta): miden la publicidad — 90 días.

Están desactivadas por defecto y se activan solo si las aceptas desde el banner de cookies. Si las aceptas, enviamos a Meta Platforms Ireland eventos genéricos (p. ej. «página visitada», «suscripción iniciada») junto con datos técnicos: la dirección IP, el navegador, los identificadores de esas cookies y, cuando creas la cuenta, un resumen cifrado (hash) de tu correo. Nunca el contenido de los ejercicios, la asignatura, el curso ni ningún dato sobre los alumnos. Base: tu consentimiento (art. 6.1.a); Meta puede tratar estos datos en EE. UU. (Marco de Privacidad de Datos UE–EE. UU.). Puedes retirar el consentimiento cuando quieras desde el enlace «Configuración de cookies» del pie de página; al hacerlo, dejamos de enviar eventos y borramos esas cookies.