Política de privacidad

• Responsable: [NOMBRE Y APELLIDOS O RAZÓN SOCIAL] (NIF [NIF / CIF])
• Domicilio: [DOMICILIO COMPLETO]
• Contacto para privacidad: [EMAIL PARA EJERCER DERECHOS DE PRIVACIDAD]
• Delegado de Protección de Datos: [DELEGADO DE PROTECCIÓN DE DATOS, si lo hay]

• Cuenta: nombre, email y contraseña (guardada cifrada, nunca en claro).
• Perfil y formulario inicial: sexo, edad, peso, estatura, objetivo, nivel, disponibilidad, hábitos de sueño y estrés, preferencias de alimentación.
• Datos de salud: lesiones y molestias, patologías metabólicas, alergias e intolerancias, medicación y suplementos, peso, medidas y composición corporal.
• Actividad: entrenos registrados (series, cargas, cardio, pulso si lo importas), comidas registradas, agua y pasos (a mano o enviados desde tu móvil con tu clave personal).
• Funciones con IA (solo si las activas): lo que escribes o fotografías para que la IA te monte un plan, estime una comida o reconozca una máquina.
• Lista de espera (antes del lanzamiento): solo el email que dejes para que te avisemos.
• Datos técnicos imprescindibles: cookies de sesión (ver la política de cookies), una huella del tipo de navegador y sistema con el que entras (para avisarte de accesos nuevos; sin IP), la fecha de tu última visita y un registro de los correos que te enviamos.
• Apps conectadas: si conectas Strava, sus actividades y un permiso de acceso que guardamos cifrado.

• Prestar el servicio (guardar tu biblioteca de entrenos y dietas, registrar tu progreso y calcular tus objetivos): ejecución del contrato (art. 6.1.b RGPD).
• Tratar tus datos de salud para calcular tus objetivos y adaptar entrenos y dieta: tu consentimiento explícito (art. 9.2.a RGPD), que das al registrarte y puedes retirar en cualquier momento. Sin él no podemos calcularte nada personalizado.
• Funciones con IA: un consentimiento aparte (art. 9.2.a RGPD), apagado por defecto, que activas en Perfil › Ajustes y puedes quitar cuando quieras. Al activarlo, lo que le pidas a la IA (incluidas fotos de comida o de máquinas) se procesa con Google (Gemini API). El resto de la app funciona igual sin ellas.
• Avisarte del lanzamiento si te apuntas a la lista de espera: tu consentimiento (art. 6.1.a RGPD). Solo para ese aviso; puedes pedir que lo borremos en cualquier momento.
• Seguridad de la cuenta (bloqueo de intentos, verificación en dos pasos, comprobar contraseñas filtradas, confirmar tu email y avisarte por correo de accesos y cambios): interés legítimo (art. 6.1.f).
• Consejos, resumen semanal y novedades por correo: interés legítimo, al ser clientes (art. 21.2 LSSI). Puedes quitarlos en Perfil › Ajustes › Correos o con el enlace de cada correo.
• Cumplir obligaciones legales (por ejemplo, fiscales si hay pagos): obligación legal (art. 6.1.c).

No vendemos tus datos ni los usamos para publicidad. No tomamos decisiones que te afecten de forma significativa basadas únicamente en tratamientos automatizados: los planes y las estimaciones que propone la IA son un borrador que decides tú si guardas y si sigues.

Nadie más que tú tiene acceso a tu cuenta. Estos proveedores tratan datos por nuestra cuenta, con contrato de encargo y las garantías exigidas por el RGPD:

• Vercel Inc.: Alojamiento de la web. Ubicación: [UBICACIÓN / GARANTÍAS DE TRANSFERENCIA, p. ej. cláusulas contractuales tipo]
• Supabase Inc.: Base de datos y almacenamiento de imágenes. Ubicación: [REGIÓN DEL PROYECTO, p. ej. UE (Fráncfort)]
• Strava Inc.: Solo si conectas tu cuenta: importar tus actividades. Ubicación: [UBICACIÓN / GARANTÍAS]
• Open Food Facts: Consulta de productos por código de barras (solo se envía el código). Ubicación: Francia (UE)
• Resend Inc.: Envío de correos: códigos, avisos de seguridad, bienvenida y, si no los quitas, consejos y resumen semanal (tu email y tu nombre). Ubicación: [UBICACIÓN / GARANTÍAS DE TRANSFERENCIA]
• Have I Been Pwned: Comprobar si una contraseña está filtrada (solo un fragmento anónimo de su huella). Ubicación: [UBICACIÓN]
• Google LLC (Gemini API): Solo si activas las funciones con IA: generar planes y dietas, y estimar comidas o reconocer máquinas a partir de una descripción o una foto. Ubicación: [UBICACIÓN / GARANTÍAS DE TRANSFERENCIA]

Cuando algún proveedor esté fuera del Espacio Económico Europeo, la transferencia se ampara en [MECANISMO: decisión de adecuación (p. ej. Marco de Privacidad UE-EE. UU.) o cláusulas contractuales tipo].

Mientras tengas la cuenta activa. Si la cierras, se eliminan en un plazo de [PLAZO, p. ej. 30 días], salvo lo que debamos conservar bloqueado por obligación legal durante los plazos de prescripción. Las cuentas sin actividad durante [PLAZO, p. ej. 24 meses] se avisan y después se eliminan.

Los emails de la lista de espera se borran después de avisar del lanzamiento o antes, si lo pides.

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento (sin que afecte a lo tratado antes), escribiendo a [EMAIL PARA EJERCER DERECHOS DE PRIVACIDAD] e indicando el email de tu cuenta.

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Las contraseñas se guardan con un algoritmo de hash robusto; los secretos de la verificación en dos pasos y los permisos de apps conectadas, cifrados. Las comunicaciones van cifradas (HTTPS), las cuentas se bloquean tras varios intentos fallidos y puedes activar la verificación en dos pasos.

El servicio está dirigido a mayores de [EDAD MÍNIMA, p. ej. 14 años (art. 7 LOPDGDD) o 18]. Si eres menor de esa edad, no te registres sin el consentimiento de tus padres o tutores.

Si cambiamos esta política de forma relevante, te lo avisaremos en la app y, cuando haga falta, te pediremos que la aceptes de nuevo.