Política de Privacidad

1. Información que Recopilamos

1.1 Información de Cuenta

Cuando creas una cuenta, recopilamos:

• Dirección de email (para autenticación y comunicación)
• Marca de tiempo de creación de cuenta
• Actividad de inicio de sesión y datos de sesión

1.2 Información de Salud y Fitness

IMPORTANTE: Según el Artículo 9 del RGPD, los datos de salud son datos personales de "categoría especial" que requieren consentimiento explícito y protección adicional.

Podemos recopilar:

• Medidas físicas: Edad, peso, altura, género
• Perfil de fitness: Nivel de experiencia en entrenamiento, equipamiento disponible, frecuencia de entrenamiento
• Rendimiento en entrenamientos: Ejercicios realizados, series, repeticiones, pesos usados, RIR (repeticiones en reserva), tiempos de descanso
• Datos de dolor y lesiones: Limitaciones reportadas, ubicación del dolor, gravedad, ejercicios afectados
• Notas de entrenamiento: Comentarios de texto libre incluyendo sensaciones subjetivas, fatiga, molestias
• Disposición mental: Puntuaciones de disposición autoreportadas
• Composición corporal: (si se proporciona) porcentaje de grasa corporal, masa muscular
• Fase calórica: Estado de bulk, mantenimiento o cut
• Apps de salud conectadas: Pasos, calorías activas y totales, fases del sueño, frecuencia cardíaca en reposo, variabilidad cardíaca, peso corporal y actividades importados de Apple Health (iOS) o Health Connect (Android), si decides conectarlas

Los datos leídos de Apple Health y Health Connect se usan solo para personalizar entrenamiento, recuperación y nutrición dentro de Arvo. No los vendemos, no los usamos para publicidad y no los compartimos con terceros para sus propios fines. En el teléfono Arvo solo lee de estos servicios: no les escribe datos. Puedes revocar el acceso cuando quieras desde los ajustes de salud del dispositivo o desde Arvo; al eliminar tu cuenta se borran también los datos importados.

1.3 Datos de Uso

Recopilamos automáticamente:

• Información del dispositivo (tipo, sistema operativo)
• Dirección IP (anonimizada)
• Páginas visitadas y funciones utilizadas
• Registros de errores y reportes de fallos
• Patrones de interacción con IA (ej. entrenamientos generados, ejercicios seleccionados)

1.4 Datos de servicios de terceros

Usamos:

• Supabase: Autenticación y alojamiento de base de datos
• Anthropic/OpenAI: Proveedores de modelos de IA: datos minimizados y seudonimizados para las funciones internas de IA de Arvo; los datos identificables pueden compartirse mediante las herramientas opcionales y autorizadas de ChatGPT descritas en la Sección 5.4
• Vercel: Alojamiento y analíticas

2. Cómo Usamos Tu Información

2.1 Propósitos principales

• Generación de entrenamientos: La IA usa tu perfil, historial y limitaciones para crear entrenamientos personalizados
• Recomendaciones de ejercicios: Selección de ejercicios basada en equipamiento, experiencia y preferencias
• Seguimiento de progresión: Cálculo de progresiones apropiadas de peso/repeticiones basadas en rendimiento
• Extracción de observaciones: La IA analiza notas de entrenamiento para detectar patrones, preferencias y posibles problemas
• Funciones de seguridad: Evitar ejercicios que causaron dolor o lesiones
• Gestión de volumen: Seguimiento de volumen semanal para prevenir sobreentrenamiento

2.2 Mejora del Servicio

• Mejorar algoritmos de IA y precisión de recomendaciones
• Depurar errores y corregir fallos
• Entender el comportamiento del usuario para mejorar la experiencia
• Desarrollar nuevas características

2.3 Comunicación

• Enviar emails de autenticación (enlaces mágicos)
• Enviar actualizaciones del servicio
• Responder a solicitudes de soporte
• Comunicaciones de marketing (solo con tu consentimiento explícito)

2.4 Legal y Seguridad

• Cumplir con requisitos legales (ej. impuestos, autoridades)
• Proteger nuestros derechos y propiedad
• Prevenir fraude y abuso

3. Base Legal para el Procesamiento (RGPD)

Procesamos tus datos basándonos en:

• Consentimiento explícito (Artículo 9): Para recopilación de datos de salud y procesamiento de IA
• Ejecución de contrato: Para proporcionar el Servicio al que te registraste
• Intereses legítimos: Mejora del servicio, prevención de fraude, seguridad
• Obligaciones legales: Cumplimiento de leyes y regulaciones

Puedes retirar tu consentimiento en cualquier momento contactándonos o eliminando tu cuenta.

4. Almacenamiento y Seguridad de Datos

4.1 Dónde Almacenamos los Datos

• Base de datos principal: Supabase (PostgreSQL) alojada en centros de datos de la UE
• Almacenamiento del cliente: localStorage (entrenamientos en progreso, borradores)
• Copias de seguridad: Copias de seguridad cifradas almacenadas en la UE

4.2 Medidas de Seguridad

• Cifrado en tránsito (HTTPS/TLS)
• Cifrado en reposo para datos sensibles
• Seguridad a nivel de fila (RLS) en la base de datos
• Controles de acceso y autenticación
• Auditorías de seguridad regulares
• Minimización y seudonimización de datos para el procesamiento interno de IA de Arvo; el intercambio mediante herramientas autorizadas de ChatGPT se describe por separado en la Sección 5.4

4.3 Retención de Datos

Retenemos tus datos:

• Cuentas activas: Mientras tu cuenta exista
• Cuentas eliminadas: 30 días (para permitir recuperación), luego eliminación permanente
• Copias de seguridad: Hasta 90 días en copias cifradas
• Analíticas anonimizadas: Indefinidamente (no pueden vincularse a ti)

5. Compartición de Datos y Terceros

5.1 NO Vendemos Tus Datos

No vendemos, alquilamos ni comercializamos tus datos personales a terceros con fines de marketing.

5.2 Proveedores de Servicios

Compartimos datos con proveedores de servicios de confianza que nos ayudan a operar:

• Supabase: Base de datos y autenticación (compatible con RGPD, alojado en UE)
• Anthropic/OpenAI: El procesamiento interno de IA usa datos minimizados y seudonimizados; las llamadas opcionales y autorizadas a herramientas de ChatGPT pueden compartir los datos descritos en la Sección 5.4
• Vercel: Hosting y CDN (compatible con RGPD)

Todos los proveedores de servicios están vinculados por acuerdos de procesamiento de datos (DPA) y cumplen con el RGPD.

5.3 Procesamiento de Modelos de IA

Para las funciones internas de IA de Arvo, separadas de la integración opcional con ChatGPT de la Sección 5.4, enviamos a proveedores de IA (Anthropic, OpenAI) solo los datos necesarios para la función, minimizados y seudonimizados cuando sea posible. Estos datos:

• Excluyen el correo electrónico y los identificadores directos de la cuenta cuando no son necesarios; algunas funciones de personalización pueden usar tu nombre
• Pueden incluir historial de entrenamiento, preferencias, limitaciones, métricas de salud o recuperación y, cuando sea necesario, tu nombre
• No se usan para entrenar modelos de IA (según acuerdos con proveedores)
• No son almacenados por los proveedores de IA más allá del tiempo de procesamiento

5.4 Integraciones con Aplicaciones de Terceros (ChatGPT)

Puedes conectar opcionalmente tu cuenta de Arvo a ChatGPT (de OpenAI) mediante OAuth 2.0 para acceder a tus datos de entrenamiento y herramientas de coaching directamente dentro de ChatGPT.

Datos Compartidos con ChatGPT

Cuando la cuenta está conectada, ChatGPT puede acceder a los siguientes datos solo cuando se invoca una herramienta autorizada:

• Nombre y perfil de fitness, incluidos edad, sexo o género, peso, altura, composición corporal, experiencia, objetivos, preferencias, equipamiento, puntos débiles, lesiones o limitaciones, fase calórica y enfoque de entrenamiento
• Divisiones, calendarios y entrenamientos, incluidos ejercicios, series, repeticiones, cargas, duración, estado de la sesión, preparación, rendimiento e historial de entrenamientos
• Estadísticas de entrenamiento, récords personales, progreso por ejercicio, historial de ciclos, volumen y datos por grupo muscular, historial de fases calóricas y de enfoques de entrenamiento
• Progreso corporal y datos conectados de fitness o salud, incluidas actividades de cardio, sueño, HRV, frecuencia cardíaca en reposo o media, pasos, calorías activas, carga de entrenamiento y métricas de recuperación
• Notas de ejercicios, memoria de IA, información activa sobre entrenamiento o recuperación, problemas físicos reportados e información de vídeos de ejercicios
• Detalles de la metodología de entrenamiento y resultados devueltos por acciones autorizadas de lectura o escritura

Acceso de Escritura

ChatGPT también puede modificar tus datos a través de llamadas de herramientas autorizadas, incluyendo:

• Iniciar o completar entrenamientos y registrar series, repeticiones, cargas, mantenimientos cronometrados y rendimiento
• Generar o reemplazar entrenamientos; añadir, reordenar, omitir o cambiar ejercicios y bloques de calentamiento; y modificar la división o el ciclo de entrenamiento
• Actualizar equipamiento, fase calórica, puntos débiles, problemas físicos reportados y enfoque de entrenamiento
• Crear memoria de entrenamiento o resolver una limitación almacenada

La autenticación utiliza OAuth 2.0 con PKCE. Los tokens de acceso expiran después de 1 hora y los tokens de actualización después de 90 días.

Puedes desconectar Arvo de ChatGPT en cualquier momento desde la configuración de ChatGPT. La desconexión elimina el vínculo de ChatGPT; los JWT emitidos por Arvo no se invalidan de inmediato en el servidor y pueden seguir siendo técnicamente válidos hasta los plazos de caducidad indicados arriba.

Cada herramienta recibe solo los datos necesarios para esa solicitud; ChatGPT no tiene acceso masivo a la base de datos a través de Arvo. Las respuestas de las herramientas aún pueden contener los datos personales y de salud indicados arriba.

Los datos enviados a través de llamadas de herramientas están sujetos a las políticas de uso y prácticas de privacidad de OpenAI. Te animamos a revisar la política de privacidad de OpenAI en https://openai.com/privacy.

5.5 Requisitos Legales

Podemos divulgar tus datos si lo requieren:

• Autoridades de aplicación de la ley o gobierno
• Órdenes judiciales o procesos legales
• Protección de nuestros derechos, seguridad o propiedad
• Prevención de fraude o actividades ilegales

6. Tus Derechos (RGPD)

Tienes derecho a:

• Acceso: Solicitar una copia de todos los datos personales que tenemos sobre ti
• Rectificación: Corregir datos inexactos o incompletos
• Supresión ("Derecho al olvido"): Solicitar la eliminación de tus datos
• Portabilidad de datos: Recibir tus datos en un formato estructurado y legible por máquinas
• Restricción: Limitar cómo procesamos tus datos
• Oposición: Oponerte al procesamiento basado en intereses legítimos
• Retirar consentimiento: Revocar el consentimiento para el procesamiento de datos de salud en cualquier momento
• Presentar una queja: Presentar una queja ante una autoridad de protección de datos

Para ejercer estos derechos, contáctanos en privacy@aetha.ai o usa la página de configuración cuando esté disponible.

7. Cookies y Seguimiento

Usamos cookies y seguimiento mínimos:

7.1 Cookies Esenciales

• Tokens de autenticación (para mantenerte conectado)
• Gestión de sesión
• Seguridad y prevención de fraude

7.2 Cookies de Analíticas (Opcionales)

• Vercel Analytics (estadísticas de uso anonimizadas)
• Seguimiento de errores (para corregir bugs)

Puedes deshabilitar las cookies de analíticas a través de la configuración de tu navegador.

8. Privacidad de Menores

Arvo está destinado a usuarios de 14 años o más. Los usuarios menores de 18 años deben usar el Servicio bajo supervisión parental.

No recopilamos conscientemente datos de menores de 14 años. Si crees que hemos recopilado tales datos, por favor contáctanos inmediatamente y los eliminaremos.

9. Transferencias Internacionales de Datos

Tus datos se almacenan y procesan principalmente dentro de la Unión Europea. Si los datos se transfieren fuera de la UE (ej. a proveedores de IA en EE.UU.), aseguramos salvaguardas adecuadas como:

• Cláusulas Contractuales Tipo (CCT)
• Minimización y seudonimización de datos cuando corresponda
• Acuerdos de procesamiento de datos compatibles con RGPD

10. Cambios a Esta Política

Podemos actualizar esta Política de Privacidad para reflejar cambios en nuestras prácticas o requisitos legales. Lo haremos:

• Notificarte de cambios materiales por email o notificación en la app
• Actualizar la fecha de "Última actualización" en la parte superior
• Obtener tu consentimiento si lo requiere la ley

El uso continuado del Servicio después de los cambios constituye aceptación de la política actualizada.

11. Contáctanos

Para preguntas relacionadas con la privacidad, solicitudes de acceso a datos o para ejercer tus derechos:

Contacto de Protección de Datos:
Email: privacy@aetha.ai
Sitio web: https://aetha.ai

Representante en la UE (si aplica):
[Por determinar si es necesario según tu estructura empresarial]