Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es TONVI TECH SL (en adelante, «Fotoexamen»), NIF B-19780394, con domicilio en Calle Puerta del Mar 18, 5ª planta, 29005 Málaga (España).

Contacto general y soporte: [email protected]
Canal específico para privacidad y ejercicio de derechos: [email protected]

Versión de esta política: 4 de septiembre de 2026.

2. Qué datos tratamos

Según cómo uses Fotoexamen, podemos tratar las siguientes categorías de datos:

Datos de cuenta e identificación: correo electrónico, nombre, foto de perfil e identificador de Google si accedes con Google, idioma y país.
Perfil de estudio (opcional): fecha de nacimiento, nivel de estudios, ciudad, dedicación al estudio y preferencias sobre el estilo de los tutores de IA.
Contenido que subes: fotografías y archivos PDF de exámenes, ejercicios y apuntes; grabaciones de audio para transcribir; textos y preguntas que escribes en el chat con los tutores.
Contenido generado por la IA a partir de lo anterior: correcciones y notas orientativas, resúmenes, esquemas, mapas conceptuales, quizzes, transcripciones, apuntes, ensayos y planes de estudio.
Datos de uso y técnicos: registros de actividad, eventos de producto con identificador seudónimo, dirección IP en los registros de seguridad, consumo de servicios de IA e identificadores de atribución de marketing (utm_*, gclid, fbclid y similares) cuando has aceptado las cookies de marketing.
Datos de facturación: plan contratado, importes, identificador de cliente en Stripe y datos fiscales que figuran en la factura. Fotoexamen no recibe ni almacena en ningún momento el número de tu tarjeta bancaria: el pago lo procesa íntegramente Stripe.

3. Finalidades y bases jurídicas (art. 6 RGPD)

Tratamos tus datos para las siguientes finalidades, cada una con su base jurídica:

Ejecución del contrato (art. 6.1.b RGPD): crear y mantener tu cuenta, prestar los servicios de corrección, resolución, resumen, transcripción y generación de contenidos, guardar tu historial de exámenes, atender el soporte y gestionar tu suscripción.
Consentimiento (art. 6.1.a RGPD): envío de comunicaciones comerciales por correo electrónico; instalación de cookies y tecnologías similares de analítica y de marketing; elaboración de perfiles con fines promocionales. Puedes retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
Obligación legal (art. 6.1.c RGPD): emisión, envío y conservación de facturas y registros contables y fiscales (art. 66 de la Ley General Tributaria, 4 años; art. 30 del Código de Comercio, 6 años) y atención de requerimientos de autoridades competentes.
Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención del fraude y del abuso del servicio, registros técnicos y de errores, medición interna del coste de los servicios de IA y defensa frente a reclamaciones.

No utilizamos tus datos ni tu contenido para entrenar modelos de inteligencia artificial, ni propios ni de terceros.

4. Aviso importante sobre datos de otras personas

No subas exámenes, apuntes ni grabaciones que contengan datos personales de otras personas (nombres de compañeros, notas de terceros, voz de profesores o compañeros) o anonimízalos o recórtalos antes de subirlos. Eres responsable del contenido que subas.

Antes de fotografiar un examen, tapa o recorta el encabezado con el nombre, los apellidos, el grupo o el número de expediente. Antes de grabar una clase, ten en cuenta que la voz de otras personas es un dato personal y que necesitas una base jurídica para tratarla.

Si detectamos contenido con datos personales de terceros que no deberían estar ahí, podemos eliminarlo. Si eres un tercero y crees que tus datos aparecen en contenido subido por un usuario, escríbenos a [email protected].

5. Destinatarios: encargados del tratamiento y proveedores

Para prestar el servicio recurrimos a los siguientes proveedores, que actúan como encargados del tratamiento por nuestra cuenta y conforme a nuestras instrucciones. Se indica su país y la garantía aplicable a las transferencias internacionales (Cláusulas Contractuales Tipo, «SCC», y/o el marco EU-US Data Privacy Framework, «DPF»):

OpenAI, L.L.C. (Estados Unidos) — corrección y generación de contenidos, OCR, transcripción con Whisper, síntesis de voz (TTS) y las funciones de Assistants, Files y Vector Stores. Garantía: acuerdo de tratamiento (DPA) de OpenAI y Cláusulas Contractuales Tipo (SCC). Los datos se envían únicamente para prestarte el servicio y no se utilizan para entrenar sus modelos.
Google Cloud Vision — Google Ireland Ltd. (Irlanda) y Google LLC (Estados Unidos) — reconocimiento óptico de caracteres (OCR) de imágenes y PDF. Garantía: Data Processing Addendum de Google Cloud + SCC/DPF.
Google Gemini (Google) — transcripción y lectura de imágenes y PDF. Garantía: mismo marco contractual que Google Cloud (DPA + SCC/DPF).
Google OAuth / Sign-In (Google) — autenticación cuando eliges acceder con tu cuenta de Google.
Stripe Payments Europe Ltd. (Irlanda) y Stripe, Inc. (Estados Unidos) — procesamiento de pagos, suscripciones y portal de facturación. Garantía: DPF + SCC.
Amazon Web Services (Amazon SES, región eu-west-3, París, Unión Europea) — envío de correo electrónico transaccional y comercial.
Brevo (Sendinblue, Francia, Unión Europea) — gestión de la lista de correo comercial y de las bajas.
Cloudflare, Inc. (Estados Unidos) — red de distribución de contenidos, proxy inverso y Turnstile (protección antibot). Garantía: DPF + SCC.
Google Cloud Storage (bucket «fotoexamen») — almacenamiento de las imágenes y PDF que subes.
Hetzner Online GmbH (Alemania, Unión Europea) — servidores de aplicación y base de datos.
OpenPanel, autoalojado en nuestra propia infraestructura (Hetzner, Unión Europea) — analítica de producto con identificador seudónimo. Solo se activa si aceptas las cookies de analítica.
Trackdesk (República Checa, Unión Europea) — programa de afiliados. Solo se activa si aceptas las cookies de marketing.
AgentLedger/Aikount (herramienta propia de TONVI TECH SL, alojada en la Unión Europea) — emisión y archivo de las facturas legales.

Además de estos encargados, podemos comunicar datos a las administraciones públicas, juzgados y fuerzas y cuerpos de seguridad cuando exista una obligación legal, así como a asesores fiscales y contables sujetos a deber de secreto.

No vendemos tus datos personales ni los cedemos a terceros con fines publicitarios.

Mantenemos actualizada la lista de subencargados. Puedes solicitar la versión vigente, así como copia de las garantías de transferencia internacional, escribiendo a [email protected].

6. Transferencias internacionales

Algunos de los proveedores anteriores están establecidos en Estados Unidos (OpenAI, Cloudflare, Stripe Inc., Google LLC). En esos casos la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) y/o en la Decisión de Adecuación del marco EU-US Data Privacy Framework, junto con las medidas complementarias que correspondan.

Los servidores de aplicación y la base de datos, el envío de correo y la lista comercial están en la Unión Europea (Alemania y Francia).

7. Plazos de conservación

Aplicamos los siguientes plazos, ejecutados de forma automática:

Imágenes y archivos PDF que subes y registros de exámenes: 365 días desde la subida.
Contenidos generados por la IA (resúmenes, esquemas, quizzes, transcripciones, apuntes, ensayos y planes de estudio): 365 días.
Cuentas gratuitas sin ningún acceso durante 24 meses: se eliminan, previo aviso por correo electrónico enviado 30 días antes.
Registro de correos electrónicos enviados: 30 días.
Registros de uso de los servicios de IA: 365 días.
Registros de aplicación (logs técnicos): 90 días.
Datos de facturación y contabilidad: entre 4 y 6 años, por obligación legal (art. 66 LGT y art. 30 del Código de Comercio).

Cuando eliminas tu cuenta se borra todo lo anterior, salvo la información de facturación que debemos mantener bloqueada durante los plazos legales indicados.

8. Menores de edad

La edad mínima para utilizar Fotoexamen es de 14 años, conforme al art. 8 del RGPD y al art. 7 de la Ley Orgánica 3/2018 (LOPDGDD). En el registro se solicita la fecha de nacimiento.

Los menores de 14 años no pueden utilizar el servicio sin el consentimiento verificable de su padre, madre o tutor legal. Si al registrarse se declara una edad inferior a 14 años, la cuenta queda suspendida y se envía al correo del tutor indicado un enlace firmado para que confirme el consentimiento. Si no se confirma en 30 días, la cuenta y su contenido se eliminan.

A los usuarios de entre 14 y 17 años no se les envían comunicaciones comerciales, no se les aplica perfilado con fines promocionales y no se activan cookies de marketing ni rastreadores de terceros.

Corresponde a los padres, madres o tutores supervisar el uso que los menores hacen del servicio y del contenido que suben.

9. Decisiones automatizadas y elaboración de perfiles (arts. 13.2.f y 22 RGPD)

Fotoexamen corrige y puntúa exámenes de forma automatizada mediante modelos de inteligencia artificial. Debes tener en cuenta lo siguiente:

La corrección y la nota que genera la IA son orientativas y están pensadas exclusivamente para tu autoestudio y autoevaluación.
No producen efectos jurídicos, no constituyen una evaluación oficial y no determinan tu calificación, tu acceso ni tu expediente académico.
Pueden contener errores y no sustituyen en ningún caso la evaluación de tu profesor o de tu centro.
Puedes solicitar la intervención humana y la revisión de cualquier resultado escribiendo a [email protected], así como expresar tu punto de vista e impugnar el resultado.

La elaboración de perfiles con fines promocionales (recomendaciones, cupones y campañas) solo se aplica si has dado tu consentimiento para marketing, y nunca a usuarios menores de 18 años.

10. Tus derechos y cómo ejercerlos

Puedes ejercer en cualquier momento los siguientes derechos:

Acceso a tus datos personales.
Rectificación de los datos inexactos.
Supresión («derecho al olvido»).
Limitación del tratamiento.
Portabilidad de tus datos en un formato estructurado y de uso común.
Oposición al tratamiento basado en el interés legítimo.
Retirada del consentimiento en cualquier momento.
No ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles.

Para ejercerlos escribe a [email protected] o a [email protected] desde la dirección de correo asociada a tu cuenta, indicando el derecho que quieres ejercer. Solo te pediremos un documento identificativo si existen dudas razonables sobre tu identidad, y en ese caso podrás ocultar los datos no necesarios.

Responderemos en el plazo máximo de un mes desde la recepción de la solicitud, prorrogable en dos meses más si la solicitud es especialmente compleja, en cuyo caso te informaremos.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, o ante la autoridad de control de tu país de residencia.

11. Gestiona tus datos desde la aplicación

Desde tu perfil en la aplicación puedes, sin necesidad de escribirnos:

«Descargar mis datos»: obtener una copia de tu información y de tus contenidos en un archivo descargable (derecho de portabilidad).
«Eliminar mi cuenta»: borrar tu cuenta y todo su contenido (exámenes, imágenes, contenidos generados, perfil y suscripciones a listas), conservando únicamente la facturación bloqueada por obligación legal.

También puedes darte de baja de las comunicaciones comerciales desde el enlace incluido al final de cada correo.

12. Cookies

Utilizamos cookies propias necesarias y, únicamente con tu consentimiento, cookies de analítica y de marketing. Puedes consultar el detalle de cada cookie, su proveedor, finalidad, duración y transferencias internacionales en nuestra Política de Cookies.

Puedes retirar o modificar tu consentimiento en cualquier momento desde el enlace «Configuración de cookies» que encontrarás en el pie de página de todas las páginas del sitio.

13. Seguridad de los datos

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado en tránsito (HTTPS), control de accesos, autenticación sin contraseña, segregación de entornos, registros de actividad y minimización de los datos que se envían a los proveedores de IA.

Ninguna medida de seguridad en Internet es infalible. Si se produjera una violación de seguridad que suponga un alto riesgo para tus derechos y libertades, te lo comunicaremos sin dilación indebida y lo notificaremos a la AEPD en el plazo de 72 horas, conforme a los arts. 33 y 34 del RGPD.

14. Veracidad de los datos

Garantizas que los datos que nos facilitas son veraces y te comprometes a mantenerlos actualizados. Fotoexamen se reserva el derecho a suspender el servicio a quien facilite datos falsos, en particular respecto de la edad.

15. Cambios en esta política

Podemos actualizar esta Política de Privacidad para adaptarla a cambios normativos o a nuevas funcionalidades. Si el cambio es sustancial te lo comunicaremos por correo electrónico o mediante un aviso destacado en la aplicación antes de que sea efectivo.