Política de privacidad

1. Responsable del tratamiento

Responsable: Derecho Virtual, S.L. (Derecho Virtual)
NIF / CIF: B06966766
Domicilio: Avenida de Arteixo, nº 139, bajo, 15007 A Coruña (España)
Contacto en materia de protección de datos: equipo@derechovirtual.org

Algunos datos identificativos del responsable están pendientes de publicación (ver aviso legal). Ello no afecta al ejercicio de derechos: el correo indicado arriba es un canal atendido.

El responsable no ha designado delegado de protección de datos: no concurre ninguno de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD (la Academia imparte formación privada no reglada, no trata categorías especiales de datos a gran escala ni realiza observación sistemática).

2. Qué datos tratamos y de dónde salen

2.1. Datos que nos facilitas

Cuenta: correo electrónico, contraseña (que se almacena cifrada por el sistema de autenticación, nunca en claro ni accesible para nosotros) y nombre visible, si lo rellenas.
Compra: correo electrónico e importe. Los datos de tu tarjeta o cuenta bancaria no pasan por nuestros servidores: se introducen dentro de un marco servido directamente por la pasarela de pago. Junto al cobro se deja constancia de que aceptaste las condiciones: la fecha, la versión de estos documentos y tu dirección IP, que queda guardada en el registro de la pasarela de pago.
Facturación (solo si marcas «Quiero factura»): nombre o razón social, NIF/NIE/CIF, domicilio fiscal, código postal, localidad, provincia y correo para la factura.
Soporte: asunto, texto de la incidencia y dirección de la página desde la que la envías.

2.2. Datos que genera tu uso de la plataforma

Lecciones completadas y avance del curso, intentos y resultados de los cuestionarios.
Certificados emitidos y su código de verificación.
Comentarios que publiques en las lecciones y mensajes que escribas en el foro del curso.
Pedidos, suscripciones, facturas emitidas y códigos de activación (guardados con función resumen).
Registro de los correos que te enviamos: destinatario, asunto, tipo de correo y si salió o no. No se guarda el contenido del mensaje.

2.3. Datos técnicos de seguridad

Al pedir el enlace de recuperación de acceso en /reclamar, y también al iniciar una compra, se registran tu dirección de correo, tu dirección IP y la hora. Son contadores para impedir que alguien use esas páginas como fuente de correo saliente gratuito o para probar tarjetas robadas; no son un historial de navegación.

2.4. Datos procedentes de la escuela anterior

Si eras alumno de Derecho Virtual antes de esta Academia, tratamos el histórico importado de la plataforma anterior. Por su volumen y por su origen tiene apartado propio: ver el apartado 5.

3. Para qué los tratamos y con qué base jurídica

Crear y mantener tu cuenta y darte acceso a los cursos comprados. Base: ejecución del contrato (art. 6.1.b RGPD).
Cobrar, emitir el código de activación y enviarte la factura. Base: ejecución del contrato (art. 6.1.b) y, para la factura y su conservación, obligación legal (art. 6.1.c, en relación con el Real Decreto 1619/2012, el art. 30 del Código de Comercio y el art. 66 de la Ley General Tributaria).
Registrar tu avance, corregir cuestionarios y emitir certificados. Base: ejecución del contrato (art. 6.1.b): es el servicio que has comprado.
Atender tus incidencias de soporte. Base: ejecución del contrato (art. 6.1.b).
Prevenir el abuso y el fraude (límites de frecuencia por IP y por correo, códigos y enlaces de un solo uso). Base: interés legítimo (art. 6.1.f) en la seguridad del servicio y en no convertirnos en instrumento de envío masivo de correo a terceros. Es un tratamiento mínimo —correo, IP y hora—, de retención muy corta, que no permite perfilarte.
Cumplir requerimientos de la Administración o de los tribunales. Base: obligación legal (art. 6.1.c).

No enviamos comunicaciones comerciales desde esta plataforma. Los únicos correos que salen de la Academia son los del servicio: código de activación, confirmación de matrícula, factura, aviso de que un cobro no ha salido adelante, aviso de que has terminado un curso, aviso de que alguien ha respondido a un comentario tuyo, recuperación de contraseña y enlace de recuperación de acceso. Tampoco se toman decisiones automatizadas con efectos jurídicos ni se elaboran perfiles.

4. Cuánto tiempo conservamos los datos

Cuenta y avance formativo: mientras la cuenta siga activa. Cuando te das de baja —tú mismo desde Mi cuenta o pidiéndonoslo—, se suprimen salvo lo que deba conservarse por obligación legal (ver el apartado 8.1).
Pedidos, facturas y datos fiscales: seis años desde la emisión (art. 30 del Código de Comercio) y, a efectos tributarios, al menos cuatro años desde el fin del plazo de declaración (art. 66 de la Ley General Tributaria). Durante ese periodo permanecen bloqueados en los términos del art. 32 de la LOPDGDD: solo se ponen a disposición de jueces, tribunales, Ministerio Fiscal o Administraciones competentes.
Códigos de activación: caducan a los 30 días de emitirse y se guardan con función resumen, nunca en claro.
Enlaces de recuperación de acceso: caducan a las 48 horas y se borran a los 7 días de consumirse o caducar.
Contadores de peticiones de /reclamar y del inicio de compra (correo, IP y hora): se borran pasado un día.
Registro de correos enviados: 180 días.
Incidencias de soporte: mientras sean necesarias para su tramitación y para acreditar la atención prestada, durante los plazos de prescripción de las acciones derivadas del contrato.

5. Histórico de la escuela anterior (alumnado previo a esta Academia)

Derecho Virtual impartía sus cursos en una plataforma de terceros antes de poner en marcha esta Academia. Al migrar, se ha importado el histórico de más de 27.600 alumnos y sus operaciones, para que quien compró un curso no lo pierda por un cambio técnico que no ha decidido él.

5.1. Qué se guarda exactamente

Del alumno: identificador en la plataforma anterior, correo electrónico, nombre, teléfono (si constaba), fecha de alta en aquella plataforma, fecha de importación, si ha reclamado ya su cuenta y con qué cuenta de la Academia se ha vinculado. Se conserva además una copia literal del registro tal y como lo devolvió la plataforma anterior, para poder auditar el dato de origen.
De sus matrículas: curso, fecha de matriculación, fecha de finalización, fecha de caducidad si la había, si sigue activa y porcentaje completado.
De sus compras: correo, importe cobrado, impuestos, moneda, estado, si hubo devolución y su importe, fecha de compra y copia literal del registro de origen.

5.2. Con qué base jurídica, si nunca se pidió consentimiento

Porque el responsable no ha cambiado. Quien vendió y prestó aquellos cursos era y sigue siendo Derecho Virtual; la plataforma anterior actuaba como encargado del tratamiento. Lo que ha cambiado es la herramienta, no quién responde de tus datos, y por eso no estamos ante una comunicación a un tercero ni ante una finalidad nueva que exija un consentimiento nuevo.

Ejecución del contrato (art. 6.1.b RGPD) para el censo de alumnos y sus matrículas: el acceso al curso comprado es la prestación pactada y sigue viva.
Obligación legal (art. 6.1.c RGPD) para el histórico de cobros: es documentación mercantil y tributaria sujeta a los plazos del apartado 4.
Interés legítimo (art. 6.1.f RGPD) para la propia migración: garantizar la continuidad del servicio a quien ya era cliente. La ponderación es favorable porque el tratamiento no añade finalidades nuevas, no implica publicidad y reduce el número de sistemas donde viven tus datos.

5.3. Quién puede verlo

Estas tablas están cerradas al público: no se pueden consultar desde la interfaz ni desde la API de la Academia. Solo son accesibles desde el servidor, con la credencial de administración, en las operaciones de soporte y migración. La única excepción son tus propios datos: la descarga del apartado 8.1 incluye lo que este histórico guarda de ti.

Además, una fila del histórico no da acceso a nada por sí sola. El acceso se materializa únicamente cuando tú reclamas tu cuenta en /reclamar y creas tu contraseña.

5.4. Cuánto tiempo

Censo y matrículas: hasta que reclames tu cuenta —momento en que tus datos pasan a ser los de un alumno activo y se rigen por el apartado 4— o hasta que solicites su supresión, que atendemos sin necesidad de que justifiques nada.
Histórico de cobros: los plazos fiscales y mercantiles del apartado 4, bloqueado.

6. A quién se comunican tus datos

Los siguientes proveedores acceden a datos personales para prestarnos un servicio y actúan como encargados del tratamiento, salvo donde se indica otra cosa:

Supabase. La base de datos, la autenticación y los archivos de la Academia están alojados en el servicio en la nube de Supabase. El proyecto está configurado en la región de París, pero el proveedor puede tratar datos fuera del Espacio Económico Europeo (ver apartado 7).
Vercel Inc. (Estados Unidos). Alojamiento y ejecución de la aplicación web. La ejecución está fijada por configuración a la región de París, pero el proveedor es una entidad estadounidense (ver apartado 7).
Stripe Payments Europe, Ltd. (Irlanda). Pasarela de pago. Recibe tu correo, el importe y los datos del medio de pago que introduces en su formulario.
Klarna. Pago fraccionado, ofrecido dentro del formulario de Stripe. Si lo eliges, tus datos de solicitud los trata Klarna como responsable propio, conforme a sus condiciones.
SeQura. Financiación contratada fuera de esta web. La Academia únicamente lee los pedidos ya completados (referencia, correo, nombre, teléfono, producto e importe) para concederte el acceso al curso.
Microsoft (OneDrive). Copia en PDF de cada factura emitida. Se archiva en una carpeta cuyo nombre incluye tu nombre o razón social y tu correo electrónico.
Google (API de Gmail). Envío de los correos transaccionales, incluida la factura como documento adjunto.
Proveedores de vídeo. Los vídeos de las lecciones no están en nuestros servidores: los sirve un proveedor externo, que al reproducirlos recibe tu dirección IP y los datos técnicos de tu navegador; no le comunicamos ni tu nombre ni tu correo. Los vídeos con protección anticopia los sirve VdoCipher; en lecciones sueltas hay vídeos incrustados de YouTube o Loom, y el catálogo admite además Vimeo, cuyo reproductor se carga con la opción de no seguimiento activada.
Bunny (BunnyWay d.o.o., Eslovenia). Red de distribución de vídeo. Sirve el vídeo de las lecciones que ya están alojadas en su plataforma: aunque el reproductor es nuestro, es tu propio navegador el que descarga de sus servidores el archivo de vídeo, de modo que Bunny recibe tu dirección IP, los datos técnicos de tu navegador y la dirección de la página desde la que reproduces. No le comunicamos ni tu nombre ni tu correo, y el enlace que se le entrega a tu navegador va firmado por nosotros y caduca, previa comprobación de tu matrícula.
Lexia (asistente conversacional). Cuando has iniciado sesión, la Academia entrega a este servicio tu identificador de usuario, tu correo electrónico y tu nombre antes de cargar el asistente, para que sepa con quién habla. Es una comunicación de datos a un tercero, y se declara como tal. Si no has iniciado sesión, el asistente no se carga y no se le comunica nada.
Contenidos incrustados en las lecciones (plataforma de tests de oposiciones, formularios, tarjetas de repaso y similares). Cuando el equipo docente configura uno de estos contenidos, la dirección puede incluir marcadores que la Academia sustituye por tu identificador, tu correo o tu nombre antes de cargarlo, de modo que el proveedor los recibe.
Administración tributaria, entidades bancarias, jueces y tribunales, cuando exista obligación legal.

7. Transferencias internacionales

Algunos de los proveedores del apartado anterior son entidades estadounidenses o pueden tratar datos fuera del Espacio Económico Europeo: Supabase (base de datos, autenticación y archivos), Vercel (alojamiento de la aplicación), Microsoft (archivo de facturas en OneDrive), Google (envío de correo), los proveedores de vídeo —VdoCipher, YouTube, Loom y Vimeo—, Lexia (asistente, alojado a su vez en Vercel), los proveedores de los contenidos incrustados en las lecciones y el grupo matriz de Stripe.

Caso aparte es Bunny (BunnyWay d.o.o.), que es una entidad eslovena y, por tanto, establecida dentro del Espacio Económico Europeo. Lo que sí sale del Espacio es, en su caso, el recorrido de la petición: su red de distribución es mundial y el archivo de vídeo puede entregártelo un servidor situado fuera del EEE, que al hacerlo trata tu dirección IP y los datos técnicos de tu navegador.

Estas transferencias se amparan en los mecanismos previstos en el capítulo V del RGPD que cada proveedor tenga suscritos con el responsable —decisión de adecuación o cláusulas contractuales tipo—. Puedes solicitar información sobre el mecanismo aplicable a un proveedor concreto escribiendo a equipo@derechovirtual.org.

8. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

Acceso: saber qué datos tuyos tratamos.
Rectificación: corregir los inexactos o completarlos.
Supresión: que los borremos cuando ya no sean necesarios, con el límite de lo que debemos conservar bloqueado por obligación legal (apartado 4). Puedes ejercerla tú mismo eliminando la cuenta (apartado 8.1).
Oposición: oponerte a los tratamientos basados en interés legítimo, en particular al histórico descrito en el apartado 5.
Limitación: pedir que conservemos los datos sin usarlos mientras se resuelve una impugnación.
Portabilidad: recibir en formato estructurado y de uso común los datos que nos hayas facilitado y que tratemos por contrato o consentimiento. Puedes descargarlos tú mismo (apartado 8.1).
No ser objeto de decisiones automatizadas: en la Academia no se adoptan.

8.1. Cómo ejercerlos

Directamente, sin pedírnoslo: tu nombre visible y tu contraseña los cambias tú en Mi cuenta, y tus facturas las descargas en Mi cuenta · Facturas.
Descargar tus datos (acceso y portabilidad): desde Mi cuenta puedes descargar, en un archivo de uso común (JSON) y sin tener que pedírnoslo, todo lo que la Academia guarda de ti: perfil, matrículas, avance, certificados, cuestionarios, comentarios, mensajes del foro, datos fiscales, incidencias de soporte, pedidos, facturas, suscripciones y el histórico de la escuela anterior (apartado 5).
Eliminar tu cuenta (supresión): desde Mi cuenta puedes borrar tu cuenta tú mismo. La baja suprime tu perfil, tu acceso a los cursos, tu avance y el resto de tus datos personales, y cancela tus suscripciones activas —incluidos los pagos a plazos en curso—, sin reembolso del periodo ni de la cuota ya cobrada (el reembolso, cuando proceda, es un trámite administrativo aparte). Tus facturas, pedidos y datos fiscales se conservan bloqueados durante los plazos legales del apartado 4 (art. 32 de la LOPDGDD), desligados de tu identidad.
Para todo lo demás: escribe a equipo@derechovirtual.org desde la dirección de correo con la que te registraste, indicando qué derecho ejercitas. Si escribes desde otra dirección, tendremos que verificar tu identidad antes de responder. Con sesión iniciada también puedes usar el formulario de soporte.

Responderemos en el plazo de un mes desde la recepción, prorrogable por dos meses más si la solicitud es compleja, avisándote del motivo. El ejercicio de estos derechos es gratuito.

8.2. Reclamación ante la autoridad de control

Si consideras que no hemos atendido debidamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es), sin perjuicio de dirigirte antes a nosotros.

9. Seguridad

Las contraseñas las gestiona el sistema de autenticación y no son legibles por el responsable. Los códigos de activación de 6 dígitos y los enlaces de recuperación de acceso se almacenan con función resumen y una clave secreta, nunca en claro, de modo que ni siquiera una copia de la base de datos permitiría reconstruirlos. Los archivos de las lecciones se sirven mediante direcciones firmadas de validez limitada, previa comprobación de tu matrícula.

10. Edad mínima

El servicio se dirige a mayores de 14 años (art. 7 de la LOPDGDD). Si eres menor de esa edad, necesitas el consentimiento de quien ostente tu patria potestad o tutela para registrarte y contratar.

11. Cambios en esta política

Esta política se actualizará cuando cambie el tratamiento —por ejemplo, al incorporar un proveedor nuevo—. La fecha de la última actualización figura al principio de esta página, junto al título, y es la referencia para saber si el texto ha cambiado desde la última vez que lo leíste; además, cada compra deja registrada junto al pago la versión concreta de los documentos legales que se aceptó. No se promete ningún aviso activo, ni por correo electrónico ni dentro de la plataforma: la Academia solo envía los correos del servicio enumerados en el apartado 3 y no realiza envíos a la lista de alumnos.

Complementan esta política el aviso legal, las condiciones de contratación y la política de cookies.