Política de privacidad
Última actualización: septiembre de 2026
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales recogidos en stair-tfg.me es Alejandro Varela Vázquez, en el marco de un proyecto académico (Trabajo de Fin de Grado, UDC). Contacto: avarela@stair-tfg.me.
2. Datos que se recogen
Al crear una cuenta se recogen el correo electrónico y una contraseña, que se almacena de forma cifrada (hash) y nunca en texto plano, junto con la fecha de alta y el estado de verificación del correo. Facilitar el correo y la contraseña es necesario para registrarse: sin ellos no es posible crear la cuenta. Durante el uso del servicio se tratan además los datos técnicos de cada sesión iniciada (fechas y agente de usuario del navegador), los códigos de un solo uso de verificación de correo y de recuperación de contraseña, que se guardan cifrados, y los intentos fallidos de inicio de sesión, que se registran mediante un identificador derivado criptográficamente del correo, nunca con el correo en claro. No se solicitan otros datos personales (nombre, dirección, datos de pago, etc.).
3. Finalidad del tratamiento
Los datos se usan exclusivamente para crear y gestionar la cuenta de usuario, mantener la sesión iniciada (mediante un token de acceso en memoria y una cookie técnica httpOnly de renovación de sesión), dar acceso a funcionalidades como el entrenamiento o la simulación de modelos, enviar los correos necesarios para el servicio (códigos de verificación y de recuperación de contraseña, y avisos de seguridad sobre la cuenta) y proteger la plataforma frente a abusos y accesos no autorizados. No se envían comunicaciones comerciales.
4. Base legal
El tratamiento necesario para crear y gestionar la cuenta, mantener la sesión, dar acceso a las funcionalidades y enviar los correos propios del servicio se basa en la ejecución de los Términos de uso que el usuario acepta al registrarse (art. 6.1.b del RGPD). Las medidas de seguridad —la verificación antiabuso de los formularios, el límite de intentos fallidos de inicio de sesión y el aviso al titular cuando se intenta registrar un correo que ya tiene cuenta— se basan en el interés legítimo del responsable en proteger la plataforma y las cuentas de sus usuarios (art. 6.1.f del RGPD). El usuario puede oponerse a este tratamiento escribiendo a avarela@stair-tfg.me.
5. Cookies
STAIR utiliza dos cookies, ambas técnicas y necesarias para el funcionamiento del sitio, por lo que están exentas del deber de solicitar consentimiento previo: NEXT_LOCALE, que se establece en cualquier visita —también sin haber iniciado sesión— para recordar el idioma elegido (Path=/, SameSite=Lax, sin HttpOnly); y refresh_token, que solo se establece al iniciar sesión, para renovar la sesión sin volver a pedir las credenciales (HttpOnly, Secure, SameSite=Lax, Path=/api/v1/auth, caducidad de 7 días). No se utilizan cookies de analítica, publicidad ni seguimiento de terceros.
6. Conservación de los datos
Los datos de la cuenta y de sus sesiones se conservan mientras la cuenta permanezca activa y se eliminan junto con ella. Los códigos de verificación y de recuperación dejan de ser válidos a los 30 y 10 minutos de emitirse, respectivamente, y los registros de intentos fallidos de inicio de sesión se eliminan a las 24 horas. El usuario puede solicitar en cualquier momento la eliminación de su cuenta y de los datos asociados escribiendo a avarela@stair-tfg.me.
7. Cesión a terceros
No se ceden ni venden datos personales a terceros. Al tratarse de un proyecto académico sin fines comerciales, no existen transferencias de datos con fines publicitarios ni de monetización.
8. Encargados del tratamiento
Para prestar el servicio se recurre a los siguientes encargados del tratamiento, que tratan los datos por cuenta del responsable: Hetzner Online GmbH (Alemania), que aloja el servidor y la base de datos en un centro de datos situado en Finlandia; Vercel Inc. (EE. UU.), que aloja la web, encamina hacia el servidor las peticiones de la aplicación —incluidas las de registro e inicio de sesión— y proporciona Vercel Analytics, que no utiliza cookies ni identificadores persistentes y recoge únicamente estadísticas de uso agregadas y anónimas; Cloudflare, Inc. (EE. UU.), que protege y encamina el tráfico hacia el servidor y proporciona Cloudflare Turnstile, la verificación antiabuso de los formularios de registro, acceso, recuperación de contraseña y verificación de correo, que procesa la dirección IP y señales del navegador con la única finalidad de distinguir a personas de bots, sin fines publicitarios; y Brevo (Francia), que envía los correos del servicio. Vercel y Cloudflare pueden tratar datos en Estados Unidos; esas transferencias se amparan en su adhesión al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework).
9. Derechos del usuario
El usuario puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a avarela@stair-tfg.me, indicando el derecho que desea ejercer.
10. Derecho a reclamar ante la autoridad de control
Si consideras que el tratamiento de tus datos personales no se ajusta a la normativa vigente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, o a través de su sede electrónica en www.aepd.es.
11. Seguridad
Las contraseñas se almacenan cifradas y el acceso a los datos está restringido. Ningún sistema es completamente inmune a incidentes de seguridad; ante cualquier sospecha de acceso no autorizado se recomienda cambiar la contraseña y contactar con el responsable.