Política de privacidad

Quién es responsable

LANDO FIRM, S.L. (nombre comercial Esguil), NIF B27531664, Calle Humanitarias, 19, 1.º Pta. A, 28025 Madrid, España. Inscrita en el Registro Mercantil de Madrid el 31 de marzo de 2026, tomo 43302, folio 100, sección 8, hoja M-878099, inscripción 1.ª. Correo: hello@esguil.com.

Qué datos tratamos

• Cuenta: tu correo electrónico y tu contraseña, que guardamos cifrada con scrypt (nunca en claro). Si entras con Google, el identificador de tu cuenta de Google y tu correo verificado; no recibimos tu contraseña de Google.
• Periodo gratuito: si tu cuenta tiene el acceso gratis del periodo de lanzamiento, guardamos cuándo empezó y si ya te hemos enviado el aviso de fin del periodo. No te pedimos ningún dato de pago.
• Plan de estudio: la fecha del examen, la fecha de inicio, los días y minutos que eliges y las partes que preparas.
• Progreso: las tareas que marcas, tus respuestas a los ejercicios, las preguntas falladas y las notas que sacas en los simuladores mientras tienes la sesión abierta.
• Compras: el importe, la fecha, la referencia del pago en Stripe, el correo que indicas al pagar, el momento en que aceptaste empezar el acceso de inmediato y el número de la factura que te enviamos. Si pagas sin haber entrado, creamos tu cuenta con ese correo. Los datos de tu tarjeta los trata Stripe; nosotros no los vemos ni los guardamos.
• Sesión y seguridad: una cookie de sesión y otra contra la falsificación de peticiones (ver cookies). Para frenar abusos usamos la dirección IP solo en memoria, durante como mucho una hora, para limitar los intentos de acceso; no la guardamos en la base de datos. Lo único que guardamos de la red es un prefijo cifrado, como se explica en «Una cuenta, una persona».
• Estadísticas de visitas: contamos las visitas de forma anónima y agregada, en nuestro propio servidor y sin terceros: qué página se ve, desde qué web se llega, si es móvil u ordenador y el día. No usamos cookies ni guardamos la dirección IP; para no contar dos veces a la misma persona el mismo día usamos un código cifrado con una clave que cambia cada día y que se borra a los 2 días.

Una cuenta, una persona

La cuenta es personal y solo puede tener la sesión abierta en un dispositivo a la vez. Para cumplirlo sin seguirte ni identificar tu equipo de forma invasiva, tratamos lo justo:

• Identificador de dispositivo: un número aleatorio que guardamos en la cookie __Host-rite_d. No sale de tu equipo ni de tu cuenta, no contiene datos tuyos y en nuestra base de datos solo guardamos su huella cifrada (hash). Si borras las cookies, para nosotros será un dispositivo nuevo.
• Tipo de navegador: solo la familia y el sistema (por ejemplo, «Chrome en Android»), para que reconozcas tus dispositivos en Tus dispositivos y en los avisos. No guardamos la versión, la pantalla, las tipografías ni otras características del equipo, ni usamos huella digital del navegador.
• Prefijo de red cifrado: de tu dirección IP nos quedamos con la parte de la red (los tres primeros bloques en IPv4), la ciframos con una clave secreta y guardamos solo el resultado. Es un dato seudonimizado, no anónimo: sirve para detectar cuentas compartidas entre muchas redes o usadas a la vez desde dos sitios, y no lo usamos para localizarte ni lo cruzamos con nada.
• Códigos de acceso: la primera vez que entras desde un dispositivo te enviamos un código de 6 cifras al correo. Lo guardamos cifrado, caduca a los 10 minutos y admite 5 intentos. El dispositivo queda como «de confianza» 60 días; puede haber 3 como máximo.
• Registro de accesos: fecha de cada inicio de sesión, cambio de dispositivo y código fallido, con el identificador cifrado y el prefijo de red cifrado. Se borra a los 90 días. Las sesiones cerradas por un acceso desde otro dispositivo se recuerdan 30 días para poder avisarte.
• Señal de sesión: mientras tienes una página abierta y visible, el navegador consulta cada 45 segundos si tu sesión sigue activa. No envía qué haces ni qué página ves.
• Marca de agua: en el plan y en los simuladores se muestra tu correo, casi transparente, en una esquina. Se dibuja en tu navegador; no enviamos ni guardamos capturas.

Te avisamos por correo cada vez que se entra desde un dispositivo nuevo, con un enlace «No he sido yo» que cierra todas las sesiones y te pide una contraseña nueva. Si hay más de 4 cambios de dispositivo en 24 horas, durante 1 hora solo se puede seguir en el último dispositivo y te avisamos. Revisamos a mano las cuentas con muchos dispositivos o redes distintas antes de bloquear ninguna; nunca se bloquea una cuenta de forma automática definitiva.

Base legal: cumplir las condiciones del servicio que contratas, que es personal (art. 6.1.b RGPD), y proteger tu cuenta frente a accesos indebidos (interés legítimo, art. 6.1.f RGPD). Puedes ver tus dispositivos y quitarlos cuando quieras, y los datos se borran al borrar la cuenta.

Para qué y con qué base legal

• Darte el servicio que pides: crear tu cuenta, calcular tu plan y guardar tu progreso (ejecución del contrato, art. 6.1.b RGPD).
• Cobrar tu compra, darte el acceso y emitir la factura (ejecución del contrato y obligación legal, art. 6.1.b y 6.1.c RGPD).
• Enviarte los correos necesarios: confirmar tu dirección, cambiar la contraseña o avisarte de cambios en tu cuenta, como el aviso único de que termina tu acceso gratis y cómo mantenerlo (art. 6.1.b RGPD). No enviamos publicidad.
• Proteger el servicio frente a accesos indebidos y abusos (interés legítimo, art. 6.1.f RGPD).
• Saber cuántas personas visitan la web y qué páginas usan, con estadísticas anónimas y agregadas (interés legítimo, art. 6.1.f RGPD).

No tomamos decisiones automatizadas con efectos sobre ti ni hacemos perfiles comerciales. El plan se calcula con tus fechas y tu disponibilidad solo para organizar tu estudio.

Quién más los trata

Encargados del tratamiento, con contrato conforme al art. 28 RGPD:

• IONOS SE: aloja el servidor y la base de datos en la Unión Europea.
• Stripe Payments Europe, Ltd. (Irlanda): procesa el pago y envía el recibo del pago. Para prevenir el fraude trata además algunos datos como responsable, según su propia política de privacidad.
• Amazon Web Services (Amazon SES, región eu-west-1, Irlanda): envía los correos de la cuenta.
• Facturias (programa de facturación en un servidor en España): emite y conserva tus facturas con tu correo, el importe, la fecha y la referencia del pago.

Si eliges entrar con Google, Google te identifica según su propia política de privacidad. Las páginas cargan las tipografías desde Google Fonts, que recibe tu dirección IP al descargarlas. Cuando un proveedor está fuera del Espacio Económico Europeo, la transferencia se apoya en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

No vendemos ni cedemos tus datos a terceros.

Cuánto tiempo los guardamos

• Mientras tengas la cuenta. Al borrarla desde Cuenta y datos se eliminan al momento tu cuenta y todo lo asociado.
• Los datos de las compras se guardan el tiempo que exige la normativa fiscal y mercantil (hasta 6 años), aunque borres la cuenta.
• Las cuentas que no se confirman se borran solas a los 7 días.
• Las copias de seguridad del servidor se guardan 14 días; lo borrado desaparece de ellas en ese plazo.

Tus derechos

Puedes acceder a tus datos, rectificarlos, borrarlos, oponerte o pedir la limitación del tratamiento y la portabilidad. Desde Cuenta y datos puedes descargar todos tus datos en JSON, cambiar tu correo y borrar la cuenta tú mismo. Para lo demás, escribe a hello@esguil.com.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

El servicio está pensado para mayores de 14 años.