1. Responsable del tratamiento

Identidad: Adam Aloui, persona física (autónomo), titular de la marca Orionity.
Domicilio: [domicilio a efectos legales a completar], España
NIF: [NIF a completar]
Correo (ejercicio de derechos y consultas): noreply@orionityapp.com

No hay delegado de protección de datos (DPD/DPO) nombrado en este momento; no es obligatorio para este tipo de responsable. Última actualización: 10 de septiembre de 2026.

2. Datos que tratamos

Según cómo uses Orionity, podemos tratar:

Cuenta: correo, contraseña (almacenada de forma cifrada / hash, nunca en claro), nombre que indiques, foto de perfil si la subes o si inicia sesión con Google (nombre, correo y avatar que Google nos envíe).
Perfil académico: edad declarada, confirmación parental si tienes menos de 16 años, curso, comunidad autónoma, centro, asignaturas, nota objetivo, ritmo de estudio, aficiones y ruta de onboarding.
Uso del producto: planes de examen, progreso, mensajes al tutor, apuntes y archivos que subas, participación en aulas, cuotas de uso (p. ej. consultas diarias).
Pagos: identificadores de cliente y suscripción en Stripe, plan, ciclo, estado del pago. Stripe trata los datos de tarjeta; nosotros no guardamos el PAN completo.
Técnicos: dirección IP, tipo de navegador, registros de seguridad (intentos de acceso, límites de abuso) y, si está activado, informes de error (Sentry) que pueden incluir URL o fragmentos técnicos, no pensados como perfil comercial.
Opcional: OCR de imágenes de apuntes (Google Cloud Vision), conexión a Google Drive / Calendar / Classroom si tú las activas, y audio o vídeo en salas en vivo (Jitsi Meet).

No te pedimos DNI ni datos de salud. Evita pegar en el tutor datos especialmente sensibles (salud, ideología, datos de terceros).

3. Finalidades y bases jurídicas

Prestar el servicio (cuenta, tutor, planes, aulas, cuotas): ejecución del contrato (art. 6.1.b RGPD).
Pagos y facturación: contrato y obligación legal (art. 6.1.b y 6.1.c; normativa fiscal y contable).
Correos transaccionales (verificar cuenta, restablecer contraseña, avisos de cobro): contrato (6.1.b).
Seguridad, prevención de abuso y fraude: interés legítimo (6.1.f) y, en su caso, obligación legal.
Mejora del producto a partir de eventos de uso internos (p. ej. progreso de un plan de examen en nuestra base de datos), sin vender tus datos ni hacer publicidad comportamental de terceros: interés legítimo (6.1.f), ponderado frente a tu expectativa como usuario de una app de estudio. Puedes oponerte escribiendo a noreply@orionityapp.com.
Menores de 16 años: el alta incluye una confirmación de quien ostenta la patria potestad. Base: consentimiento (6.1.a) y contrato, en los términos de la LOPDGDD respecto a menores.
Envíos comerciales: solo si los activamos y con tu consentimiento o la excepción de clientes para productos similares, con baja en cada mensaje. Hoy el correo se usa sobre todo de forma transaccional y de reactivación del estudio (p. ej. recordatorio de plan). Si no quieres esos recordatorios, dínoslo.

4. Destinatarios (encargados y terceros)

No vendemos tus datos. Los compartimos solo con proveedores necesarios para operar Orionity:

Supabase — base de datos y almacenamiento del perfil y del contenido de estudio (proyecto en la Unión Europea; la configuración habitual es Fráncfort).
Google — inicio de sesión (OAuth); Gemini (generación del tutor y de contenidos); de forma opcional Cloud Vision (OCR), Drive, Calendar o Classroom si los conectas.
Stripe — cobros, reembolsos, portal de cliente y facturación.
Resend — envío de correo electrónico.
Alojamiento de la aplicación (p. ej. Vercel u otro proveedor cloud equivalente).
Sentry — diagnóstico de errores, solo si está configurado en el entorno.
Jitsi Meet (meet.jit.si u otro host que configuremos) — videollamada en aulas en vivo; ese proveedor trata audio, vídeo y datos de conexión de la sesión.

No usamos Google Analytics, Meta Pixel ni redes publicitarias de seguimiento. Los «analytics» internos de exámenes se guardan en nuestra base de datos para el funcionamiento del producto, no como perfil publicitario.

Autoridades competentes: podremos comunicar datos si lo exige una obligación legal o un requerimiento válido.

5. Transferencias internacionales

Algunos proveedores (Google, Stripe, Resend, Sentry, Jitsi, el host de la app) pueden tratar datos en Estados Unidos u otros países fuera del EEE. Cuando no haya una decisión de adecuación, esas transferencias se basan en cláusulas contractuales tipo de la Comisión Europea u otras garantías del capítulo V del RGPD, según el contrato de cada proveedor. Al usar Gemini, el contenido que envías al tutor puede tratarse fuera de la UE conforme a las condiciones de Google.

6. Conservación

Datos de cuenta y de estudio: mientras la cuenta esté activa. Si eliminas la cuenta, borramos o anonimizamos el contenido personal en un plazo razonable (orientativamente 30 días), salvo copias de seguridad rotativas.
Facturación y obligaciones contables/fiscales: el plazo legal (en España, con carácter general, hasta 6 años u otro que imponga la norma aplicable).
Registros de seguridad: el tiempo necesario para investigar abusos (meses, no años, salvo incidente).
Cookies de sesión: según la política de cookies.

7. Tus derechos

Puedes ejercer acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar el consentimiento cuando la base sea esa, escribiendo a noreply@orionityapp.com desde el correo de tu cuenta. También puedes eliminar la cuenta desde Ajustes. Te responderemos en el plazo legal (un mes, prorrogable en casos complejos).

Si no estás de acuerdo con cómo tratamos tus datos, puedes reclamar ante la Agencia Española de Protección de Datos: aepd.es.

8. Menores

El servicio no está dirigido a menores de 14 años. Entre 14 y 16 años se requiere el consentimiento de padres o tutores (casilla en el alta). No buscamos tratar categorías especiales de datos de menores. Los padres o tutores pueden pedir la supresión de la cuenta escribiendo a noreply@orionityapp.com.

El tutor IA se configura para un tono de instituto; aun así, un modelo de lenguaje puede generar contenido inadecuado. Anima a quien uses el servicio a no compartir datos íntimos y a avisarnos de problemas.

9. Decisiones automatizadas

Gemini genera textos, preguntas y correcciones de forma automática. Eso no constituye una «decisión automatizada con efectos jurídicos» del art. 22 RGPD: no aprueba ni suspende oficialmente, no concede crédito y no determina por sí sola el acceso a un derecho público. Las cuotas de plan (Free / Pro) se aplican de forma automática según el estado de la suscripción en Stripe.

10. Seguridad

Aplicamos HTTPS/TLS, hashing de contraseñas, control de acceso por sesión (NextAuth), filtros por usuario en la base de datos, límites de ritmo en autenticación y en el uso de la IA, y el portal de pagos de Stripe. Ningún sistema es infalible; si conocemos una brecha que te afecte, te informaremos cuando la ley lo exija.

11. Cookies y almacenamiento local

El detalle está en la política de cookies. En resumen: cookies esenciales de sesión y de seguridad; preferencias académicas también en el almacenamiento local del navegador. No hay banner de marketing porque no instalamos cookies publicitarias de terceros.

12. Cambios

Si el tratamiento cambia de forma relevante (nuevo proveedor de IA, nueva analítica de terceros, etc.), actualizaremos esta página y, si procede, te avisaremos por correo o en el producto.

Política de privacidad