Política de privacidad

1. Responsable del tratamiento

Bit AI School es el nombre comercial de un proyecto de formación en línea de Jordi Bravo, persona física con domicilio en 8, Rue de Stavelot, L-2553 Luxemburgo (Gran Ducado de Luxemburgo). Es el titular del sitio, quien vende el curso y quien responde del tratamiento de tus datos. Para cualquier asunto legal o de privacidad puedes escribir a hola@bitaischool.com.

2. Qué datos recogemos

Si creas una cuenta: tu dirección de email, una contraseña (que guardamos solo como huella criptográfica PBKDF2, nunca en claro), opcionalmente tu nombre, el idioma que usas, la fecha de alta y la del último acceso.

Tu progreso en el curso: qué páginas has completado, en qué punto lo dejaste y el estado de tus ejercicios, para poder devolverte al mismo sitio desde cualquier dispositivo.

Si nos das tu email sin cuenta (en cualquiera de los tres formularios que lo piden: al terminar la lección 3, al final de la página del plan completo o al final de una ficha de lección o de un artículo): la dirección, el consentimiento marcado, el texto exacto que aceptaste, la fecha y por dónde va la serie de tres correos que pediste.

Métricas mínimas de uso y atribución: eventos como «portada vista», «lección empezada» o «ejercicio completado», con un identificador aleatorio de visitante, idioma, página y fecha. Si llegas desde una campaña guardamos sus parámetros de campaña o identificadores de clic, la página por la que entraste, solo el dominio de procedencia —nunca la dirección completa— y el país aproximado que nos indica nuestro propio servidor de borde. No guardamos la IP en claro ni ningún texto que escribas en los ejercicios. Estos datos son para nuestras propias estadísticas; lo único que sale hacia una plataforma publicitaria son los tres acontecimientos de compra que detallamos en el apartado 5.

Si compras Bit AI School Completo: el identificador de la operación, el importe, la moneda, el email asociado a la compra, el código de compra y la fecha. No recibimos ni almacenamos los datos de tu tarjeta: los introduces directamente en la pasarela de pago, que es quien los trata.

Si registras interés para tu empresa: nombre de la empresa, tu nombre, email de trabajo, tamaño aproximado del equipo, necesidad que describas y el texto de consentimiento aceptado.

3. Para qué los usamos y con qué base legal

Ejecución del servicio (art. 6.1.b RGPD): darte acceso a tu cuenta, mantener la sesión iniciada, guardar tu progreso y enviarte los emails imprescindibles de la cuenta (confirmación de email y restablecimiento de contraseña).

Consentimiento (art. 6.1.a RGPD): enviarte, si marcaste la casilla en alguno de esos tres formularios, una serie de tres correos en nueve días que resume lo que enseñan las lecciones y termina con el precio y sus condiciones. Guardamos también desde cuál de los tres la pediste, para saber cuál sirve y cuál no. Al noveno día la serie se acaba sola y no se envía nada más. Todos los correos llevan un enlace de baja que funciona con un solo clic, sin formularios ni preguntas, y darse de baja no afecta a tu acceso al curso. No enviamos nada a quien no haya marcado esa casilla, y una dirección dada de baja no vuelve a la lista aunque alguien la escriba otra vez en el formulario.

Interés legítimo (art. 6.1.f RGPD): métricas agregadas para saber qué lecciones funcionan, saber qué campaña trajo a quien se registra o compra —para no gastar publicidad a ciegas— y protección contra abusos mediante límites de peticiones. Esa unión entre una visita y una persona se hace en nuestros servidores, no en tu navegador, y con ella no construimos ningún perfil tuyo ni te mostramos publicidad dentro del curso.

Consentimiento (art. 6.1.a RGPD): medir la eficacia de nuestra publicidad. Solo si aceptas el aviso de cookies cargamos el píxel de Meta en tu navegador y enviamos a Meta los tres acontecimientos que se detallan en el apartado 5. Si rechazas, o si aún no has respondido al aviso, no se carga nada y no se envía nada: ni la visita, ni el inicio de compra, ni la compra. Puedes retirar tu consentimiento cuando quieras desde «Cookies», en el pie de página, con el mismo clic con el que lo diste; retirarlo no afecta a tu acceso al curso ni a la licitud de lo enviado antes.

Consentimiento (art. 6.1.a RGPD): conservar y responder a una solicitud de interés para empresas. El formulario no activa seguimientos ni envíos automáticos.

4. Cookies

Usamos tres cookies propias: aula_sid, que mantiene tu sesión iniciada; aula_lang, que recuerda el idioma que elegiste; y aula_vid, un número aleatorio sin significado que nos permite contar visitas y saber qué campaña te trajo. Las tres son httpOnly, Secure y SameSite=Lax; la de sesión dura 30 días y la de medición, 90. Además, y solo si lo aceptas en el aviso de cookies, se carga el píxel de Meta, que es de un tercero y coloca sus propias cookies (_fbp y, si llegas desde un anuncio, _fbc) para medir nuestra publicidad. Mientras no lo aceptes no se carga ni se conecta con nadie: en estas páginas no hay ningún otro rastreador externo.

aula_vid no te pide consentimiento porque es una cookie de medición de audiencia propia, exenta según la Guía de cookies de la AEPD: la usamos solo nosotros, para nuestras propias estadísticas, sin perfilarte y sin seguirte por otros sitios. Su número no se cede a nadie, tampoco a Meta: los envíos del apartado 5 nunca lo incluyen, precisamente para que esta cookie siga siendo lo que dice ser. Aun así respetamos tu decisión: si tu navegador envía una señal de no rastrear —la del Global Privacy Control o la de «Do Not Track»—, no te la ponemos, tu visita solo cuenta en el total y tampoco se envía nada a Meta.

Si navegas sin cuenta, tu progreso se guarda en el almacenamiento local de tu navegador (no es una cookie y no se envía a nuestros servidores hasta que creas una cuenta y decides conservarlo).

Tu decisión se guarda un año en la cookie aula_consent —y en el almacenamiento local de tu navegador—, y solo dice «aceptado» o «rechazado»: no lleva ningún dato tuyo. Rechazar cuesta exactamente lo mismo que aceptar, un clic, y no responder equivale a rechazar. Para cambiarla, pulsa «Cookies» en el pie de página y el aviso vuelve a salir con las dos opciones. Si tu navegador envía una señal de no rastrear, el píxel no se carga aunque hubieras aceptado.

5. Con quién compartimos

No vendemos ni cedemos datos personales. Recurrimos a encargados de tratamiento estrictamente necesarios: el proveedor de infraestructura que aloja la aplicación y su base de datos (servidores en la Unión Europea) y el proveedor de envío de correo transaccional. Ambos actúan bajo contrato y solo siguiendo nuestras instrucciones.

Si compras, la pasarela de pago trata tus datos de pago como responsable independiente, con arreglo a su propia política, para poder ejecutar la operación y cumplir la normativa antifraude y contable que le aplica. Nosotros solo recibimos de vuelta la confirmación del cobro y los datos mínimos de la operación.

Medición de la publicidad (Meta). Cuando anunciamos el curso en Facebook o Instagram enviamos a Meta Platforms Ireland Ltd. tres acontecimientos: que se ha visto la página de venta, que se ha iniciado una compra y que una compra se ha completado, esta última con su importe y su moneda. Van por dos vías que Meta funde en una sola, porque llevan el mismo identificador de evento: tu navegador, con el píxel que únicamente se carga si lo has aceptado, y nuestro servidor. Para que Meta pueda reconocer a qué anuncio corresponden, cada envío lleva el identificador del clic que la propia Meta añadió a la dirección al traerte, y el email y el país cifrados con SHA-256, una función de resumen de un solo sentido: Meta recibe el resumen, nunca el dato legible, y no puede deshacerlo. La finalidad es una sola: saber qué anuncios funcionan. No le enviamos tu progreso, tus ejercicios ni tu actividad dentro del curso, ni el número de la cookie aula_vid. Meta trata esa información como responsable junto con nosotros para medir, y con arreglo a su propia política para su publicidad; puede tratarla fuera de la Unión Europea al amparo de la decisión de adecuación entre la Unión Europea y Estados Unidos. Nada de esto ocurre si rechazas el aviso de cookies, si todavía no has respondido o si tu navegador envía una señal de no rastrear.

6. Cuánto tiempo los conservamos

Los datos de tu cuenta y tu progreso, mientras la cuenta exista. Si la eliminas, se borran de forma inmediata e irreversible.

Los tokens de confirmación y de restablecimiento caducan en 24 horas y 60 minutos respectivamente, y quedan inservibles al primer uso.

Los eventos de uso y los datos de atribución se conservan un máximo de 24 meses y después se borran solos. Los registros de consentimiento se conservan mientras sean necesarios para acreditar que se otorgó. De cada envío a Meta guardamos solo un apunte técnico —qué acontecimiento, cuándo y si lo aceptó— sin ningún dato personal, y también se borra a los 24 meses; lo que Meta conserve se rige por su propia política.

Si dejaste tu email sin cuenta, la dirección y el registro de la serie se conservan mientras no te des de baja; al hacerlo queda anotada la baja y no se te vuelve a escribir. Puedes pedir su supresión completa escribiendo a hola@bitaischool.com.

Los datos de una compra se conservan durante los plazos que exige la normativa mercantil y fiscal, aunque elimines la cuenta. En ese caso la compra deja de estar asociada a ti: se guarda como un apunte contable sin vínculo con ninguna cuenta.

7. Tus derechos

Puedes acceder, rectificar, suprimir, limitar y oponerte al tratamiento, así como solicitar la portabilidad de tus datos. Desde tu panel puedes descargar todos tus datos en un archivo JSON y eliminar tu cuenta por completo, sin pasar por ningún formulario.

También puedes escribirnos a hola@bitaischool.com. Si consideras que no hemos atendido tu solicitud, puedes reclamar ante la autoridad de control de tu país de residencia habitual —en España, la Agencia Española de Protección de Datos (aepd.es)— o ante la autoridad principal del responsable, que por estar establecido en Luxemburgo es la Commission nationale pour la protection des données (cnpd.public.lu).

8. Seguridad

La aplicación se sirve siempre sobre HTTPS. Las contraseñas se almacenan con PBKDF2-SHA256 y 210.000 iteraciones sobre una sal aleatoria por usuario. Las sesiones y los tokens de un solo uso se guardan como huella SHA-256, nunca en claro. Al restablecer la contraseña se cierran automáticamente todas las sesiones abiertas.

9. Menores

El servicio está dirigido a personas mayores de 14 años. Si detectamos una cuenta de una persona menor de esa edad sin autorización de sus tutores, la eliminaremos.

10. Cambios

Si modificamos esta política actualizaremos la fecha de arriba. Si el cambio afecta a la base legal o a las finalidades, te avisaremos por email antes de que entre en vigor.