Política de Privacidad

1. Responsable del tratamiento

Om Israni, operador de DriveIQ (driveiq.es).

Contacto: privacy@driveiq.es

2. Datos que recopilamos

De acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), informamos de las categorías de datos tratados, sus finalidades y las bases jurídicas que legitiman su tratamiento:

3. Analítica web, Google Analytics 4, Google Signals y Google Ads

DriveIQ utiliza Google Analytics 4 (GA4) (código de medición G-KNZ7TXBZW6), operado por Google Ireland Limited, para comprender cómo interactúan los usuarios con nuestra plataforma web y móvil, evaluar el rendimiento didáctico y optimizar la experiencia de aprendizaje.

El tratamiento de datos analíticos y publicitarios se ejecuta bajo las siguientes funcionalidades y salvaguardas:

3.1 Análisis de rutas de navegación (Path Analysis) y eventos

Mediante la funcionalidad de exploración de rutas (path analysis), GA4 procesa secuencias agregadas de eventos (por ejemplo: visita a página principal → inicio de test de práctica → respuesta a preguntas → visualización del diagnóstico o score wall → registro en la plataforma). Este análisis permite detectar cuellos de botella en la usabilidad, pantallas con alta tasa de abandono y la eficacia del itinerario formativo. No se realiza ningún rastreo invasivo de actividades ajenas al servicio de DriveIQ.

3.2 Identificador de usuario (User ID)

Para usuarios registrados que hayan otorgado su consentimiento, DriveIQ puede enviar un User ID seudonimizado a Google Analytics. Este identificador es una cadena alfanumérica interna única generada por nuestro sistema (no contiene nombres, números de teléfono ni direcciones de email legibles). Permite a Google Analytics unificar las sesiones del alumno cuando accede desde distintos navegadores o dispositivos (por ejemplo, comenzar un test en el móvil y continuarlo en el ordenador), proporcionando una medición coherente del progreso educativo sin revelar la identidad personal directa a Google.

3.3 Recopilación de datos de Google Signals

DriveIQ tiene activada la función de Google Signals. Cuando un visitante ha aceptado las cookies analíticas y publicitarias y, simultáneamente, ha iniciado sesión en su propia cuenta de Google con la opción de personalización de anuncios activada, Google asocia la información de navegación de DriveIQ con los datos de su cuenta de Google.

Esto nos permite recibir informes agregados, no individualizados y anónimos sobre características demográficas (rangos de edad y género), intereses generales e informes de comportamiento multidispositivo. En ningún momento DriveIQ tiene acceso a la información personal de su cuenta de Google. Puede revocar esta asociación directamente desde los ajustes de su cuenta de Google en Mi Centro de Anuncios de Google.

3.4 Datos proporcionados por el usuario (User-Provided Data Collection) y Google Ads

Conforme a la política de recopilación de datos facilitados por el usuario (reconocida y en vigor el 10 de septiembre de 2026), cuando un usuario interactúa con funciones de registro o suscripción y existe consentimiento explícito (señal ad_user_data: granted):

• Determinados datos de origen (como la dirección de correo electrónico facilitada durante el registro) son convertidos en el navegador mediante un algoritmo criptográfico irreversible SHA-256 (hash unidireccional) antes de ser transmitidos a Google.
• Google utiliza este hash seudonimizado exclusivamente para cotejarlo con sus bases de datos consentidas, optimizando la medición de conversiones y atribución de campañas publicitarias de DriveIQ.
• Configuración avanzada de personalización de anuncios: Las audiencias generadas en Google Analytics y los eventos clave de conversión pueden exportarse a cuentas vinculadas de Google Ads para optimizar campañas de captación y mostrar ofertas relevantes a los usuarios interesados en todas las regiones operativas disponibles (307 regiones).

3.5 Recopilación de datos de ubicación aproximada y de dispositivo

Google Analytics recopila parámetros técnicos del dispositivo (tipo de dispositivo, modelo, sistema operativo, resolución de pantalla, idioma del navegador) y una ubicación geográfica regional aproximada (país, comunidad autónoma y ciudad) calculada a partir de la dirección IP antes de que esta sea anonimizada o descartada. DriveIQ nunca recopila ni procesa coordenadas de geolocalización precisa por satélite (GPS).

3.6 Google Consent Mode v2 y opciones de exclusión (Opt-out)

DriveIQ implementa Google Consent Mode v2 de forma predeterminada con valores denegados (denied) para todos los visitantes del EEE, Reino Unido y Suiza. Solo tras la aceptación voluntaria en nuestro banner de cookies se activan las señales correspondientes:

• analytics_storage: autoriza la creación y lectura de cookies analíticas (_ga).
• ad_storage: autoriza cookies de publicidad en la red de Google AdSense.
• ad_user_data: autoriza el envío de datos de usuario seudonimizados (hash SHA-256) con fines de medición publicitaria.
• ad_personalization: autoriza la personalización de publicidad y exportación de audiencias para retargeting.

Usted puede revocar o modificar sus preferencias en cualquier instante pulsando en el enlace "Configurar consentimiento" situado en el pie de página de nuestro sitio web, o mediante los mecanismos independientes:

• Inhabilitador de Google Analytics para navegadores: tools.google.com/dlpage/gaoptout.
• Configuración de anuncios de Google: Políticas y configuración de anuncios de Google.
• Portal de autorregulación europea de publicidad comportamental: youronlinechoices.eu.

4. Publicidad contextual y Google AdSense

DriveIQ utiliza Google AdSense para mostrar anuncios exclusivamente a los visitantes y usuarios del plan gratuito. Los suscriptores del plan Pro no ven anuncios y los scripts publicitarios de AdSense no se ejecutan en sus sesiones de estudio autenticadas.

Conforme a la normativa europea de protección de datos, la carga de anuncios personalizados en el Espacio Económico Europeo, Reino Unido y Suiza está subordinada a la previa prestación del consentimiento a través de nuestra Plataforma de Gestión del Consentimiento (CMP) certificada por IAB TCF v2.2.

5. Datos que NO recopilamos y garantías de no venta

• No almacenamos datos de tarjeta bancaria ni números de cuenta (procesados directamente por PayPal bajo estándar PCI DSS Nivel 1).
• No vendemos ni comercializamos tus datos personales (email, nombre, historial de tests o rendimiento) a ningún intermediario o broker de datos.
• No transmitimos a Google identificadores personales legibles en claro (PII como nombre o email sin hashear); todo identificador compartido está sometido a cifrado unidireccional SHA-256 o código seudonimizado interno (User ID) amparado en consentimiento previo.
• No recopilamos datos de ubicación geográfica precisa en tiempo real (datos de GPS o triangulación satelital).
• No mostramos anuncios a los suscriptores del plan Pro ni compartimos su actividad con redes publicitarias de terceros.

6. Servicios de terceros (encargados del tratamiento)

• Supabase Inc. — infraestructura de base de datos PostgreSQL, autenticación de usuarios y almacenamiento en la Unión Europea (Frankfurt).
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — pasarela de cobro y gestión de suscripciones, cumplimiento PCI DSS Nivel 1.
• Google Ireland Limited — servicios de analítica web avanzada (Google Analytics 4, Google Signals, User ID, User-Provided Data), publicidad digital (Google AdSense, Google Ads), modelos de inteligencia artificial (Google Gemini para explicaciones de dudas) y autenticación OAuth.
• NVIDIA Corporation — modelo de inferencia de lenguaje de contingencia (NIM) cuando el servicio de Gemini no está disponible.
• Vercel Inc. — infraestructura de alojamiento de aplicaciones web con enrutamiento de tráfico en nodos europeos (París / cdg1).

Todos los encargados del tratamiento disponen de contratos de tratamiento de datos conformes al artículo 28 del RGPD y, en caso de transferencias internacionales fuera del EEE, se acogen a Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea o al Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework).

7. Inteligencia artificial

DriveIQ utiliza modelos de IA (Google Gemini con NVIDIA NIM como respaldo) para generar explicaciones personalizadas. La pregunta y la respuesta marcada se envían al modelo solo cuando el usuario pulsa "Explicar con IA". No se utilizan estos datos para entrenar modelos de terceros.

8. Conservación de datos

• Datos de cuenta: mientras la cuenta esté activa.
• Datos de progreso formativo y diagnóstico: mientras la cuenta esté activa.
• Datos de facturación: según obligaciones legales y fiscales mercantiles en España (mínimo 5 años).
• Logs de rate limiting y seguridad: 24 horas a 7 días.
• Caché de explicaciones pedagógicas de IA: 30 días.
• Datos analíticos en Google Analytics 4: 14 meses para datos a nivel de usuario y evento (plazo máximo legal de retención configurable en GA4).
• Cookies publicitarias de Google AdSense y Google Ads: gestionadas directamente por Google con un plazo máximo habitual de 13 meses.

Al solicitar la eliminación de tu cuenta, todos los datos personales asociados se suprimen de forma irreversible en un plazo máximo de 30 días, excepto aquellos que deban conservarse bloqueados para la atención de posibles responsabilidades legales.

9. Tus derechos (RGPD y LOPDGDD)

Como usuario en la Unión Europea, dispones de los siguientes derechos:

• Acceso: conocer qué datos personales tratamos y solicitar una copia de los mismos.
• Rectificación: modificar cualquier dato incompleto o inexacto.
• Supresión ("derecho al olvido"): solicitar la eliminación de tus datos personales cuando ya no sean necesarios para los fines que motivaron su recogida.
• Portabilidad: recibir tus datos de progreso y cuenta en un formato estructurado, de uso común y lectura mecánica (JSON/CSV).
• Oposición: oponerte en cualquier momento al tratamiento de tus datos basado en nuestro interés legítimo.
• Limitación del tratamiento: solicitar la suspensión cautelar del tratamiento en los supuestos previstos por el RGPD.
• Retirada del consentimiento: revocar los consentimientos otorgados (analítica, personalización de anuncios, signals o datos de usuario) en cualquier momento sin efectos retroactivos desde el enlace "Configurar consentimiento" del pie de página.

Para ejercer cualquiera de estos derechos, puedes escribirnos a privacy@driveiq.es, adjuntando acreditación de tu identidad. Tramitaremos tu solicitud en un plazo máximo de 30 días naturales sin coste alguno.

10. Cookies y tecnologías de seguimiento

DriveIQ clasifica las cookies y almacenamiento local en tres categorías diferenciadas:

10.1 Cookies técnicas y estrictamente necesarias (siempre activas):

• sb-* — cookies de sesión de Supabase Auth para mantener la autenticación del usuario.
• locale — persistencia del idioma de la interfaz (ES o EN).
• driveiq_cookie_consent — almacenamiento de la preferencia de consentimiento elegida.

10.2 Cookies analíticas y de medición (requieren consentimiento previo):

• _ga — cookie de Google Analytics para distinguir a usuarios únicos (caducidad: 2 años).
• _ga_KNZ7TXBZW6 — cookie de Google Analytics 4 para persistir el estado de la sesión, los eventos de navegación y el análisis de rutas de aprendizaje (caducidad: 2 años).

10.3 Cookies publicitarias y de personalización (solo usuarios gratuitos y visitantes, con consentimiento previo):

• Cookies de Google AdSense y Google Ads (__gads, __gpi, NID, IDE) destinadas a limitar la frecuencia de impactos, medir la eficacia publicitaria y servir anuncios personalizados si así se ha consentido.

Los detalles pormenorizados de cada cookie, proveedor y plazos de caducidad se encuentran en nuestra Política de Cookies.

11. Medidas de seguridad técnicas y organizativas

• Cifrado de todas las comunicaciones en tránsito mediante protocolo TLS 1.3 con certificados HSTS.
• Contraseñas de usuario cifradas de forma irreversible con algoritmo bcrypt y salt criptográfico administrado por Supabase Auth.
• Cumplimiento PCI DSS Nivel 1 en el tratamiento de pagos a través de PayPal (nuestros servidores no almacenan números de tarjeta).
• Aislamiento estricto de datos en la base de datos mediante políticas de seguridad a nivel de fila (Row Level Security - RLS).
• Mecanismos de cortafuegos de aplicaciones (WAF) y rate limiting para mitigar abusos, ataques de fuerza bruta y denegación de servicio.

12. Protección de menores

DriveIQ está dirigido a personas de 16 años o más (edad legal mínima en España para la obtención del permiso AM de ciclomotores y edad de inicio habitual para la preparación del permiso B). No recabamos deliberadamente datos de menores de 16 años. Instruimos expresamente a la plataforma publicitaria de Google para que no entregue publicidad personalizada a usuarios identificados como menores de edad.

13. Modificaciones de esta política

DriveIQ podrá actualizar periódicamente esta Política de Privacidad para adecuarla a nuevas exigencias legislativas, jurisprudenciales o a la incorporación de nuevos servicios analíticos o formativos. Cualquier cambio sustancial se anunciará de manera visible en la plataforma o mediante comunicación por correo electrónico a los usuarios registrados.

14. Autoridad de control competente

En caso de entender vulnerados tus derechos en materia de protección de datos personales, puedes interponer una reclamación ante la autoridad de control española: Agencia Española de Protección de Datos (AEPD) — www.aepd.es, con sede en C/ Jorge Juan, 6, 28001 Madrid.