Política de privacidad

Responsable del tratamiento

El responsable del tratamiento es Bastien Vanhove EI, 78, Avenue des Champs-Élysées, Bureau 326, 75008 París, Francia.

Para cualquier pregunta sobre privacidad: contact@shredy.app.

Datos recopilados

Nalko recopila únicamente los datos necesarios para operar la aplicación, proteger el servicio, prestar soporte y gestionar derechos premium.

• Cuenta: nombre, email, hash de la contraseña e identificadores Apple o Google cuando se usa OAuth.
• Perfil y onboarding: objetivo, nivel, medidas, altura, peso, puntos musculares débiles, preferencias de programa y otros contenidos introducidos por el usuario.
• Entrenamiento, nutrición, actividad física y datos de salud opcionales: sesiones, ejercicios, rutinas, comidas, alimentos, recetas, pasos, distancia, calorías activas, peso y composición corporal, frecuencia cardiaca en reposo, variabilidad cardiaca, VO2 máx., objetivos y progreso. Apple Salud o Health Connect solo se consultan tras la autorización del dispositivo.
• Soporte: categoría, asunto, título, mensaje, idioma, nombre, email e ID de la cuenta autenticada, ID de instalación, tipo de cliente y fecha de envío. Se requiere una cuenta con sesión iniciada.
• Notificaciones: token Expo Push, plataforma y fecha de actualización cuando se activan.
• Actividad e interacción con el producto: identificadores internos de cuenta, instalación y dispositivo, idioma, plataforma, versión, primera apertura, última actividad, interacciones y eventos API muestreados para analíticas internas.
• Historial de búsqueda: consultas y selecciones de alimentos, recetas o ejercicios cuando se registran para ofrecer la búsqueda, los elementos recientes y mejorar la clasificación.
• Suscripciones y compras: estado premium, historial de compra, identificadores de cliente, transacción y producto, tienda y entorno, precio y divisa, fechas de compra y expiración, prueba, cancelación y datos RevenueCat necesarios para verificar derechos y auditar.
• Servicios de acceso de terceros: el SDK Google Sign-In integrado declara datos de cuenta, identificadores, número de teléfono, ubicación aproximada y datos de uso que pueden tratarse según la cuenta y el contexto técnico. Nalko no solicita número de teléfono ni permiso GPS y no almacena un número de teléfono o una ubicación precisa en su backend.

Pagos móviles

Nalko no recopila ni almacena datos bancarios. Los pagos se realizan exclusivamente en la aplicación móvil mediante Apple App Store o Google Play.

RevenueCat puede tratar datos técnicos de suscripción para verificar derechos premium, restaurar compras y sincronizar el acceso entre la aplicación y el backend Nalko.

Bases legales y finalidades

El tratamiento se basa en la ejecución del contrato cuando los datos son necesarios para ofrecer la aplicación, sincronizar datos, gestionar la cuenta, tratar soporte o activar compras.

Algunos tratamientos se basan en el consentimiento, como notificaciones, acceso a Apple Salud o Health Connect y futuras comunicaciones de marketing.

Los registros de seguridad, la prevención de abuso y las analíticas técnicas responden al interés legítimo de Nalko en mantener un servicio fiable y seguro. Las obligaciones fiscales o contables se basan en obligaciones legales.

Destinatarios y proveedores

Tus datos no se venden. Solo pueden compartirse con proveedores necesarios para operar el servicio.

• Hetzner: alojamiento técnico, API y base de datos.
• Apple y Google: autenticación OAuth, distribución móvil y pagos integrados.
• RevenueCat: verificación de compras y suscripciones.
• Expo: notificaciones push cuando se activan.
• Google Workspace (Gmail mediante SMTP): se utiliza únicamente para enviar, recibir y responder mensajes de soporte. Nalko no lo usa actualmente ni para emails de marketing ni para emails transaccionales automatizados.
• Google (clients3.google.com/generate_204): la aplicación móvil puede enviar una solicitud HEAD vacía a este endpoint para comprobar el acceso a Internet. Nalko no añade datos de cuenta ni contenido del usuario; Google recibe, no obstante, los datos técnicos inherentes a la conexión, incluida la dirección IP.
• Meilisearch: software de búsqueda autoalojado en la infraestructura técnica de Nalko para administración, alimentos, recetas y ejercicios cuando se activa; no es un destinatario externo independiente.
• OpenFoodFacts: fuente pública de datos alimentarios, sin que Nalko comparta tus datos personales con OpenFoodFacts.

Almacenamiento local y sincronización

La aplicación usa SQLite como fuente local de datos y Expo Secure Store para los tokens de autenticación. Los tokens no se guardan en SQLite.

Cuando el usuario inicia sesión, algunos datos pueden sincronizarse con el backend Nalko para copia de seguridad y uso multidispositivo.

En el sitio web, abrir el soporte con sesión iniciada puede guardar temporalmente los tokens de autenticación en el almacenamiento de sesión del navegador. Se eliminan al cerrar sesión o al finalizar la sesión; los antiguos tokens que pudieran existir en el almacenamiento local se migran y eliminan de este.

En el móvil, una sesión antigua puede actualizarse intercambiando su token de acceso anterior por un par rotativo de tokens de acceso y actualización. El token antiguo deja de utilizarse tras confirmar la nueva sesión, o cuando expira o se revoca.

Vinculación con la cuenta y ausencia de seguimiento publicitario

Con la sesión iniciada, los datos de perfil, actividad, soporte, búsqueda y compra pueden vincularse a la cuenta Nalko. También puede utilizarse un identificador de instalación antes de iniciar sesión para contar una primera apertura y proteger o medir el servicio.

Nalko no vende tus datos, no muestra publicidad dirigida ni los utiliza para seguirte entre aplicaciones o sitios web de otras empresas.

Plazos de conservación

• Cuenta y datos sincronizados: mientras la cuenta esté activa, luego se eliminan al borrar la cuenta salvo obligación legal.
• Tokens de autenticación: hasta cierre de sesión, eliminación de cuenta o revocación técnica.
• Mensajes de soporte: durante el tiempo necesario para tratar y seguir la solicitud.
• Facturación: gestionada principalmente por Apple o Google; los registros necesarios se conservan según las obligaciones contables y fiscales aplicables.
• Eventos RevenueCat, historial de compra y registros técnicos: pueden conservarse registros seudónimos o de auditoría tras eliminar la cuenta cuando sean necesarios para contabilidad, prevención del fraude, seguridad o reclamaciones legales.
• Analíticas técnicas, historial de búsqueda y eventos API: se conservan según las necesidades documentadas de salud del producto, seguridad y mejora; el vínculo directo con la cuenta se elimina cuando deja de ser necesario, sin perjuicio de los registros de auditoría descritos.

Tus derechos

Puedes ejercer derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad cuando sean aplicables.

Puedes usar las funciones disponibles en la aplicación o escribir a contact@shredy.app. También puedes presentar una reclamación ante la CNIL.

Seguridad y transferencias

Nalko aplica medidas técnicas y organizativas: hash de contraseñas, autenticación por token, almacenamiento móvil seguro, restricciones de acceso y alojamiento seguro.

Algunos proveedores, como Apple, Google, RevenueCat o Expo, pueden tratar datos fuera del Espacio Económico Europeo. Estos tratamientos están sujetos a las normas aplicables a las transferencias de datos; puede solicitarse más información en contact@shredy.app.

Actualizaciones

Esta política puede cambiar para seguir la evolución de la aplicación, del backend o de la normativa. La fecha de actualización aparece arriba.