Aviso de privacidad y compromisos del RGPD

BCN Student (el «responsable del tratamiento») determina cómo y por qué se tratan sus datos personales. Contacto para todas las cuestiones relacionadas con la protección de datos, incluido el ejercicio de los derechos que se describen más abajo: [email protected].

Su dirección de correo electrónico, para que pueda acceder. Las respuestas que introduce en cada solicitud: nombres, número de pasaporte, NIE si lo tiene, sexo, datos de nacimiento, nacionalidad, estado civil, nombres de pila de sus padres, su domicilio en España, teléfono y correo electrónico, su fecha de entrada en España y los documentos que dice tener. Cuando paga una solicitud, su nombre, dirección de facturación y, en el caso de una empresa, el NIF, que Stripe recoge para la factura.

Usted escribe sus datos. Si lo desea, puede fotografiar la página de datos de su pasaporte: con su consentimiento expreso, la foto se lee en nuestro propio servidor (no se envía a ningún tercero), se usan sus líneas de lectura mecánica para sugerirle los datos y la foto no se conserva ni se registra. Solo se guardan los valores que usted confirme. No se sube nada más.

Base jurídica: ejecución de un contrato con usted (art. 6.1.b del RGPD). Recogemos estos datos porque los formularios de residencia españoles los exigen, no porque los queramos. No recogemos datos de salud, datos biométricos ni ninguna categoría especial de datos del art. 9.

Sus respuestas se cifran en reposo con AES-256-GCM, cada solicitud con su propia clave y vinculada a esa solicitud. Esas claves están a su vez cifradas con una clave maestra que se guarda aparte de la base de datos y de sus copias de seguridad, de modo que una copia de la base de datos o de una copia de seguridad no descifra nada por sí sola, y un registro comprometido nunca expone a otro. Su correo electrónico también está cifrado; un hash con clave independiente nos permite encontrar su cuenta al acceder sin guardar la dirección en claro.

Todo el tráfico se sirve únicamente por TLS 1.3, con HTTP Strict Transport Security. Los datos de la tarjeta de pago los gestiona íntegramente Stripe y nunca llegan a nuestros servidores.

Una limitación sincera: se trata de un cifrado en reposo sólido, pero no de un cifrado de extremo a extremo. Nuestro programa descifra sus respuestas para rellenar sus formularios y las claves están en el mismo servidor. Ninguna pantalla muestra sus respuestas a una persona como parte del servicio, y el panel del operador solo cuenta solicitudes. Cualquier servicio que le diga que guarda su pasaporte con cifrado de extremo a extremo y a la vez rellena su documentación describe algo que no puede ser cierto.

Una solicitud que no se ha tocado en 30 días se elimina de forma permanente y automática. Esto se ejecuta como una tarea programada, no como una promesa manual, y la eliminación es irreversible. También puede eliminar usted mismo una solicitud, o toda su cuenta, en cualquier momento desde su panel, y la eliminación es inmediata.

Una cuenta sin solicitudes se elimina dos años después de su último acceso. Una cuenta cuyo enlace de acceso nunca se utilizó se elimina al cabo de una semana.

Una sola cosa sobrevive a la eliminación, y solo esta: los datos de facturación. La legislación mercantil y tributaria española (art. 30 del Código de Comercio; Ley General Tributaria) obliga a conservar los registros de facturas durante varios años, y esa obligación prevalece sobre las solicitudes de supresión de esos registros concretos conforme al art. 17.3.b del RGPD. Una factura contiene el nombre del pagador, su dirección de facturación y, en el caso de una empresa, su NIF —almacenados cifrados— más los importes. Nunca incluye su número de pasaporte ni sus respuestas.

Stripe (procesamiento de pagos, Irlanda/EE. UU. bajo el Marco de Privacidad de Datos UE-EE. UU.); Resend (envío de nuestros correos, como sus enlaces de acceso); y el proveedor con sede en la UE de nuestro servidor, cada uno con un contrato de encargado del tratamiento. No vendemos sus datos, no los compartimos con anunciantes y no los transferimos fuera del EEE salvo lo aquí indicado.

Las autoridades públicas reciben únicamente lo que usted mismo les presenta, a su propio nombre.

Puede solicitar el acceso a sus datos, la rectificación de inexactitudes, la supresión, la limitación del tratamiento y la portabilidad en un formato legible por máquina, y puede oponerse al tratamiento. Desde su panel puede descargar en un archivo todo lo que conservamos sobre usted, y borrarlo. Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento.

Respondemos en el plazo de un mes. Si no queda satisfecho, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, o en aepd.es.

Si se produce una brecha que pueda entrañar un riesgo para sus derechos, lo notificamos a la AEPD en un plazo de 72 horas y se lo comunicamos directamente sin dilación indebida. Le diremos a qué se accedió, no una tranquilización vaga.

Este sitio no instala cookies publicitarias ni ejecuta rastreadores de terceros. Mide las visitas con una herramienta de analítica alojada por nosotros que no instala cookies y no le identifica. Las cookies que sí instala son: bcn_user, que mantiene su sesión iniciada hasta 30 días; bcn_app, que mantiene abierta la solicitud en la que trabaja hasta 7 días; y, durante el pago, las cookies que Stripe instala para prevenir el fraude.

Otras dos cookies propias se instalan solo si sigue un enlace de la guía o descarga nuestra guía: bcn_src, que registra el enlace de la escuela por el que llegó, y bcn_guide, un identificador anónimo de descarga. Cada una dura 30 días, no contiene nombre, correo ni ningún otro dato suyo y se usa únicamente para contar cuántos lectores de la guía empiezan después una solicitud.