Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales es:

• Titular: Examify
• Dirección: Calle Mayor 12, 28001 Madrid, España
• Email de contacto: privacidad@examify.dev

2. Datos que Recopilamos

Recopilamos los siguientes datos personales:

• Datos de cuenta: Nombre, email y contraseña (guardada siempre como hash, nunca en claro)
• Datos de pago: Los procesa Stripe. Examify no recibe ni almacena el número de tarjeta
• Claves de IA: La clave del proveedor que usted configure, cifrada con AES-256-GCM
• Contenido que usted aporta: Lo que se extrae de sus documentos (preguntas, respuestas, imágenes y apuntes), exámenes, respuestas, notas y conversaciones con el asistente. El documento en sí se procesa en su navegador y no se envía a nuestros servidores
• Datos de uso: Exámenes realizados, resultados, estadísticas y consumo de su plan
• Datos técnicos: Dirección IP y navegador en los intentos de registro, en el registro de consentimiento de cookies y en los controles antiabuso

3. Base Legal del Tratamiento

Cada tratamiento se ampara en una base distinta:

• Ejecución del contrato: Crear y mantener su cuenta, prestar el servicio y cobrar la suscripción. No depende de su consentimiento: sin estos datos no hay servicio
• Obligación legal: Conservar la facturación conforme a la normativa fiscal y contable
• Interés legítimo: Seguridad, prevención del fraude y del abuso, y medición agregada del uso para mejorar el servicio
• Consentimiento: Únicamente para lo que de verdad lo requiere, como el almacenamiento no necesario en su dispositivo. Puede retirarlo cuando quiera

4. Finalidad del Tratamiento

Los datos se utilizan para:

• Gestionar su cuenta y autenticarle
• Procesar los pagos y la facturación
• Generar exámenes y explicaciones con la clave de IA que usted configure
• Enviar emails del servicio (bienvenida, restablecimiento de contraseña, confirmación de baja)
• Guardar sus documentos y su historial de exámenes
• Llevar la cuenta del consumo de su plan
• Garantizar la seguridad y prevenir abusos

5. Terceros que Reciben Datos

Prestan servicios por nuestra cuenta, como encargados del tratamiento:

• Vercel: Alojamiento y ejecución de la aplicación; recibe todas las peticiones (EE.UU.)
• Supabase: Base de datos, alojada en la Unión Europea (Irlanda)
• Upstash: Almacén temporal de contadores antiabuso y control de envíos de email
• Stripe: Procesamiento de pagos (EE.UU.)
• Resend: Envío de los emails del servicio (EE.UU.)
• Google: Solo si usted inicia sesión con Google (EE.UU.)
• Proveedores de IA: OpenAI, Anthropic, Google (Gemini) o Groq, según el que usted elija. Ver la sección 12

6. Transferencias Internacionales

La base de datos está alojada en la Unión Europea. Algunos de los proveedores anteriores están establecidos en Estados Unidos: esas transferencias se amparan en las garantías del RGPD, principalmente las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, cuando el proveedor está certificado, el marco de adecuación UE-EE.UU. (Data Privacy Framework). El proveedor de IA al que se envía su contenido lo elige usted, y la transferencia a ese destino depende de las condiciones que usted haya aceptado con él.

7. Plazo de Conservación

Los datos se conservan durante los siguientes plazos:

• Datos de cuenta y claves de IA: Mientras la cuenta exista
• Documentos de la biblioteca: Mientras la cuenta exista y se use, o hasta que usted los borre. Si no entra en su cuenta durante 24 meses se lo avisamos por correo, y si sigue sin entrar se borran a los 36 meses, nunca antes de 11 meses desde ese aviso. Su cuenta, su historial y sus estadísticas no se tocan, y las cuentas de pago no caducan
• Historial de exámenes: Mientras la cuenta exista, con un máximo de entradas guardadas según el plan: al superarlo se eliminan automáticamente las más antiguas
• Exámenes creados con IA: 12 meses desde que se generan; después se eliminan automáticamente
• Datos de facturación: Los conserva Stripe durante los plazos legales aplicables
• Intentos de registro (email e IP): 30 días
• Registro de consentimiento de cookies de visitantes no identificados: 13 meses
• Contadores antiabuso: Minutos u horas, según el control
• Registros técnicos: Los conservan la plataforma de alojamiento y la base de datos conforme a sus propias políticas
• Datos tras la baja: La eliminación es inmediata y definitiva, sin periodo de recuperación

8. Derechos del Usuario

Usted tiene los siguientes derechos reconocidos por el RGPD:

• Derecho de acceso: Conocer qué datos tenemos y cómo los tratamos
• Derecho de rectificación: Corregir datos inexactos o incompletos
• Derecho de supresión: Solicitar la eliminación de sus datos ("derecho al olvido")
• Derecho de portabilidad: Recibir sus datos en formato estructurado
• Derecho de oposición: Oponerse al tratamiento basado en interés legítimo
• Derecho de limitación: Solicitar la limitación del tratamiento
• Derecho a no ser objeto de decisiones automatizadas: Revisión humana si procede

9. Ejercicio de Derechos

Desde su perfil puede ejercer directamente dos de ellos: descargar sus datos y eliminar su cuenta, que borra de inmediato todo lo asociado a ella. Para el resto, o si prefiere hacerlo por escrito, escriba a privacidad@examify.dev indicando qué derecho desea ejercer. Responderemos en el plazo máximo de un mes.

10. Derecho de Reclamación

Si considera que sus derechos han sido vulnerados, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

11. Seguridad de los Datos

Aplicamos medidas técnicas y organizativas para proteger sus datos:

• Cifrado AES-256-GCM de las claves de IA, que nunca se devuelven al navegador
• Contraseñas guardadas como hash, nunca en claro
• Conexiones cifradas (HTTPS) en todas las comunicaciones
• Cada consulta está acotada a su propia cuenta
• Límites de intentos y de ritmo en las operaciones sensibles
• Registros sin datos personales: las direcciones de correo se anotan cifradas

12. Contenido que Envía a la Inteligencia Artificial

Al generar un examen, pedir una explicación o usar el asistente, el texto de sus apuntes o de sus preguntas se envía al proveedor de IA que usted haya configurado, con su propia clave. Examify no administra ni subvenciona esas claves, y no utiliza su contenido para entrenar ni mejorar ningún modelo. El tratamiento que haga el proveedor se rige por las condiciones que usted aceptó al contratarlo. Si configura una dirección de proveedor propia, el destino lo elige usted por completo. Le recomendamos no incluir en ese material datos personales de terceros ni categorías especiales de datos (salud, creencias, origen y similares).

13. Edad Mínima

El servicio está dirigido a mayores de 14 años, edad a partir de la cual la normativa española permite consentir el tratamiento de datos personales. Los menores de esa edad necesitan la autorización de quien ejerza su patria potestad o tutela. Si detectamos una cuenta de un menor de 14 años sin esa autorización, la eliminaremos.

14. Modificaciones de esta Política

Nos reservamos el derecho a modificar esta política de privacidad. Los cambios se publicarán en esta página con la fecha de actualización. Le recomendamos revisarla periódicamente.

15. Contacto

Para cualquier consulta relacionada con la privacidad de sus datos, puede contactarnos en:

Email: privacidad@examify.dev
Dirección: Calle Mayor 12, 28001 Madrid, España