Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales que se recogen a través de opococo.com y del servicio OPO.coco (en adelante, "nosotros" o "la Plataforma") es:

• Responsable: Pablo Peñalver Muñoz
• NIF: 35597507Q
• Domicilio: Calle Doctor Nicasio Benlloch, 42, 46015 Valencia (España)
• Email de contacto: soporte.opococo@gmail.com

Esta política se aplica de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). No estamos obligados a designar un Delegado de Protección de Datos; para cualquier cuestión sobre sus datos puede escribirnos al email indicado.

2. Datos que Tratamos

2.1 Datos que usted nos proporciona

• Registro: nombre, dirección de email y contraseña (almacenada cifrada). Si se registra con Google, recibimos de Google su email, su nombre y, en su caso, su foto de perfil; nunca su contraseña de Google.
• Perfil: oposición elegida (o el nombre de su oposición personalizada), fecha de examen y preferencias de estudio y de email.
• Pago: los datos de su tarjeta los introduce directamente en Stripe y nosotros no los almacenamos. Guardamos el identificador de cliente y de suscripción en Stripe, el plan, el estado de la suscripción y el historial de cobros (importe, fecha y resultado). Stripe recoge además su dirección de facturación.
• Contacto, reportes y encuestas: nombre, email y mensaje que envía a través del formulario de contacto, del reporte de una pregunta o de nuestras encuestas. El formulario de contacto puede usarse sin tener cuenta.

2.2 Datos generados por el uso del servicio

• Progreso de estudio: tests realizados y sus respuestas, flashcards revisadas y su estado de repaso, vídeos vistos o marcados, favoritos y plantillas de examen.
• Actividad: días de estudio, rachas y estadísticas derivadas del progreso.
• Sesiones: tipo de dispositivo y navegador y fecha de última actividad, para el sistema de sesión única (un dispositivo a la vez).
• Descargas de material: registro de cada PDF de material de estudio que descarga (documento, fecha y email de la cuenta). Los PDF descargados incorporan una marca de agua con su email.
• Emails enviados: qué correos le hemos enviado y su estado (entregado, abierto, rebotado o marcado como spam), para no volver a escribirle si su buzón rechaza nuestros correos.

2.3 Datos recogidos automáticamente

• Datos técnicos: dirección IP, tipo de navegador y sistema operativo, tratados de forma transitoria en los registros de nuestro proveedor de hosting y para limitar el número de peticiones y prevenir abusos (por ejemplo, intentos de inicio de sesión repetidos).
• Origen de la visita: si llega a través de un enlace con parámetros de campaña (UTM) o desde otra web, guardamos ese origen en su navegador y, si se registra, lo asociamos a su cuenta para saber por qué canal nos conoció.
• Cookies y analítica: solo si acepta las cookies de análisis, tratamos datos de navegación y uso mediante Google Analytics, PostHog y Vercel Analytics, según se detalla en la Política de Cookies.
• Eventos de suscripción: registramos desde nuestros servidores los hitos de facturación de su cuenta (alta de suscripción, pago fallido, cancelación, reembolso) en nuestra herramienta de analítica de producto (PostHog), asociados a un identificador interno de usuario, sin su email. Este registro no utiliza cookies ni tecnologías de seguimiento en su dispositivo.

3. Finalidades y Base Legal

Tratamos sus datos para las siguientes finalidades, cada una con su base jurídica (artículo 6 del RGPD):

• Prestar el servicio y gestionar su cuenta: darle acceso a los contenidos, guardar su progreso, adaptar el contenido a su oposición y mostrarle sus estadísticas. Base: ejecución del contrato.
• Facturación y cobros: gestionar la suscripción, los pagos, las renovaciones y los reembolsos, y conservar la documentación contable y fiscal. Base: ejecución del contrato y obligación legal.
• Seguridad y prevención del fraude: sesión única para evitar cuentas compartidas, limitación de peticiones, marca de agua y registro de descargas del material (que sirve como prueba en caso de reclamación o disputa sobre un reembolso). Base: interés legítimo en proteger el servicio y sus contenidos, y ejecución del contrato.
• Comunicaciones sobre su cuenta: confirmaciones, avisos de cobro y renovación, cambios en el servicio o en estas políticas. Base: ejecución del contrato.
• Comunicaciones sobre el producto: recordatorios de estudio, cuenta atrás de su examen, novedades del contenido, encuestas y ofertas propias de OPO.coco. Se envían a los usuarios registrados sobre nuestro propio servicio, conforme al artículo 21.2 de la LSSI-CE. Base: interés legítimo. Puede oponerse en cualquier momento desde Perfil → Preferencias de email o mediante el enlace que incluye cada correo, sin que ello afecte a los avisos sobre su cuenta. No cedemos su email a terceros para que le envíen publicidad.
• Analítica y mejora del servicio: entender cómo se usa la Plataforma para mejorarla. Base: consentimiento (cookies de análisis, revocable en cualquier momento) y, para los eventos de suscripción registrados desde el servidor, interés legítimo en la gestión del negocio.
• Atender consultas y reportes: responder a sus mensajes (solo usamos su email para responderle) y gestionar los reportes de preguntas y las respuestas de encuestas. Base: interés legítimo y, en su caso, medidas precontractuales a petición suya.
• Cumplir obligaciones legales: fiscales, contables, de consumo y de atención a requerimientos de autoridades. Base: obligación legal.

4. Conservación de los Datos

Conservamos sus datos mientras mantenga su cuenta. Puede eliminarla en cualquier momento desde su perfil; al hacerlo:

• Se eliminan inmediatamente sus datos de perfil y de acceso, su progreso de estudio (tests, flashcards, vídeos, favoritos, actividad), sus sesiones, su historial de emails enviados y el registro interno de sus pagos. Cualquier suscripción activa se cancela.
• Registro de descargas de material: se conserva (documento, fecha y email) hasta 5 años, para poder atender reclamaciones o disputas de pago relacionadas con la política de devoluciones.
• Mensajes de contacto y reportes: quedan desvinculados de su cuenta, pero conservamos el nombre, el email y el mensaje que nos envió para poder atender consultas relacionadas. Puede pedirnos su supresión cuando quiera.
• Respuestas a encuestas: se conservan desvinculadas de su identidad, con fines estadísticos.
• Facturación: Stripe conserva los datos de sus pagos y facturas durante los plazos exigidos por la normativa fiscal y mercantil (hasta 6 años).
• Analítica: los datos asociados a su identificador seudónimo en Google Analytics y PostHog se conservan según los plazos de retención de esos proveedores. Si lo desea, al eliminar su cuenta puede pedirnos que solicitemos también la supresión de ese perfil.
• Registros técnicos: los registros del servidor y los contadores de limitación de peticiones se borran automáticamente en cuestión de horas o días.

Si su cuenta permanece inactiva durante un periodo prolongado, podremos contactarle antes de eliminarla.

5. Destinatarios de los Datos

No vendemos ni cedemos sus datos a terceros con fines comerciales. Para prestar el servicio utilizamos los siguientes proveedores, que actúan como encargados del tratamiento bajo contrato y solo tratan los datos siguiendo nuestras instrucciones:

• Supabase: base de datos, autenticación y almacenamiento de archivos. Servidores en la Unión Europea (Irlanda).
• Vercel: alojamiento y ejecución de la aplicación (funciones desplegadas en la región de Dublín) y, solo con su consentimiento, medición de rendimiento y visitas (Vercel Analytics y Speed Insights).
• Stripe: pasarela de pagos certificada PCI-DSS. Trata sus datos de pago y facturación como responsable independiente para sus propias obligaciones (prevención del fraude, normativa financiera).
• Google: inicio de sesión con Google (si elige esa opción), Google Analytics 4 (solo con su consentimiento), YouTube para los vídeos incrustados (solo al reproducirlos) y Gmail como buzón de nuestro correo de soporte.
• Resend: envío de los emails de la Plataforma (confirmaciones, avisos y comunicaciones).
• PostHog: analítica de producto y grabación de sesiones seudonimizada, solo con su consentimiento, y registro de los eventos de suscripción descritos en el apartado 2.3. Servidores en la Unión Europea.
• Upstash: memoria temporal para limitar el número de peticiones y prevenir abusos.

También podremos comunicar datos a las autoridades públicas cuando una obligación legal así lo exija.

6. Transferencias Internacionales

Sus datos se almacenan en la Unión Europea. Algunos proveedores (Google, Stripe, Vercel y Resend) tienen su sede en Estados Unidos y pueden tratar determinados datos allí. Estas transferencias están amparadas en la certificación de dichos proveedores en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) o, en su defecto, en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto con medidas adicionales de seguridad. Puede solicitarnos más información sobre estas garantías.

7. Sus Derechos

Puede ejercer en cualquier momento los siguientes derechos:

• Acceso: conocer qué datos personales tratamos sobre usted.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de sus datos.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Oposición: oponerse a los tratamientos basados en interés legítimo, incluidas las comunicaciones sobre el producto.
• Limitación: solicitar que restrinjamos el tratamiento en los casos previstos por la ley.
• Retirar el consentimiento: en cualquier momento, sin que afecte a la licitud del tratamiento anterior (las cookies, desde el pie de página; los emails, desde su perfil).

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted.

Buena parte de estos derechos puede ejercerlos directamente desde su perfil (modificar sus datos, gestionar sus preferencias de email o eliminar su cuenta). Para el resto, escríbanos a soporte.opococo@gmail.com desde la dirección asociada a su cuenta, indicando qué derecho desea ejercer. Si tenemos dudas sobre su identidad podremos pedirle que la acredite. Le responderemos en el plazo máximo de un mes.

Si considera que no hemos atendido correctamente sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid.

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger sus datos:

• Contraseñas almacenadas cifradas mediante algoritmos seguros.
• Conexiones cifradas (HTTPS) en toda la Plataforma y cifrado de los datos en reposo en nuestros proveedores.
• Aislamiento de los datos de cada usuario en la base de datos: cada cuenta solo puede acceder a sus propios datos.
• Sesión única y limitación de peticiones para prevenir accesos no autorizados.
• Copias de seguridad periódicas de la base de datos.
• Acceso restringido a los datos personales.

9. Menores de Edad

El servicio está dirigido a mayores de 18 años. No recogemos intencionadamente datos de menores. Si tiene conocimiento de que un menor nos ha proporcionado datos personales, escríbanos y los eliminaremos.

10. Cambios en esta Política

Podemos actualizar esta Política para reflejar cambios en el servicio, en nuestros proveedores o en la normativa. Le avisaremos de los cambios significativos por email o en la Plataforma. La fecha de la última actualización figura al inicio del documento.

11. Contacto

Para cualquier consulta sobre esta Política o sobre el tratamiento de sus datos personales: