Política de privacidad

1. Quién trata tus datos

[PENDIENTE: nombre o razón social], con NIF [PENDIENTE: NIF] y domicilio en [PENDIENTE: dirección], en adelante «la autoescuela», es la responsable del tratamiento de los datos de sus alumnos.

La autoescuela utiliza Gestionae, un programa de gestión prestado por [PENDIENTE: titular de Gestionae], que actúa como encargado del tratamiento: trata los datos únicamente por cuenta de la autoescuela y siguiendo sus instrucciones.

Contacto para asuntos de protección de datos: [PENDIENTE: correo de contacto].

2. Qué datos se guardan

Los que la propia aplicación registra:

• Identificación y contacto: nombre, apellidos, DNI o NIE, fecha de nacimiento, teléfono, correo electrónico y dirección.
• Sexo: opcional, y con la posibilidad de no responder. Se usa únicamente para desglosar las estadísticas de resultados de examen de la propia autoescuela; no se comunica a nadie ni interviene en ninguna decisión sobre el alumno. Dejarlo en blanco no tiene ningún efecto.
• Preferencia de recordatorios por WhatsApp: opcional y desactivada de origen. Solo se activa si el alumno lo pide, y mientras esté activa su número de teléfono se comunica a Meta para poder entregarle el mensaje. Retirarla no tiene ningún otro efecto: los recordatorios pasan a enviarse por correo si los tenía.
• Cómo conoció a la autoescuela: opcional. Se elige de una lista cerrada (recomendación, escaparate, internet, redes sociales, centro educativo, convenio de empresa u otro) y se usa únicamente para que la autoescuela sepa qué canales le traen alumnos. No se comunica a nadie, no se cruza con ninguna plataforma publicitaria y dejarlo en blanco no tiene ningún efecto.
• Datos para los impresos oficiales: nacionalidad, municipio y provincia de nacimiento, y el domicilio desglosado. Se recogen solo cuando hay que presentar un trámite ante la DGT o ante Transportes, porque esos organismos los exigen campo a campo.
• Formación: matrículas y tipo de permiso, clases teóricas y prácticas, exámenes e intentos con su resultado, permisos anteriores y su saldo de puntos, certificados CAP y cursos de recuperación de puntos.
• Económicos: cuotas, importes, método y fecha de pago, facturas y devoluciones.
• Documentos que el alumno aporta: copia del DNI o NIE, foto de carné, permiso de conducir anterior, justificante de la tasa, autorización del tutor si es menor de edad y, si la autoescuela decide archivarlo, el informe de aptitud psicofísica. Estos ficheros solo los alcanza el personal de oficina: ni el profesor ni el propio alumno pueden descargarlos desde la aplicación.
• Valoración de las clases prácticas: el nivel alcanzado en cada uno de los catorce epígrafes con los que la DGT califica la prueba de circulación. Lo apunta el profesor y lo ve el alumno en su portal.
• Dónde se recoge al alumno: el punto de recogida habitual y el de cada clase concreta, para poder decírselo en el recordatorio.
• Firmas manuscritas capturadas en pantalla, en los contratos, en los justificantes de devolución, en el otorgamiento de representación y al terminar cada clase práctica.
• Registro de actividad: qué usuario de la autoescuela creó, editó o eliminó cada dato y cuándo.

Puede haber datos de salud. El informe de aptitud psicofísica lo emite un centro de reconocimiento, no la autoescuela, pero la aplicación permite archivarlo junto al resto de la documentación del alumno. Ese informe es un dato de salud, de los que el artículo 9 del RGPD llama de categoría especial. Solo se guarda si la autoescuela decide archivarlo —el trámite se puede gestionar sin subirlo—, únicamente lo alcanza el personal de oficina, y no se comunica a ningún tercero. La base que legitima este tratamiento concreto es [PENDIENTE: base del art. 9 RGPD, normalmente el consentimiento explícito del alumno]. Fuera de este caso, la aplicación no recoge datos de categorías especiales.

3. Para qué y con qué base legal

• Impartir la formación y gestionar el expediente — ejecución del contrato de enseñanza (art. 6.1.b RGPD).
• Presentar trámites ante la DGT y Transportes en nombre del alumno — ejecución del contrato y la representación que el alumno otorga por escrito.
• Facturación y contabilidad — obligación legal (art. 6.1.c RGPD).
• Recordatorio por correo de las clases del día siguiente — ejecución del contrato (art. 6.1.b RGPD). Es una comunicación de servicio sobre clases ya contratadas, no publicidad: no se envían ofertas ni promociones. El alumno puede pedir que dejen de enviárselos en cualquier momento, sin que ello afecte a su formación; basta con decírselo a la autoescuela.
• Seguridad del acceso — interés legítimo (art. 6.1.f RGPD, y el considerando 49 nombra expresamente la seguridad de la red y de la información). Cuando alguien intenta entrar con credenciales incorrectas se registra la dirección IP desde la que se hizo, el correo tecleado y el navegador, para poder detectar intentos de acceso no autorizado. Se conservan 30 días y se borran solos; solo los consulta el responsable de la plataforma, y no se usan para ninguna otra cosa.

4. A quién se comunican

• Dirección General de Tráfico y administraciones competentes en transportes, para los trámites que el alumno encarga.
• Agencia Tributaria, cuando lo exija la normativa fiscal.
• Proveedores tecnológicos que actúan como encargados: alojamiento y base de datos (Supabase), despliegue (Vercel), pagos con tarjeta (Stripe) y envío de correo (Brevo, que aloja en Francia y Alemania), y emisión de facturas conforme a Verifactu (BeeL, únicamente si la autoescuela activa la facturación). La base de datos está en la región eu-north-1 de Supabase, en Estocolmo, dentro de la Unión Europea, y la aplicación se ejecuta en la región arn1 de Vercel, también en Estocolmo. Fuera del Espacio Económico Europeo hay dos transferencias, las dos a Estados Unidos: la de Stripe, amparada en cláusulas contractuales tipo y limitada a lo necesario para cobrar; y la de Meta —únicamente si la autoescuela activa los recordatorios por WhatsApp—, amparada en la decisión de adecuación del marco de privacidad UE-EE. UU., y limitada al número de teléfono y al contenido del recordatorio de los alumnos que lo hayan solicitado expresamente. Ningún alumno recibe mensajes por WhatsApp sin haberlo pedido, y puede retirarlo en cualquier momento.

No se ceden datos a terceros para fines distintos ni se toman decisiones automatizadas con efectos jurídicos.

5. Cuánto tiempo se conservan

Mientras dure la relación con la autoescuela y, después, durante los plazos de prescripción de las responsabilidades que puedan derivarse de ella, bloqueados y accesibles solo a requerimiento de jueces, tribunales o administraciones competentes. Las facturas y los documentos con efectos fiscales se conservan el plazo que exige la normativa tributaria, aunque el alumno pida la supresión del resto.

Hay tres plazos que la propia aplicación aplica sola, sin que nadie tenga que acordarse:

• El registro de actividad —quién creó o modificó cada dato— se borra automáticamente al año.
• Los registros técnicos de error se borran a los 90 días.
• El registro de jornada del personal se conserva cuatro años, porque lo exige el artículo 34.9 del Estatuto de los Trabajadores, y queda fuera de cualquier borrado automático.

6. Tus derechos

Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad escribiendo a [PENDIENTE: correo de contacto].

Sobre la supresión, conviene saber cómo se atiende en la práctica: si ya se te ha emitido alguna factura, la ficha no se elimina por completo, porque ese documento hay que conservarlo por obligación fiscal. Lo que se hace es anonimizarla: se borran nombre, DNI, contacto, domicilio, sexo, cómo conoció a la autoescuela, nacionalidad y fecha de nacimiento de la ficha, los documentos que aportaste (la copia del DNI, el informe psicofísico…) y los que se generaron para tus trámites, tu nombre en el registro de actividad, y se eliminan la cuenta de acceso al portal del alumno y los avisos en el móvil que hubieras activado. La cuenta solo se conserva si la usas para algo más —por ejemplo, si con ella trabajas en una autoescuela, o si trabajaste en esta y figura en su registro de jornada, que la ley obliga a conservar cuatro años y que identifica a cada persona por su cuenta—, y en ese caso deja de dar acceso a la ficha suprimida.

Las facturas ya emitidas siguen conservando tu nombre y tu NIF, porque la normativa fiscal obliga a que un documento de facturación identifique a su destinatario y a conservarlo íntegro. Es la excepción prevista en el artículo 17.3.b del RGPD: el tratamiento necesario para cumplir una obligación legal. Pasado el plazo de conservación fiscal, esos documentos también pueden suprimirse.

También se conservan, con tu nombre, los contratos que firmaste, el otorgamiento de representación que firmaste para tus trámites, los justificantes de devolución que firmaste —que llevan además tu DNI y, si constaban, tu teléfono y tu correo— y la firma de cada clase recibida, porque son la prueba de lo que se acordó, de las clases que se dieron y del dinero que se te devolvió, y la autoescuela la necesita para defenderse si surge una reclamación. Es la excepción del artículo 17.3.e del RGPD, y solo mientras esa reclamación sea posible.

También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).