El tratamiento de los datos personales de los usuarios se realiza con pleno cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1. Responsable del tratamiento
- 3W Medical GmbH
- Bretonischer Ring 4-6, 85630 Grasbrunn, Alemania
- NIF/VAT: DE358283477 — HRB 281297 — Amtsgericht München
- Tel.: +49 (0) 8106 - 890 3997
- Contacto: formulario de contacto
No hemos designado un Delegado de Protección de Datos (DPO) por no concurrir los supuestos del art. 37 RGPD. Para cualquier cuestión sobre protección de datos puedes escribirnos a través del formulario de contacto.
2. Datos que tratamos
- Datos de identificación: nombre y apellidos, DNI/NIE/Pasaporte, fecha de nacimiento (opcional), correo electrónico, teléfono (opcional).
- Datos del curso: resultados de la evaluación (puntuación, fecha, intento), número de certificado, fecha de emisión y caducidad.
- Datos de pago: id de sesión / pago de Stripe, importe, fecha. No almacenamos datos de tarjeta — son procesados directamente por Stripe.
- Datos de facturación (B2B): razón social, NIF/VAT, dirección postal, email de facturación, contacto.
- Datos técnicos: dirección IP, registros del servidor, identificadores de sesión, preferencia de idioma — necesarios para seguridad y funcionamiento del sitio.
- Datos de consentimiento de cookies: registramos tu elección (aceptar / rechazar / configurar) de forma pseudonimizada (IP truncada, marca temporal, categorías y versión del texto) como prueba conforme al art. 7.1 RGPD.
3. Finalidades y base jurídica
| Finalidad | Base jurídica |
|---|---|
| Emisión del certificado y ejecución del contrato | Art. 6.1.b RGPD (ejecución de contrato) |
| Facturación y obligaciones fiscales / contables | Art. 6.1.c RGPD (obligación legal) |
| Verificación pública del certificado por QR (muestra: nombre, n.º, fechas, validez) | Art. 6.1.f RGPD (interés legítimo del tercero verificador) |
| Seguridad del sitio, prevención de fraude y abuso, logs de servidor | Art. 6.1.f RGPD (interés legítimo) |
| Cookies analíticas, de marketing y de personalización | Art. 6.1.a RGPD (consentimiento) — gestionable en cualquier momento |
| Comunicaciones transaccionales (envío del certificado, recordatorios técnicos) | Art. 6.1.b RGPD |
4. Plazos de conservación
- Datos del certificado: durante el período de validez del mismo (por defecto 4 años) y, posteriormente, durante los plazos legales de prescripción aplicables.
- Facturas y registros contables: 6 años (art. 30 Código de Comercio) — los datos imprescindibles para cumplir esta obligación se bloquean pero no se borran.
- Logs técnicos / de seguridad: 30 días salvo necesidad de prolongarlos por incidente de seguridad concreto.
- Registro de consentimiento de cookies: 13 meses (recomendación AEPD).
- Cuenta de usuario inactiva: eliminamos las cuentas sin actividad transcurridos los plazos legales de conservación aplicables a los datos asociados.
5. Destinatarios y encargados del tratamiento
Para prestar el servicio compartimos los datos estrictamente necesarios con los siguientes encargados del tratamiento. Con todos ellos hemos suscrito el correspondiente contrato de encargo conforme al art. 28 RGPD.
| Proveedor | Finalidad | Ubicación / Régimen |
|---|---|---|
| DigitalOcean, LLC 101 Avenue of the Americas, 10th Floor, New York, NY 10013, EE. UU. |
Alojamiento del servidor web (PHP / aplicación) | Centro de datos FRA1 — Fráncfort (Alemania, UE). Cláusulas Contractuales Tipo (SCC 2021/914) y DPA de DigitalOcean para cualquier acceso remoto desde EE. UU. |
| Microsoft Ireland Operations Ltd. One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda |
Base de datos Azure SQL (Microsoft Azure) | Región Germany West Central — Fráncfort (Alemania, UE). EU Data Boundary de Microsoft + SCC para soporte global. |
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda |
Procesamiento de pagos con tarjeta y monederos digitales | UE/EEE. Posibles transferencias al grupo Stripe en EE. UU. amparadas por SCC y, en su caso, EU-US Data Privacy Framework. |
| SMTP2GO, Inc. 541 Jefferson Ave, Suite 100, Redwood City, CA 94063, EE. UU. |
Envío de correos transaccionales (certificado, notificaciones) | EE. UU. Transferencia internacional al amparo del EU-US Data Privacy Framework (Decisión de adecuación de la Comisión Europea de 10.07.2023) y SCC como respaldo. |
| Google Ireland Ltd. Gordon House, Barrow Street, Dublín 4, D04 E5W5, Irlanda |
Google Tag Manager, Google Analytics 4 y Google Ads — solo si das tu consentimiento en el banner de cookies | UE (responsable Google Ireland). Transferencias al grupo Google en EE. UU. amparadas por EU-US Data Privacy Framework y SCC. Uso de Consent Mode v2 e IP-anonimización. |
Salvo lo indicado, no comunicamos tus datos a terceros ni los vendemos. No realizamos decisiones automatizadas con efectos jurídicos en el sentido del art. 22 RGPD.
6. Transferencias internacionales
Algunos encargados (SMTP2GO; subprocesadores de Google y Stripe en EE. UU.; acceso remoto puntual de DigitalOcean) pueden implicar transferencias fuera del EEE. Estas se realizan exclusivamente al amparo de:
- Decisión de adecuación EU-US Data Privacy Framework (10.07.2023) cuando el proveedor esté certificado.
- Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) con medidas técnicas adicionales (cifrado en tránsito y reposo, pseudonimización cuando es posible).
7. Cookies y tecnologías similares
Utilizamos cookies técnicas necesarias (sesión, idioma, registro de consentimiento) y, previo consentimiento, cookies de analítica (Google Analytics 4) y marketing (Google Ads). Puedes aceptar, rechazar o configurar tu elección en cualquier momento. Consulta la Política de cookies para el detalle completo.
Tipografías: cargamos las fuentes web (Inter, Playfair Display) desde nuestro propio servidor; no se transmite tu dirección IP a Google Fonts.
8. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas para proteger tus datos: cifrado en tránsito (HTTPS/TLS), almacenamiento cifrado en Azure SQL, contraseñas con hash Argon2id, control de accesos al panel administrativo (CSRF, regeneración de sesión, audit log), consultas parametrizadas a la base de datos para prevenir inyección SQL y verificación de firma en los webhooks de Stripe.
9. Derechos del interesado
Como persona interesada tienes derecho a:
- Acceso a tus datos (art. 15 RGPD)
- Rectificación (art. 16)
- Supresión / «derecho al olvido» (art. 17)
- Limitación del tratamiento (art. 18)
- Portabilidad (art. 20)
- Oposición, incluida la oposición a tratamientos basados en interés legítimo (art. 21)
- Retirar el consentimiento prestado en cualquier momento, sin que ello afecte a la licitud del tratamiento previo
- No ser objeto de decisiones individuales automatizadas (art. 22)
Puedes ejercer estos derechos a través de nuestro formulario de contacto, adjuntando copia de un documento identificativo cuando sea necesario para confirmar tu identidad. Responderemos en el plazo máximo de un mes.
10. Reclamación ante la autoridad de control
Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan 6, 28001 Madrid — www.aepd.es.
11. Cambios en la política
Podemos actualizar esta política de privacidad para reflejar cambios legales o de funcionamiento del servicio. Publicaremos la versión vigente en esta misma página indicando la fecha de la última actualización.