Política de Privacidad

1. Nuestros principios de privacidad

Cuatro compromisos aplicados en nuestro código, no solo en nuestro texto:

• Local-first. Cada registro que haces se guarda primero en tu dispositivo. La app funciona completamente sin conexión.
• Conocimiento cero. Los datos de salud que almacenamos para sincronización están cifrados con claves que solo tú posees. No podemos descifrarlos. No podemos leerlos. Incluso si nos lo exigieran legalmente, solo podríamos entregar texto cifrado.
• Botón de pánico. Una sola acción dentro de la app elimina las claves de cifrado y los datos locales, al instante — sin cadenas de confirmación, sin demora remota.
• Separación de identidad. Tus datos de salud nunca se indexan por tu correo electrónico, nombre o cualquier dato personal identificable — solo por un identificador interno que no tiene significado fuera de nuestro sistema.

2. Información que recopilamos

2.1 Información almacenada solo en tu dispositivo

Todo lo siguiente permanece en tu teléfono a menos que actives explícitamente la sincronización:

• Registros de ciclo (fechas de periodo, flujo, duración, fase).
• Síntomas, estado de ánimo y etiquetas que registras.
• Notas y entradas de diario.
• Configuración y preferencias de predicción.
• Estado del jardín (plantas, crecimiento, rachas).

Si nunca activas la sincronización o el modo pareja, ninguno de estos datos llega a nuestros servidores.

2.2 Información que recibimos (solo si activas la sincronización o inicias sesión)

• Datos de autenticación. Si creas una cuenta, inicias sesión usando Sign in with Apple o Sign in with Google. No ofrecemos registro con contraseña y nunca creamos, transmitimos ni almacenamos contraseñas. A través de nuestra biblioteca de identidad (better-auth) recibimos de Apple o Google únicamente un ID de usuario estable del proveedor, más — si y solo si lo concedes durante la pantalla de consentimiento — tu dirección de correo electrónico y/o nombre para mostrar. Usamos estos datos para reconocerte en sesiones futuras y, cuando corresponda, para enviarte correos de servicio (confirmaciones de eliminación de cuenta, avisos de seguridad). El relay “Ocultar mi correo” de Apple es totalmente compatible: si lo eliges, nunca vemos tu dirección real.
• Blobs de datos cifrados. Cuando la sincronización está activada, tu dispositivo cifra tus datos usando claves derivadas en el dispositivo y luego sube el texto cifrado. Lo almacenamos, lo replicamos para confiabilidad y lo reenviamos a tus otros dispositivos. Nunca vemos texto plano.
• Claves del modo pareja. Cuando invitas a una pareja, su clave pública se intercambia con la tuya mediante un handshake X25519. Almacenamos la clave de sesión cifrada, no tus datos. Las parejas solo ven lo que tú elijas compartir, cifrado con claves derivadas de tu handshake.

2.3 Eventos de analítica

Operamos dos niveles distintos de analítica. Ninguno incluye datos de salud. Nuestro código lo garantiza con una lista de permitidos fija: los payloads de eventos que contengan claves prohibidas lanzan una excepción en tiempo de ejecución en lugar de enviarse.

(a) Métricas de producto anónimas (siempre activas)

Enviamos un pequeño conjunto fijo de conteos agregados a PostHog, nuestro proveedor de analítica, que los procesa en servidores de Estados Unidos. Estos eventos cubren la finalización del proceso de incorporación, la visualización del muro de pago y el plan elegido, el inicio de una prueba y la mejora a premium. No llevan ningún identificador duradero ni ninguna cookie: antes de que des tu consentimiento, el cliente de analítica funciona solo en memoria, así que el identificador aleatorio asociado a estos conteos se descarta al cerrar la app o la pestaña y no permite reconocerte en una visita posterior. No se crea ningún perfil. Base legal: interés legítimo en comprender el rendimiento del embudo de producto (Art. 6(1)(f) RGPD); garantizado por la lista de permitidos. No es posible desactivar estos conteos anónimos mínimos, pero se pueden reducir a cero dejando de usar la app.

(b) Analítica detallada (tú decides, y la posición inicial depende de dónde estés)

El selector se muestra durante el proceso de incorporación, justo encima del botón que finaliza la configuración, y siempre está disponible en Perfil → Privacidad y seguridad. En el EEE, el Reino Unido y Suiza empieza desactivado, y nada de este nivel funciona a menos que lo actives. En el resto de lugares empieza activado, y puedes desactivarlo durante la configuración o en cualquier momento después. Mientras esté activo, enviamos adicionalmente datos de eventos por sesión etiquetados con un identificador aleatorio generado en tu dispositivo. Ese identificador se comparte con PostHog, nuestro procesador de analítica, para poder agrupar tus sesiones; nunca se vincula a tu nombre, tu correo ni tu cuenta. Nos permite ver patrones a nivel de sesión (pantallas visitadas, apertura y cierre de la app, ajustes que no son de salud) sin saber quién eres. Base legal: tu consentimiento (Art. 6(1)(a) RGPD, y Art. 5(3) de la Directiva ePrivacy, que regula el almacenamiento de un identificador en tu dispositivo) allí donde se requiere consentimiento — por eso el selector empieza desactivado en el EEE, el Reino Unido y Suiza. En el resto de lugares, interés legítimo en comprender cómo se usa la app para poder mejorarla (Art. 6(1)(f) RGPD), equilibrado por el hecho de que los datos no contienen información de salud ni identidad, y por ofrecerse la opción de desactivarlo desde el principio y mantenerse siempre disponible. Puedes desactivarlo en cualquier momento en Perfil → Privacidad y seguridad; al hacerlo, se elimina el identificador aleatorio de tu dispositivo y volvemos a los conteos anónimos descritos anteriormente.

A continuación está la lista completa de cada evento que registramos en la web. Estos eventos no tienen ningún identificador de usuario asociado — son completamente anónimos.

Nuestro sistema de analítica tiene una protección incorporada: una lista de claves prohibidas. Si cualquier payload de evento contiene alguno de los siguientes nombres de campo, el código lanza un error en tiempo de ejecución y el evento no se envía:

Cada payload también tiene un límite de longitud (cada cadena de texto limitada a 128 caracteres) para evitar que cualquier texto libre filtre datos accidentalmente. Puedes revocar el consentimiento de analítica detallada en cualquier momento desde el banner de cookies o en Perfil → Privacidad y seguridad; cuando lo hagas, el identificador aleatorio se elimina y volvemos a los conteos anónimos descritos en §2.3(a).

2.4 Información de suscripción

Las suscripciones premium se procesan por Apple o Google a través de RevenueCat. Recibimos un estado de suscripción (premium vs. gratuito) vinculado a tu ID de usuario interno — nunca vemos tu tarjeta de pago, dirección de facturación o cuenta del App Store.

2.5 Información de dispositivo y diagnóstico

Si la app falla, información básica de diagnóstico (tipo de dispositivo, versión del SO, versión de la app y un stack trace del error — con datos de salud eliminados antes de la transmisión) puede enviarse a PostHog, que se encarga tanto de los informes de errores como de la analítica. Los mensajes de error no se transmiten: cada uno se sustituye por el nombre técnico del tipo de error antes de que el informe salga de tu dispositivo, y los stack traces se reducen a rutas de archivo y nombres de funciones dentro de la app. Tus datos de ciclo, contenido de diario y síntomas nunca se incluyen. Los informes de errores tienen su propio interruptor en la configuración, independiente del de analítica, y puedes desactivarlos cuando quieras.

Si usas Reportar un problema en la app, el mensaje que escribas se envía a PostHog para que podamos leerlo y actuar. Esto solo ocurre cuando escribes algo y pulsas Enviar; el formulario no pide nada más: ni nombre, ni correo electrónico, ni captura de pantalla.

3. Datos de categoría especial (sensibles)

Nuestra base legal para el tratamiento de tus datos de salud es tu consentimiento explícito, otorgado cuando:

• Instalas y abres la app (almacena datos en tu dispositivo).
• Activas la sincronización o el modo pareja en la configuración de la app (habilita la transmisión cifrada).

Puedes retirar ese consentimiento en cualquier momento desactivando la sincronización, eliminando tu cuenta o usando la función de borrado de pánico. Dado que nunca tenemos tus claves de descifrado, retirar el consentimiento hace que cualquier texto cifrado previamente subido sea permanentemente ilegible una vez que tus claves se descartan.

4. Bases legales para el tratamiento (RGPD)

Si te encuentras en el Espacio Económico Europeo, el Reino Unido o Suiza, el Artículo 6 del Reglamento General de Protección de Datos nos exige identificar una base legal para cada actividad de tratamiento:

5. IA en el dispositivo y decisiones automatizadas

Vela usa varias funciones de aprendizaje automático e inteligencia artificial. Todas se ejecutan completamente en tu dispositivo. Ningún dato de salud se envía jamás a un servicio de IA en la nube.

• Predicciones de ciclo. Una combinación del cálculo Ogino-Knaus y media móvil ponderada, calculada localmente.
• Detección de anomalías. Análisis estadístico de Z-score de las variaciones del ciclo, calculado localmente.
• Búsqueda semántica. Embeddings en el dispositivo de tus propias entradas de diario para búsqueda en lenguaje natural.
• Consejos para la pareja. Un modelo de lenguaje pequeño en el dispositivo genera sugerencias adaptadas a la fase que se muestran a tu pareja (si el Modo Pareja está activado). El modelo solo ve el contexto de fase que tú elijas compartir, y la inferencia ocurre en el dispositivo de tu pareja — no en nuestros servidores.

Toma de decisiones automatizada. Las predicciones, alertas de anomalías y consejos son solo informativos. No producen efectos legales ni efectos similarmente significativos para ti, por lo que no califican como “decisiones exclusivamente automatizadas” bajo el Artículo 22 del RGPD. Siempre mantienes control manual total sobre tus datos y el comportamiento de la app.

6. Cómo usamos la información

• Para proporcionar la experiencia principal de la app en tu dispositivo (todo el procesamiento es local).
• Para sincronizar tus datos cifrados entre tus propios dispositivos, si activas la sincronización.
• Para transmitir datos cifrados del modo pareja entre tú y una pareja que hayas invitado.
• Para autenticarte y vincular tu suscripción (premium vs. gratuito) a la cuenta correcta.
• Para medir conteos agregados anónimos del embudo (siempre activos, sin identificador) y, si das tu consentimiento, patrones de uso detallados en el dispositivo — para poder mejorar la app. Ninguno incluye datos de salud.
• Para responder a tus solicitudes de soporte.
• Para cumplir con obligaciones legales.

No usamos tu información para mostrar anuncios, para entrenar modelos de aprendizaje automático con tus datos, ni para venderla, alquilarla o cederla a nadie.

7. Cómo protegemos la información

• En reposo en tu dispositivo: Vela usa el almacenamiento seguro de tu plataforma (iOS Keychain / Android Keystore) para las claves de cifrado.
• En tránsito: Todo el tráfico de red se cifra con TLS 1.2 o superior.
• En reposo en nuestros servidores: Los payloads de sincronización y modo pareja se cifran en tu dispositivo con XSalsa20-Poly1305 (NaCl secretbox) antes de subirse. Nunca tenemos tus claves de cifrado.
• Intercambio de claves del modo pareja: Usa X25519 Diffie-Hellman para claves de sesión con secreto hacia adelante.
• Control de acceso: Solo un número reducido de ingenieros autorizados puede acceder a la infraestructura que almacena blobs cifrados, y el acceso se registra.

8. Compartición de datos

No vendemos ni alquilamos información personal. Jamás. Compartimos información solo en las siguientes circunstancias limitadas:

• Proveedores de servicio. Compartición limitada y contractual con proveedores que operan el Servicio — nuestro proveedor de autenticación, nuestro proveedor de hosting (Hetzner), nuestro proveedor de analítica e informes de errores (PostHog) y RevenueCat para la gestión de suscripciones. Cada uno está sujeto a un acuerdo de procesamiento de datos y recibe solo el mínimo de datos necesario.
• Modo pareja. Solo los datos que elijas compartir, cifrados de extremo a extremo, visibles solo para la pareja que invites. Si revocas la conexión, su acceso termina.
• Requerimiento legal. Si nos lo exige un proceso legal válido, cumpliremos — pero dado que los datos sincronizados están cifrados con tus claves, el contenido útil que podríamos entregar se limita a metadatos a nivel de cuenta (correo electrónico si iniciaste sesión, estado de suscripción, la existencia de blobs cifrados). No podríamos producir datos de salud en texto plano.
• Transferencia de negocio. Si Vela es adquirida, tu información podría transferirse al adquirente, sujeta a una política al menos tan protectora como esta. Te notificaremos antes de que tus datos se muevan.

9. Autenticación biométrica

Si activas Face ID, Touch ID o desbloqueo por huella dactilar para la app Vela, la plantilla biométrica se almacena exclusivamente en el Secure Enclave (iOS) o Trusted Execution Environment / Keystore (Android) de tu dispositivo. Nunca recibimos, almacenamos ni procesamos tus datos biométricos. El sistema operativo solo devuelve una señal de éxito/fallo a la app.

10. Notificaciones push

Si concedes permiso, Vela puede enviarte notificaciones push — por ejemplo, recordatorios de ciclo o actualizaciones de fase. El contenido de las notificaciones es genérico por diseño y nunca contiene tu día de ciclo, nombre de fase, síntomas o contenido de diario. Puedes desactivar las notificaciones en cualquier momento desde la configuración del sistema de tu dispositivo.

11. Cookies y almacenamiento local

El sitio web de Vela usa localStorage del navegador solo para fines funcionales:

• Tu preferencia de tema (claro / oscuro).
• Tu preferencia de idioma (inglés / español).
• Tu elección de consentimiento de cookies.

No usamos cookies de rastreo. Los conteos agregados anónimos (véase §2.3(a)) se envían sin ninguna cookie y sin ningún identificador que sobreviva a tu visita. Si das tu consentimiento para la analítica detallada, PostHog puede establecer un identificador de primera parte en localStorage y una cookie; si lo rechazas o revocas tu consentimiento, no se establece ninguno y se elimina cualquiera existente.

12. Do Not Track

Algunos navegadores envían una señal “Do Not Track” (DNT). Enviamos un pequeño conjunto de conteos anónimos, sin cookies y sin ningún identificador que sobreviva a tu visita, independientemente de la señal DNT (base legal: interés legítimo — véase §2.3(a)). No cargamos analítica detallada ni ninguna tecnología de rastreo que use un identificador sin tu consentimiento explícito a través del banner de cookies o el selector en la app; en ese sentido, una señal DNT se respeta efectivamente por defecto.

13. Tus derechos

Tienes los siguientes derechos, disponibles en la app o contactando a [email protected]:

• Acceso y exportación. Exporta tus datos desde la app como un archivo JSON. Como los datos viven en tu dispositivo, esto siempre está disponible.
• Corrección. Edita cualquier entrada en cualquier momento dentro de la app.
• Eliminación. Elimina entradas individuales, borra todos los datos locales o elimina tu cuenta completamente desde la configuración de la app.
• Borrado de pánico. Destruye instantáneamente las claves locales y los datos con un toque, sin dependencia remota.
• Retirar consentimiento. Revoca el consentimiento de analítica en cualquier momento; dejaremos de cargar el script de analítica.
• Oposición o restricción del tratamiento. Contáctanos si deseas limitar cómo procesamos los metadatos de tu cuenta.
• Portabilidad de datos. El JSON exportado es portable y puede importarse en cualquier herramienta que soporte el formato.
• Presentar una queja. Si estás en la UE o el Reino Unido, tienes derecho a presentar una queja ante tu autoridad local de protección de datos.

14. Derechos de privacidad en California (CCPA/CPRA)

Si eres residente de California, tienes derechos adicionales bajo la Ley de Privacidad del Consumidor de California y la Ley de Derechos de Privacidad de California:

Categorías de información personal que recopilamos

• Identificadores: dirección de correo electrónico, ID del proveedor de autenticación, ID de usuario interno.
• Información comercial: estado de suscripción desde RevenueCat.
• Información de actividad de redes electrónicas o de Internet: conteos agregados anónimos del embudo (siempre activos, sin identificador) y, si das tu consentimiento, eventos de analítica detallada en el dispositivo; más datos básicos de diagnóstico del dispositivo.
• Información personal sensible: datos de ciclo, síntomas, diario — almacenados exclusivamente en tu dispositivo o como blobs cifrados de extremo a extremo que no podemos leer.

Fuentes

Directamente de ti, de Apple y Google durante la autenticación o suscripción, y de tu dispositivo (datos de diagnóstico).

Propósitos comerciales

Para proporcionar y asegurar el Servicio, procesar suscripciones, responder a soporte y mejorar el producto mediante métricas agregadas anónimas (siempre activas) y, con tu consentimiento, analítica detallada. No usamos información personal para publicidad dirigida.

Tus derechos en California

• Derecho a saber qué información personal recopilamos, usamos, divulgamos, y las fuentes y propósitos.
• Derecho a eliminar la información personal que tenemos sobre ti, sujeto a excepciones limitadas.
• Derecho a corregir información personal inexacta.
• Derecho a limitar el uso y divulgación de información personal sensible — la usamos solo para proporcionar el Servicio y no la divulgamos más allá de lo que describe esta Política.
• Derecho a excluirte de la venta o compartición. No vendemos tu información personal ni la compartimos para publicidad conductual entre contextos. No hay nada de lo que excluirte, pero tu derecho se preserva.
• Derecho a la no discriminación. No negaremos, cobraremos precios diferentes ni proporcionaremos una calidad diferente del Servicio porque ejerzas cualquiera de estos derechos.
• Agente autorizado. Puedes designar un agente autorizado para ejercer tus derechos proporcionando una autorización escrita firmada.

Para ejercer cualquier derecho, envía un correo electrónico a [email protected]. Verificaremos tu identidad usando la información razonablemente necesaria para confirmar tu solicitud y responderemos dentro de los plazos requeridos por ley (generalmente 45 días).

Aviso “Shine the Light”

La Sección §1798.83 del Código Civil de California permite a los residentes de California solicitar información sobre las divulgaciones que hacemos de información personal a terceros para sus propósitos de marketing directo. No realizamos tales divulgaciones.

15. Transferencias internacionales de datos

Nuestro backend se ejecuta en infraestructura autogestionada en el centro de datos de Hetzner en Helsinki, Finlandia (Unión Europea). Si accedes a Vela desde fuera de la UE, tus datos cifrados viajarán a través de fronteras hacia y desde Finlandia. Para usuarios en la UE y el Reino Unido, los datos permanecen dentro de jurisdicciones con protección adecuada. Para usuarios en Estados Unidos y otras regiones, las transferencias se basan en salvaguardas apropiadas, incluyendo Cláusulas Contractuales Tipo aprobadas por la Comisión Europea cuando corresponda.

PostHog es la excepción al valor predeterminado de Helsinki: los eventos de producto anónimos (véase §2.3), los informes de errores (véase §2.5) y cualquier mensaje que envíes con «Reportar un problema» los procesa PostHog Inc. en Estados Unidos. Las direcciones IP sin procesar se descartan al llegar. Los eventos de analítica y los informes de errores no contienen datos de salud, ni nombre, ni correo, ni identificador de cuenta: los informes llevan el tipo técnico del error, no su mensaje. Un mensaje de feedback es distinto: es texto libre, así que contiene lo que tú decidas escribir, y se envía solo cuando pulsas Enviar. Por favor, no incluyas ahí nada que no quieras que leamos. Cuando se requieren salvaguardas, PostHog está certificada en el Marco de Privacidad de Datos UE-EE. UU. (incluida la Extensión del Reino Unido y el Marco de Privacidad de Datos Suiza-EE. UU.) y está sujeta además a Cláusulas Contractuales Tipo.

Dado que la gran mayoría de tus datos permanecen en tu dispositivo y cualquier dato sincronizado está cifrado con claves que nunca tenemos, la transferencia transfronteriza se limita por lo demás a metadatos de cuenta y texto cifrado que no podemos leer.

16. Privacidad de menores

Vela no está dirigida a menores de 16 años. No recopilamos conscientemente información personal de menores de 16 años. Si descubrimos que lo hemos hecho, la eliminaremos de inmediato. Si crees que tenemos información sobre un menor, contacta a [email protected].

17. Servicios y enlaces de terceros

Una breve lista de quiénes nos ayudan a operar Vela y por qué:

• Hetzner Online GmbH — proveedor de hosting con sede en la UE (Helsinki, Finlandia). Almacena solo blobs cifrados; solo lee texto cifrado.

• PostHog Inc. — analítica de producto, informes de errores y los mensajes que envías con «Reportar un problema», procesados en servidores de Estados Unidos. Los datos de analítica y de errores nunca contienen datos de salud; un mensaje de feedback es texto libre y contiene lo que tú escribas. Para la analítica no hay cookies ni identificador duradero antes de que des tu consentimiento. Los informes de errores son distintos: si dejas activados los informes de errores, los informes sobre errores dentro de la app llevan un identificador de instalación aleatorio guardado en tu dispositivo, para poder agrupar fallos repetidos de la misma instalación; nunca se vincula al identificador de analítica, a tu cuenta ni a ningún dato personal, y se elimina cuando desactivas los informes de errores. Los informes de un fallo nativo de la propia app no lo llevan: los genera el gestor de fallos del sistema operativo, que nuestro código no toca. Los informes de errores llevan stack traces con los datos de salud eliminados y sin mensajes de error. Nunca se envían datos de salud en la analítica ni en los informes de errores (ver §2.3).

• RevenueCat — gestión de suscripciones. Recibe eventos de suscripción de Apple / Google, no tus datos de salud.

• Apple y Google — distribución de apps, pagos y (si inicias sesión con Apple / Google) autenticación.

Enlaces de terceros. Nuestro Servicio puede contener enlaces a sitios web de terceros. No somos responsables de las prácticas de privacidad de esos sitios. Te recomendamos leer sus políticas de privacidad antes de proporcionar cualquier información.

18. Retención de datos y eliminación de cuenta

Los datos en tu dispositivo se conservan hasta que los elimines. El proceso de eliminación de cuenta funciona de la siguiente manera:

1. Acción en la app. Abre Configuración → Cuenta → Eliminar Cuenta.
2. Inmediato. Tus datos locales y claves de cifrado se borran de tu dispositivo. Nuestro servidor marca tus blobs cifrados y metadatos de cuenta para eliminación.
3. En 30 días. Los blobs cifrados se eliminan permanentemente de las bases de datos de producción.
4. En 90 días. Los blobs cifrados se eliminan de las copias de seguridad cifradas.
5. Retenido después de 90 días. Solo los registros mínimos requeridos por ley — como registros de facturación fiscales — se conservan, y solo por el período mínimo requerido.

Los eventos de analítica se conservan de forma agregada hasta por 13 meses, sin forma de vincularlos contigo.

19. Notificación de brechas de datos

En caso de una brecha de datos personales que te afecte, nos comprometemos a notificarte dentro de 72 horas desde que tengamos conocimiento de la brecha (el plazo requerido por el Artículo 33 del RGPD), independientemente de si el RGPD te aplica directamente. Las notificaciones describirán qué sucedió, qué datos se vieron afectados, qué estamos haciendo al respecto y qué puedes hacer para protegerte. Contacto de seguridad: [email protected].

20. Declaración de no dispositivo médico

Vela está diseñada para fines de bienestar general y no es un dispositivo médico según las regulaciones de la FDA de EE. UU., el Reglamento de Dispositivos Médicos de la UE (UE 2017/745) ni el marco de la MHRA del Reino Unido. No somos una entidad cubierta por HIPAA ni un asociado de negocios, porque no proporcionamos servicios en nombre de proveedores o planes de atención médica. Nada en Vela pretende diagnosticar, tratar, curar o prevenir ninguna enfermedad o condición. Consulta los Términos del Servicio, Sección 10, para la declaración médica completa.

21. Cambios a esta política

Podemos actualizar esta Política de Privacidad de vez en cuando. Cuando lo hagamos, actualizaremos la fecha de “Última actualización” arriba y, para cambios materiales, te notificaremos a través de la app o por correo electrónico. Los cambios sustanciales que afecten cómo se usan tus datos te darán la oportunidad de retirar tu consentimiento antes de que entren en vigor.

22. Contacto

¿Preguntas, solicitudes o inquietudes sobre privacidad? Escríbenos a [email protected]. Asuntos relacionados con seguridad: [email protected]. Leemos cada mensaje y respondemos en un tiempo razonable.

danestves LLC · Delaware, Estados Unidos.