Política de privacidad
Borrador pendiente de revisión legal. Este texto es un borrador (versión 0.2) y todavía no ha sido revisado por un abogado. No debe usarse como versión definitiva antes de esa revisión.
1. Quiénes somos
TheorieWin (theoriewin.com) es una plataforma en línea para estudiar el examen teórico de manejo del CBR en los Países Bajos. El responsable del tratamiento de tus datos personales es:
- [NOMBRE LEGAL]
- [DIRECCIÓN], Países Bajos
- Número de la Cámara de Comercio (KvK): [NÚMERO KvK]
- Correo electrónico: [EMAIL DE CONTACTO]
Para todo lo relacionado con la privacidad también puedes escribir a privacy@theoriewin.com.
TheorieWin es independiente y no tiene ninguna relación con el CBR (Centraal Bureau Rijvaardigheidsbewijzen).
Esta política sigue el Reglamento General de Protección de Datos de la UE (RGPD; en neerlandés, AVG) y la ley neerlandesa que lo complementa (UAVG).
2. En resumen
- Solo tratamos los datos que necesitamos para que funcionen tu cuenta y tu plan de estudio.
- No vendemos tus datos, no mostramos publicidad y no usamos cookies de seguimiento ni analítica.
- Puedes descargar tus datos y eliminar tu cuenta tú mismo en cualquier momento desde la página de tu cuenta.
- Necesitas tener al menos 16 años para crear una cuenta.
3. Qué datos tratamos
Cuenta
- Dirección de correo electrónico
- Nombre (para saludarte y mostrar tus iniciales en el menú)
- Hash de la contraseña: tu contraseña solo se guarda como hash (Argon2id). Nunca vemos tu contraseña.
- Si tu correo electrónico está verificado
- Idioma preferido
- Fecha de creación de la cuenta
También puedes iniciar sesión con un enlace de un solo uso (“enlace mágico”) que enviamos a tu correo.
Datos personales
- Año de nacimiento (obligatorio): para comprobar que tienes la edad mínima y ajustar el ritmo de tu plan. Solo guardamos el año, nunca la fecha completa.
- Nacionalidad (opcional): nos ayuda a decidir en qué idiomas añadir explicaciones. Solo la usamos en estadísticas anónimas y agregadas, nunca para tratarte de forma distinta.
- Teléfono (opcional): solo para contactarte cuando nos pides ayuda. Nunca para publicidad y nunca lo compartimos.
Puedes cambiar estos datos en “Mi perfil” cuando quieras, y borrar la nacionalidad y el teléfono con un botón. Se guardan aparte de tus datos de aprendizaje.
Preferencias de la app
Si quieres sonido al acertar, si prefieres menos animaciones, la intensidad de tu plan y si quieres recordatorios por correo (y a qué hora).
Perfil de estudio (todos los campos son opcionales)
- Fecha prevista del examen
- Idioma y versión del examen (neerlandés, inglés, con intérprete, tiempo adicional)
- Meta diaria de estudio en minutos
- Resultados del diagnóstico inicial
Datos de aprendizaje
- Cada respuesta que das: identificador de la pregunta, si fue correcta o incorrecta, si la marcaste como “no estoy seguro”, el tiempo que tardaste y el modo de estudio
- Tu calendario de repaso espaciado para cada pregunta
- Resultados de los simulacros de examen
- Tu mejor racha de respuestas correctas seguidas al practicar (tu récord personal)
- Opcional: el resultado de tu examen real del CBR, si decides indicarlo. Solo lo usamos para calcular la tasa de aprobación de la plataforma como estadística anónima y agregada.
Sesiones y seguridad
- Una cookie de sesión que mantiene tu sesión iniciada (consulta la política de cookies).
- Registros de sesión con fecha de vencimiento y tipo de navegador (user agent, recortado), para que puedas ver y cerrar tus sesiones activas.
- No guardamos direcciones IP junto con tu cuenta. Para prevenir abusos, registramos los intentos fallidos de inicio de sesión con un hash con sal (salted hash) del correo y de la dirección IP.
- Los registros técnicos de nuestro servidor no contienen tu dirección IP ni tu correo.
- Cuando el navegador bloquea algo por nuestras reglas de seguridad (Content Security Policy), nos envía un informe técnico: la página, el recurso bloqueado y el tipo de navegador. No contiene tu IP ni datos de tu cuenta.
Registros de aceptación
Qué versión de los términos de uso y de esta política de privacidad aceptaste, y cuándo.
Correos electrónicos
Solo enviamos correos transaccionales: verificación del correo, enlaces mágicos, restablecimiento de contraseña, avisos de seguridad, aviso de cuenta inactiva y confirmación de eliminación de la cuenta. No enviamos correos de marketing. Si algún día quisiéramos hacerlo, primero te pediríamos un permiso aparte (opt-in). Si los activas en la app, también te enviamos recordatorios de estudio: como mucho uno al día, solo los días que aún no estudiaste, y los desactivas con un clic desde el propio correo.
Mensajes que nos envías
Si nos escribes (por ejemplo, a support@, privacy@ o security@theoriewin.com), guardamos tu mensaje, tu dirección de correo y nuestra respuesta para poder ayudarte.
Datos en tu dispositivo
La app guarda en tu navegador una copia de tu progreso para funcionar sin conexión. Los detalles están en la política de cookies.
4. Para qué usamos tus datos y con qué base legal
| Finalidad | Datos | Base legal |
|---|---|---|
| Crear y gestionar tu cuenta, iniciar sesión | Datos de la cuenta, datos de sesión | Ejecución de un contrato (art. 6.1.b RGPD) |
| Comprobar la edad mínima y ajustar el ritmo del plan | Año de nacimiento | Ejecución de un contrato (art. 6.1.b RGPD) |
| Decidir en qué idiomas añadir explicaciones (solo estadísticas anónimas) | Nacionalidad (opcional) | Consentimiento (art. 6.1.a RGPD): lo das al rellenar el campo y lo retiras al borrarlo |
| Contactarte cuando nos pides ayuda | Teléfono (opcional) | Consentimiento (art. 6.1.a RGPD): lo das al rellenar el campo y lo retiras al borrarlo |
| Prestar el servicio de estudio: práctica personalizada, calendario de repaso, simulacros, progreso | Perfil de estudio, datos de aprendizaje, preferencias | Ejecución de un contrato (art. 6.1.b RGPD) |
| Enviar correos transaccionales | Correo electrónico, idioma | Ejecución de un contrato (art. 6.1.b RGPD) |
| Enviar recordatorios de estudio | Correo electrónico, hora elegida, actividad del día | Consentimiento (art. 6.1.a RGPD): los activas y desactivas tú |
| Responder a tus mensajes | Correo electrónico, contenido del mensaje | Ejecución de un contrato (art. 6.1.b RGPD) o interés legítimo en atender consultas (art. 6.1.f RGPD) |
| Seguridad y prevención de abusos (intentos fallidos, protección contra bots, gestión de sesiones, informes de seguridad del navegador) | Hashes del correo y de la IP, datos de sesión, datos técnicos | Interés legítimo en mantener seguras la plataforma y tu cuenta (art. 6.1.f RGPD) |
| Estadística agregada de aprobación | Resultado del examen indicado por ti (anonimizado) | Interés legítimo en entender y mejorar la plataforma (art. 6.1.f RGPD) |
| Demostrar qué términos aceptaste y cumplir obligaciones legales | Registros de aceptación y otros datos cuando la ley lo exija | Interés legítimo (art. 6.1.f RGPD) y, cuando corresponda, obligación legal (art. 6.1.c RGPD) |
Cuando nos basamos en el interés legítimo, tienes derecho a oponerte (consulta la sección 9). Cuando nos basamos en tu consentimiento, puedes retirarlo en cualquier momento; eso no afecta al tratamiento anterior.
No tomamos decisiones basadas únicamente en un tratamiento automatizado que tengan efectos jurídicos o efectos igualmente importantes para ti. El orden de las preguntas de práctica se adapta a tus respuestas; esto solo afecta tu práctica.
Los pagos no están activos. Si en el futuro incorporamos funciones de pago, actualizaremos esta política antes de que empiecen.
5. Quién recibe tus datos
No vendemos datos personales. Trabajamos con los siguientes proveedores (encargados del tratamiento), que solo pueden tratar los datos siguiendo nuestras instrucciones.
| Proveedor | Para qué | Ubicación y garantías |
|---|---|---|
| Cloudflare, Inc. | DNS, red de distribución (CDN) y alojamiento del sitio (Cloudflare Workers), incluidos los videos; protección contra bots en los formularios de acceso (Turnstile); reenvío de los correos que nos envías (Email Routing); y un túnel seguro hacia nuestro servidor. Todo el tráfico entre tu navegador y nuestro servidor pasa por la red de Cloudflare, por lo que Cloudflare trata datos técnicos como tu dirección IP. | Estados Unidos y red mundial; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Brevo (Sendinblue SAS) | Envío de correos transaccionales y recordatorios | Francia (UE) |
| Google (Gmail) | Buzón donde recibimos y respondemos los correos que nos envías | Google Ireland Ltd. y Google LLC (Estados Unidos); Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Have I Been Pwned (Pwned Passwords) | Comprobar si una contraseña nueva aparece en filtraciones conocidas. Solo se envían los 5 primeros caracteres de un hash de la contraseña (k-anonimidad): ni tu contraseña ni tu correo salen de nuestro servidor. | Servicio internacional; no recibe datos personales |
Nuestro servidor de aplicación y nuestra base de datos funcionan en un equipo que operamos nosotros mismos en los Países Bajos. Las copias de seguridad se cifran en ese servidor y se guardan allí y en un segundo equipo nuestro, también en los Países Bajos.
También podemos compartir datos cuando la ley lo exija, por ejemplo, ante una orden vinculante de una autoridad competente.
6. Transferencias fuera del Espacio Económico Europeo
Cloudflare y Google pueden tratar datos en Estados Unidos y en otros países fuera del EEE. Ambas empresas están certificadas en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de julio de 2023) y, además, firmamos con ellas las cláusulas contractuales tipo de la Comisión Europea. Nuestra base de datos y Brevo están en la UE.
7. Cuánto tiempo guardamos tus datos
| Datos | Plazo |
|---|---|
| Cuenta, perfil, preferencias y datos de aprendizaje | Hasta que elimines tu cuenta |
| Nacionalidad y teléfono | Hasta que los borres en tu perfil o elimines tu cuenta |
| Cuentas inactivas | Se eliminan tras 24 meses sin actividad; te avisamos por correo 30 días antes |
| Sesiones | Vencen como máximo a los 30 días |
| Enlaces de un solo uso (verificación, acceso, restablecimiento) | Vencen en minutos u horas; se borran después |
| Registros de seguridad (intentos fallidos) | 30 días |
| Informes de seguridad del navegador | 30 días |
| Registros técnicos del servidor | Se sobrescriben automáticamente al llegar a 30 MB; no contienen tu IP, tu correo ni datos de tu cuenta |
| Copias de seguridad | Se rotan y vencen a los 30 días: lo que eliminas desaparece de ellas en ese plazo |
| Registros de aceptación | Mientras exista tu cuenta y 1 año más, solo para demostrar qué aceptaste y cuándo |
| Mensajes que nos envías | 12 meses después de cerrar la consulta |
| Datos en tu dispositivo | Hasta que cierres sesión, elimines tu cuenta o borres los datos del navegador |
Las estadísticas anónimas y agregadas ya no te identifican y no son datos personales.
8. Seguridad
Protegemos tus datos con medidas técnicas y organizativas, como el hash de contraseñas con Argon2id, guardar solo hashes con sal en los registros de seguridad, conexiones cifradas (HTTPS), copias de seguridad cifradas y un acceso al servidor limitado a llaves criptográficas.
9. Tus derechos
Tienes derecho a:
- Acceder a tus datos.
- Exportar tus datos (portabilidad): descárgalos como archivo JSON desde la página de tu cuenta.
- Rectificar datos incorrectos: la mayoría puedes cambiarlos tú mismo en “Mi perfil”.
- Suprimir tus datos: usa el botón “Eliminar cuenta” en la página de tu cuenta. Te pedimos haber iniciado sesión hace poco, para que nadie con una sesión antigua pueda borrarla. La eliminación es inmediata en nuestra base de datos y en tu navegador (para las copias de seguridad, consulta la sección 7).
- Limitar el tratamiento.
- Oponerte al tratamiento basado en el interés legítimo.
- Retirar tu consentimiento en cualquier momento: borra la nacionalidad o el teléfono, o desactiva los recordatorios.
Cómo ejercerlos: usa las opciones de la página de tu cuenta o escribe a privacy@theoriewin.com desde la dirección de tu cuenta. Respondemos en un plazo de un mes (prorrogable dos meses más en casos complejos; te lo diremos). Es posible que primero te pidamos confirmar tu identidad. Es gratis.
Queja: tienes derecho a presentar una queja ante la autoridad neerlandesa de protección de datos, la Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag), o ante la autoridad del país de la UE donde vives. Te agradeceríamos que nos contactaras primero para intentar resolver el problema.
10. Menores de 16 años
En los Países Bajos, una persona menor de 16 años necesita el permiso de sus padres o tutores para que una plataforma como la nuestra trate sus datos (art. 8 RGPD y art. 5 UAVG). TheorieWin no ofrece cuentas para menores de 16 años y no recoge ese permiso:
- Al crear la cuenta debes confirmar que tienes 16 años o más e indicar tu año de nacimiento. Si el año indica que tienes menos de 16, la cuenta no se crea.
- Si sabemos que una persona menor de 16 años creó una cuenta, la eliminaremos.
- Si eres madre, padre o tutor y crees que tu hijo o hija menor de 16 años tiene una cuenta, escribe a privacy@theoriewin.com y la eliminaremos.
Puedes probar 5 preguntas sin cuenta; esa prueba no guarda datos personales.
11. Cambios en esta política
Podemos actualizar esta política, por ejemplo, al agregar una nueva función o un nuevo proveedor. La versión y la fecha de la última actualización aparecen arriba. Anunciaremos los cambios importantes por correo o en la aplicación antes de que entren en vigor.
12. Contacto
¿Tienes preguntas sobre privacidad? Escribe a privacy@theoriewin.com o a [NOMBRE LEGAL], [DIRECCIÓN], [EMAIL DE CONTACTO].