Política de Privacidad

La presente Política de Privacidad regula el tratamiento de los datos personales de los usuarios del servicio Zaitu (en adelante, el “Servicio”), de conformidad con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y demás normativa aplicable.

1. Responsable del tratamiento

• Responsable: [TU NOMBRE COMPLETO o RAZÓN SOCIAL]
• NIF/CIF: [TU NIF/CIF]
• Domicilio: [TU DIRECCIÓN POSTAL COMPLETA]
• Correo de contacto: [TU EMAIL DE CONTACTO]
• Sitio web: https://zaitu.lovable.app

2. Datos que tratamos

Tratamos las siguientes categorías de datos personales facilitados por el usuario o generados por el uso del Servicio:

• Datos de identificación y contacto: nombre, dirección de correo electrónico, contraseña cifrada o identificador del proveedor de inicio de sesión (Google).
• Datos de perfil y salud: edad, sexo, altura, peso, peso objetivo, nivel de actividad, objetivo, restricciones dietéticas, condiciones de salud, preferencias alimentarias, comidas registradas, registros de peso, entrenamientos habituales y rutinas generadas. Algunos de estos datos pueden constituir datos de salud (categoría especial, art. 9 RGPD).
• Datos de uso y técnicos: fecha y hora de acceso, dirección IP, identificador de navegador y dispositivo, idioma, errores y métricas de uso necesarias para el funcionamiento, la seguridad y la mejora del Servicio.
• Datos de pago: los datos de tarjeta o medio de pago NO son tratados ni almacenados por Zaitu, sino directamente por el proveedor de pago (Paddle/Stripe). Únicamente recibimos el identificador de la transacción, el plan contratado, la fecha y el estado del pago.

3. Finalidades y base jurídica del tratamiento

a) Prestación del Servicio

Crear y gestionar tu cuenta, generar planes de dieta y entrenamiento personalizados, guardar tu progreso y permitirte acceder a tus datos. Base: ejecución del contrato (art. 6.1.b RGPD).

b) Tratamiento de datos de salud

Generación de recomendaciones personalizadas a partir de los datos de salud que tú facilitas voluntariamente. Base: consentimiento explícito del interesado (art. 9.2.a RGPD), prestado al marcar la casilla correspondiente en el registro o al introducir dichos datos. Puedes retirar tu consentimiento en cualquier momento; ello no afectará a la licitud del tratamiento previo.

c) Gestión de pagos y facturación

Procesar pagos y emitir facturas a través de los proveedores de pago. Base: ejecución del contrato y cumplimiento de obligaciones legales contables y fiscales (art. 6.1.b y 6.1.c RGPD).

d) Comunicaciones operativas

Enviarte avisos imprescindibles sobre tu cuenta, cambios del Servicio, incidencias de seguridad o modificaciones legales. Base: ejecución del contrato e interés legítimo (art. 6.1.b y 6.1.f RGPD).

e) Comunicaciones comerciales

Únicamente con tu consentimiento previo, te enviaremos novedades, mejoras u ofertas. Puedes oponerte en cualquier momento desde el correo recibido o escribiendo al correo de contacto. Base: consentimiento (art. 6.1.a RGPD).

f) Mejora del Servicio y seguridad

Análisis estadístico agregado y anonimizado, prevención del fraude, depuración técnica y garantía de seguridad. Base: interés legítimo (art. 6.1.f RGPD).

g) Cumplimiento de obligaciones legales

Atender requerimientos de autoridades competentes y conservar documentación obligatoria. Base: cumplimiento de obligación legal (art. 6.1.c RGPD).

4. Plazos de conservación

• Datos de cuenta y planes: mientras la cuenta esté activa y hasta su eliminación efectiva.
• Datos tras la baja: se eliminan en un plazo máximo de 30 días, salvo aquellos que deban conservarse por obligación legal (facturación: 6 años conforme al Código de Comercio; obligaciones fiscales: hasta 10 años).
• Cuentas inactivas: pueden ser eliminadas tras 24 meses de inactividad, previo aviso.
• Logs técnicos y de seguridad: máximo 12 meses.

5. Destinatarios y encargados del tratamiento

No vendemos ni cedemos tus datos a terceros para finalidades comerciales. Para prestar el Servicio nos apoyamos en proveedores que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD:

• Hosting e infraestructura backend: Lovable AB y sus subprocesadores de infraestructura (incluyendo Supabase, Cloudflare). Almacenamiento principal en la Unión Europea.
• Proveedores de modelos de IA: Google (Gemini) y OpenAI (GPT). Los datos del perfil necesarios para generar el plan se envían a través de la pasarela de IA contratada.
• Proveedores de pago: Paddle.com Market Limited (Irlanda) y/o Stripe Payments Europe Ltd. (Irlanda), como Merchant of Record cuando aplique.
• Proveedor de autenticación social (opcional): Google Ireland Limited, si el usuario inicia sesión con Google.

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En tales casos se garantizan las salvaguardas previstas en los arts. 44 y siguientes del RGPD (Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, decisiones de adecuación, etc.).

6. Derechos del usuario

Como interesado, tienes derecho a:

• Acceso: obtener confirmación de si estamos tratando tus datos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (“derecho al olvido”): solicitar la eliminación de tus datos cuando ya no sean necesarios.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Limitación: solicitar la limitación del tratamiento en los supuestos legalmente previstos.
• Portabilidad: recibir tus datos en formato estructurado y de uso común.
• Retirar el consentimiento: en cualquier momento, sin efectos retroactivos.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos sin intervención humana. Las recomendaciones generadas por IA son meramente orientativas y no producen efectos jurídicos.

Para ejercitar estos derechos, escribe a [TU EMAIL DE CONTACTO] indicando el derecho que ejercitas y adjuntando, si fuera necesario, copia de un documento que acredite tu identidad. Responderemos en el plazo máximo de 1 mes (prorrogable a 2 meses adicionales en casos complejos).

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos ( www.aepd.es), sin perjuicio de cualquier otro recurso.

7. Seguridad de los datos

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos contra accesos no autorizados, pérdida o alteración, incluyendo cifrado en tránsito (HTTPS/TLS), cifrado en reposo de las contraseñas, autenticación segura, control de accesos por roles, copias de seguridad y políticas de seguridad a nivel de fila (RLS) en la base de datos.

Pese a ello, ningún sistema es totalmente invulnerable. En caso de brecha de seguridad que pueda suponer un riesgo para tus derechos y libertades, te lo comunicaremos sin dilación indebida y en todo caso lo notificaremos a la AEPD en el plazo de 72 horas, conforme al art. 33 RGPD.

8. Menores

El Servicio está dirigido a personas mayores de 16 años. Los menores de 16 años solo podrán registrarse con consentimiento expreso de sus padres o tutores legales. Si detectamos el registro de un menor sin dicho consentimiento, eliminaremos la cuenta y los datos asociados.

9. Cookies y tecnologías similares

Utilizamos las cookies y almacenamiento local estrictamente necesarios para mantener la sesión iniciada, recordar el idioma seleccionado y garantizar la seguridad. No utilizamos cookies publicitarias ni de seguimiento de terceros sin tu consentimiento previo. Si en el futuro se incorporan cookies analíticas o de terceros, se mostrará el correspondiente banner de gestión de cookies.

10. Cambios en esta Política

Podremos actualizar esta Política de Privacidad para reflejar cambios legales, técnicos o del Servicio. Las modificaciones sustanciales se comunicarán por correo electrónico o mediante aviso destacado en la Aplicación con al menos quince (15) días de antelación a su entrada en vigor.

11. Contacto

Para cualquier consulta relativa a esta Política o al tratamiento de tus datos personales, escríbenos a [TU EMAIL DE CONTACTO].