Política de Privacidad

Versión 1.0 — Fecha de entrada en vigor: fecha de publicación de este documento.

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de la Academia Derek Chamizo — también comercializada bajo el nombre "Universidad de YouTube" — (en adelante, la "Academia") es:

• Titular: Derek Chamizo Ferrer.
• Nombre comercial: Academia Derek Chamizo / Universidad de YouTube.
• Domicilio registrado: Premises no-21867-001, IFZA Business Park, DDP, Dubai Silicon Oasis, Dubai, United Arab Emirates.
• Jurisdicción: Emiratos Árabes Unidos — IFZA Free Zone (Dubai).
• Web: https://academiaderekchamizo.com
• Email de privacidad: privacidad@academiaderekchamizo.com
• Email legal general: legal@academiaderekchamizo.com

Si tienes cualquier duda sobre cómo tratamos tus datos personales o cómo ejercer tus derechos, puedes escribirnos en cualquier momento al correo de privacidad indicado.

Esta política se aplica a todos los tratamientos de datos personales que realizamos como responsable. La Academia presta servicios a usuarios de todo el mundo, por lo que, además de la legislación aplicable en los Emiratos Árabes Unidos, cumplimos voluntariamente con la normativa de protección de datos de las jurisdicciones en las que residen nuestros alumnos, especialmente el Reglamento (UE) 2016/679 General de Protección de Datos ("RGPD"), la Ley Orgánica 3/2018 española (LOPDGDD), la UAE Federal Decree-Law No. 45 of 2021 sobre protección de datos personales ("PDPL UAE") y, cuando aplica, la California Consumer Privacy Act / CPRA.

2. Finalidades del tratamiento

Tratamos tus datos personales para las siguientes finalidades:

• Gestión del registro y de la cuenta de usuario: crear, mantener y autenticar tu cuenta.
• Prestación del servicio formativo: dar acceso al contenido, guardar progreso y permitir la interacción con la comunidad y con los mentores.
• Gamificación: asignación de puntos, logros, rangos y recompensas vinculados a tu progreso en el curso.
• Comunicaciones operativas: avisos imprescindibles sobre tu cuenta, cambios del servicio o incidencias.
• Comunicaciones comerciales: envío de novedades, lanzamientos o promociones, solo cuando hayas dado tu consentimiento expreso.
• Soporte y atención al cliente: atender consultas, reclamaciones y solicitudes enviadas por los canales habilitados.
• Mejora del producto: análisis estadístico y agregado del uso de la plataforma para mejorar el contenido y la experiencia.
• Asistente Derek IA: permitir al usuario conversar con el asistente basado en modelos de lenguaje, que responde sobre el contenido del curso.
• Facturación y contabilidad: emitir facturas y cumplir con las obligaciones contables y fiscales aplicables.
• Seguridad y prevención del fraude: proteger la plataforma frente a accesos no autorizados, abusos y uso indebido.
• Cumplimiento normativo: atender requerimientos de autoridades competentes y cumplir obligaciones legales vigentes.

3. Base legal del tratamiento

La base legal para cada finalidad es la siguiente (referencias al artículo 6 del RGPD y al artículo 5 de la PDPL UAE cuando aplica):

• Ejecución del contrato (art. 6.1.b RGPD): creación de la cuenta, prestación del curso, gamificación, facturación y soporte.
• Consentimiento (art. 6.1.a RGPD; art. 5 PDPL UAE): comunicaciones comerciales, cookies no esenciales, envío del asistente Derek IA cuando procesa contenido opcional.
• Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude, mejora agregada del servicio, estadísticas internas.
• Obligación legal (art. 6.1.c RGPD; legislación fiscal UAE y del país del usuario): conservación de facturas, atención a requerimientos administrativos y judiciales.

4. Datos que tratamos

Categorías de datos personales que podemos tratar:

• Datos identificativos y de contacto: nombre, apellidos, email, país, idioma.
• Datos de cuenta: contraseñas almacenadas de forma cifrada (hash), tokens de sesión, historial de inicios de sesión, preferencias.
• Datos de uso del curso: lecciones visualizadas, progreso, quizzes completados, puntos, logros, interacciones con el asistente Derek IA.
• Datos técnicos: dirección IP, tipo de dispositivo, sistema operativo, navegador, zona horaria, identificadores de sesión.
• Datos de pago: solo los necesarios para emitir factura. El procesamiento del pago lo realiza directamente el proveedor (por ejemplo Stripe o PayPal), quien actúa como responsable propio respecto a los datos financieros sensibles (número de tarjeta, CVV, etc.).
• Datos de comunicación: mensajes enviados al soporte o al asistente Derek IA, comentarios en la comunidad.

No tratamos intencionadamente datos sensibles o de categorías especiales (art. 9 RGPD).

5. Plazos de conservación

Conservamos tus datos personales durante el tiempo estrictamente necesario para cumplir con las finalidades descritas:

• Datos de la cuenta: mientras la cuenta esté activa y durante un periodo razonable de inactividad posterior, tras el cual podrás ser notificado antes de una eliminación definitiva.
• Datos contables y fiscales: durante los plazos de conservación obligatorios de la jurisdicción aplicable (hasta 6 años en España, y los plazos equivalentes en EAU).
• Logs técnicos y de seguridad: hasta 12 meses.
• Mensajes con el asistente Derek IA: el tiempo necesario para ofrecer continuidad de conversación y mejorar el servicio, con un máximo recomendado de 24 meses.

Una vez transcurridos los plazos, los datos se eliminarán o anonimizarán de forma segura.

6. Destinatarios y subprocesadores

No vendemos tus datos personales. Para prestar el servicio contamos con proveedores que actúan como encargados del tratamiento (art. 28 RGPD) bajo contratos que garantizan la confidencialidad y la aplicación de medidas de seguridad. Las principales categorías y proveedores actualmente utilizados son:

• Infraestructura y hosting: Vercel, Cloudflare.
• Base de datos y backend: Supabase (PostgreSQL gestionado).
• Email transaccional: Resend.
• Procesamiento de pagos: Stripe, PayPal.
• Reproducción de vídeo: Vimeo.
• Asistente de IA: Anthropic y/o OpenAI como proveedores de modelos de lenguaje.
• Soporte al cliente: herramientas internas.

Esta lista puede actualizarse. La versión vigente está disponible bajo petición al email de privacidad.

7. Transferencias internacionales de datos

La Academia opera desde los Emiratos Árabes Unidos y utiliza proveedores ubicados en Estados Unidos, Unión Europea y otras regiones. Esto implica transferencias internacionales de datos personales que se realizan aplicando garantías adecuadas:

• Para usuarios del EEE: aplicamos Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914/UE) cuando el destino no cuenta con decisión de adecuación, y evaluaciones de impacto cuando resulta necesario.
• Para usuarios EAU: cumplimos con las condiciones de transferencia internacional previstas en el capítulo 4 de la PDPL UAE (Federal Decree-Law No. 45 of 2021).
• Para otros usuarios: aplicamos salvaguardas contractuales equivalentes.

Puedes solicitar una copia de las garantías aplicables escribiendo a privacidad@academiaderekchamizo.com.

8. Tus derechos

Como titular de los datos personales, puedes ejercer en cualquier momento los siguientes derechos, reconocidos por el RGPD (arts. 15 a 22), la PDPL UAE y otras normativas aplicables:

• Acceso: obtener confirmación y copia de los datos tratados.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación cuando ya no sean necesarios o retires el consentimiento.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Limitación: restringir el tratamiento en los supuestos legalmente previstos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Retirada del consentimiento en cualquier momento, sin efectos retroactivos.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos.
• Reclamación ante la autoridad competente:
  • España/UE: Agencia Española de Protección de Datos — https://www.aepd.es — o autoridad equivalente del país del usuario.
  • EAU: UAE Data Office, conforme a la PDPL.
  • California: derechos adicionales previstos por CCPA/CPRA, incluidos el derecho a saber, eliminar y optar por no vender/compartir.

Para ejercer cualquiera de estos derechos, escribe a privacidad@academiaderekchamizo.com identificándote de forma razonable. Responderemos en un plazo máximo de 30 días naturales.

9. Decisiones automatizadas y asistente Derek IA

La Academia incorpora un asistente conversacional ("Derek IA") basado en modelos de lenguaje de terceros (Anthropic y/o OpenAI). Este asistente:

• Solo responde a consultas del usuario sobre el contenido del curso.
• No toma decisiones automatizadas con efectos jurídicos ni evaluaciones automatizadas del usuario en el sentido del art. 22 RGPD.
• No se utiliza para perfilado, scoring ni denegación de servicios.
• Las conversaciones pueden ser utilizadas para mejorar la calidad del asistente en el contexto del curso, de forma agregada y con medidas de minimización.

Los proveedores de IA tratan los datos conforme a sus propias políticas. Consulta las políticas de Anthropic y OpenAI para más detalle.

10. Menores de edad

La Academia está dirigida a personas mayores de 18 años. Cuando la normativa aplicable al usuario permita una edad inferior para el consentimiento digital (16 años en muchos Estados miembros de la UE; 13 años bajo COPPA en EEUU), se requerirá en todo caso una verificación razonable del consentimiento parental cuando el usuario sea menor de 18. Si detectamos que un menor se ha registrado sin autorización, procederemos a suspender y eliminar la cuenta.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), incluyendo:

• Cifrado en tránsito (TLS) y, cuando corresponde, en reposo.
• Almacenamiento de contraseñas mediante funciones hash con salt.
• Control de accesos basado en roles, principio de mínimo privilegio.
• Registros de auditoría sobre eventos críticos.
• Separación de entornos de desarrollo, pruebas y producción.
• Copias de seguridad periódicas.
• Procedimiento interno de gestión de incidentes con notificación en un plazo máximo de 72 horas a la autoridad competente cuando la brecha afecte a derechos y libertades de los usuarios (art. 33 RGPD).

12. Cómo ejercer tus derechos y presentar reclamaciones

Puedes ejercer cualquier derecho escribiendo a privacidad@academiaderekchamizo.com. Si no estás satisfecho con nuestra respuesta, tienes derecho a presentar una reclamación ante la autoridad de protección de datos competente en tu jurisdicción.

13. Modificaciones de esta política

Podemos actualizar esta Política de Privacidad para reflejar cambios en el servicio, en los subprocesadores o en la normativa. Cuando los cambios sean sustanciales, te avisaremos con antelación razonable por email o mediante un aviso destacado dentro de la Academia. La fecha de "Última actualización" en la parte superior de esta página indica cuándo se realizó el último cambio.