Política de privacidad

1. Datos tratados (panorámica)

• •Datos de estado de ánimo y de bienestar: puntuaciones, periodos, etiquetas, emociones, notas de texto, frecuencia cardíaca opcional, datos asociados a las entradas.
• •Datos diarios: sueño, salud, comidas y alimentos, finanzas, actividad (incluidos pasos si activa el podómetro), eventos, lifestyle, vida íntima (libido, actividad sexual), si rellena esos campos, episodios de enfermedad registrados, correlaciones ambientales (p. ej. meteorología), eventuales datos astrológicos de demostración si utiliza esas funciones.
• •Diario: entradas de diario en texto libre (incluido el texto resultante de la entrada por voz), marcas de tiempo y eventuales sugerencias de escritura utilizadas.
• •Coach de IA: mensajes que usted envía al coach, respuestas generadas, contadores técnicos de cuota diaria.
• •Memoria de IA personal: elementos destilados (preferencias, contexto, objetivos) almacenados en una tabla dedicada (user_ai_memory) si activa esta opción.
• •Programa e intenciones: progreso del programa «Fundamentos 21 días» (día actual, días completados, racha), hitos de análisis, intenciones «si… entonces…» (desencadenante, acción, resultado).
• •Ajustes de la Aplicación: modo de seguimiento, preferencias de interfaz, notificaciones, idioma, consentimientos, opciones de localización y de compartición comunitaria, etc.
• •Cuenta: dirección de correo electrónico, identificador técnico de cuenta, tokens de sesión gestionados por el proveedor de autenticación (p. ej. Supabase).
• •Datos técnicos: versión de la aplicación, identificadores técnicos necesarios para el funcionamiento de los servicios conectados, registros de servidor mínimos del lado de la API si el editor los activa.

2. Almacenamiento local

Por defecto, una parte importante de los datos se almacena localmente en su dispositivo (almacenamiento cifrado según las capacidades del sistema). La desinstalación de la Aplicación puede conllevar la pérdida de los datos locales no exportados.

3. Copia de seguridad personal en la nube (base jurídica: consentimiento explícito / ejecución de la funcionalidad solicitada)

La Aplicación funciona localmente por defecto: crear una cuenta no basta, por sí solo, para activar el envío automático de sus datos de seguimiento personal. Si activa por separado la copia de seguridad personal en la nube, un snapshot JSON de los principales datos locales (estado de ánimo, registro diario, entradas de diario, progreso del programa, intenciones, ajustes, episodios de enfermedad) puede enviarse y almacenarse en la infraestructura configurada por el editor (p. ej. proyecto Supabase). Estos datos permanecen seudonimizados en el sentido del RGPD (artículo 4, punto 5): vinculados a un identificador de cuenta, suprimibles a petición, pero no anónimos en el sentido jurídico.

Finalidad: copia de seguridad y, para los suscriptores Premium, restauración o fusión en otro dispositivo. El envío automático está limitado en frecuencia (más frecuente en Premium, más espaciado en las cuentas gratuitas); un límite de tamaño del lado de la aplicación puede rechazar un envío si el snapshot supera un límite técnico. El rechazo o la retirada de este consentimiento no impide el uso local básico. Otros tratamientos (estadísticas comunitarias, IA, notas libres, memoria de IA) se basan en elecciones separadas descritas en las secciones dedicadas.

Aperturas de la aplicación: no existe un seguimiento nominativo silencioso de las aperturas cuando la copia de seguridad personal en la nube no está activada. Cuando la copia de seguridad en la nube está activada, una línea técnica «una apertura por usuario y por día UTC» puede registrarse en daily_app_opens para estadísticas de servicio y de estabilidad, con retención limitada a 90 días. Objetivo de producto: suprimir este contador nominativo o anonimizarlo.

4. Diario (base jurídica: ejecución de la funcionalidad / consentimientos separados para la sincronización y la IA)

Las entradas de diario se redactan libremente (o se dictan por voz, véase la sección Micrófono) y se almacenan localmente de forma cifrada según las capacidades del sistema. Solo se sincronizan en la nube si ha activado la copia de seguridad personal en la nube (sección 3).

Pueden solicitarse explícitamente análisis de diario por IA (5 modos de análisis). El texto del diario está cubierto por el consentimiento separado «notas de texto libre» (sección 5): sin ese consentimiento, el contenido textual de su diario no se transmite al proveedor de IA (salvo error de software, en cuyo caso contacte con el soporte).

5. Análisis por inteligencia artificial (base jurídica: consentimiento explícito, artículo 9.2.a del RGPD)

Pueden solicitarse resúmenes o análisis a través de un servidor intermediario (Cloudflare Worker) que transmite un contexto a un proveedor de modelos de lenguaje. El proveedor por defecto es Google (modelo Gemini Flash), para el nivel «light», único nivel ofrecido en la versión actual de la Aplicación. Un segundo proveedor, Anthropic (modelo Claude), recibe el contexto de análisis en dos casos: automáticamente, como repliegue, cuando el proveedor por defecto no está disponible o devuelve una respuesta inutilizable; y, si llegara a ofrecerse un nivel de análisis más costoso («powerful»), cuando usted utilizara ese nivel. Las claves secretas de los proveedores de IA no están presentes en la aplicación móvil. Nota: este Cloudflare Worker recibe y hace transitar datos personales (el contexto de análisis y, según su consentimiento separado, notas de texto); Cloudflare actúa aquí, por tanto, como encargado que trata datos personales, y no como un simple relé sin datos (véase la sección 17).

Compromiso «sin entrenamiento»: el editor no entrena ningún modelo de IA propio con sus datos. Los datos enviados a la IA no sirven para entrenar ningún modelo de IA general del editor. Según las condiciones contractuales vigentes de las API comerciales de los proveedores de IA (Anthropic y Google), los datos enviados a través de la API no se utilizan para entrenar sus modelos. Estos compromisos derivan de las condiciones de los proveedores, que pueden evolucionar; el editor se esfuerza por elegir proveedores que ofrezcan esta garantía y por actualizar la presente política cuando proceda. Si algún día se contemplara un entrenamiento, fine-tuning o modelo propietario, sería objeto de un nuevo consentimiento explícito separado, de documentación jurídica dedicada y de una actualización de la EIPD/DPIA.

Se prevén tres elecciones separadas:

• •Consentimiento IA salud/bienestar: autoriza el envío de indicadores estructurados derivados de sus datos de estado de ánimo, sueño, actividad, comidas, bienestar, síntomas/episodios de enfermedad registrados, vida íntima (libido, actividad sexual), si rellena esos campos, señales ambientales y otras métricas necesarias para el análisis de tendencias de bienestar. Estos datos incluyen categorías especiales en el sentido del artículo 9 del RGPD (salud, vida sexual), cubiertas por este mismo consentimiento explícito.
• •Consentimiento notas libres: autoriza por separado la inclusión de notas de texto libre, entradas de diario, comentarios o instrucciones escritas. Sin este consentimiento separado, esos textos no deben incluirse en el payload de análisis (salvo error de software, en cuyo caso contacte con el soporte).
• •Memoria de IA personal: elección distinta que permite crear, reutilizar y suprimir recuerdos o preferencias personales para los análisis y conversaciones futuros (véase la sección 7). La memoria de IA personal no es un entrenamiento de modelo general.

5 bis. Finalidad, destinatarios y garantías de los análisis de IA

Finalidad: generar un análisis de tendencias de bienestar, síntesis y pistas de reflexión no médicas. Destinatarios: el editor, el servidor intermediario Cloudflare o equivalente y el proveedor de IA configurado (Google por defecto; Anthropic en los dos casos descritos en la sección 5). Países: tratamiento en el EEE cuando la infraestructura lo permite, y transferencias posibles a los Estados Unidos u otros países de tratamiento de los proveedores, con garantías adecuadas (véase la sección 18). Duración: el payload se trata para responder a la solicitud; el historial de análisis eventualmente almacenado sigue la duración de conservación de IA configurada en la Aplicación o hasta la supresión/retirada cuando sea aplicable.

Cada análisis de IA debe considerarse generado automáticamente, posiblemente incorrecto, y no constituye consejo médico, diagnóstico, prevención médica, triaje ni recomendación terapéutica.

Puede retirar fácilmente estos consentimientos desde los ajustes. La Aplicación conserva la fecha y la versión del consentimiento o de la retirada para documentar la elección, sin afectar a la licitud de los tratamientos realizados antes de la retirada.

6. Coach de IA conversacional (base jurídica: consentimiento explícito; cuotas: interés legítimo)

El coach de IA es una función de mensajería conversacional. Sus mensajes transitan por el mismo servidor intermediario (Cloudflare Worker) hacia el proveedor de IA configurado (Gemini Flash de Google por defecto). El contenido transmitido respeta los consentimientos de la sección 5: los indicadores de bienestar, las notas libres o los elementos de memoria solo se incluyen en el contexto de conversación si los consentimientos correspondientes están activos.

Cuotas aplicadas en el servidor: degustación gratuita limitada a 1 mensaje al día para las cuentas sin suscripción; después, acceso reservado a la suscripción Premium hasta un límite antiabuso de 20 mensajes al día. Se conservan brevemente contadores técnicos diarios (una línea por token de dispositivo y por día UTC) para aplicar estas cuotas.

Las respuestas del coach se generan automáticamente, pueden ser inexactas y no constituyen consejo médico. El historial de conversación eventualmente almacenado en el servidor intermediario se purga al suprimir la cuenta (entradas técnicas ai_chat) y sigue, en los demás casos, la duración de conservación configurada.

7. Memoria de IA personal (base jurídica: consentimiento dedicado)

Si activa esta elección distinta, el servicio puede destilar de forma asíncrona, a partir de sus conversaciones con el coach y de sus análisis, elementos útiles (preferencias, contexto, objetivos) y almacenarlos en una tabla dedicada (user_ai_memory) vinculada a su cuenta. Estos datos están seudonimizados en el sentido del RGPD: vinculados a su identificador de cuenta, no son anónimos en el sentido jurídico.

Estos elementos se reutilizan para personalizar las respuestas del coach y los análisis futuros. Puede consultarlos y suprimirlos desde la Aplicación. La retirada del consentimiento detiene la destilación; la supresión de la cuenta conlleva el borrado en cascada de la memoria. La memoria de IA personal no es un entrenamiento de modelo general.

8. Programa «Fundamentos 21 días» e intenciones (base jurídica: ejecución de la funcionalidad / consentimiento para la sincronización)

El progreso del programa (día actual, días completados, racha) y los hitos de análisis se almacenan localmente y, si ha iniciado sesión con la copia de seguridad en la nube activada, se sincronizan en la infraestructura del editor. Un mecanismo anti-repetición del lado del servidor garantiza que los hitos de análisis (día 7 gratuito; días 14 y 21 reservados al Premium) solo puedan utilizarse una vez. Los análisis de hitos utilizan el circuito de análisis de IA y los consentimientos de la sección 5.

Las intenciones «si… entonces…» (desencadenante, acción, resultado) se almacenan localmente, se sincronizan en las mismas condiciones y pueden dar lugar a recordatorios por notificación local (véase la sección 14).

9. Sesiones guiadas

Las tres sesiones guiadas (coherencia cardíaca 5-5, reset somático, visualización) se ejecutan íntegramente en el dispositivo, son gratuitas y no conllevan ningún envío de datos de sesión a los servidores.

10. Estadísticas comunitarias — niveles de identificabilidad (base jurídica: consentimiento separado)

La contribución a las estadísticas comunitarias es independiente de la copia de seguridad personal en la nube: aceptar una no activa automáticamente la otra. Distinción importante del RGPD. Cuando activa la «compartición colectiva», coexisten dos niveles que es necesario distinguir para no inducirle a error:

(a) Datos almacenados en nuestros servidores: seudonimizados (artículo 4, punto 5 del RGPD). Sus datos están vinculados a su cuenta mediante un identificador técnico. Podemos técnicamente encontrarlos y suprimirlos a petición suya. Por tanto, no son anónimos en el sentido jurídico: siguen siendo datos personales sujetos al RGPD. Las notas de texto libre y las entradas de diario nunca se incluyen en el flujo comunitario; solo se ven afectados indicadores estructurados (puntuaciones redondeadas, etiquetas de una lista cerrada, día y franja de 4 horas, zona geográfica aproximada).

(b) Estadísticas publicadas a la comunidad: agregadas con k-anonimato (k ≥ 10) y ruido estadístico. Antes de la publicación, los indicadores se agregan por celda geográfica (~110 km de lado) y por ventana temporal. Una celda solo se publica si en ella figuran al menos 10 contribuidores distintos (k-anonimato), con un ruido determinista de ±0,3 añadido a las medias. A este nivel de salida, y en ausencia de cruce con otras bases de datos, las estadísticas publicadas no permiten, en la práctica, llegar hasta un individuo.

Actualmente no se ofrece ni se practica ninguna compartición con socios externos (de investigación u otros): ni los datos seudonimizados (a) ni las estadísticas agregadas (b) se transmiten a terceros con fines de investigación. Si dicha compartición — limitada a las estadísticas agregadas (b) — se ofreciera en el futuro, requeriría un consentimiento explícito separado, distinto de la «compartición colectiva», y una actualización previa de esta política.

11. Localización (base jurídica: consentimiento mediante los permisos del sistema / consentimiento para la comunidad)

La localización puede utilizarse para la meteorología, la calidad del aire, los pólenes y los gráficos ambientales (cobertura de pólenes sobre todo en Europa); las coordenadas pueden redondearse en el dispositivo antes de su almacenamiento.

Para la comunidad, una opción distinta puede permitir asociar agregados k-anónimos (k ≥ 10) a una zona muy aproximada (p. ej. geohash corto), sin envío obligatorio de las coordenadas precisas al servidor comunitario.

12. Micrófono y reconocimiento de voz (base jurídica: consentimiento)

Algunas funciones de entrada por voz — en particular el dictado de entradas de diario — pueden utilizar el micrófono y los servicios de reconocimiento de voz del sistema o del fabricante. El audio se trata conforme a las reglas de la plataforma (Apple/Google); el texto transcrito se trata después como una nota de texto libre (secciones 4 y 5).

13. Actividad física (base jurídica: consentimiento)

El recuento de pasos puede utilizar los sensores de actividad del dispositivo tras la concesión del permiso.

14. Notificaciones (base jurídica: consentimiento / interés legítimo para los mensajes de servicio, si procede)

Las preferencias de notificaciones se gestionan en los ajustes del sistema y de la Aplicación. Los recordatorios de intenciones y del programa se planifican localmente en el dispositivo.

15. Pagos, suscripción y créditos (base jurídica: contrato)

Las compras integradas (suscripción Premium mensual/anual, packs de créditos de 3, 10 o 30 unidades) son tratadas por Apple o Google. No recibimos el número de su tarjeta bancaria. Un crédito comprado equivale a una unidad de análisis; el saldo de créditos comprados es distinto de la cuota semanal incluida en la suscripción (véanse las CGU, artículo 8).

Para aplicar sus derechos (estatus Premium, saldo de créditos), pueden conservarse en el servidor identificadores de transacción y un saldo de créditos, vinculados a un token técnico de dispositivo o a su cuenta, durante el tiempo necesario para la prestación del servicio y las obligaciones contables.

16. Plazos de conservación (indicativo)

• •Datos en el dispositivo: mientras la Aplicación esté instalada y usted no los borre (algunas opciones de retención, p. ej. datos astro, pueden configurarse en la app).
• •Cuenta y copia de seguridad en la nube (snapshot en la infraestructura configurada por el editor): únicamente si ha activado la copia de seguridad personal en la nube; se conservan durante la vida de la cuenta y el tiempo necesario para la prestación del servicio (copia de seguridad; restauración reservada al Premium). Al suprimir la cuenta, los datos vinculados a esa cuenta se suprimen mediante los mecanismos técnicos existentes (incluido el borrado en cascada de las líneas asociadas). Para una solicitud de supresión o de exportación fuera de estos automatismos, contacte con el responsable del tratamiento.
• •Cuenta gratuita vs. Premium: puede almacenarse el mismo tipo de snapshot; la frecuencia de sincronización automática y el acceso a la restauración/fusión desde la nube difieren según la oferta, como se indica en la Aplicación.
• •Historial de IA (análisis, conversaciones del coach): sigue la duración de conservación configurada en la Aplicación; las entradas técnicas en el servidor intermediario (ai_analysis, ai_chat) se purgan al suprimir la cuenta.
• •Memoria de IA personal (user_ai_memory): hasta su supresión por usted, la retirada del consentimiento dedicado o la supresión de la cuenta (borrado en cascada).
• •Progreso del programa e intenciones: durante la vida de la cuenta (borrado en cascada al suprimirla).
• •Aperturas de la aplicación (daily_app_opens): cuando existen bajo consentimiento cloud, retención máxima de 90 días.
• •Datos de contexto ambiental (environment_snapshots — datos públicos de meteorología, calidad del aire, pólenes, actividad sísmica y meteorología espacial correlacionados con su cuenta, cuando la localización está activada para las capas locales): cuando existen bajo consentimiento cloud, retención máxima de 730 días (2 años), seguida de purga automática.
• •Estadísticas comunitarias agregadas (k ≥ 10, ruido ±0,3): conservadas sin límite de duración predefinido en ausencia de identificadores individuales una vez publicadas. Los datos seudonimizados que sirvieron para producirlas siguen sujetos a los plazos de conservación de la cuenta (arriba).

17. Destinatarios y encargados del tratamiento

El editor recurre a los siguientes encargados del tratamiento, cada uno enmarcado por un acuerdo de tratamiento de datos (DPA) y, para las transferencias fuera del EEE, por las cláusulas contractuales tipo (CCT/SCC) de la Comisión Europea, complementadas con medidas técnicas (cifrado en tránsito y en reposo):

• •Supabase — alojamiento de la base de datos, autenticación y copia de seguridad opcional en la nube. Región: EEE (eu-west-1, Dublín, Irlanda). Datos: cuenta, snapshot de copia de seguridad si la activa, memoria de IA, progreso del programa, intenciones, consentimientos, datos comunitarios seudonimizados si contribuye.
• •Cloudflare — servidor intermediario (Worker) para los análisis de IA, el coach conversacional y la validación de las compras integradas (IAP). Este Worker recibe y hace transitar datos personales (contexto de análisis, mensajes del coach, eventuales notas según el consentimiento, identificadores de transacción). Cloudflare es, por tanto, encargado de datos personales, y no un simple relé «sin datos».
• •Google (Gemini) — proveedor de modelo de IA por defecto para el nivel «light» (Gemini Flash, coach y análisis), único nivel ofrecido en la versión actual de la Aplicación; destinatario del contexto cuando utiliza las funciones de IA. Tratamiento que puede tener lugar fuera del EEE (en particular, en los Estados Unidos). Según las condiciones vigentes de su API comercial, los datos enviados no se utilizan para entrenar sus modelos.
• •Anthropic (Claude) — segundo proveedor de modelo de IA, destinatario del contexto de análisis en dos casos: automáticamente, como repliegue, cuando el proveedor por defecto (Google) no está disponible o devuelve una respuesta inutilizable; y, si llegara a ofrecerse un nivel de análisis más costoso («powerful»), cuando usted utilizara ese nivel. Los mensajes del coach conversacional, las entradas de diario analizadas y los elementos de memoria de IA no se le transmiten. Tratamiento que puede tener lugar fuera del EEE (en particular, en los Estados Unidos). Según las condiciones vigentes de su API comercial, los datos enviados no se utilizan para entrenar sus modelos.
• •Apple (App Store) y Google (Google Play) — tratamiento de las compras integradas (pago, suscripciones, créditos). No recibimos el número de su tarjeta bancaria.
• •Sentry — telemetría de fallos y de estabilidad, únicamente si el editor activa esta función. Configurada para no recopilar datos personales en bruto (sin notas, sin prompts de IA, sin datos de salud); las direcciones IP se enmascaran y los payloads se filtran (véase la sección 21). Tratamiento que puede tener lugar fuera del EEE.

17 bis. Política de actualización de los encargados

La lista anterior puede evolucionar. El editor mantiene un registro interno actualizado de los encargados del tratamiento y de sus garantías. La lista actualizada puede obtenerse mediante simple solicitud al contacto indicado al principio. En caso de adición o sustitución de un encargado con un impacto significativo en sus datos, el editor actualiza la presente política (fecha y versión al principio) y, para un cambio sustancial, puede informarle en la Aplicación.

18. Transferencias fuera de la UE

Algunos encargados (en particular, los proveedores de IA Google y Anthropic, Cloudflare y, en su caso, Sentry) pueden tratar datos fuera del EEE, en particular en los Estados Unidos. En ese caso, el editor se apoya en las garantías adecuadas previstas por el RGPD: cláusulas contractuales tipo (CCT/SCC) de la Comisión Europea y, cuando sea pertinente, mecanismos de adecuación aplicables (p. ej. el EU-US Data Privacy Framework para los proveedores certificados), complementados con medidas técnicas (cifrado, minimización de los datos transmitidos). Se ha realizado una evaluación de impacto relativa a la protección de datos (EIPD/DPIA) para los tratamientos que presentan un riesgo elevado (datos de salud/bienestar, IA externa, localización, perfilado de tendencias, foro público).

19. Sus derechos

Usted dispone de los derechos de acceso, rectificación, supresión, limitación, portabilidad (para los datos facilitados y tratados por contrato/automatización) y oposición, en las condiciones legales. Para los tratamientos basados en el consentimiento, puede retirar su consentimiento en cualquier momento sin afectar a la licitud del tratamiento anterior.

Puede presentar una reclamación ante la CNIL (www.cnil.fr) o ante la autoridad de su país.

20. Menores

La Aplicación no está dirigida a personas menores de 15 años (edad del consentimiento digital en Francia conforme al artículo 7-1 de la ley Informática y Libertades, que transpone el artículo 8 del RGPD). Si considera que un menor ha facilitado datos sin autorización parental, contacte con el responsable del tratamiento.

21. Cookies, rastreadores y telemetría

La aplicación móvil no utiliza cookies publicitarias ni rastreadores de marketing. Los únicos mecanismos técnicos necesarios son los tokens de sesión del proveedor de autenticación (Supabase), estrictamente necesarios para el funcionamiento del inicio de sesión y de la sincronización. No se utiliza ninguna herramienta de análisis de audiencia (analytics) no esencial sin su consentimiento previo. Si más adelante se añadiera una herramienta de este tipo, solo se activaría tras la obtención de un consentimiento previo (banner o pantalla de elección).

Telemetría de fallos: para mejorar la estabilidad, el editor puede activar una herramienta de telemetría de fallos (Sentry). Cuando está activada, está configurada para no enviar nunca datos personales en bruto: sin notas de texto, sin prompts ni respuestas de IA, sin datos de salud/bienestar. Las direcciones IP se enmascaran, los payloads se filtran (scrubbing) y solo se conserva información técnica mínima (tipo de error, versión, identificador técnico no nominativo), durante un tiempo limitado. El sitio web asociado aplica su propia política de cookies indicada en dicho sitio.

22. Contacto

Para cualquier cuestión relativa a la presente política o a sus derechos: support@manifestwealth.io. Para la asistencia general: support@manifestwealth.io.