Política de privacidad

LifestyleOS lo crea y gestiona Mike Griffioen. Para todo lo que sigue soy el responsable del tratamiento: yo decido qué datos trata la aplicación y con qué fin.

Preguntas, solicitudes o reclamaciones pueden ir a app@lifestyleos.app. Ahí también puedes pedir tus datos o la eliminación de tu cuenta, aunque puedes hacer ambas cosas tú mismo en la aplicación.

Casi todo lo que sigue viene de ti: lo introduces, o conectas un servicio que lo aporta. No se recoge nada sobre ti fuera de la aplicación.

• Cuenta: tu dirección de correo y cuándo inicias sesión.
• Perfil: tu nombre, sexo, fecha de nacimiento, altura y peso.
• Salud: sueño y fases del sueño, variabilidad de la frecuencia cardíaca, frecuencia en reposo, saturación de oxígeno, frecuencia respiratoria, VO2 máx., temperatura de la piel, recuperación, ánimo, pasos, energía gastada, distancia, pisos subidos, entrenamientos y medidas corporales. Son datos de categoría especial, con reglas más estrictas: véase más abajo.
• Nutrición: lo que registras, cuánto, agua, suplementos y tu plan nutricional.
• Finanzas: cuentas, transacciones, inversiones, presupuestos y objetivos, introducidos a mano, importados o mediante una conexión bancaria.
• Correo, agenda y contactos: solo si conectas una cuenta de ese tipo. Los mensajes y las citas se guardan para que la aplicación pueda mostrarlos y buscarlos sin conexión.
• Lo que escribes: notas, reflexiones, objetivos, tareas, sesiones de motivación y tus conversaciones con Echo, incluidas las grabaciones de voz que se convierten en texto.
• Técnico: informes de error y los datos necesarios para enviar avisos a tu dispositivo.
• Acuerdos: qué permisos diste y cuándo, y si firmas el acuerdo de confidencialidad también el nombre que escribiste, el momento, tu dirección IP y tu navegador. Eso es justamente lo que da fuerza probatoria a una firma así; sin ello, es una casilla.

Los datos de salud son una categoría especial de datos personales, así que aquí toca precisión y no una frase tranquilizadora. Esto es lo que ocurre cuando conectas un dispositivo.

• Qué se lee: Solo lectura, nunca escritura: tu sueño, variabilidad de la frecuencia cardíaca, frecuencia en reposo, saturación de oxígeno, frecuencia respiratoria, VO2 máx., pasos, energía gastada, distancia y entrenamientos.
• Para qué: Para calcular tu vitalidad, recuperación y calidad del sueño, basar tu objetivo de calorías en tu gasto real y alimentar tus ideas y experimentos. Nada más.
• Quién más lo ve: Nadie. Sin publicidad, sin reventa, sin perfiles para terceros. Si usas una función de IA, solo se envía la parte necesaria para responder, y únicamente tras tu consentimiento aparte.
• Qué puedes hacer: Desconectar cuando quieras, retirar tu consentimiento, exportar tus datos o borrar tu cuenta con todo lo que contiene.

El funcionamiento normal de la aplicación (guardar, mostrar y buscar tus datos y hacer resúmenes) se realiza para ejecutar el contrato contigo. Sin ese tratamiento no hay aplicación.

Los datos de salud son distintos. Son datos de categoría especial y solo pueden tratarse con tu consentimiento explícito. Esa pregunta se te hace por separado al configurar tu cuenta, y puedes retirarlo en cualquier momento.

El uso de IA también requiere un consentimiento aparte, porque envía datos a un proveedor de modelos externo. Qué se envía exactamente se explica más abajo.

Para la seguridad (evitar abusos, detectar fallos, frenar intentos de abuso) la base es el interés legítimo.

Lo que no ocurre: nada de publicidad, ni perfiles para terceros, ni reventa, ni uso de tus datos para venderte cosas.

En términos de la ley: el funcionamiento ordinario de la aplicación se basa en el artículo 6.1.b del RGPD (ejecución del contrato), los datos de salud y la IA en el artículo 6.1.a junto con el artículo 9.2.a (consentimiento explícito), y la seguridad en el artículo 6.1.f (interés legítimo). Ninguna decisión con efectos jurídicos la toma una máquina por sí sola; lo que Echo propone, lo decides tú (artículo 22 del RGPD).

La aplicación no funciona en el vacío. Estas partes tratan datos por encargo mío, solo para la tarea indicada:

• Supabase: base de datos, inicio de sesión y almacenamiento de archivos. Aquí está la gran mayoría de tus datos.
• Vercel: alojamiento de la aplicación; trata el tráfico y los registros técnicos, y cuenta las visitas a las páginas y los tiempos de carga.
• Cloudflare (Turnstile): la comprobación al iniciar sesión. Usa tu dirección IP y características técnicas de tu navegador para saber si quien inicia sesión es una persona y no un programa.
• OpenRouter y los proveedores de modelos detrás: las respuestas de Echo, los resúmenes y los análisis.
• Deepgram, para el reconocimiento de voz: aquí el audio que grabas se convierte en texto.
• OpenAI: el modo de voz, la generación de imágenes de recetas y el reconocimiento de voz como respaldo cuando Deepgram no está disponible.
• Google, Microsoft o Apple: solo si conectas ahí una cuenta de correo o agenda.
• Enable Banking: solo si conectas una cuenta bancaria; es la parte autorizada que recupera los datos del banco.
• El proveedor de tu dispositivo ponible: solo si conectas uno, y solo ese: Whoop, Garmin, Oura, Polar o Google Health (este último para dispositivos Fitbit y Pixel).
• El servicio de notificaciones de tu navegador o sistema operativo, para los avisos.

La aplicación en sí funciona en servidores europeos, y lo mismo vale para la base de datos, el almacenamiento de archivos, el inicio de sesión y los modelos de IA. Para el uso normal de LifestyleOS tus datos no salen, por tanto, de la Unión Europea, salvo la comprobación al iniciar sesión.

Esa comprobación es de Cloudflare (Turnstile): al iniciar sesión, tu dirección IP y características técnicas de tu navegador van a Cloudflare, y pueden tratarse fuera de la UE. No va nada más: ni dirección, ni contraseña, ni nada de la aplicación.

Aparte de eso, hay una vía por la que ocurre, y la recorres tú: si conectas una cuenta de correo, calendario o wearable, los datos de esa conexión van a ese proveedor, esté donde esté. Lo mismo vale para el servicio de notificaciones de tu navegador o sistema operativo si las activas. Tú decides si lo haces, y puedes deshacerlo.

Cuando una transferencia así acaba fuera de la UE, se apoya en lo que prescribe el artículo 44 y siguientes del RGPD: la decisión de adecuación de la Comisión Europea para ese país, o las cláusulas contractuales tipo de la Comisión de 2021.

Cuando usas Echo o activas una función de IA, se envía texto a un modelo de lenguaje externo. No toda tu cuenta: cada función envía lo necesario para responder: tu pregunta y los datos por los que preguntas.

Los proveedores de IA se configuran para no conservar tus datos ni usarlos para entrenar sus modelos. Es un ajuste de nuestro lado, no una garantía que yo pueda dar en su nombre; quién hace qué figura en sus propias condiciones.

Lo que dice Echo es texto generado. Puede equivocarse, incluso cuando suena seguro.

Si conectas una cuenta bancaria, se hace a través de Enable Banking, una parte con licencia PSD2. Recuperan los datos de tu banco después de que tú mismo hayas dado allí tu consentimiento; ese consentimiento vale noventa días y luego caduca solo.

La conexión es de solo lectura. No permite mover dinero. LifestyleOS nunca ve tus credenciales bancarias: esas las introduces en tu propio banco.

Mientras exista tu cuenta. LifestyleOS está hecho para mostrar patrones a lo largo de años, así que no se limpia nada en silencio.

Si eliminas tu cuenta, tus datos se borran de inmediato y de forma irreversible, incluidos tus archivos y cuentas conectadas. Las copias de seguridad de la base pueden contenerlos brevemente; caducan por sí solas.

¿Quieres conservarlo todo antes de irte? Exporta primero. Un botón te da un archivo JSON con todo lo que es tuyo.

El tráfico va cifrado. El acceso a los datos está aislado por usuario a nivel de base de datos, así que un fallo en la aplicación no puede mostrar datos de otra persona. Las claves de acceso de las cuentas conectadas se guardan cifradas.

La seguridad absoluta no existe. Si ocurre algo que afecte a tus datos, lo sabrás por mí, y donde sea obligatorio lo notificaré a la autoridad de protección de datos.

En la aplicación no hay cookies publicitarias ni de seguimiento, y no hay ningún servicio de estadísticas que siga tu comportamiento entre sitios web.

Lo que sí se cuenta es cuántas veces se visita una página y con qué rapidez carga, con Vercel Web Analytics y Speed Insights. Eso ocurre sin cookies y sin que se guarde nada en tu dispositivo, y la dirección de la página se recorta al módulo por el camino: el título de una nota o de un objetivo no viaja con ella.

Lo que sí hay es funcional: una cookie que te mantiene con la sesión iniciada, una cookie que recuerda tu idioma, y almacenamiento local para tus preferencias (qué paneles tenías abiertos, qué explicaciones has descartado) y para que la aplicación funcione sin conexión. Al almacenamiento estrictamente necesario se le aplica la excepción del artículo 11.7a de la ley neerlandesa de telecomunicaciones, así que no se pide consentimiento para ello.

Tu navegador puede borrarlo todo. Entonces se cerrará tu sesión y tus preferencias desaparecerán; tus datos no.

Tienes derecho a consultar, corregir, eliminar y llevarte tus datos. Dos de ellos están integrados: en Ajustes puedes exportarlo todo y eliminar tu cuenta.

El consentimiento que diste puede retirarse, también por partes. Surte efecto desde el momento en que lo haces; lo anterior sigue siendo lícito.

Si no estás de acuerdo con algo, dímelo primero, es más rápido. Si no llegamos a una solución, puedes reclamar ante una autoridad de protección de datos.

Esos derechos están en los artículos 15 a 21 del RGPD: acceso, rectificación, supresión, limitación, portabilidad y oposición. Respondo a una solicitud en el plazo de un mes. Puedes reclamar ante la autoridad neerlandesa de protección de datos (artículo 77 del RGPD) o, si vives en otro país de la UE, ante la autoridad de ese país.

LifestyleOS está pensado para personas adultas. Si tienes menos de dieciséis años, solo puedes participar con el permiso de tu madre, padre o tutor: es el límite de edad del artículo 8 del RGPD, tal como lo fija la ley neerlandesa de desarrollo del RGPD.

Si detecto que se ha creado la cuenta de un menor sin ese permiso, la elimino.

LifestyleOS todavía no es público. Se participa por invitación, y la aplicación está detrás de una contraseña adicional.

Como responsable veo en una pantalla de administración quién participa: nombre, dirección de correo, cuándo estuvo activo por última vez y cuántas acciones hubo en cada módulo. Cifras y momentos, por tanto, no contenido: no leo tus notas, mensajes ni transacciones.

Si envías comentarios desde la aplicación, esos sí los leo, junto con la página en la que estabas y el tipo de dispositivo que usabas.

Es una fase de prueba, con lo que ello implica: puede haber caídas y pueden perderse datos. Exporta lo que de verdad no puedas perder.

Si cambia algo esencial en lo que la aplicación hace con tus datos, actualizo este texto y te vuelvo a pedir el consentimiento. La fecha al final indica cuándo se actualizó por última vez.