Política de privacidad

Kiptly («nosotros», «nuestro», «el Servicio») es una aplicación de seguimiento de la actividad física para iOS y Android, junto con su sitio web promocional en kiptly.com. Esta Política de privacidad explica cómo recopilamos, usamos, compartimos y protegemos tus datos personales, y qué derechos tienes en virtud del Reglamento General de Protección de Datos (RGPD) de la UE.

Responsable del tratamiento: Aliaksandr Samuseu, persona física residente en Polonia. Contacto: [email protected].

1. Datos que recopilamos

Solo recopilamos los datos necesarios para prestar el Servicio. Categorías:

• Datos de la cuenta: nombre, dirección de correo electrónico y foto de perfil, que se obtienen cuando inicias sesión con Google o Apple.
• Datos de entrenamiento: ejercicios, series, repeticiones, peso, duración, notas y récords personales que registras en el Servicio.
• Medidas corporales (opcionales): peso, porcentaje de grasa corporal y perímetros, si decides indicarlos.
• Datos relativos a la salud, categoría especial (art. 9 del RGPD): información sobre el ciclo menstrual que indicas (si activas el entrenamiento adaptado al ciclo) e información sobre la recuperación que indicas: duración y calidad del sueño, frecuencia cardíaca en reposo y variabilidad de la frecuencia cardíaca. Solo se tratan después de que des tu consentimiento explícito en el Servicio.
• Pasos y sueño de Apple Health o Health Connect (opcional): solo si tocas «Conectar» en la tarjeta «Pasos y sueño» de la app y permites el acceso, la app lee de Apple Health (iOS) o Health Connect (Android) tus pasos de cada día y tu tiempo de sueño de los últimos 7 días y te los muestra en esa tarjeta. Estos valores se quedan en tu dispositivo; no los recibimos. Solo recibimos si se encontraron pasos y si se encontró sueño —un sí o un no para cada uno— y si tu dispositivo usa iOS o Android. La tarjeta no lee nada más de Apple Health ni de Health Connect y no escribe nada en ellos. Entrenamientos guardados en Apple Health o Health Connect (opcional): solo si activas en los ajustes de la app el guardado de entrenamientos y lo permites, la app guarda en Apple Health o Health Connect cada entrenamiento que termines después en ese teléfono, como entrenamiento de fuerza con su hora de inicio y de fin, sin ejercicios, series, pesos ni calorías. La app lo escribe en tu dispositivo, en el almacén que elegiste; no recibimos nada sobre ello, y el interruptor se guarda en tu teléfono. Un entrenamiento que borras en la app también se elimina de allí; los entrenamientos ya guardados se quedan allí aunque desactives el interruptor, hasta que los borres allí. Un entrenamiento que registras con la app de Kiptly en el Apple Watch lo guarda en Apple Health el propio reloj, con la frecuencia cardíaca y la energía activa que midió durante el entrenamiento; el teléfono no lo guarda una segunda vez.
• Datos del dispositivo: token de notificaciones push, zona horaria, versión del sistema operativo y versión de la app.
• Registros de inicio de sesión: cada vez que inicias sesión, registramos el método (Google, Apple o correo electrónico), la descripción del dispositivo que envía tu navegador o tu app, la dirección IP de la conexión y cuándo empezó y terminó la sesión. Guardamos esta información para que puedas detectar un inicio de sesión que no hayas hecho tú y para cerrar sesiones robadas. Conservamos estos registros durante 90 días después de que expire la sesión; una sesión que aún mantienes abierta nunca se elimina.
• Datos de diagnóstico: informes de fallos y trazas de errores, incluidos la traza de la pila, el tipo de dispositivo, la versión del sistema operativo, la versión de la app y tu ID de cuenta anonimizado. No capturamos tu correo electrónico, tu nombre ni el contenido de tus entrenamientos en los datos de diagnóstico.

2. Base jurídica del tratamiento

En virtud del artículo 6 (y del artículo 9, en el caso de los datos relativos a la salud) del RGPD, nos amparamos en las siguientes bases jurídicas:

• Ejecución de un contrato (art. 6.1.b) del RGPD): el tratamiento de los datos de la cuenta, de entrenamiento y de suscripción es necesario para prestar el Servicio en el que te registraste.
• Intereses legítimos (art. 6.1.f) del RGPD): seguridad, prevención del fraude y diagnóstico de fallos y errores; correos electrónicos sobre el producto (por ejemplo, recordatorios sobre la prueba gratuita, invitaciones a entrenamientos enviadas por entrenadores y amistades, recordatorios sobre el cuestionario inicial y resúmenes de entrenamientos); y análisis anónimo del uso del producto con Amplitude (consulta la sección 5). Nuestro interés es mantener el Servicio estable y seguro, informarte sobre él y mejorarlo. Puedes oponerte en cualquier momento: cada correo sobre el producto incluye un enlace para darte de baja, y puedes desactivar el análisis de uso en los Ajustes de la app. Nunca enviamos publicidad de terceros.
• Consentimiento (art. 6.1.a) del RGPD): notificaciones push y cualquier otro tratamiento opcional que te pidamos expresamente que aceptes. Puedes retirar tu consentimiento en cualquier momento sin que ello afecte al tratamiento previo.
• Consentimiento explícito (art. 9.2.a) del RGPD): datos relativos a la salud. El seguimiento del ciclo y la información sobre la recuperación que indicas están cubiertos por un consentimiento; los pasos y el sueño de Apple Health o Health Connect, por un consentimiento aparte que das al tocar «Conectar». Puedes revocar cualquiera de los dos en cualquier momento en la app, sin que afecte al otro.

3. Cómo usamos tus datos

• Mostrar tus entrenamientos, tu progreso y tus estadísticas dentro del Servicio.
• Si conectas Apple Health o Health Connect: mostrar tus pasos y tu sueño de los últimos 7 días en la tarjeta «Pasos y sueño» y usar el dato de si se encontraron para mejorar esta función, por ejemplo para decidir si crear una sección más completa de pasos y sueño.
• Sincronizar tus datos entre tus dispositivos.
• Enviar las notificaciones push que permitas (recordatorios de entrenamiento, mensajes de entrenadores) y nuestros correos electrónicos: los transaccionales, como los recibos, y los correos sobre el producto, de los que puedes darte de baja en cualquier momento.
• Mejorar la fiabilidad, diagnosticar fallos y corregir errores mediante datos de diagnóstico anonimizados.
• Detectar fraudes y abusos, incluidos el abuso de las suscripciones y las infracciones de los Términos de uso.

4. Datos de salud y de actividad física: avisos especiales

• Solo tratamos datos relativos a la salud con tu consentimiento explícito, que das de forma separada de la aceptación de los Términos de uso.
• Apple Health y Health Connect: la app solo lee pasos y sueño, solo después de que toques «Conectar» y permitas el acceso, y solo para mostrártelos y mejorar esta función. Nada de lo que lee se envía a anunciantes ni a intermediarios de datos, ni a los servicios de analítica y de informes de fallos de la sección 5 (Amplitude, Sentry), y nada se muestra a tu entrenador. Puedes desconectarlo cuando quieras en la app y retirar el propio acceso en los ajustes de Apple Health o Health Connect de tu dispositivo. Solo escribe en ellos los entrenamientos descritos arriba, y solo después de que lo actives en los ajustes de la app.
• Nunca usamos datos de salud o de actividad física con fines de publicidad, marketing o minería de datos.
• Nunca usamos datos de salud o de actividad física para determinar la elegibilidad para un empleo, un seguro, un crédito o una vivienda.
• Nunca guardamos información personal de salud en iCloud ni en ningún otro servicio de nube de terceros para particulares. Tus datos de salud se almacenan en nuestros servidores gestionados en la UE (Hetzner, Alemania), tal como se describe en la sección 5, y solo se replican en nuestro almacenamiento cifrado de copias de seguridad descrito en esa sección.
• Nunca vendemos tus datos a terceros y no los compartimos con anunciantes.

5. Proveedores de servicios externos

Compartimos datos con un número limitado de proveedores de servicios para el funcionamiento del Servicio. Los que tratan esos datos por cuenta nuestra están vinculados por un contrato de encargo del tratamiento (DPA) conforme al art. 28 del RGPD:

• Google Sign-In y Apple Sign-In: autenticación de usuarios, si inicias sesión con Google o Apple. Ese inicio de sesión se rige por las propias políticas de privacidad de Google y Apple. Datos intercambiados: token de inicio de sesión, correo electrónico, nombre, avatar.
• RevenueCat (Estados Unidos): gestión del ciclo de vida de las suscripciones. Datos compartidos: ID de usuario anonimizado, estado de la suscripción. Transferencias amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.
• Firebase Cloud Messaging (Estados Unidos): entrega de notificaciones push. Datos compartidos: token push. Transferencias amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.
• Resend (Estados Unidos): entrega de nuestros correos electrónicos, tanto los transaccionales (recibos, restablecimientos de contraseña, notificaciones importantes sobre la cuenta) como los correos sobre el producto (por ejemplo, recordatorios sobre la prueba gratuita y el cuestionario inicial, invitaciones a entrenamientos, resúmenes de entrenamientos). Datos compartidos: dirección de correo electrónico, contenido del mensaje. Transferencias amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.
• Sentry (Estados Unidos): informes de fallos y errores. Datos compartidos: traza de la pila, tipo de dispositivo, versión del sistema operativo, versión de la app, ID de cuenta anonimizado. No transmitimos a Sentry el correo electrónico, el nombre ni el contenido de los entrenamientos. Transferencias amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.
• Amplitude (Unión Europea): análisis anónimo del uso del producto (qué funciones se usan, eventos de embudo), tratado en el centro de datos de Amplitude en la UE (Fráncfort, Alemania). Datos compartidos: un identificador aleatorio por usuario y nombres de eventos, sin correo electrónico, nombre ni contenido de entrenamientos. Puedes desactivarlo en la app, en Ajustes → Información legal. Las empresas afiliadas de Amplitude con sede en Estados Unidos pueden acceder a estos datos de forma remota con fines de soporte, seguridad y depuración; esas transferencias están amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.
• Hetzner Online GmbH (Alemania): alojamiento de la base de datos principal y del servidor de aplicaciones, ubicado en la Unión Europea.
• Cloudflare, Inc. (Estados Unidos, con centros de datos en la UE): DNS, protección contra DDoS y almacenamiento externo cifrado de copias de seguridad (Cloudflare R2, región de la UE). Las copias de seguridad rotan en un plazo de 30 días. Transferencias amparadas por el Marco de Privacidad de Datos UE-EE. UU. y por cláusulas contractuales tipo.

6. Tu entrenador

Si te conectas con un entrenador en Kiptly, se le da acceso a tu ficha de cliente: todo lo que registras en la app (tus respuestas al cuestionario inicial, tus entrenamientos y tus medidas), junto con el chat que mantienes con él y todo lo que registre por su cuenta sobre tu trabajo: notas, las sesiones que programe contigo y los programas que te asigne, y medidas tomadas durante una sesión. Tres cosas siguen bajo tu control, en tu perfil: si puede leer los mensajes anteriores a la conexión, si puede registrar entrenamientos en tu nombre y, cuando creemos la vista de nutrición, si puede ver tu registro de nutrición. Puedes cambiarlas en cualquier momento.

Los datos permanecen con nosotros. Kiptly guarda tu ficha y le da acceso a ella a tu entrenador mientras dure la colaboración. Puedes desconectarte en cualquier momento; durante los 90 días siguientes, tu entrenador aún puede abrir tu ficha tal como estaba el día en que te desconectaste, y no ve nada de lo que hagas a partir de ese momento. Después eliminamos las sesiones que tu entrenador programó contigo y los programas que te asignó; sus notas siguen formando parte de tu ficha y puedes seguir leyéndolas.

No regulamos la relación entre tu entrenador y tú. Kiptly te ofrece los medios para trabajar en conjunto; las condiciones, el pago y las obligaciones son un asunto entre tu entrenador y tú.

7. Transferencias internacionales de datos

Tus datos se almacenan principalmente en servidores ubicados en la Unión Europea (Hetzner, Alemania). Algunos de nuestros encargados del tratamiento (enumerados más arriba) operan en Estados Unidos. Esas transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cuando el encargado del tratamiento está certificado, y en las cláusulas contractuales tipo de la Comisión Europea, con las garantías complementarias que se requieran.

8. Conservación de los datos

• Cuentas activas: conservamos tus datos personales mientras tu cuenta esté activa.
• Pasos y sueño (sí o no): se conserva mientras la conexión esté activa y se elimina en un plazo de 30 días desde la desconexión o la eliminación de tu cuenta.
• Tras la eliminación de la cuenta: todos los datos personales se borran de forma permanente en un plazo de 30 días.
• Copias de seguridad externas: rotan en un plazo de 30 días; los datos eliminados desaparecen de las copias de seguridad dentro de ese plazo.
• Registros de fallos y errores: se conservan en Sentry durante un máximo de 90 días y después se eliminan.
• Datos analíticos agregados: se conservan indefinidamente de forma totalmente anonimizada, sin identificadores que puedan vincularlos contigo.

9. Seguridad

Protegemos tus datos con cifrado TLS 1.3 en tránsito y cifrado AES-256 en reposo. El acceso a los sistemas de producción está restringido al personal autorizado y se audita. Los secretos y las credenciales se almacenan en un servicio gestionado de secretos.

En caso de una violación de la seguridad de los datos personales que probablemente afecte a tus derechos y libertades, la notificaremos a la autoridad de control competente en un plazo de 72 horas y la comunicaremos a los usuarios afectados sin dilación indebida, tal como exigen los artículos 33 y 34 del RGPD.

10. Tus derechos (RGPD)

En virtud del RGPD, tienes los siguientes derechos:

• Derecho de acceso (art. 15 del RGPD): solicitar una copia de tus datos. Puedes hacerlo de forma autónoma en la app; los pasos están en kiptly.com/support.
• Derecho de rectificación (art. 16 del RGPD): editar tu perfil en cualquier momento en la app.
• Derecho de supresión (art. 17 del RGPD): eliminar de forma autónoma, en la app, tu cuenta y todos los datos asociados. Los pasos para tu versión de la app están en kiptly.com/support.
• Derecho a la limitación del tratamiento (art. 18 del RGPD): pedirnos que pausemos el tratamiento en determinadas circunstancias.
• Derecho a la portabilidad de los datos (art. 20 del RGPD): exportar tus entrenamientos y tu progreso en formato CSV.
• Derecho de oposición (art. 21 del RGPD): oponerte al tratamiento basado en intereses legítimos.
• Derecho a retirar el consentimiento (art. 7.3 del RGPD): retirar en cualquier momento todo consentimiento que hayas dado, con la misma facilidad con la que lo diste. La retirada no afecta a la licitud del tratamiento previo.
• Derecho a presentar una reclamación (art. 77 del RGPD): presentar una reclamación ante la autoridad de control polaca, Urząd Ochrony Danych Osobowych (uodo.gov.pl), o ante tu autoridad local de protección de datos de la UE o del EEE.

Para ejercer cualquiera de estos derechos, envía un correo electrónico a [email protected]. Respondemos en un plazo de 30 días.

No llevamos a cabo ninguna toma de decisiones automatizada ni elaboración de perfiles que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar.

11. Privacidad de los menores

El Servicio está destinado a usuarios de 16 años o más. No recopilamos a sabiendas datos de menores de 16 años. Si crees que un menor de esa edad ha proporcionado datos personales al Servicio, escribe a [email protected] y los eliminaremos sin demora.

12. Cambios en esta Política

Podemos actualizar esta Política de privacidad de vez en cuando. En caso de cambios sustanciales, te lo notificaremos por correo electrónico y mediante un aviso en la app al menos 30 días antes de que los cambios entren en vigor. La fecha que figura al principio de esta página refleja la actualización más reciente.

13. Contacto

Para consultas sobre privacidad o para ejercer tus derechos, ponte en contacto con el Responsable del tratamiento, Aliaksandr Samuseu, en [email protected].