Política de privacidad

1. Responsable del tratamiento

• Responsable: Juan Francisco Burgos Yéboles
• NIF: 47486554H
• Domicilio: Avenida Olímpica 26, 3.º C, 28935 Móstoles (Madrid), España
• Correo electrónico: hola@tutorvial.es
• Marca comercial: TutorVial

No se ha designado delegado de protección de datos, al no concurrir ninguno de los supuestos del artículo 37 del RGPD.

2. Qué datos tratamos

2.1. Datos que nos facilitas

• Identificativos y de contacto: nombre, apellidos, dirección de correo electrónico y, en su caso, teléfono.
• Datos de acceso: credenciales de la cuenta. Las contraseñas se gestionan mediante Firebase Authentication y no son accesibles para TutorVial en ningún momento.
• Datos de facturación: nombre o razón social, NIF y dirección, cuando se contrata un producto o servicio.
• Datos de envío: dirección postal, para los pedidos de libros en papel.
• Contenido que escribes: consultas al asistente Tuvi, búsquedas, notas, incidencias de soporte y comunicaciones con nosotros.

2.2. Datos generados por el uso

• Progreso formativo: resultados de test, aciertos y fallos, tiempo de estudio, temas débiles, rachas y planificación de repasos.
• Datos de la autoescuela, cuando el titular de la cuenta es un centro de formación: alumnos, profesores, vehículos, citas, exámenes y su seguimiento.
• Datos técnicos: dirección IP, tipo de dispositivo y navegador, fecha y hora de acceso, y registros de errores.

2.3. Datos de pago

Los pagos se procesan íntegramente a través de Stripe. TutorVial no recibe ni almacena en ningún momento los datos completos de la tarjeta. Únicamente conservamos la referencia de la operación y los datos necesarios para la facturación.

2.4. Cómo se firma el modelo de representación, y qué datos lleva cada forma

Esto le pasa únicamente a la persona que representa a una autoescuela y activa el Módulo de Facturación. No le pasa a ningún alumno: a los alumnos no se les pide nunca ni el documento de identidad escaneado ni una imagen de su cara.

Para que las facturas de una autoescuela puedan presentarse a la Agencia Tributaria en su nombre, quien la representa tiene que firmar un modelo de representación. Se firma en línea, y hay dos formas de hacerlo. Quien firma elige cuál usa, y no tratan los mismos datos:

A) Con certificado digital — sin ningún dato biométrico. Se descarga el documento, se firma en el propio ordenador con el certificado electrónico (el mismo que ya se usa con Hacienda o con la DGT) y se sube firmado. En esta forma no se toma ni una imagen del documento de identidad ni una imagen de la cara, y no se trata ningún dato de categoría especial. Lo único que se trata son los datos identificativos y de contacto de quien firma y los del certificado que él mismo aporta.

B) Con comprobación de identidad por foto. La firma se abre en una ventana del proveedor de firma, que comprueba que quien firma es quien dice ser. En esa comprobación se tratan dos cosas:

• una imagen de su documento de identidad (DNI o pasaporte), y
• una imagen de su cara —una foto, sin vídeo—, que se compara con la del documento.

La imagen de la cara es un dato biométrico y la ley lo considera categoría especial de datos (artículo 9 del RGPD), por lo que se trata con garantías reforzadas y solo para esa comprobación. El proveedor de firma pide el consentimiento explícito antes de tomar la imagen, y ese consentimiento solo se recaba en esta forma de firmar: quien elige el certificado digital no lo presta porque no hay nada biométrico que consentir.

En ninguna de las dos formas pasan por los servidores de TutorVial la foto ni el documento. En la forma B es el proveedor quien pide la cámara y el documento directamente, y nosotros no llegamos a recibir esas imágenes ni las guardamos. De todo ese proceso, lo único que sabemos —en las dos formas— es si la firma está pendiente, hecha, cancelada o caducada.

3. Para qué los tratamos y con qué base jurídica

Finalidad	Base jurídica
Crear y gestionar tu cuenta y prestarte el servicio	Ejecución del contrato (art. 6.1.b RGPD)
Registrar tu progreso y personalizar el estudio	Ejecución del contrato
Asistente Tuvi y buscador de contenidos	Ejecución del contrato
Tramitar pedidos, envíos y devoluciones	Ejecución del contrato
Emitir facturas y cumplir obligaciones fiscales y contables	Obligación legal (art. 6.1.c)
Firmar el modelo de representación de una autoescuela con certificado digital (ver el apartado 2.4, forma A)	Ejecución del contrato (art. 6.1.b RGPD). No se tratan datos biométricos ni de categoría especial, así que no se recaba consentimiento del art. 9
Comprobar la identidad de quien firma el modelo de representación cuando elige la comprobación por foto, mediante su documento de identidad y una imagen de su cara (ver el apartado 2.4, forma B)	Consentimiento explícito para el dato biométrico (art. 9.2.a RGPD), que el proveedor de firma pide antes de tomar la imagen, sobre la ejecución del contrato (art. 6.1.b). Si no se presta, esta forma de firmar no puede completarse; queda disponible la forma A, que no necesita ese consentimiento
Atender consultas y soporte	Ejecución del contrato
Seguridad, prevención del fraude y del abuso del servicio	Interés legítimo (art. 6.1.f)
Estadísticas agregadas para mejorar el producto	Interés legítimo
Envío de comunicaciones comerciales	Consentimiento, o interés legítimo respecto de clientes sobre productos similares (art. 21 LSSI)

Puedes oponerte en cualquier momento a los tratamientos basados en interés legítimo y retirar tu consentimiento, sin que ello afecte a la licitud del tratamiento previo.

4. Uso de inteligencia artificial

TutorVial emplea sistemas de IA para generar contenido formativo y para el asistente Tuvi. Conviene que conozcas cómo está separado el tratamiento:

• Datos personales y texto libre que escribes (asistente Tuvi y buscador): se procesan exclusivamente con Gemini, de Google.
• Contenido del banco de preguntas (enunciados, explicaciones, pistas): se genera con DeepSeek y, subsidiariamente, con Gemini. A DeepSeek no se le envían datos personales ni texto libre de alumnos. Esta separación es una medida técnica deliberada y está documentada en el código y en el protocolo interno de revisión editorial.

La razón es que la API de DeepSeek procesa datos en China, país que no cuenta con decisión de adecuación de la Comisión Europea.

Decisiones automatizadas. La plataforma calcula recomendaciones de estudio, repasos espaciados y estimaciones de dificultad mediante algoritmos. Estos cálculos son de apoyo pedagógico y no producen efectos jurídicos ni te afectan significativamente de modo similar, por lo que no constituyen decisiones automatizadas en el sentido del artículo 22 del RGPD. La corrección de los test es determinista y no la decide un sistema de IA. En ningún caso sustituyen la evaluación oficial de la Dirección General de Tráfico.

5. A quién comunicamos tus datos

No vendemos ni cedemos tus datos. Contamos con proveedores que actúan como encargados del tratamiento, con los que se han suscrito los correspondientes contratos:

Proveedor	Servicio	Ubicación del tratamiento
Google (Firebase / Google Cloud)	Autenticación, base de datos, funciones en la nube y Gemini	Base de datos en la Unión Europea (multirregión eur3: Bélgica y Países Bajos); funciones en Bélgica
Google (Cloud Storage)	Archivos de la plataforma y copia de seguridad de los registros de facturación	Estados Unidos (us-east1)
Google (Cloud Storage)	Archivo de conservación del registro de jornada	Unión Europea (EUROPE-WEST1, Bélgica)
Bilbabit, S.L. (Verifacti) — NIF B75777847	Envío de los registros de facturación a la Agencia Tributaria (sistema Veri*Factu)	España; sus servidores están alojados en Google Cloud EMEA Limited (Irlanda)
Namirial, S.p.A. — subencargado de Verifacti	Comprobación de identidad de quien firma el modelo de representación —documento e imagen facial— (ver el apartado 2.4). Interviene únicamente cuando se elige la forma B, la comprobación por foto: si el modelo se firma con certificado digital, Namirial no trata ningún dato. Y solo con el titular o representante de una autoescuela, nunca con un alumno	Italia
Stripe	Pasarela de pago y emisión de facturas	Irlanda / EE. UU.
Vercel	Alojamiento de la aplicación y de la web	EE. UU. y red global
Cloudflare y Bunny	Almacenamiento de archivos y distribución de contenido y vídeo	Unión Europea
DonDominio	Correo electrónico saliente y buzones	España
Sentry	Registro de errores de la aplicación	Alemania

Además, los datos podrán comunicarse a la Administración tributaria y a otros organismos públicos cuando exista obligación legal.

Cuando el titular de la cuenta es una autoescuela

Conviene distinguir dos papeles, porque la ley los trata de forma distinta:

• Respecto de los datos de los alumnos y del personal que da de alta la autoescuela, la responsable es ella y TutorVial actúa como encargado del tratamiento: trata esos datos únicamente siguiendo sus instrucciones, en los términos del contrato de encargo que acompaña a las condiciones de contratación. Si eres alumno de una autoescuela y quieres ejercer tus derechos, puedes dirigirte a ella o a nosotros, que trasladaremos la solicitud.
• Respecto de los datos de la propia autoescuela como cliente (contacto, facturación, uso del panel) y de los usuarios que contratan directamente con nosotros, el responsable es TutorVial.

Las facturas que la autoescuela te emite a ti

Si tu autoescuela usa el módulo de facturación de TutorVial, la factura que te entrega la emite ella, no nosotros: ella es la responsable de esos datos y nosotros solo ponemos el programa. La ley obliga a que cada factura se comunique a la Agencia Tributaria en el momento de expedirla (sistema Veri*Factu, Real Decreto 1007/2023). Ese envío no lo hacemos directamente: lo realiza por nuestra cuenta Bilbabit, S.L. (Verifacti), una empresa española.

Lo que sale de la plataforma en ese envío es solo tu nombre y tu NIF, junto con los datos propios de la factura (serie, número, fecha, conceptos e importes), y solo cuando la factura es completa. En las facturas simplificadas —el tique normal de mostrador, hasta 400 €— no viaja ningún dato tuyo. Tu dirección, tu correo y tu teléfono no se envían nunca ni a Verifacti ni a la Agencia Tributaria.

Si trabajas en una autoescuela: el registro de jornada

Si la autoescuela para la que trabajas usa el registro de jornada de TutorVial, la responsable de ese tratamiento es ella, no nosotros: es la empresa obligada a llevar el registro diario de jornada por el artículo 34.9 del Estatuto de los Trabajadores, y nosotros solo ponemos el programa, como encargados. Corresponde a ella informarte de las condiciones concretas en que lo aplica.

Tus marcas de jornada se guardan y se conservan íntegramente en la Unión Europea: la base de datos está en la multirregión eur3 (Bélgica y Países Bajos), las funciones que las escriben en Bélgica, y el archivo de los cuatro años en un almacén situado también en Bélgica (EUROPE-WEST1). No hay transferencia internacional en este tratamiento.

Se registra, de cada marca: el tipo (entrada, salida, inicio y fin de pausa), la hora que tú declaras, la hora en que el servidor la sella, si la marca se subió con retraso, desde dónde se hizo (la aplicación o el quiosco de la autoescuela), la descripción del dispositivo si el navegador la aporta y, en las correcciones, la marca que se enmienda, el motivo y quién la corrigió.

La ubicación es opcional y no viene activada. El artículo 34.9 del Estatuto de los Trabajadores obliga a registrar la jornada, no a geolocalizar a nadie. Si tu autoescuela activa esa opción, se guarda la coordenada del instante de cada marca —no hay seguimiento continuo— y es ella quien debe informarte de forma expresa, clara e inequívoca, conforme al artículo 90.2 de la Ley Orgánica 3/2018. Mientras la opción esté desactivada, el sistema descarta la ubicación aunque tu dispositivo la envíe.

Se conserva cuatro años y no se borra si pides la supresión. Es el plazo que impone el artículo 34.9 del Estatuto de los Trabajadores, y el artículo 17.3.b del RGPD deja fuera del derecho de supresión los datos necesarios para cumplir una obligación legal. Si pides que se borre, te responderemos indicando ese amparo y el plazo, y trasladaremos la solicitud a tu autoescuela. Tampoco se elimina tu ficha mientras existan marcas a tu nombre: un registro que no puede atribuirse a una persona deja de servir de prueba, y esa prueba es también tuya, porque es con la que se reclaman las horas trabajadas. Puedes descargar tu registro cuando quieras desde «Descargar mis datos»: esa descarga incluye tus marcas más recientes hasta el límite que ella misma indica y, si se alcanza ese límite, te avisa de que quedan anteriores. Las anteriores no se pierden ni se ocultan: se solicitan en hola@tutorvial.es y se entregan dentro del plazo del apartado 8.

6. Transferencias internacionales

Algunos proveedores están ubicados fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Dichas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. para las entidades certificadas y, en su defecto, en cláusulas contractuales tipo aprobadas por la Comisión Europea, con las garantías adicionales que procedan.

En concreto, y para que sepas exactamente dónde están tus datos: la base de datos de la plataforma está alojada en la Unión Europea, en la multirregión eur3 de Google (Bélgica y Países Bajos). Las funciones de servidor se ejecutan en Bélgica y el registro de errores se procesa en Alemania.

El almacenamiento de archivos de Google (Cloud Storage) sí está en Estados Unidos (us-east1). Ahí se guardan los archivos que se suben a la plataforma y la copia de seguridad de los registros de facturación que cada autoescuela ha presentado a la Agencia Tributaria. Esa transferencia se ampara en las cláusulas contractuales tipo y en el Marco de Privacidad de Datos UE-EE. UU.

La firma del modelo de representación no sale de Europa, se firme como se firme. Los servidores de Verifacti están en Irlanda, y el proveedor que hace la comprobación de identidad por foto —cuando se elige esa forma— está en Italia: ambos dentro del Espacio Económico Europeo, así que en ese proceso no hay transferencia internacional.

No se realizan transferencias de datos personales a China. El proveedor DeepSeek se emplea únicamente para generar contenido formativo, sin datos personales, conforme a lo indicado en la cláusula 4.

7. Cuánto tiempo conservamos los datos

• Datos de la cuenta: mientras la cuenta permanezca activa y, tras su baja, durante el plazo de prescripción de las posibles responsabilidades derivadas de la relación.
• Datos de facturación: seis años, conforme al Código de Comercio, y cuatro años a efectos fiscales, aplicándose el plazo más amplio. Ese mismo plazo se aplica a las facturas que una autoescuela emite a sus alumnos desde la plataforma: no se borran al darse de baja la cuenta ni al ejercer el derecho de supresión, porque son documentación fiscal que su emisor está obligado a conservar. Lo demás de la cuenta sí se borra.
• Registro de jornada del personal de una autoescuela: cuatro años desde cada anotación, conforme al artículo 34.9 del Estatuto de los Trabajadores. No se borra al darse de baja la cuenta ni al ejercer el derecho de supresión, por la excepción del artículo 17.3.b del RGPD.
• Datos de progreso formativo: mientras dure la relación; después se anonimizan o suprimen.
• Datos introducidos durante la prueba gratuita de 14 días: 60 días naturales desde que termina la prueba. Ese plazo existe para que quien contrate después recupere su trabajo tal y como lo dejó. Si no llega a contratar, transcurridos esos 60 días se suprimen junto con la cuenta. Antes puede pedirse su exportación a hola@tutorvial.es.
• Conversaciones con el asistente: durante el tiempo necesario para prestar el servicio y depurar incidencias.
• Registros técnicos y de seguridad: por un plazo máximo de doce meses.
• Imágenes de la comprobación de identidad del modelo de representación (documento y foto de la cara): solo existen si se eligió la comprobación por foto (apartado 2.4, forma B). Si el modelo se firmó con certificado digital no se genera ninguna imagen, así que no hay nada que conservar. Cuando existen, TutorVial no las conserva, porque no llegan a sus sistemas. Las guarda el proveedor de firma como prueba de que ese modelo se firmó, mientras esa autorización siga en vigor y durante los plazos de prescripción que le apliquen. El plazo exacto lo fija él y no está en nuestra mano; si quieres conocerlo o ejercer tus derechos sobre esas imágenes, escríbenos y trasladaremos la solicitud.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individuales automatizadas, escribiendo a hola@tutorvial.es e indicando el derecho que ejercitas. Podremos solicitarte que acredites tu identidad.

Sin esperar a nadie. Dentro de la aplicación, en «Mi cuenta y mis datos», tienes dos botones que no requieren solicitud previa:

• Descargar mis datos — te llevas en un fichero tu perfil, tus resultados de test, tus objetivos, lo que el asistente recuerda de ti y, si trabajas en una autoescuela, tu registro de jornada (derechos de acceso y portabilidad). Del registro de jornada se incluyen tus marcas más recientes hasta el límite que la propia descarga indica; si se alcanza, el fichero te avisa y las anteriores se piden en hola@tutorvial.es.
• Eliminar mi cuenta — borra tu cuenta y tus datos, salvo las facturas que se te hayan emitido y el registro de jornada, que la ley obliga a conservar (ver el apartado 7). Si estudias con una autoescuela, tu solicitud se registra y se le traslada a ella, que es la responsable de tus datos de formación y quien debe resolverla; te confirmaremos el resultado. Si trabajas en una autoescuela y tienes marcas de jornada a tu nombre, la baja no se ejecuta: te respondemos indicando el amparo legal y el plazo de conservación, y trasladamos la solicitud a tu autoescuela.

Responderemos en el plazo de un mes, prorrogable por dos meses más en casos complejos.

Si consideras que tus datos no se han tratado correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid). Te agradeceríamos que nos lo plantearas antes a nosotros para intentar resolverlo.

9. Menores de edad

El acceso a determinados permisos de conducción es posible a partir de los 15 años, por lo que la plataforma puede ser utilizada por menores.

Conforme al artículo 7 de la Ley Orgánica 3/2018, el tratamiento de datos de mayores de 14 años puede ampararse en su propio consentimiento. Para menores de 14 años se requiere el consentimiento de quien ostente la patria potestad o tutela.

Cuando la cuenta la crea una autoescuela para un alumno menor, corresponde a esta recabar la información y el consentimiento necesarios de sus representantes legales.

10. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito, control de acceso por roles, reglas de seguridad en la base de datos, autenticación gestionada por un proveedor especializado, registro de errores y separación de los entornos de desarrollo y producción.

Ningún sistema es infalible. En caso de violación de seguridad que suponga un riesgo para tus derechos, te lo comunicaremos y lo notificaremos a la autoridad de control en los términos de los artículos 33 y 34 del RGPD.

11. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios normativos o del servicio. Si el cambio es sustancial, te lo comunicaremos por un medio adecuado antes de que surta efecto.