Política de Privacidad

1. Quiénes somos y cómo contactarnos

Questa (NIF: 240600070) ("Questa", "nosotros") es el responsable del tratamiento de tus datos personales cuando usas el sitio questa.pt o la app Questa genérica.

Importante — Modelo multi-tenant: Cuando usas Questa en el contexto de un evento organizado por una organización cliente, esa organización es la responsable del tratamiento de tus datos de participación en el evento, y Questa actúa como encargado del tratamiento bajo un contrato de tratamiento de datos (DPA). Para preguntas sobre tus datos en un evento específico, contacta primero con esa organización.

Contactos de Questa:

• Email general: info@questa.pt
• Delegado de Protección de Datos (DPD): info@questa.pt
• Dirección: Porto, Portugal

2. Datos que recogemos

Recogemos las siguientes categorías de datos personales:

• Datos de cuenta: nombre, email, contraseña (hash), foto de perfil (opcional), idioma preferido
• Datos de contacto opcionales: teléfono, institución, cargo, enlaces de redes sociales
• Datos de evento: eventos en los que participas, desafíos completados, puntuación, conexiones de networking, publicaciones en el feed del evento
• Datos de comunicación: emails que te enviamos (importación al evento, recuperación de contraseña, notificaciones)
• Datos técnicos del dispositivo: tipo de dispositivo, sistema operativo, versión de la app, identificador anonimizado de instalación, idioma
• Datos de uso: páginas visitadas en el backoffice, acciones realizadas (creación de desafíos, envío de respuestas), fechas y horas de acceso
• Datos de ubicación (opcional, con consentimiento): solo para desafíos de tipo "Check-in por QR" y mediante autorización explícita en el dispositivo
• Datos de pago: procesados directamente por Stripe; Questa solo conserva un identificador de cliente y el historial de facturas (nunca el número de tarjeta)

No recogemos datos sensibles (origen racial o étnico, opiniones políticas, religiosas, salud, orientación sexual) salvo cuando los compartes voluntariamente en campos de texto libre.

3. Cómo usamos tus datos

Tratamos tus datos personales para los siguientes fines:

• Operar la Plataforma y prestar el servicio acordado (ejecución de contrato — art. 6.1.b RGPD)
• Gestionar tu cuenta, autenticación y seguridad
• Permitirte participar en eventos e interactuar con otros participantes (según tu configuración de privacidad)
• Enviar comunicaciones operativas (recuperación de contraseña, notificaciones de evento, actualizaciones del servicio)
• Procesar pagos vía Stripe (ejecución de contrato)
• Mejorar la Plataforma mediante análisis agregados y anónimos (interés legítimo — art. 6.1.f)
• Cumplir con obligaciones legales (facturación, retención fiscal — art. 6.1.c)
• Detectar y prevenir fraude, abuso y violaciones de seguridad (interés legítimo)

4. Base legal del tratamiento (RGPD)

La base legal del tratamiento de tus datos depende del contexto:

• Ejecución de contrato — cuando creamos tu cuenta y prestamos el servicio
• Consentimiento — para datos opcionales (foto de perfil, teléfono, ubicación para QR) y comunicaciones de marketing
• Interés legítimo — para seguridad, prevención de fraude y mejora del servicio
• Obligación legal — para retención fiscal y respuesta a solicitudes de autoridades competentes

Puedes retirar tu consentimiento en cualquier momento en la configuración de tu cuenta. La retirada no afecta a la licitud del tratamiento previo.

5. Compartir con terceros

No vendemos tus datos personales. Los compartimos estrictamente con los siguientes terceros, bajo acuerdos de encargo del tratamiento:

• Organización promotora del evento — recibe tus datos de participación para gestionar el evento (nombre, email, puntuación, conexiones; otros campos solo si están autorizados en tu configuración de privacidad)
• Proveedor de hosting cloud (UE) — almacenamiento de datos y ejecución de la Plataforma
• Stripe (Irlanda/EE.UU.) — procesamiento de pagos; sujeto a sus propias políticas
• Proveedor de envío de email transaccional (UE) — entrega de emails operativos
• Google Play y Apple App Store — para la distribución de la app (bajo sus propias políticas)
• Google Ireland Ltd. (Google Analytics) — estadísticas de uso del sitio questa.pt, solo si aceptas las cookies de analítica
• Autoridades públicas — cuando lo exija la ley (orden judicial, autoridad fiscal)

Mantenemos una lista actualizada de subencargados disponible bajo petición en info@questa.pt.

6. Transferencias internacionales de datos

La mayoría de los datos se almacenan y procesan en la Unión Europea (Frankfurt, Alemania). Cuando algunos subencargados operan fuera de la UE (p.ej. Stripe en EE.UU.), las transferencias se rigen por Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y/o mecanismos equivalentes (Data Privacy Framework, BCR).

7. Conservación de datos

Conservamos tus datos durante el tiempo estrictamente necesario para los fines descritos:

• Datos de cuenta activa: mientras exista la cuenta
• Datos de participación en evento: hasta 24 meses tras el fin del evento (o según decida la organización)
• Facturas y datos fiscales: 10 años (obligación legal portuguesa)
• Logs técnicos y de seguridad: hasta 12 meses
• Datos tras eliminación de cuenta: anonimizados o eliminados en 30 días, salvo retenciones legales

8. Tus derechos

Conforme al RGPD tienes los siguientes derechos:

• Acceso — obtener una copia de los datos que tenemos sobre ti
• Rectificación — corregir datos inexactos o incompletos
• Supresión ("derecho al olvido") — solicitar la eliminación de tus datos
• Limitación del tratamiento — solicitar que limitemos el uso de tus datos en ciertas circunstancias
• Portabilidad — recibir tus datos en un formato estructurado y legible por máquina
• Oposición — oponerte al tratamiento basado en interés legítimo
• Retirar el consentimiento — en cualquier momento, sin afectar al tratamiento previo
• Reclamación — presentar reclamación ante la autoridad de control (CNPD Portugal en www.cnpd.pt, o la AEPD si resides en España en www.aepd.es)

Para ejercer estos derechos envía un email a info@questa.pt. Responderemos en un plazo máximo de 30 días.

9. Privacidad de menores

La Plataforma no está dirigida a menores de 13 años. No recogemos intencionalmente datos personales de menores de 13. Si un tutor legal tiene constancia de que su hijo menor nos ha proporcionado datos personales, debe contactar con info@questa.pt para que los eliminemos.

Para menores entre 13 y 15 años, el tratamiento depende del consentimiento parental verificable, gestionado por la organización promotora del evento.

10. Cookies y tecnologías similares

El sitio questa.pt usa cookies estrictamente necesarias para el funcionamiento y cookies opcionales de analítica, estas últimas solo con tu consentimiento. No usamos cookies de publicidad ni compartimos datos con redes publicitarias.

Cookies estrictamente necesarias (no requieren consentimiento):

• questa_cookie_consent — guarda tu decisión sobre cookies durante 6 meses, para no volver a preguntarte en cada visita.
• questa_session y XSRF-TOKEN — sesión y protección contra ataques CSRF en el área de gestión. Caducan al terminar la sesión.

Cookies de analítica (solo después de que las aceptes):

• _ga y _ga_* (Google Analytics 4) — distinguen visitantes y sesiones para medir el tráfico y las páginas más vistas. Validez de hasta 2 años. La dirección IP se anonimiza y no recogemos datos que te identifiquen directamente.

Si rechazas, no se carga ningún script de Google. Puedes cambiar de opinión en cualquier momento en "Preferencias de cookies", en el pie del sitio — retirar el consentimiento es tan sencillo como darlo, y borra las cookies de analítica ya colocadas.

La aplicación móvil usa identificadores anónimos del dispositivo para funcionamiento (sesión, autenticación). No usamos IDFA, GAID ni identificadores de tracking entre apps.

11. Seguridad

Implementamos medidas técnicas y organizativas adecuadas para proteger tus datos:

• Cifrado en tránsito (HTTPS/TLS 1.2+)
• Cifrado en reposo para datos sensibles
• Hash de contraseñas con algoritmos modernos (bcrypt/argon2)
• Control de acceso basado en roles (RBAC)
• Logs de auditoría de acciones administrativas
• Backups regulares y procedimientos de recuperación probados
• Actualizaciones de seguridad continuas

En caso de violación de datos personales que pueda suponer un riesgo alto para tus derechos y libertades, notificaremos a la autoridad de control (CNPD) en un plazo de 72 horas y, cuando sea apropiado, también a los usuarios afectados.

12. Decisiones automatizadas

La Plataforma no toma decisiones totalmente automatizadas que produzcan efectos jurídicos o que te afecten de forma significativamente similar sin intervención humana.

13. Cambios en esta Política

Podemos actualizar esta Política periódicamente. Notificaremos por email o a través de la Plataforma cuando los cambios sean sustanciales. La fecha de la última actualización está siempre indicada en la parte superior del documento.

14. Contacto

Para cualquier consulta sobre esta Política o tus datos personales:

• Delegado de Protección de Datos: info@questa.pt
• Email general: info@questa.pt
• Dirección: Porto, Portugal
• Autoridad de control: Comisión Nacional de Protección de Datos (CNPD) — www.cnpd.pt