Política de Privacidad

2. Datos Recopilados

2.1 Información de la Cuenta

Cuando guardas tu programa, recopilamos:

• Dirección de correo electrónico: para inicio de sesión, comunicación y recuperación de contraseña
• Contraseña: hasheada con scrypt y nunca almacenada en texto plano
• Fecha de guardado del programa

2.2 Datos de Entrenamiento

Para generar programas personalizados, recopilamos:

• Objetivo fitness: ganancia muscular, quema de grasa, resistencia, etc.
• Nivel de experiencia: principiante, intermedio, avanzado
• Equipamiento disponible: gimnasio, peso corporal, mancuernas, etc.
• Frecuencia de entrenamiento deseada: número de sesiones por semana
• Preferencias de ejercicios: ejercicios favoritos o ejercicios a evitar
• Historial de entrenamiento: sesiones completadas, registros por serie (peso, reps, tiempo de descanso), récords personales (1RM estimado), volumen por grupo muscular, medidas de peso corporal, feedback de sesión

2.3 Datos de Pago

Los pagos son procesados exclusivamente por Lemon Squeezy, LLC (nuestro Merchant of Record). Lemon Squeezy gestiona el procesamiento de pagos, la recaudación de impuestos, los reembolsos y contracargos, y el cumplimiento relacionado con pagos, incluido PCI. Nunca almacenamos tu información bancaria en nuestros servidores.

Lemon Squeezy recopila y procesa:

• Número de tarjeta de crédito, fecha de vencimiento, CVV
• Nombre y dirección de facturación
• Detalles de la transacción (importe, fecha, moneda)

Recibimos de Lemon Squeezy metadatos limitados de facturación y suscripción necesarios para operar el servicio, como el estado de la suscripción, el plan, las fechas de renovación o finalización, los IDs de cliente y suscripción de Lemon Squeezy, el procesador de pagos, los enlaces del portal y referencias de transacciones. También podemos conservar el correo de facturación vinculado a la suscripción para soporte, conciliación y recuperación de cuenta. Nunca recibimos ni almacenamos los datos completos de la tarjeta.

2.4 Datos Técnicos

Recopilamos:

• Tipo de dispositivo: navegador web o PWA instalada (iOS, Android, escritorio)
• Versión de la aplicación
• Versión del sistema operativo
• Preferencia de idioma
• Registros de errores (para corregir errores)

No usamos geolocalización precisa ni identificadores publicitarios móviles (IDFA/AAID) para seguimiento. Ciertos identificadores técnicos (incluida la IP) pueden procesarse de forma transitoria para seguridad, prevención de fraude y enrutamiento, y luego se minimizan o eliminan según nuestras reglas de conservación.

2.5 Datos de Condición Física

Para generar programas personalizados, recopilamos con tu consentimiento explícito:

• Peso: para adaptar la intensidad del ejercicio
• Altura: para calcular los parámetros de entrenamiento
• Edad: para ajustar la dificultad del programa
• Sexo: para personalizar la selección de ejercicios
• Tipo de cuerpo: para optimizar la estrategia de entrenamiento
• Objetivo de entrenamiento: para seleccionar el programa apropiado

3. Cómo utilizamos tus datos

3.1 Prestación del Servicio

• Guardar tu programa y gestionar tu acceso
• Generar programas de entrenamiento personalizados con IA
• Hacer seguimiento de tu progreso e historial de entrenamiento
• Sincronizar datos entre tus dispositivos

Base legal: Ejecución del contrato (Términos de Servicio).

3.2 Comunicación

• Enviar correos electrónicos transaccionales (confirmación de cuenta, restablecimiento de contraseña)
• Notificar sobre el estado de la suscripción (recordatorios de renovación, fallo de pago)
• Proporcionar soporte al cliente

Base legal: Ejecución del contrato e interés legítimo.

3.3 Procesamiento de Pagos

• Procesar pagos de suscripción a través de Lemon Squeezy
• Generar facturas
• Gestionar reembolsos

Base legal: Ejecución del contrato y obligación legal (registros fiscales: 10 años).

3.4 Mejora del Servicio

• Analizar datos de uso (a través de PostHog con consentimiento, o de forma anónima sin él)
• Identificar y corregir errores
• Desarrollar nuevas funciones basadas en las necesidades de los usuarios

Base legal: consentimiento para analítica identificada. El interés legítimo solo se aplica a estadísticas agregadas generadas desde eventos analíticos anónimos solo en memoria y parámetros de campaña no personales.

4. Proveedores de Servicios de Terceros

Compartimos tus datos con estos socios de confianza que nos ayudan a proporcionar el servicio:

4.1 Infraestructura

• Cloudflare, Inc. (sociedad estadounidense): alojamiento completo de la aplicación en Cloudflare Workers (Smart Placement), base de datos principal en Cloudflare D1 (SQLite en la red de Cloudflare), almacenamiento de objetos R2 en jurisdicción UE (multimedia de ejercicios), caché KV, Durable Objects (datos por usuario restringidos a jurisdicción UE; bloqueos distribuidos y bloqueo de cuenta usan pistas de ubicación en Europa Occidental), Workers Rate Limit, Cloudflare Pages (sitio de marketing), DNS, protección DDoS, CDN, detección de país mediante señales de red de Cloudflare.
• Cloudflare Turnstile (CAPTCHA): protección contra bots y abuso al guardar un programa, restablecer la contraseña y solicitar OTP por correo electrónico. Procesa únicamente señales mínimas del navegador, sin cookies ni fingerprinting.
• Resend (Plus Five Five, Inc., EE.UU.): correos transaccionales (confirmación de cuenta, OTP por correo, restablecimiento de contraseña, avisos de retención). Transferencias cubiertas por las Cláusulas Contractuales Tipo.
• Bunny.net (BunnyWay d.o.o., Eslovenia, UE): CDN de imágenes solo para el sitio de marketing. No se procesan datos de usuarios autenticados.
• Strapi (Strapi SAS, Francia, UE): CMS headless que aloja el contenido del blog del sitio de marketing únicamente. No se procesan datos de usuarios autenticados.

Se ha firmado un Acuerdo de Tratamiento de Datos (Cloudflare Standard DPA v4.3) entre JCODE y Cloudflare, Inc., con fecha 2026-05-10, incluyendo las Cláusulas Contractuales Tipo (CCT) de la UE para las transferencias a países sin nivel adecuado.

4.2 Pago

• Lemon Squeezy, LLC: Merchant of Record, procesamiento de pagos, recaudación de impuestos, facturación, compatible con PCI-DSS

Para más detalles sobre cómo Lemon Squeezy procesa tus datos, consulta la Política de Privacidad de Lemon Squeezy.

4.3 Análisis

• PostHog (eu.posthog.com, región UE): analítica identificada basada en el consentimiento, o analítica anónima solo en memoria, sin almacenamiento persistente de PostHog, para estadísticas agregadas.

Transferencias internacionales: tu base de datos principal (Cloudflare D1) y tu almacenamiento de objetos (Cloudflare R2 con jurisdicción UE) operan sobre la red edge de Cloudflare; las transferencias entre regiones Cloudflare están cubiertas por el Addendum de Tratamiento de Datos de Cloudflare y las Cláusulas Contractuales Tipo (SCC). La propia Cloudflare, Lemon Squeezy y Resend son sociedades estadounidenses y pueden procesar datos fuera del Espacio Económico Europeo; en todos los casos nos basamos en las salvaguardas de transferencia del RGPD (SCC y/o decisiones de adecuación).

5. Compartición de Datos

Nunca vendemos tus datos personales a terceros.

Solo podemos compartir datos en estos casos:

• Con tu consentimiento: si lo autorizas explícitamente
• Obligación legal: orden judicial, solicitud regulatoria
• Proveedores de servicios: enumerados en la sección 4 anterior
• Transferencia de negocio: en caso de fusión, adquisición o venta de activos (se te notificará)

6. Uso de Datos para Mejora de IA

Con tu consentimiento explícito, para mejorar la calidad de los programas generados para todos los usuarios, podemos utilizar datos de entrenamiento agregados y anonimizados para refinar las reglas y heurísticas que alimentan nuestras funciones de IA (por ejemplo, clustering de ejercicios, detección de mesetas, progresión de cargas). El reporte AI Coach (WorkoutGen Max) se genera localmente por WorkoutGen a partir de señales agregadas del tracker - ningún dato personal se comparte con proveedores LLM externos.

Salvaguardas:

• No se usan identificadores directos (nombre, correo) en este flujo de mejora de IA.
• Los datos están seudonimizados (identificador aleatorio)
• Solo datos de entrenamiento (objetivo, nivel, equipamiento, progreso)
• No se tratan datos de diagnóstico ni de tratamiento médico.
• Almacenamiento restringido a la UE para datos por usuario y objetos R2; el procesamiento edge global está cubierto por el DPA de Cloudflare y las CCT
• Puedes optar por no participar a través de contact@workoutgen.app

Base legal: Consentimiento explícito (opt-in en Ajustes > Privacidad). Puedes retirar tu consentimiento en cualquier momento.

7. Conservación de Datos

• Cuenta activa: los datos se conservan mientras la cuenta esté activa
• Cuenta eliminada: los datos se eliminan en un plazo de 30 días (excepto obligaciones legales)
• Facturas: 10 años (requisito de la ley tributaria). Registro de auditoría de seguridad (eliminación de cuenta, cambio de correo, eventos de cancelación de suscripción con identificadores hasheados): 3 años.
• Registros de análisis: máximo 12 meses
• Cuentas inactivas: 3 años de inactividad → advertencia por correo electrónico → eliminación después de 30 días
• Cuentas no verificadas: se eliminan automáticamente después de 90 días si la dirección de correo no se ha verificado.

8. Seguridad de los Datos

Implementamos medidas de seguridad estándar de la industria:

Medidas Técnicas

• Cifrado: HTTPS/TLS para datos en tránsito, AES-256 para datos en reposo (a través de los proveedores de infraestructura)
• Autenticación: contraseñas cifradas con scrypt; OTP por correo (códigos de un solo uso) hasheados antes de almacenarse; bloqueo de cuenta tras 10 intentos fallidos en una ventana de 15 minutos.
• Control de acceso: principio de mínimo privilegio
• Monitorización y prevención de abusos: limitación de tasa automatizada (Cloudflare Workers Rate Limit y Durable Objects), bloqueo de cuenta tras 10 intentos fallidos de inicio de sesión en 15 minutos, protección contra bots mediante Cloudflare Turnstile al guardar un programa, restablecer la contraseña y solicitar OTP por correo electrónico, detección automatizada de intrusiones.

Medidas Organizativas

• Auditorías de seguridad regulares
• Formación del personal sobre protección de datos
• Plan de respuesta a incidentes

En caso de violación de datos personales, notificamos a la autoridad de control competente dentro de los plazos legales (Art. 33 RGPD). Si la violación puede implicar un alto riesgo para tus derechos y libertades, te informaremos sin dilación indebida (Art. 34 RGPD).

9. Tus derechos de privacidad

Bajo el RGPD y las leyes de privacidad de EE.UU. (CCPA, leyes estatales), tienes los siguientes derechos:

Derecho de Acceso

Solicitar una copia de todos los datos personales que tenemos sobre ti.

Derecho de Rectificación

Corregir tus datos personales directamente en la aplicación (Configuración > Cuenta) o contactarnos.

Derecho de Supresión

Eliminar tu cuenta en cualquier momento (Configuración > Eliminar Cuenta). Todos los datos se borrarán en 30 días, excepto obligaciones legales (facturas: 10 años).

Derecho de Oposición

Oponerse al procesamiento de tus datos para análisis o entrenamiento de IA.

Derecho de Portabilidad

Descargar tus datos en formato estructurado (JSON para la exportación completa de la cuenta, CSV para el historial del tracker de peso) para transferirlos a otro lugar.

Derecho de Limitación

Solicitar la suspensión temporal del procesamiento de datos durante una disputa.

Derecho a Retirar el Consentimiento

Cuando el tratamiento se basa en tu consentimiento (analítica, mejoras de entrenamiento de IA), puedes retirarlo en cualquier momento en Configuración > Privacidad. La retirada no afecta a la licitud del tratamiento realizado antes de la retirada.

Derecho de Exclusión Voluntaria (CCPA)

Los residentes de California pueden optar por no participar en la "venta" de datos (no vendemos datos, pero puedes solicitar la eliminación).

Para ejercer tus derechos:
Email: contact@workoutgen.app
Tiempo de respuesta: máximo 30 días
Puede requerirse verificación de identidad por seguridad

Presentar una reclamación:
Residentes de la UE: tu autoridad nacional de protección de datos o la CNIL (cnil.fr)
Residentes de EE.UU.: Fiscal General del Estado o FTC (ftc.gov)

10. Cookies y Rastreadores

WorkoutGen utiliza cookies mínimas y respeta tus opciones de privacidad:

Cookies Estrictamente Necesarias (no se requiere consentimiento)

• Sesión de usuario: para permanecer conectado (cookie de sesión vinculada a un registro de sesión del lado del servidor almacenado en nuestra base de datos)
• Preferencias de interfaz: tema oscuro/claro, idioma

Análisis (basado en consentimiento)

• PostHog: Con tu consentimiento, usamos cookies y almacenamiento local de analítica para medición identificada. Sin consentimiento, la analítica permanece anónima con almacenamiento de PostHog solo en memoria: no se persiste ningún identificador de PostHog en cookies ni en localStorage. Los eventos se usan para estadísticas agregadas, se conservan por un periodo limitado y no se usan para publicidad.

En tu primera visita, un banner de consentimiento te permite aceptar o rechazar las cookies de analítica no esenciales. Tu elección se almacena localmente y se puede cambiar en cualquier momento en Configuración > Privacidad.

11. Privacidad de los Niños

WorkoutGen no está destinado a usuarios por debajo de la edad de consentimiento digital de su país: 15 años en Francia (en virtud de la transposición francesa del RGPD), 16 años en los países que han mantenido el valor predeterminado del RGPD, y 13 años en los Estados Unidos (COPPA) y el Reino Unido. No recopilamos a sabiendas datos de niños por debajo de estos umbrales.

Si descubrimos que se recopilaron datos de un niño sin el consentimiento de los padres, los eliminaremos inmediatamente.

Los usuarios de 15-17 años deben tener el consentimiento de los padres/tutor antes de guardar su programa.

12. Señales de "No Rastrear"

Algunos navegadores ofrecen señales de "No Rastrear" (DNT). WorkoutGen actualmente no responde a las señales DNT, pero minimizamos el rastreo por defecto (sin anuncios, sin rastreadores de terceros).

13. Actualizaciones de la Política

Podemos actualizar esta Política de Privacidad para reflejar cambios legales o nuevas funciones. Te notificaremos de cambios significativos por correo electrónico o notificación en la aplicación.

La fecha de última modificación se muestra en la parte superior de esta página.

14. Contacto y DPO

Para cualquier pregunta sobre protección de datos:

Email: contact@workoutgen.app

Teléfono: +33 7 84 07 11 53

Dirección postal: JCODE, 25 rue de Ponthieu, 75008 París, Francia

Delegado de Protección de Datos (DPO): Jean-Baptiste Thery (mismo correo electrónico)

Autoridad de Control de la UE (CNIL):

Autoridad Francesa de Protección de Datos (CNIL - Commission Nationale de l'Informatique et des Libertés)

3 Place de Fontenoy, TSA 80715, 75334 París Cedex 07, Francia

Tel: +33 1 53 73 22 22

Sitio web: www.cnil.fr