Política de privacidad

Última actualización: 23 de octubre de 2026

Esta política explica cómo tratamos los datos personales cuando usas Quizhat (quizhat.app), conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD) y del Codice in materia di protezione dei dati personali (Código italiano de protección de datos personales, Decreto Legislativo 196/2003, modificado por el Decreto Legislativo 101/2018).

1. Responsable del tratamiento y contacto

El responsable del tratamiento es FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), Italia, P. IVA 05743150285, que gestiona Quizhat.

• Email: festalaurea.info@gmail.com (para cualquier pregunta sobre privacidad y para ejercer tus derechos)
• PEC (correo electrónico certificado): festalaurea@pec.it

No hemos designado un delegado de protección de datos (DPD), porque para nuestra actividad no es obligatorio (art. 37 RGPD): para cualquier solicitud puedes usar los datos de contacto anteriores.

2. Los dos papeles de Quizhat

• Para quien crea una cuenta (formadores, profesores, organizaciones, organizadores de eventos) somos responsables de los datos de la cuenta: decidimos nosotros cómo y por qué tratarlos, dentro de los límites aquí descritos.
• Para quien participa en un quiz, el responsable es quien organiza la sesión (la entidad de formación, la empresa, el centro educativo, el organizador del evento). Quizhat trata esos datos por su cuenta y siguiendo sus instrucciones, como encargado del tratamiento (art. 28 RGPD), conforme al Acuerdo de tratamiento de datos que forma parte de los Términos del servicio. El organizador decide qué datos solicitar, con qué fin y sobre qué base jurídica, y debe facilitarte su propia información sobre privacidad. Si eres participante y quieres ejercer tus derechos, dirígete al organizador; si nos escribes a nosotros, transmitimos la solicitud al organizador y le ayudamos a responderte.

3. Qué datos tratamos

Cuenta (formadores y organizadores)

• Datos de registro: nombre, email y contraseña. La contraseña se guarda solo como huella cifrada (hash Argon2): no podemos leerla.
• Acceso con Google o Microsoft, si lo eliges: recibimos del proveedor tu nombre, la dirección de email y un identificador de la cuenta. No recibimos la contraseña ni acceso a otros datos de tu cuenta de Google o Microsoft.
• Datos del plan: plan elegido, vencimiento de la prueba, estado de la suscripción, contadores de uso (por ejemplo, los usos de las funciones de IA en el mes y su consumo, para controlar los costes).
• Datos de facturación (planes de pago): nombre o razón social, dirección, país, número de IVA o codice fiscale (código fiscal italiano), código de destinatario SDI o PEC, los identificadores de cliente y de suscripción de Stripe y las facturas. Los datos de la tarjeta los trata directamente Stripe: Quizhat no los ve ni los conserva.
• Datos de la organización, si los introduces: nombre de la entidad o del despacho y logotipo, que aparecen en actas, certificados y en la pantalla; cursos, carpetas de clientes (nombre de la empresa cliente, número de IVA y persona de contacto, si los indicas).
• Tus contenidos: quiz, preguntas, imágenes subidas, enlaces a vídeos de YouTube, documentos y textos que envías a las funciones de IA, colecciones, informes de las sesiones.
• Biblioteca pública: si un quiz tuyo es público, junto al quiz aparece el nombre de la cuenta como autor (es la atribución que exige la licencia CC BY). Si lo prefieres, puedes usar como nombre de la cuenta el nombre de una organización o un seudónimo.
• Denuncias: si denuncias un quiz de la biblioteca, registramos el motivo y, si has iniciado sesión, tu cuenta.
• Comunicaciones: los emails que nos escribes y nuestras respuestas.

Participantes (por cuenta del organizador)

• El apodo elegido para jugar, el avatar y, en su caso, el equipo.
• En el modo Examen y cuando el organizador lo solicita: nombre, apellidos y los demás campos que elija el organizador (por ejemplo, empresa o número de matrícula).
• Las respuestas dadas, los tiempos de respuesta, la puntuación, el resultado y los intentos.
• En el modo Examen: los eventos de la sesión (entrada, salida, entrega) y el número de veces que el participante salió de la página durante la prueba, que el organizador ve en el informe y en el acta.
• Si el organizador sube una lista de inscritos: nombre, apellidos, empresa y, en su caso, el email, con un enlace personal a la prueba; si el organizador lo solicita, enviamos el enlace por email.
• Si el organizador genera un certificado: nombre, curso, fecha y resultado, con un código que permite a quien lo tenga verificar su validez en una página pública (no indexada por los buscadores).
• Seguimientos de eficacia (plan Organización): si el organizador los programa, declarando que ha informado a los participantes, algunos meses después del curso enviamos a los inscritos por email un breve cuestionario voluntario.

Para participar no se necesita una cuenta y Quizhat no pide email ni teléfono, salvo que sea el organizador quien los introduzca.

Datos técnicos y de navegación

Para que el sitio funcione y para protegerlo, nuestros sistemas tratan datos técnicos como la dirección IP, el tipo de navegador y la fecha y hora de las solicitudes. Las direcciones IP usadas para limitar los intentos de acceso y los registros repetidos permanecen solo en la memoria del servidor, durante una hora como máximo. En el dispositivo guardamos solo cookies y almacenamiento técnicos, descritos en la Política de cookies. Las estadísticas de visitas las recopilamos con GoatCounter, instalado en nuestros servidores, sin cookies y sin conservar la dirección IP. No elaboramos perfiles ni hacemos publicidad.

Facilitar los datos de la cuenta es necesario para usar las funciones reservadas: sin ellos no podemos crear la cuenta. Los datos de facturación son necesarios para comprar un plan de pago, llevar la contabilidad y emitir la factura (siempre para empresas y profesionales, a petición para los particulares).

4. Fines y bases jurídicas (cuenta y sitio)

• Prestar el servicio: cuenta, acceso, creación de quiz, sesiones en directo, informes, actas, certificados, asistencia. Base: ejecución del contrato (art. 6.1.b RGPD).
• Emails del servicio: confirmación de la dirección, bienvenida con las instrucciones para empezar, restablecimiento de la contraseña, avisos de seguridad (contraseña o email cambiados, nuevo método de acceso), confirmación de eliminación de la cuenta, comunicaciones sobre el plan y los términos. Base: ejecución del contrato e interés legítimo en la seguridad de las cuentas. No enviamos newsletters ni emails promocionales.
• Pagos, facturación y contabilidad: base: contrato (art. 6.1.b) y obligaciones legales fiscales y contables (art. 6.1.c).
• Funciones de IA (generación de preguntas, preguntas a partir de un documento, traducción): base: ejecución del contrato, solo cuando eres tú quien las usa.
• Biblioteca pública: publicar los quiz públicos con el nombre del autor. Base: contrato (es la opción de visibilidad del plan y la licencia CC BY que aceptas).
• Seguridad, prevención de abusos y gestión de denuncias, incluidos los límites a los intentos de acceso y la retirada de contenidos ilícitos: base: interés legítimo (art. 6.1.f) y obligaciones legales (Reglamento (UE) 2022/2065 de servicios digitales).
• Estadísticas anónimas de visitas, para saber qué páginas son útiles: base: interés legítimo (art. 6.1.f); la herramienta no usa cookies y no identifica a los visitantes.
• Defensa de nuestros derechos en caso de reclamaciones: interés legítimo (art. 6.1.f).

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti (art. 22 RGPD). En el modo Examen la puntuación se calcula automáticamente, pero el resultado del examen y sus consecuencias los decide el organizador del curso.

5. Proveedores y destinatarios

Los datos no se venden ni se usan para publicidad. Solo acceden a los datos las personas de FESTALAUREA SRLS autorizadas y sujetas a confidencialidad, y los proveedores indicados a continuación, cada uno en la medida necesaria. Los proveedores que tratan datos por nuestra cuenta están designados encargados del tratamiento mediante contrato (art. 28 RGPD).

• Aruba S.p.A. (Italia): servidor virtual (Aruba Cloud) en un centro de datos en Italia, donde se encuentran la aplicación, la base de datos, las imágenes subidas, las copias de seguridad y las estadísticas; registro del dominio.
• Resend (Resend, Inc., Estados Unidos): envío de los emails del servicio y, a petición del organizador, de los enlaces a las pruebas y de los cuestionarios de seguimiento. Recibe la dirección del destinatario, su nombre y el texto del mensaje.
• Anthropic (Anthropic PBC, Estados Unidos, y sus filiales): solo cuando un formador usa las funciones de IA. Recibe únicamente el texto o el documento que envía el formador (por ejemplo, unos apuntes) o el quiz que se va a traducir. Los datos de los participantes nunca se envían. Según los términos comerciales de Anthropic, los datos enviados a través de la API no se usan para entrenar los modelos. Te pedimos que no incluyas datos personales en los documentos y textos enviados a la IA.
• Stripe (Stripe Payments Europe, Limited, Irlanda): pagos, suscripciones, facturas y portal de gestión de la suscripción. Recibe nombre, email, dirección de facturación, datos fiscales y de pago. Para la prevención del fraude y las obligaciones legales del sector de pagos, Stripe actúa como responsable independiente, según su política de privacidad.
• Google y Microsoft: solo si eliges acceder con su cuenta. Nos comunican nombre, email e identificador de la cuenta; para el acceso actúan como responsables independientes, según sus políticas de privacidad.
• YouTube (Google Ireland Limited): solo en los quiz en los que el autor inserta un vídeo, el reproductor se carga desde YouTube en modo de privacidad mejorada y Google recibe la dirección IP del dispositivo (ver la Política de cookies). Google actúa como responsable independiente.
• Google (Gmail): los emails que envías a nuestra dirección de contacto se reciben en el buzón festalaurea.info@gmail.com.
• Asesor fiscal y consultores de la sociedad, para la contabilidad y las obligaciones fiscales, y el Sistema di Interscambio (SDI, sistema italiano de facturación electrónica) de la Agenzia delle Entrate (Agencia Tributaria italiana) para las facturas electrónicas.
• Autoridades, cuando la ley lo exija.

Las fuentes tipográficas están alojadas en nuestros servidores: las páginas no hacen solicitudes a Google Fonts ni a otros servicios de estadísticas o publicidad.

6. Transferencias fuera de la Unión Europea

La base de datos, las imágenes y las copias de seguridad permanecen en Italia. Algunos proveedores (Resend, Anthropic y, para algunas actividades, Stripe, Google y Microsoft) pueden tratar datos en Estados Unidos o en otros países fuera del Espacio Económico Europeo. En estos casos la transferencia solo se realiza con las garantías previstas por el RGPD: la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) (art. 45), para los proveedores certificados, o las cláusulas contractuales tipo aprobadas por la Comisión (art. 46), previstas en los acuerdos de tratamiento de datos de cada proveedor. Puedes pedirnos información sobre las garantías utilizadas escribiendo a la dirección de contacto.

7. Durante cuánto tiempo conservamos los datos

• Cuenta y contenidos: mientras la cuenta esté activa. Puedes eliminar la cuenta en cualquier momento desde la página Cuenta: la cuenta, los quiz, las preguntas, las imágenes, los cursos, los informes y los datos de los participantes de tus sesiones se eliminan de inmediato (si tienes una suscripción activa, primero hay que cancelarla).
• Informes de las sesiones y datos de los participantes: permanecen en la cuenta del organizador mientras la cuenta exista, para que pueda conservar el expediente del curso (los planes Formador y Organización incluyen el archivo durante 10 años). Con el plan gratuito los informes se pueden consultar durante 30 días, pero no se eliminan: vuelven a estar visibles si se pasa a un plan de pago. El organizador puede eliminar en cualquier momento una sesión concreta desde su informe («Eliminar sesión»): los participantes, las respuestas, las puntuaciones, los inscritos, los certificados y los seguimientos de esa sesión se eliminan de inmediato (de las copias de seguridad en unos 14 días).
• Datos contables y facturas: 10 años, como exige la ley (art. 2220 del Codice civile italiano y normativa fiscal), también después de la eliminación de la cuenta.
• Copias de seguridad: cada noche hacemos una copia de seguridad de la base de datos y de las imágenes; guardamos las últimas 14 copias, por lo que los datos eliminados desaparecen también de las copias de seguridad en unos 14 días.
• Sesión de acceso: 30 días; después hay que volver a iniciar sesión.
• Enlaces por email: el enlace para restablecer la contraseña es válido durante 1 hora y el de confirmación del email durante 48 horas; ambos se pueden usar una sola vez y solo guardamos su huella (hash).
• Registros técnicos del servidor: rotan automáticamente y se eliminan en pocas semanas; no contienen las respuestas de los participantes.
• Estadísticas: datos agregados y anónimos, conservados sin límite porque no se refieren a personas identificables.
• Emails de asistencia: durante el tiempo necesario para gestionar la solicitud y las posibles reclamaciones, por regla general no más de 2 años.

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: conexiones siempre cifradas (HTTPS), contraseñas conservadas solo como hash Argon2, acceso al servidor solo con clave criptográfica y cortafuegos, límites a los intentos de acceso, controles que impiden que una cuenta vea los datos de otra, copias de seguridad diarias. En caso de violación de la seguridad de los datos que suponga un riesgo para las personas, avisamos al Garante per la protezione dei dati personali (autoridad italiana de protección de datos) y, si es necesario, a los interesados, en los plazos y en la forma previstos por los artículos 33 y 34 del RGPD.

9. Tus derechos

Puedes solicitar en cualquier momento:

• acceder a tus datos y recibir una copia (art. 15);
• rectificarlos o completarlos (art. 16);
• suprimirlos (art. 17), también eliminando la cuenta desde la página Cuenta;
• limitar su tratamiento (art. 18);
• recibirlos en un formato estructurado y legible, o que se transmitan a otro proveedor (portabilidad, art. 20): desde la página Cuenta puedes descargar tus datos en formato JSON;
• oponerte a los tratamientos basados en el interés legítimo (art. 21).

Escribe a festalaurea.info@gmail.com: respondemos sin demora y, en cualquier caso, en el plazo de un mes (prorrogable dos meses en los casos complejos, avisándote). Podemos pedirte que confirmes tu identidad. Si consideras que tus datos se tratan infringiendo el RGPD, puedes presentar una reclamación ante el Garante per la protezione dei dati personali (autoridad italiana de protección de datos) (art. 77) o acudir a la autoridad judicial.

Si eres participante, para los datos recopilados en una sesión dirígete primero al organizador, que es el responsable: nosotros le ayudamos a responder.

10. Menores

Las cuentas están reservadas a mayores de edad que usan Quizhat para el trabajo, el estudio o para organizar un evento. Los estudiantes, también menores de edad, pueden participar en los quiz sin cuenta bajo la responsabilidad del centro educativo o del profesor que organiza la sesión, que es responsable de sus datos, decide qué datos solicitar y valora su base jurídica. Para los menores recomendamos usar solo un apodo que no permita identificarlos.

11. Cambios

Podemos actualizar esta política, por ejemplo cuando cambian las funciones del servicio o los proveedores. La fecha de la última actualización figura al principio de la página; en caso de cambios importantes avisamos por email a quienes tienen una cuenta.