Legal
Política de Privacidad
Última actualización: 9 de septiembre de 2026
Aquí explicamos, sin rodeos, qué datos tuyos tratamos y por qué. Hemos incluido también lo que NO hacemos y aquello con lo que no contamos, porque una política que solo cuenta lo bonito no sirve de nada.
>01. Responsable del tratamiento
- Responsable: Gorka El Bochi Morillo (persona física, trabajador autónomo).
- NIF: 46099276P.
- Domicilio: Carrer Romaní 15, 08184 Palau-solità i Plegamans (Barcelona), España.
- Contacto para privacidad: team@bblabs.es.
No estamos obligados a designar un Delegado de Protección de Datos y no lo hemos designado. Las consultas sobre privacidad las atiende directamente el responsable en la dirección indicada.
Esta política explica qué datos tratamos, para qué, con qué legitimación, con quién los compartimos y durante cuánto tiempo los conservamos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
>02. Datos que tratamos
Los que nos facilitas
- Cuenta: nombre de usuario y dirección de correo electrónico.
- Perfil (opcional y público): imagen de avatar, biografía, sitio web y nombres de usuario en X/Twitter, GitHub, Discord, HackerOne, Bugcrowd y YesWeHack.
- Contenido que publicas: writeups, comentarios y participaciones.
- Datos de cobro, solo si participas en el programa de referidos o eres centro asociado: IBAN, correo de PayPal o teléfono de Bizum, según el método que elijas.
- Comunicaciones: el contenido de los correos que nos envías y, si cancelas, el motivo y el comentario libre que quieras dejarnos.
Los que se generan al usar la Plataforma
- Actividad formativa: laboratorios iniciados y completados, envíos de solución, descargas, progreso, racha, logros y posición en la clasificación.
- Uso y navegación: páginas visitadas, página de origen (referente), parámetros de campaña (UTM), tipo de dispositivo, agente de usuario, identificador de sesión y un identificador seudónimo de visitante.
- Canal de adquisición: el canal por el que llegaste por primera vez y por última vez antes de registrarte (buscadores, YouTube, LinkedIn, Instagram, enlace de terceros, directo).
- Sesiones abiertas: por cada sesión iniciada guardamos su dirección IP y el agente de usuario, para que puedas revisar y cerrar tus sesiones activas desde tus ajustes.
- Métricas de correo: si abres nuestros correos y en qué enlaces haces clic (ver apartado 8).
- Registro de actividad: acciones relevantes sobre tu cuenta, con fines de seguridad y auditoría.
Los que recibimos de terceros
- De Google o GitHub, si accedes con ellos: identificador, correo electrónico, nombre e imagen de perfil. No accedemos a nada más de tu cuenta.
- De Stripe, al procesar un pago: identificador de cliente, estado de la operación y los cuatro últimos dígitos y la marca de tu tarjeta, únicamente para que puedas identificarla en tus ajustes.
Nunca vemos ni almacenamos el número completo de tu tarjeta, su fecha de caducidad ni su código de seguridad. El pago ocurre íntegramente en una página alojada por Stripe: esos datos no pasan en ningún momento por nuestros servidores.
>03. Finalidades y bases jurídicas
Tratamos tus datos únicamente para las finalidades siguientes, cada una con su base de legitimación:
| Finalidad | Base jurídica (RGPD) |
|---|---|
| Crear y mantener tu cuenta, autenticarte y prestarte el servicio contratado | Ejecución del contrato (art. 6.1.b) |
| Procesar pagos, gestionar suscripciones, renovaciones y reembolsos | Ejecución del contrato (art. 6.1.b) |
| Emitir y conservar la documentación contable y fiscal de las operaciones | Obligación legal (art. 6.1.c) |
| Guardar tu progreso, calcular logros y mostrar tu posición en la clasificación pública | Ejecución del contrato (art. 6.1.b) |
| Enviarte avisos operativos: confirmaciones, renovaciones, cambios del servicio y seguridad | Ejecución del contrato (art. 6.1.b) |
| Enviarte correos comerciales sobre nuestros propios servicios, si ya eres cliente | Interés legítimo y art. 21.2 LSSI, con baja en cada envío |
| Enviarte correos comerciales si aún no eres cliente | Consentimiento (art. 6.1.a), revocable |
| Medir aperturas y clics de esos correos para mejorarlos | La misma base que el correo al que acompañan |
| Elaborar estadísticas de uso y saber qué canal trae visitas | Interés legítimo (art. 6.1.f) |
| Fijar las cookies de atribución bb_ft y bb_lt | Consentimiento (art. 6.1.a) |
| Prevenir el fraude, el abuso y garantizar la seguridad de la Plataforma | Interés legítimo (art. 6.1.f) |
| Gestionar el pago de comisiones a creadores y centros asociados | Ejecución del contrato y obligación legal |
| Atender tus solicitudes y ejercicios de derechos | Obligación legal (art. 6.1.c) |
En los tratamientos basados en interés legítimo hemos valorado que nuestro interés en medir y proteger el servicio no prevalece sobre tus derechos, dado que los datos son mínimos, no se usan para publicidad de terceros y puedes oponerte en cualquier momento escribiéndonos.
No vendemos tus datos, no los cedemos a terceros con fines comerciales y no hacemos publicidad comportamental.
>04. Destinatarios y encargados del tratamiento
Para prestar el servicio recurrimos a los siguientes proveedores, que tratan datos por nuestra cuenta o como responsables independientes:
| Proveedor | Para qué | Datos implicados |
|---|---|---|
| Stripe Payments Europe, Ltd. (Irlanda) | Procesamiento de pagos y facturación | Correo electrónico, identificador de usuario, datos de la operación y de la tarjeta (introducidos directamente en Stripe) |
| IONOS SE (Alemania) | Alojamiento del servidor y DNS | La totalidad de los datos alojados en la Plataforma |
| Google Ireland Ltd. | Inicio de sesión con Google; tipografía de los correos; reproducción de vídeos | Identificador, correo, nombre e imagen si usas Google; dirección IP y agente de usuario al cargar la tipografía o un vídeo |
| GitHub, Inc. | Inicio de sesión con GitHub | Identificador, correo, nombre e imagen de perfil |
Correo electrónico
El envío de nuestros correos se realiza desde servidores propios. No utilizamos ninguna plataforma externa de envío de correo masivo, por lo que tu dirección no se comparte con ningún proveedor de ese tipo.
Conexiones a Google al abrir un correo o navegar
Queremos ser transparentes en un punto que suele omitirse: nuestros correos y la página de baja solicitan la tipografía Inter a los servidores de Google Fonts, y la portada incorpora un reproductor de YouTube. En ambos casos tu dirección IP y tu agente de usuario llegan a Google, aunque nosotros no recibamos ni conservemos esa información. Muchos clientes de correo bloquean esas peticiones por defecto. Si prefieres evitarlo, puedes desactivar la carga de contenido remoto en tu cliente de correo.
Si accediste con Google o GitHub, tu imagen de perfil se carga directamente desde sus servidores, lo que también implica una conexión de tu navegador con ellos.
Además, podremos comunicar datos a Juzgados, Tribunales, Fuerzas y Cuerpos de Seguridad y Administraciones Públicas cuando exista una obligación legal.
Lo que NO usamos
No utilizamos Google Analytics, Google Tag Manager, el píxel de Meta/Facebook, ni ninguna herramienta de analítica, mapas de calor, grabación de sesiones o publicidad de terceros. Toda nuestra analítica es propia y se procesa en nuestros propios servidores.
>05. Transferencias internacionales
Nuestro servidor está alojado en la Unión Europea y ahí residen los datos de la Plataforma. Stripe contrata con una entidad irlandesa y IONOS es alemana, ambas dentro del Espacio Económico Europeo.
No obstante, algunos de estos proveedores forman parte de grupos con presencia en Estados Unidos y pueden realizar accesos o transferencias fuera del EEE. Cuando eso ocurre, la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en la Decisión de Adecuación del Marco de Privacidad de Datos UE-EE. UU., según el proveedor.
Puedes solicitarnos información adicional sobre las garantías aplicables escribiendo a team@bblabs.es.
>06. Plazos de conservación
| Categoría | Conservación |
|---|---|
| Datos de cuenta y perfil | Mientras la cuenta esté activa. Al eliminarla, se anonimizan en un plazo máximo de 30 días |
| Progreso formativo y contenido publicado | Mientras la cuenta esté activa; se elimina o desvincula al eliminarla |
| Facturación, pagos y comisiones | 6 años desde la operación, por obligación mercantil y fiscal, aunque elimines tu cuenta |
| Sesiones abiertas (IP y agente de usuario) | Se eliminan automáticamente al caducar la sesión, como máximo 30 días |
| Códigos de acceso y enlaces mágicos | Se eliminan automáticamente al caducar, en minutos |
| Estadísticas de navegación y métricas de correo | 24 meses; después se conservan solo de forma agregada, sin vinculación con tu cuenta |
| Registro de actividad y seguridad | 24 meses |
| Suscriptores de la newsletter | Hasta que solicites la baja |
Terminados esos plazos, los datos se eliminan o se anonimizan de forma irreversible. Los datos que debemos conservar por obligación legal quedan bloqueados: solo se mantienen a disposición de la Administración y de los Tribunales durante el plazo de prescripción.
>07. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos:
- Acceso: saber qué datos tuyos tratamos y obtener una copia.
- Rectificación: corregir los datos inexactos o incompletos.
- Supresión: solicitar que eliminemos tus datos cuando ya no sean necesarios.
- Limitación: pedir que restrinjamos el tratamiento mientras se resuelve una reclamación.
- Portabilidad: recibir tus datos en un formato estructurado y de uso común.
- Oposición: oponerte a los tratamientos basados en nuestro interés legítimo, incluida la elaboración de perfiles.
- Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
Cómo ejercerlos
Escríbenos a team@bblabs.es desde la dirección asociada a tu cuenta, indicando qué derecho quieres ejercer. Podremos pedirte que acredites tu identidad si existe una duda razonable. Responderemos en el plazo de un mes, ampliable en dos meses más si la solicitud es especialmente compleja, en cuyo caso te lo comunicaremos.
Muchos de estos derechos puedes ejercerlos tú mismo y al instante: editar tu perfil, descargar tu información, cerrar sesiones abiertas, darte de baja de los correos o eliminar tu cuenta desde los ajustes.
Reclamación ante la autoridad de control
Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Te agradeceríamos que antes nos dieras la oportunidad de resolverlo.
>08. Comunicaciones por correo y medición
Distinguimos dos tipos de correo. Los operativos (código de acceso, confirmación de pago, aviso de renovación, cambios importantes del servicio) forman parte del contrato y no se pueden desactivar mientras tengas cuenta. Los comerciales (novedades, contenido, ofertas) puedes desactivarlos siempre.
Cómo darte de baja
Cada correo comercial incluye un enlace de baja que funciona con un solo clic y sin necesidad de iniciar sesión. También puedes desactivarlos desde las preferencias de tu cuenta. La baja es inmediata y definitiva.
Qué medimos
En nuestros correos incluimos una imagen invisible que nos indica si el mensaje se ha abierto, y los enlaces pasan por nuestro propio servidor para registrar en cuál se ha hecho clic. Guardamos únicamente qué correo era, de qué cuenta, qué tipo de interacción y en qué momento. No registramos tu dirección IP ni tu agente de usuario al abrir un correo. Esta medición se realiza con medios propios; ninguna herramienta externa interviene.
>09. Elaboración de perfiles y decisiones automatizadas
No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti o te afecten significativamente en el sentido del artículo 22 del RGPD. No hay precios personalizados, ni denegaciones automáticas de acceso, ni puntuaciones opacas.
Sí realizamos una elaboración de perfiles limitada y transparente, siempre basada en reglas explícitas y nunca en aprendizaje automático:
- Recomendarte el siguiente laboratorio o mostrarte avisos en tu panel según tu progreso.
- Decidir qué correo del ciclo de vida te corresponde: bienvenida, activación si aún no has empezado, recordatorio si dejaste una compra a medias, o recuperación si hace tiempo que no entras.
- Clasificar cada visita en un canal de origen para nuestras estadísticas.
Puedes oponerte a esta elaboración de perfiles escribiéndonos; seguirás usando la Plataforma con normalidad, sin personalización.
>10. Seguridad de la información
Aplicamos las siguientes medidas técnicas y organizativas:
- Cifrado en tránsito en todas las comunicaciones: TLS 1.2 y 1.3 exclusivamente, con HSTS y redirección forzosa a HTTPS.
- Autenticación sin contraseñas, mediante enlaces y códigos de un solo uso con caducidad corta, o proveedores externos de identidad. Las contraseñas heredadas que puedan existir se almacenan con bcrypt, nunca en claro.
- Cookies de sesión `httpOnly`, `Secure` y `SameSite=Strict`, con protección contra falsificación de peticiones (CSRF) en toda operación de escritura.
- Control de acceso por roles y limitación de frecuencia en los puntos sensibles.
- Cabeceras de seguridad del navegador y política de contenidos que impide la ejecución de código de terceros.
- Copias de seguridad diarias con retención de 14 días.
- Revisión periódica de la seguridad de la Plataforma y canal abierto para reportar vulnerabilidades.
Con qué no contamos, dicho claramente: la base de datos no está cifrada en reposo a nivel de aplicación, y nuestras copias de seguridad tampoco. Preferimos decirlo a afirmar una medida que no tenemos. Los datos residen en un servidor de acceso restringido en la Unión Europea y el acceso está limitado al responsable.
Ningún sistema es completamente invulnerable. Si se produjera una brecha de seguridad que suponga un alto riesgo para tus derechos, te lo comunicaremos sin dilación indebida y la notificaremos a la AEPD en el plazo de 72 horas, conforme a los artículos 33 y 34 del RGPD.
>11. Menores de edad
La edad mínima para registrar una cuenta es de 14 años, conforme al artículo 7 de la LOPDGDD. Para contratar un plan de pago se requiere ser mayor de edad o contar con la autorización de quien ejerza la patria potestad o tutela.
No solicitamos la fecha de nacimiento, por lo que no verificamos la edad de forma técnica: nos basamos en tu declaración al aceptar estas condiciones. Si nos consta que una cuenta pertenece a un menor de 14 años, la eliminaremos junto con sus datos. Si eres madre, padre o tutor y detectas una situación así, escríbenos a team@bblabs.es y actuaremos de inmediato.
>13. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o del servicio. Si el cambio afecta de forma sustancial a cómo tratamos tus datos, te avisaremos por correo electrónico o mediante un aviso destacado en la Plataforma antes de que sea efectivo. La fecha de la última actualización figura al principio del documento.
>14. Contacto
Para cualquier cuestión sobre esta política o sobre el tratamiento de tus datos: team@bblabs.es. Escribe una persona, no un formulario automático.
© 2026 BBLABS — Gorka El Bochi Morillo