Política de Privacidad

Gestión de consultas realizadas a través del formulario web, correo electrónico o teléfono. Datos tratados: nombre, apellidos y dirección de correo electrónico. Legitimación: consentimiento del interesado.

Alta y gestión de la cuenta del usuario, que puede crearse mediante correo electrónico y contraseña o mediante los servicios de identificación Google Sign-In y Apple Sign-In (gestionados a través de Firebase Authentication, de Google). Datos tratados: correo electrónico, nombre, fotografía de perfil (opcional), tipo, centro y programa de estudios, ciudad y provincia, y fecha de nacimiento. Legitimación: ejecución de la relación contractual.

Visibilidad del perfil: el correo electrónico y la fecha de nacimiento se almacenan de forma privada y solo son accesibles para el propio usuario. El resto de los datos del perfil (nombre, fotografía, estudios, ciudad) es visible para otros usuarios autenticados de la plataforma, ya que Studay es una comunidad. El correo electrónico solo se muestra a otros usuarios si el propio usuario lo activa expresamente en su perfil.

La fotografía de perfil es opcional: la aplicación puede utilizarse sin ella, incluidas las salas (Hubs), en cuyo caso se muestra la inicial del nombre del usuario. Si el usuario decide ponerla, la fotografía se toma con la cámara del dispositivo desde la propia aplicación; no es posible seleccionarla desde la galería. El usuario puede sustituirla o eliminarla cuantas veces quiera desde su perfil.

Verificación previa. Antes de almacenarse, la imagen se envía desde la aplicación a una función de Studay alojada en Google Cloud (región us-central1, Estados Unidos) y, desde ahí, a la API de Google Gemini (modelo gemini-2.5-flash), que actúa como encargado del tratamiento. La aplicación informa de ello en pantalla, conforme al Reglamento (UE) 2024/1689 de Inteligencia Artificial. La finalidad es exclusivamente comprobar que la imagen es una fotografía real en la que aparece una sola persona y que su contenido resulta apropiado para una comunidad de estudiantes. Legitimación: interés legítimo en proteger la seguridad de la comunidad y ejecución de la relación contractual.

Qué no se hace con la fotografía. Esta comprobación no es un reconocimiento facial: no se genera ninguna plantilla biométrica, no se compara la imagen con ninguna base de datos ni con las fotografías de otros usuarios, y no se utiliza para identificar a nadie. Por ello, la fotografía no constituye un dato biométrico de los previstos en el artículo 9 del RGPD. Tampoco se emplea para elaborar perfiles ni con fines publicitarios.

Si la imagen no supera la comprobación, no se almacena: se descarta al finalizar la llamada y el usuario recibe un aviso en pantalla para que lo intente de nuevo. El servicio está limitado a 8 intentos por usuario y día.

Visibilidad. Una vez guardada, la fotografía forma parte del perfil público y es visible para cualquier usuario autenticado de Studay, tanto en el perfil como en las salas (Hubs), los mensajes y los chats.

Guardamos un historial de los cambios que se hacen en el nombre, la ubicación (país, provincia y ciudad), los estudios (tipo de estudio y carrera) y la fotografía de perfil del usuario. De la fotografía solo se registra que se ha puesto, cambiado o quitado, nunca la imagen. De cada cambio se guarda cuándo se hizo y si lo hizo el propio usuario o el equipo de Studay.

Finalidad: atender las reclamaciones sobre cambios del perfil y prevenir suplantaciones de identidad. Legitimación: interés legítimo (art. 6.1.f del RGPD). Conservación: 12 meses, tras los cuales se borra automáticamente; antes, si el usuario elimina su cuenta. Este historial no se comunica a terceros.

Publicación y difusión del contenido que el usuario genera en la plataforma: apuntes (archivos), anuncios de alojamiento (que pueden incluir fotografías y ubicación del inmueble), publicaciones y comentarios en foros, mensajes en salas de chat (Hubs) y mensajes directos entre usuarios. El contenido publicado en espacios comunes es visible para otros usuarios; los mensajes directos, solo para sus participantes. Legitimación: ejecución de la relación contractual.

El tablón Busco piso es el reverso de los anuncios de alojamiento: en lugar de ofrecer una habitación, el usuario publica que la está buscando. Publicar es voluntario y la aplicación funciona con normalidad sin hacerlo.

Datos que se publican. Los facilita el propio usuario al crear la publicación: su edad, su sexo (mujer, hombre, otro o prefiero no decirlo, que es la opción por defecto), la ciudad en la que busca, el presupuesto máximo mensual, las fechas previstas de entrada y de salida y, si lo desea, un texto libre de hasta 500 caracteres. Junto a ellos se muestran su nombre y su fotografía de perfil, que ya son públicos en la plataforma. Legitimación: consentimiento del usuario, que presta al publicar y puede retirar en cualquier momento eliminando la publicación.

Visibilidad. La publicación es visible para cualquier usuario registrado en Studay. No se difunde fuera de la aplicación ni resulta accesible sin una cuenta.

Control del usuario. La publicación puede editarse o eliminarse en cualquier momento desde la propia tarjeta, sin necesidad de solicitarlo al equipo de Studay.

Borrado automático. Cada publicación se elimina por sí sola a los 7 días de la fecha de salida indicada en ella, sin que el usuario tenga que hacer nada.

Studay no interviene entre las partes. El tablón es un espacio de anuncios entre usuarios: Studay no media en los contactos, no verifica la información publicada y no participa en los acuerdos de alojamiento que puedan alcanzarse.

Studay organiza torneos de pádel para estudiantes. Participar es voluntario y la aplicación funciona con normalidad sin hacerlo.

Datos que se tratan. Al inscribirse, el usuario facilita su nombre y el de la persona con la que forma pareja y, cuando el torneo se juega por niveles, el nivel de juego que elige (por ejemplo, Básico o Avanzado). Se registran además su identificador de usuario en Studay —para saber qué inscripción le corresponde y permitirle borrarla— y la fecha de la inscripción. Una vez comenzado el torneo se guardan también los emparejamientos, los resultados de cada partido y los marcadores, asociados a esos nombres. La organización puede añadir parejas a mano, en cuyo caso solo constan los nombres. Legitimación: consentimiento del usuario, que presta al inscribirse.

El nombre de tu pareja lo facilitas tú. Quien realiza la inscripción está aportando el nombre de otra persona, por lo que debe contar con su conformidad e informarle de que aparecerá publicado en el torneo.

Identificación desde la aplicación. Cuando la aplicación no facilita el identificador de la cuenta, se genera uno asociado al dispositivo y se guarda en él (véase la política de cookies). En ese caso la inscripción queda ligada a ese teléfono: desde otro dispositivo no será posible modificarla ni darse de baja, y habrá que pedírselo a la organización.

Visibilidad. Los nombres de las parejas inscritas, el nivel en el que juegan, el cuadro y los resultados se muestran en la página del torneo. Esa página no está indexada en buscadores, pero puede abrirla cualquier persona que disponga de su enlace, aunque no tenga cuenta de Studay. No se publican ni el correo electrónico, ni el teléfono, ni ningún otro dato de contacto de los participantes.

Control del usuario. Mientras el plazo de inscripción siga abierto, el usuario puede eliminar su inscripción desde la propia aplicación, con lo que sus datos desaparecen del torneo. Una vez cerrada la inscripción y generado el cuadro, la baja debe solicitarse a la organización, que la atenderá sin perjuicio de lo indicado en el apartado de plazos de conservación.

Estos datos no se ceden a terceros. No se comunican al club ni a las instalaciones donde se juega más allá de lo imprescindible para organizar el torneo, ni se utilizan con fines publicitarios.

Mientras el usuario participa en una sala, su nombre, su fotografía de perfil (si la tiene) y su posición dentro de la sala son visibles en tiempo real para el resto de participantes. El alcance depende de la sala: el Hub de Clase agrupa a quienes cursan el mismo programa de estudios en la misma ciudad —Erasmus y SICUE comparten una única sala común—; los Hubs de Coche, Deportivo y Stunight agrupan por ciudad; y el Stuhub está abierto a todos los usuarios de Studay, sin filtro de ciudad ni de estudios. Esta información desaparece al salir de la sala. Legitimación: ejecución de la relación contractual.

Con el fin de mantener un entorno seguro, los mensajes y contenidos publicados se someten a un filtro automatizado de lenguaje ofensivo. Las infracciones generan avisos ("strikes"): al acumular tres avisos, la cuenta se bloquea de forma automática. Todo bloqueo puede ser revisado y levantado por una persona del equipo de Studay a solicitud del usuario (véase el apartado de Derechos). Se conserva un fragmento del mensaje infractor como justificación del aviso. Legitimación: interés legítimo en proteger la seguridad de la comunidad y ejecución de la relación contractual.

Registro de la actividad del usuario a efectos de otorgar Stucoins (la moneda virtual de participación de Studay) y gestión del canje de premios, cuya aprobación es manual. Para la entrega de los premios, el formulario disponible en studay.es/premio recaba nombre, correo electrónico, teléfono y, opcionalmente, dirección de entrega y observaciones. Estos datos se utilizan exclusivamente para gestionar la entrega del premio. Legitimación: ejecución de la relación contractual.

Envío de notificaciones a través de Firebase Cloud Messaging (Google), para lo que se trata un identificador técnico del dispositivo (token). Legitimación: consentimiento, otorgado mediante el permiso de notificaciones del dispositivo y revocable en cualquier momento desde los ajustes del mismo.

Registro de apertura. Cuando el usuario abre una notificación de campaña o programada enviada por Studay, registramos en nuestros sistemas que ese usuario la ha abierto: su identificador de usuario y la fecha, una sola vez por notificación. Este registro no pasa por Google Analytics ni depende del consentimiento de analítica. Finalidad: medir qué comunicaciones funcionan. Legitimación: interés legítimo de Studay (art. 6.1.f del RGPD). El usuario puede oponerse escribiendo a info@studay.es o desactivando las notificaciones en su dispositivo. Conservación: 12 meses desde que se abre la notificación, tras los cuales se borra automáticamente; si el usuario elimina su cuenta, se borra antes. Además se guarda el número total de aperturas de cada notificación, un dato agregado que no identifica a nadie.

Medición estadística del uso del sitio web studay.es mediante Google Analytics 4, con la finalidad de mejorar el servicio. Solo se activa si el usuario la acepta en el banner de cookies (véase la Política de Cookies). Legitimación: consentimiento del interesado.

Aviso al abrir la aplicación. La primera vez que el usuario abre la aplicación se le muestra un aviso para aceptar, rechazar o configurar dos categorías opcionales, analítica y marketing, además de las necesarias para que la aplicación funcione. Hasta que el usuario decide, no se activa ninguna de las dos ni se envía a terceros ningún dato con esas finalidades. Rechazarlas no impide usar la aplicación.

Cambiar o retirar el consentimiento. El usuario puede cambiar su elección o retirar su consentimiento en cualquier momento desde Perfil → Configuración → «Analítica y publicidad». La retirada no afecta a la licitud del tratamiento realizado antes de ella. En iOS, si el usuario acepta la categoría de marketing, a continuación se le muestra el aviso de seguimiento de Apple (App Tracking Transparency), cuya respuesta también puede cambiar en cualquier momento en los Ajustes del iPhone (véase el punto b).

a) Analítica: Google Analytics para Firebase

Finalidad. Conocer qué pantallas y funciones se usan y detectar fallos para mejorar la aplicación.

Legitimación. Consentimiento del interesado (art. 6.1.a del RGPD y art. 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, LSSI).

Datos tratados. Eventos de uso de la aplicación (pantallas vistas y acciones realizadas), identificador de instancia de la aplicación, modelo de dispositivo, sistema operativo, idioma y país aproximado.

Sin uso publicitario. Las señales publicitarias de Google están desactivadas: estos datos no se utilizan para publicidad ni para personalizar anuncios.

Destinatario. Google Ireland Limited (y Google LLC), como encargado del tratamiento. Los datos pueden transferirse fuera del Espacio Económico Europeo con las garantías que describe Google: el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) y las Cláusulas Contractuales Tipo.

Conservación. Los datos de eventos se conservan 2 meses. Los datos a nivel de usuario se conservan 14 meses desde la última actividad del usuario en la aplicación: el plazo vuelve a empezar cada vez que la usa. Los informes estadísticos agregados, que no identifican a nadie, no están sujetos a estos plazos.

b) Marketing: SDK de Meta (Facebook e Instagram) y de TikTok

Finalidad. Medir cuántas personas instalan Studay y se registran gracias a nuestras campañas de publicidad en esas redes, y permitir que las plataformas optimicen la entrega de esos anuncios.

Legitimación. Consentimiento del interesado (art. 6.1.a del RGPD y art. 22.2 de la LSSI).

En iOS, hace falta además el permiso de Apple. En un iPhone, los SDK de Meta y TikTok solo se activan si el usuario acepta la categoría de marketing y permite el seguimiento en el aviso de Apple. Si rechaza ese aviso, desde ese iPhone no se envía nada a Meta ni a TikTok. En Android basta con aceptar la categoría de marketing.

Qué se envía. Solo dos eventos: la instalación o primera apertura de la aplicación y el registro, que se envía una única vez, al crear la cuenta. Con ellos viajan datos técnicos del dispositivo: el identificador de publicidad (en iOS, el IDFA, que solo se usa con el permiso del aviso de Apple; en Android, el ID de publicidad de Google), la dirección IP, el modelo de dispositivo, el sistema operativo y la versión de la aplicación.

Qué no se envía. Ni el nombre, ni el correo electrónico, ni el teléfono, ni el identificador de usuario de Studay.

Sin audiencias. No utilizamos estos datos para crear audiencias de retargeting ni públicos similares a partir de nuestros usuarios.

Destinatarios. Meta Platforms Ireland Ltd y TikTok Technology Limited, ambas con sede en Irlanda.

Conservación por las plataformas. Meta conserva estos datos durante un máximo de dos años, según sus Condiciones de las herramientas empresariales. TikTok, 548 días (unos 18 meses), según la información de su registro en el marco de transparencia y consentimiento de IAB (IAB TCF).

Corresponsabilidad con Meta. Studay y Meta Platforms Ireland Ltd son corresponsables del tratamiento (art. 26 del RGPD) de la recogida de estos datos a través del SDK de Meta y de su transmisión a Meta. Lo que Meta haga con los datos una vez recibidos no forma parte de esa corresponsabilidad: lo trata como responsable independiente. Studay y Meta han acordado sus respectivas responsabilidades en el Apéndice sobre responsables del tratamiento que forma parte de las Condiciones de las herramientas empresariales de Meta. En esencia:

— Studay se encarga de informar a los interesados sobre este tratamiento conjunto, como hace esta política, y de contar con una base jurídica para su parte del tratamiento, que es el consentimiento que el usuario presta en el aviso de la aplicación.

— Meta se encarga de atender los derechos de acceso, rectificación, supresión, limitación y portabilidad (arts. 15 a 20 del RGPD) sobre los datos que conserva tras la transmisión.

— El interesado puede ejercer sus derechos ante cualquiera de los dos (art. 26.3 del RGPD): directamente ante Meta o escribiendo a Studay, que trasladará a Meta la solicitud cuando le corresponda atenderla.

La identidad y los datos de contacto de Meta y de su delegado de protección de datos, la base jurídica en la que se apoya y la forma de ejercer los derechos ante ella figuran en la Política de privacidad de Meta. El tratamiento conjunto se describe en las Condiciones de las herramientas empresariales de Meta.

Corresponsabilidad con TikTok. [PENDIENTE: confirmar con el abogado o con Graddus según los «Jurisdiction-Specific Terms» de TikTok para el EEE]. Studay y TikTok Technology Limited son corresponsables del tratamiento (art. 26 del RGPD) de la recogida de estos datos a través del SDK de TikTok y de su transmisión a TikTok, que los utiliza también para optimizar la entrega de los anuncios. Lo que TikTok haga con los datos una vez recibidos no forma parte de esa corresponsabilidad: lo trata como responsable independiente. Studay se encarga de informar a los interesados, como hace esta política, y de recabar el consentimiento antes de activar el SDK. [PENDIENTE: si se confirma la corresponsabilidad:] El interesado puede ejercer sus derechos ante cualquiera de los dos (art. 26.3 del RGPD).

Tus derechos ante TikTok. Sobre los datos que TikTok trata por su cuenta, el usuario puede ejercer sus derechos ante TikTok Technology Limited mediante el formulario de privacidad que indica la Política de privacidad de TikTok, donde se explica también cómo trata los datos. También puede dirigirse a Studay, que le trasladará la solicitud.

Transferencias internacionales. Meta y TikTok tratan datos fuera del Espacio Económico Europeo con las garantías que describen en sus políticas. TikTok publica la lista de países en su página «Nuestras operaciones internacionales y las transferencias de datos», que incluye China entre los países desde los que entidades de su grupo empresarial pueden acceder de forma remota a la información, con cláusulas contractuales tipo como garantía.

Agencia de publicidad. La agencia Graddus (EDADVISOR MAPAL SL) gestiona nuestras campañas y accede a los resultados agregados de medición, como encargada del tratamiento y con el correspondiente contrato (art. 28 del RGPD). [PENDIENTE: confirmar cuando esté firmada la orden de compra].

c) Registro de tu elección

Para poder demostrar el consentimiento (art. 7.1 del RGPD), guardamos la elección del usuario (analítica sí o no, marketing sí o no), la fecha, la versión del aviso y la plataforma en el propio dispositivo y, si el usuario ha iniciado sesión, también en su cuenta. Este registro se conserva mientras exista la cuenta. Legitimación: cumplimiento de una obligación legal (art. 6.1.c del RGPD, en relación con su art. 7.1).

Envío de correos operativos imprescindibles para el servicio (verificación de la cuenta y restablecimiento de contraseña), remitidos desde nuestro propio dominio a través del servicio de correo de IONOS. Legitimación: ejecución de la relación contractual.

Para mostrar los anuncios de alojamiento sobre un mapa, la ubicación indicada en el anuncio se procesa mediante los servicios Google Maps y Google Geocoding. Legitimación: ejecución de la relación contractual.

La plataforma integra el módulo de ocio Stunight, prestado por Nyxell, que actúa como responsable de su propio tratamiento; los pagos realizados en dicho módulo se procesan mediante Stripe conforme a sus propias políticas de privacidad. El módulo de juegos (studay.es/juegos) no recaba datos personales ni requiere cuenta.

Sturesi (sturesi.com), el espacio de las residencias de estudiantes, es un servicio de Studay: su responsable del tratamiento es STUDAY APP SL, la misma entidad que figura en el apartado 2. El usuario puede vincular su cuenta de Studay con su residencia en Sturesi mediante el código personal que le facilita la recepción de la residencia. Vincularla es voluntario y la aplicación funciona con normalidad sin hacerlo.

Datos que se tratan. Para vincular la cuenta, la aplicación envía a Sturesi el código personal que facilita la recepción de la residencia, que es de un solo uso, junto con un token de inicio de sesión de Firebase, que identifica al usuario e incluye su correo electrónico verificado. Después, cada vez que el usuario abre su residencia desde la aplicación, se envía solo ese token, sin el código, y Sturesi devuelve una sesión de un solo uso que caduca en una hora y que no se guarda. La residencia vinculada se guarda en la parte privada de la cuenta del usuario, que no es visible para otros usuarios. Sturesi conserva el vínculo entre las dos cuentas: los identificadores de Studay y de Sturesi y el correo electrónico. Si el usuario no tenía cuenta en sturesi.com, al vincular se crea su cuenta de residente.

Finalidad y legitimación. Vincular la cuenta con la residencia y permitir abrirla desde la aplicación, a petición del propio usuario. Legitimación: ejecución del servicio solicitado por el usuario (art. 6.1.b del RGPD).

No es una comunicación a terceros. Estos datos pasan entre dos servicios de la misma empresa, solo cuando el usuario lo solicita al vincular su residencia con el código que le da la recepción. Sturesi no es un tercero ni un encargado del tratamiento: es la misma empresa.

Conservación y desvinculación. El vínculo se conserva mientras la residencia esté vinculada. El usuario puede desvincularla en cualquier momento desmarcando «Vivo en una residencia» en la aplicación: entonces se borra el vínculo, y la cuenta de residente se conserva para que pueda volver a vincularla sin necesidad de otro código. Si el usuario elimina su cuenta de Studay, se borran el vínculo y la cuenta de residente creada desde la aplicación, con sus datos; si ya tenía una cuenta propia en sturesi.com, solo se borra el vínculo. [PENDIENTE: excepciones por obligación legal de la residencia, según el inventario de datos de Sturesi].

Envío de información sobre servicios, novedades y productos de Studay. Datos tratados: nombre y correo electrónico. Legitimación: consentimiento del interesado.

Prestación del servicio de asistente conversacional StudIA, un sistema de inteligencia artificial integrado en la app; se informa de ello de forma clara y visible dentro del propio chat, conforme al Reglamento (UE) 2024/1689 de Inteligencia Artificial. StudIA responde a las consultas del usuario basándose exclusivamente en la información de nuestra propia base de datos (cursos, alojamientos, contenidos y servicios de Studay). StudIA no realiza búsquedas en internet. Para generar las respuestas, las consultas se procesan mediante el modelo de inteligencia artificial Gemini de Google. Datos tratados: el texto de las consultas que el usuario escribe en el chat (con un máximo de 500 caracteres por mensaje y un historial limitado a los cuatro últimos mensajes del hilo), junto con un extracto de contenidos públicos del catálogo de Studay (títulos de apuntes, alojamientos, promociones y eventos, precios y ubicaciones) utilizado como contexto. No se transmiten a Google identificadores de la cuenta del usuario (como su nombre, correo electrónico o identificador interno). Legitimación: consentimiento del interesado y ejecución de la relación contractual. El contenido de las conversaciones no se conserva en los sistemas de Studay. Recomendamos al usuario no incluir datos personales sensibles ni información confidencial en sus consultas a StudIA.

La funcionalidad El Ticket (denominada «La Cuenta» en versiones anteriores de la aplicación) permite repartir el importe de un ticket de bar o restaurante entre varias personas. Para ello, el usuario fotografía el ticket y un sistema de inteligencia artificial lo desglosa línea a línea; la app informa de ello en pantalla, conforme al Reglamento (UE) 2024/1689 de Inteligencia Artificial. El Ticket únicamente calcula el reparto: no gestiona pagos ni movimientos de dinero.

Tratamiento de la fotografía. La imagen se envía desde la aplicación a una función de Studay alojada en Google Cloud (región us-central1, Estados Unidos) y, desde ahí, a la API de Google Gemini (modelo gemini-2.5-flash), que actúa como encargado del tratamiento. Un ticket puede contener el nombre del establecimiento, la fecha y la hora, los productos consumidos, los importes y, según el comercio, los últimos dígitos de la tarjeta o el número de mesa. La finalidad del tratamiento es exclusivamente extraer las líneas de consumo: la instrucción facilitada al modelo excluye expresamente la base imponible, el IVA, el total, la propina, la mesa, el camarero y el CIF del establecimiento. El servicio está limitado a 3 lecturas por usuario y día. Legitimación: ejecución de la relación contractual.

La fotografía del ticket no se almacena. Se procesa en memoria durante la llamada y se descarta al finalizar esta. No se escribe en almacenamiento ni en base de datos de Studay en ningún momento, ni siquiera de forma temporal.

Datos que sí se conservan. Del resultado de la lectura se guardan en la base de datos los conceptos y los importes extraídos del ticket, el nombre de pila de los participantes (tomado de su perfil de Studay o tecleado por quien realiza el reparto en el modo individual) y las líneas que cada participante ha marcado junto con el importe que le corresponde. Todo ello se elimina automáticamente a los 7 días, incluidos los datos de los participantes.

Visibilidad entre usuarios. En el modo compartido, quien sube el ticket obtiene un código de seis caracteres. Cualquier usuario de Studay que introduzca ese código podrá ver los conceptos del ticket, sus importes y los nombres de los demás participantes. El código funciona como una contraseña: al compartirlo, el usuario está compartiendo también esa información, por lo que recomendamos facilitarlo únicamente a las personas con las que se reparte la cuenta.