Última actualización: 12 de octubre de 2026
Aquí te contamos qué datos tuyos tratamos en academy.danielalfocea.com, por qué, con quién los compartimos, cuánto los guardamos y qué puedes hacer al respecto. Está escrita para que se entienda; si algo no queda claro, escríbenos.
1. Quién trata tus datos
Alice & Bob, S.L., CIF B67932186, con domicilio en Calle Marie Curie, 7, Edificio Beta, Planta 7 Ático — Parque Empresarial Rivas Futura, 28521 Rivas-Vaciamadrid (Madrid), teléfono +34 647 879 318, es la responsable del tratamiento.
Daniel Alfocea crea y firma los contenidos; la sociedad es quien trata los datos, vende y factura.
- Correo para asuntos de privacidad: hola@academy.danielalfocea.com
- Delegado de protección de datos: no se ha designado. El tratamiento que hacemos no consiste en la observación habitual y sistemática de interesados a gran escala, ni el volumen de alumnos y de datos que tratamos alcanza una escala que lo exija: por eso entendemos que no estamos dentro de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. Si el volumen o el tipo de tratamiento cambiara de forma relevante —por ejemplo, si empezáramos a tratar categorías especiales de datos a gran escala—, revisaríamos esta conclusión.
2. Qué datos tratamos, para qué y con qué base legal
Esta es la tabla completa. Si un tratamiento no está aquí, no lo hacemos.
2.1. Tu cuenta y tu acceso
| Qué tratamos | Para qué | Base legal |
|---|---|---|
| Correo electrónico (es tu identificador de acceso), nombre, idioma preferido, zona horaria y preferencias de aviso | Crear y mantener tu cuenta, y dejarte entrar | Ejecución del contrato (art. 6.1.b RGPD) |
| Los enlaces de acceso y los códigos de un solo uso que te enviamos | Dejarte entrar sin contraseña | Ejecución del contrato |
| Identificador de dispositivo, navegador (user-agent) y dirección IP con la que se creó cada sesión | Mostrarte tus dispositivos, cerrar sesiones, aplicar el límite de sesiones y detectar cuentas compartidas | Ejecución del contrato e interés legítimo (art. 6.1.f): proteger el contenido que vendemos |
| Registro de qué versión de las condiciones y de la privacidad aceptaste, cuándo, desde qué IP y en qué momento (alta, nueva versión o compra) | Poder demostrar que te informamos | Obligación legal (art. 7.1 RGPD) e interés legítimo |
No hacemos fingerprinting ni te geolocalizamos con precisión. Para el límite de dispositivos nos basta con el identificador de sesión, la IP y el navegador, y no leemos nada más de tu terminal.
Los tratamientos basados en interés legítimo de esta política —límite de dispositivos, detección de cuentas compartidas, marca de agua, antifraude y avisos de abandono— se apoyan en este balance: la finalidad es legítima (proteger un contenido de pago y evitar el fraude), la medida es necesaria (no hay otra forma de aplicar el límite de dispositivos, el sellado o el aviso de abandono sin tratar esos datos) y es proporcionada (usamos el mínimo dato posible —identificador de sesión, IP y navegador—, no hacemos fingerprinting ni geolocalización, y siempre puedes oponerte, aunque en la marca de agua eso implique que no podamos darte el contenido protegido). Si quieres más detalle de esta ponderación, escríbenos.
2.2. Tu estudio
| Qué tratamos | Para qué | Base legal |
|---|---|---|
| Tu progreso: qué has visto o leído de cada lección, hasta dónde, y cuándo | Que puedas retomar donde lo dejaste, calcular tu avance, aplicar los prerrequisitos y decidir si te corresponde el certificado. También decide si aplica nuestra garantía de devolución (ver condiciones de contratación) | Ejecución del contrato |
| Señales de uso del reproductor y del lector (avance, repeticiones, dónde se atasca la gente) | Mejorar el contenido, en agregado; y detectar que te has quedado parado | Interés legítimo (art. 6.1.f) |
| Lo que entregas en las tareas | Que quede registrada tu entrega | Ejecución del contrato |
| Tus intentos de examen y tus notas | Corregir, decidir si apruebas y emitir el certificado | Ejecución del contrato |
| Los avisos de «esto está mal» que nos mandas sobre una lección | Corregir errores del contenido | Interés legítimo |
2.3. Tus certificados y tu cara pública
| Qué tratamos | Para qué | Base legal |
|---|---|---|
| Tu nombre, el curso, la fecha, el identificador del certificado y su estado | Emitir el certificado y que se pueda verificar | Ejecución del contrato |
| La publicación de tu nombre en la página de verificación del certificado | Que quien reciba tu certificado pueda comprobar que es real | Interés legítimo, con derecho de oposición: puedes pedir que tu nombre no aparezca y la página seguirá diciendo que el certificado es válido, sin identificarte |
| Tu perfil público (alias de URL, biografía, enlaces, certificados mostrados) | Enseñar tu perfil si tú quieres | Consentimiento. Está apagado por defecto, lo enciendes tú y lo apagas cuando quieras |
| Tus valoraciones de productos que has comprado | Mostrar valoraciones verificadas en la ficha | Ejecución del contrato e interés legítimo |
Las páginas de verificación de certificados no son indexables por buscadores y no hay listado ni buscador por nombre: solo se llega con el identificador exacto del certificado.
2.4. Tus compras
| Qué tratamos | Para qué | Base legal |
|---|---|---|
| Qué compraste, cuánto pagaste, en qué moneda, cuándo y con qué referencia de pago | Darte acceso, atenderte y llevar la contabilidad | Ejecución del contrato |
| Tus datos fiscales: país, nombre o razón social, NIF o VAT, domicilio; y el resultado de la consulta al censo VIES cuando compras como empresa | Emitir la factura correcta y aplicar el IVA que toca | Obligación legal (art. 6.1.c) |
| Pruebas de dónde estás a efectos de IVA: país declarado, país de la tarjeta y dirección IP de la compra | Determinar el país de tributación, como exige la normativa de IVA | Obligación legal |
| Tu renuncia expresa al derecho de desistimiento: que la marcaste, cuándo y desde qué IP | Poder demostrar que la diste, si hace falta | Obligación legal e interés legítimo (defensa de reclamaciones) |
| Tus facturas | Cumplir la normativa fiscal y mercantil | Obligación legal |
Los datos de tu tarjeta no pasan por nosotros. El pago lo procesa Stripe dentro de nuestra página; nosotros nunca vemos ni guardamos el número de la tarjeta.
2.5. Correos y avisos
| Qué tratamos | Para qué | Base legal |
|---|---|---|
| Tu correo, para mandarte lo imprescindible: acceso, confirmación de compra, factura, certificado, avisos de seguridad, caducidad del acceso, respuestas de soporte | Cumplir el contrato | Ejecución del contrato |
| Tu correo, para recordarte que dejaste un curso a medias | Que no se te olvide lo que compraste | Interés legítimo, y puedes desactivarlo en tus preferencias |
| Tu correo, para mandarte novedades, lanzamientos y ofertas | Marketing | Consentimiento, en una casilla aparte, no premarcada y separada del resto. También podemos escribirte sobre productos similares si ya nos has comprado, con baja en un clic en cada envío (art. 21.2 LSSI) |
| Si abriste el correo o hiciste clic, y si rebotó | Saber si nuestros correos llegan y dejar de escribir a quien no los recibe | Interés legítimo |
Puedes apuntarte a la lista de espera de un producto sin tener cuenta. En ese caso solo guardamos tu correo, el idioma si lo declaras y tu consentimiento; el enlace de baja de cada correo es tu manera de salir, y funciona siempre, sin caducidad y sin iniciar sesión.
Ningún correo automático es un no-reply: todos llevan una dirección de
respuesta que abre un ticket de soporte.
2.6. Protección del contenido
Sobre el vídeo se pinta una marca de agua dinámica con tu correo o tu identificador, en movimiento; y los PDF, EPUB y audios que descargas van sellados con datos que te identifican. Es lo que nos permite saber de dónde salió una copia que aparezca por ahí.
- Qué se trata: tu correo o tu identificador de cuenta, sobre el contenido que tú mismo estás viendo.
- Base legal: interés legítimo (art. 6.1.f RGPD). Proteger el contenido es lo que hace viable venderlo, y la alternativa —un DRM que controle tu equipo— sería mucho más invasiva.
- Tu derecho: puedes oponerte; ten en cuenta que sin esta medida no podemos darte acceso al contenido protegido.
Este es, junto con el tratamiento de datos de empleados del apartado 2.8, el que más riesgo de reclamación tiene de toda esta política: identifica al alumno dentro de una copia del contenido. Lo sostenemos porque la alternativa —un DRM que controle tu dispositivo, o no proteger el contenido en absoluto— es más invasiva o inviable comercialmente, y porque el dato que usamos es el mínimo necesario (tu correo o tu identificador, nunca datos de tu dispositivo) y solo se aplica sobre lo que tú mismo estás consumiendo, no sobre terceros. La evaluación de interés legítimo de este tratamiento en concreto es la primera que hay que redactar dentro de la LIA general del apartado 2.1.
2.7. Analítica y publicidad
| Qué | Cómo | Base legal |
|---|---|---|
| Medición propia de visitas y conversiones | Se calcula en nuestro servidor, sin cookies y sin guardar identificadores en tu navegador | Interés legítimo. No te identifica |
| Píxel de Meta (Facebook/Instagram) en tu navegador | Se carga desde la primera visita, sin banner previo, en el sitio público y en la aplicación. Meta recibe las páginas que ves, tu IP, tu navegador y la cookie _fbp | Interés legítimo (art. 6.1.f RGPD): medir el resultado de nuestros anuncios. Puedes oponerte escribiéndonos |
| API de conversiones de Meta (desde nuestro servidor) | Enviamos eventos de uso (página vista, producto que miras, registro, descarga gratuita) con tu IP, tu navegador, las cookies de Meta _fbp y _fbc si las tienes y, si tienes sesión, tu correo y un identificador de tu cuenta cifrados con SHA-256, hayas aceptado cookies o no | Interés legítimo (art. 6.1.f RGPD). Puedes oponerte escribiéndonos |
| API de conversiones de Meta: página de pago y compra | Cuando abres la página de pago y cuando pagas un pedido, el evento (importe, divisa, producto, tu correo y un identificador de tu cuenta cifrados con SHA-256, tu IP, tu navegador y tus cookies de Meta _fbp y _fbc si las tienes) lo envía la plataforma de pago (billing.danielalfocea.com), con su propia política | Interés legítimo |
| Google Analytics 4 (desde nuestro servidor) | Solo si aceptas Google Analytics en el aviso de la aplicación. No cargamos su script en tu navegador | Consentimiento |
| Atribución de afiliados | Una cookie propia de 30 días (academy_ref), solo si aceptas en el aviso de la aplicación | Consentimiento |
El sitio público no tiene banner de cookies. La aplicación tiene un aviso solo para Google Analytics y la cookie de atribución; rechazarlo no desactiva Meta. Para evitar a Meta puedes usar un bloqueador o la configuración de tu navegador (el envío desde servidor solo se frena oponiéndote por escrito).
El detalle de cookies —qué cookie es cada una, quién la pone, cuánto dura y cómo desactivar el píxel— vive en la política de cookies, documento aparte. Esta política se limita a declarar el tratamiento.
2.8. Si estudias con una plaza que te ha pagado tu empresa
Cuando una empresa compra plazas para sus empleados, le damos un informe por plaza con: si has completado el curso, tu nota de examen, tu porcentaje de avance y tu última actividad por semana, nunca por hora. Nunca horarios, minutos vistos ni actividad detallada.
Tu cuenta es tuya, no de la empresa: si te das de baja, la plaza se libera y la empresa se entera de eso, no de tus datos personales.
Respecto de los datos de tus empleados, actuamos como encargados del tratamiento de tu empresa: los tratamos solo para prestar el servicio de formación que has contratado, no para nuestros propios fines, y dentro de las instrucciones que recoge el contrato B2B con su anexo de protección de datos (apartado 11 de las condiciones de contratación). Informar a tu plantilla del tratamiento de sus datos es responsabilidad tuya como empresa cliente, tal como recoge ese mismo contrato, que se firma por escrito con cada empresa antes de dar de alta ninguna plaza.
2.9. Registro de quién mira tus datos
Guardamos un registro de cada vez que alguien de nuestro equipo —o una herramienta con credenciales— abre datos personales de un alumno concreto: su progreso, sus entregas, sus exámenes, sus pedidos y facturas, o su ficha de cuenta. Ese registro entra en la descarga de datos que puedes pedirnos, en la parte que te afecta a ti.
Base legal: obligación legal (arts. 5.1.f y 32 RGPD) e interés legítimo.
3. Con quién compartimos tus datos
No vendemos tus datos ni los cedemos a nadie para que te haga publicidad.
Sí trabajamos con proveedores que tratan datos por cuenta nuestra. El artículo 28 del RGPD exige un contrato de encargo con cada uno, y lo tenemos firmado o aceptado con todos los de esta tabla.
| Proveedor | Para qué | Dónde trata los datos | Transferencia fuera del Espacio Económico Europeo |
|---|---|---|---|
| Stripe | Cobrar y gestionar pagos, reembolsos y disputas | Irlanda (entidad europea), con matriz en Estados Unidos | Sí. Amparada en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo |
| Bunny (BunnyWay d.o.o.) | Servir el vídeo, y almacenar y servir PDF, EPUB y audios | Eslovenia (sede); el almacenamiento tiene región configurable — se fija en Alemania (Falkenstein/Fráncfort); la red de distribución para la entrega tiene puntos de presencia en todo el mundo | En el almacenamiento, no, mientras la región quede fijada en Alemania. En la entrega por la red de distribución, sí, sin mecanismo de transferencia específico verificado |
| Emailit | Enviar los correos de servicio y transaccionales, incluido el enlace con el que entras | República Checa (entidad FunFirst s.r.o., Praga) | No, según la política del proveedor — sin verificación independiente |
| Acumbamail | Enviar campañas y correos masivos | España (Stackscale, Madrid). Propiedad de Growens (Italia) desde 2018, dentro de la Unión Europea | No |
| Cloudflare | Servir las páginas, protegerlas y filtrar el tráfico | Estados Unidos, con red global; sin residencia de datos seleccionable fuera de los planes enterprise | Sí. Marco de Privacidad de Datos y cláusulas contractuales tipo |
| Hetzner | Servidores donde vive la plataforma y copias de seguridad | Alemania (Unión Europea) | No |
| Sentry | Recoger los errores técnicos de la plataforma, ya filtrados de datos personales antes de enviarlos | Fráncfort, Alemania (región de la Unión Europea de Sentry) | No |
Además, podemos comunicar tus datos a la Administración tributaria, a jueces y tribunales, y a las fuerzas y cuerpos de seguridad cuando la ley nos obligue.
Los contratos de encargo del artículo 28 están firmados o aceptados con todos los proveedores de la tabla:
- Stripe lo incluye en su contrato general, aceptado al abrir la cuenta.
- Bunny, Hetzner, Cloudflare y Sentry lo tienen aceptado en el panel de cada proveedor.
- Acumbamail y Emailit, que no ofrecen autoservicio, lo tienen firmado por escrito.
- Stripe no actúa solo como encargado: para la parte del tratamiento del pago que gestiona bajo sus propias obligaciones legales (antifraude, cumplimiento normativo), actúa como responsable independiente, no por cuenta nuestra.
- La región de almacenamiento de Bunny se fija en Alemania (Falkenstein/Fráncfort). Sentry trata los errores en su región de la Unión Europea, en Fráncfort.
- Groq, que entra cuando lleguen las transcripciones automáticas, se añadirá a esta tabla con su contrato de encargo antes de recibir ningún dato.
Si quieres una copia del contrato de encargo de un proveedor concreto, escríbenos.
4. Cuánto tiempo guardamos tus datos
| Dato | Cuánto |
|---|---|
| Tu cuenta y lo que cuelga de ella | Mientras la tengas abierta |
| Tras darte de baja | Se borra lo que dice el apartado 6. Lo que la ley obliga a conservar queda bloqueado: no se usa para nada, solo se guarda por si lo reclama una autoridad o un juez (art. 32 LOPDGDD) |
| Facturas y registros de facturación | 6 años, como exige el Código de Comercio |
| Pruebas de dónde estabas a efectos de IVA | 10 años, como exige la normativa de IVA para el régimen de ventanilla única |
| Tu renuncia al desistimiento y tus aceptaciones de las condiciones | 5 años, el plazo general de prescripción de las acciones personales |
| Registro de consentimiento de marketing | Mientras lo mantengas, y después como prueba de que lo diste |
| Tu dirección de correo tras darte de baja de marketing | Se conserva suprimida, solo para no volver a escribirte nunca |
| Registros de sesión y dispositivo | 12 meses |
| Dispositivos y sesiones sin usar | Caducan solos a los 90 días |
| Señales de uso del reproductor | Se agregan o se seudonimizan a los 12-24 meses |
| Registro de quién accedió a tus datos | Mientras tengas cuenta, y después el tiempo necesario para responder de ello |
Los plazos que no vienen impuestos por una norma —los 12 meses de registros de sesión, los 12-24 meses de señales de uso agregadas o seudonimizadas, y los 5 años de los registros de consentimiento y de renuncia al desistimiento— son criterio nuestro: los fijamos así porque cubren de sobra el tiempo en que podríamos necesitarlos para responder de una incidencia de seguridad, un fraude o una reclamación, sin guardar el dato más tiempo del que tiene sentido. Los de facturas (6 años) y pruebas de localización a efectos de IVA (10 años) sí vienen impuestos por norma y no son negociables.
5. Tus derechos
Tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, oponerte a algunos tratamientos, pedir la limitación del tratamiento y pedir la portabilidad de tus datos en un formato estructurado.
Casi todo lo puedes hacer tú mismo, sin escribir a nadie, desde tu zona privada:
- Descargar tus datos. Los preparamos en segundo plano y te mandamos un enlace que vale 24 horas y un solo uso. Vale como acceso y como portabilidad.
- Corregir tus datos. Nombre, idioma, zona horaria y preferencias, desde tu perfil. El correo se cambia con doble confirmación, en el buzón viejo y en el nuevo.
- Oponerte. Los recordatorios de curso a medias y los avisos de abandono se apagan con un interruptor en tus preferencias. El marketing se para con el enlace de baja de cualquier correo.
- Borrar tu cuenta. Desde tu zona privada. Te pedimos confirmación por correo, y al terminar te avisamos.
Cuánto tardamos: un mes desde tu solicitud, como marca el artículo 12.3 del RGPD. El borrado de la cuenta se ejecuta paso a paso por todos los sistemas implicados y no se da por terminado hasta que todos los pasos están hechos; el correo de confirmación te llega al final, no al principio.
Qué NO se borra al darte de baja, y por qué:
| Qué se conserva | Por qué |
|---|---|
| Tus facturas y sus datos fiscales | Obligación legal. Se conservan 6 años y quedan bloqueadas: solo se usan si nos las reclama Hacienda o un juez |
| Los certificados que ya emitimos | Siguen verificándose. Puedes pedir que tu nombre no aparezca en la página de verificación |
| Tu dirección en la lista de correo | Pasa a estado suprimida. No se borra del todo porque es la única forma de garantizar que ninguna importación futura vuelva a escribirte (art. 17.3 RGPD) |
| Los avisos de erratas que nos mandaste | Se anonimizan: quitamos el vínculo contigo y conservamos el aviso, que ya no identifica a nadie y sigue sirviendo para arreglar el contenido |
| Las métricas agregadas y anónimas | Ya no te identifican, no hay nada que borrar |
Si crees que hemos hecho algo mal, escríbenos primero. Y en cualquier caso puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.
6. Menores
Para crear cuenta o comprar en la plataforma hay que tener 18 años cumplidos (decidido por Dani el 2026-09-01). En el alta te pedimos que lo declares de forma expresa. No creamos cuentas a menores de esa edad a sabiendas; si detectamos una, la cerramos y borramos sus datos.
La LOPDGDD (art. 7) admite el consentimiento válido desde los 14 años; 18 es una decisión de negocio, no una obligación legal, para evitar el lío de un menor pagando con la tarjeta de su padre. El mismo número está en las condiciones de contratación, apartado 1.
7. Seguridad
Aplicamos medidas técnicas y organizativas razonables: cifrado en tránsito, control de accesos por rol, registro de quién accede a datos personales, copias de seguridad y separación de entornos. Si ocurre una brecha que suponga un riesgo para ti, te lo diremos, y se lo comunicaremos a la Agencia Española de Protección de Datos dentro de las 72 horas que marca el artículo 33 del RGPD.
Nuestro procedimiento ante una brecha de seguridad es: detectarla y contener el problema en cuanto se conoce; valorar en las primeras horas qué datos y a cuántas personas afecta, y qué riesgo supone para ti; si hay riesgo para tus derechos y libertades, notificarlo a la Agencia Española de Protección de Datos dentro de las 72 horas siguientes a tener constancia de ella (artículo 33 RGPD), aunque no dispongamos todavía de toda la información —la notificación se puede completar después—; si el riesgo es alto, avisarte también a ti sin demora injustificada, contándote qué ha pasado y qué medidas tomar; y documentar internamente cualquier brecha, la tengamos que notificar o no (artículo 33.5 RGPD).
8. Si vienes de alicebob.io
Si ya eras alumno en alicebob.io, tus datos no se han cedido a nadie: el responsable siempre ha sido el mismo y lo único que ha cambiado es la plataforma que los aloja. Te lo contamos en el correo de la mudanza, con la lista de proveedores nuevos y el enlace a esta política.
9. Cambios en esta política
Esta política tiene versiones. Cuando publiquemos una nueva que te afecte, te la enseñamos y te pedimos que la aceptes la próxima vez que entres; hasta que lo hagas podrás leer el texto, descargar tus datos y darte de baja.