Política de privacidad

Quién es el responsable

El responsable del tratamiento es Daniel Ortega (España), titular de goforit.day y pedalytics.bike y de sus aplicaciones. Puedes escribir a support@goforit.day para cualquier cuestión sobre tus datos.

A qué se aplica

A la app GoForIt para iPhone, Apple Watch y Android, a la web goforit.day (landing, panel profesional, «Mi espacio» y cuenta), a la API que las sirve y, en lo que comparten (cuenta, salidas y borrado), a la app Pedalytics, que además tiene su propia política para lo que solo ocurre en ella (bicis, componentes, fotos de la bici y mantenimiento).

Qué datos tratamos

Solo tratamos los datos necesarios para que el servicio funcione y los que tú decides añadir, sincronizar o compartir.

• Cuenta: correo electrónico, nombre (opcional), contraseña (la guarda cifrada nuestro proveedor de autenticación y no podemos verla), idioma y zona horaria. Si entras con Apple o con Google, recibimos de ellos tu nombre y correo (o el correo privado que elijas).
• Lo que aceptas: qué versión de estos textos y de los términos aceptaste, que tienes 16 años o más, el consentimiento para leer tus datos de salud y los que des para una fuente, un profesional o tu IA, con fecha, idioma y desde qué app. Lo guardamos para poder demostrarlo y para no volver a pedírtelo.
• Salud y actividad desde Apple Salud (iPhone y Apple Watch) o Health Connect (Android), solo si lo consientes y tipo a tipo desde los permisos del sistema: pasos, distancia y energía, entrenos (con la ruta GPS de los que la tengan), sueño, frecuencia cardíaca y su variabilidad, peso y composición corporal, y otras medidas que concedas (presión arterial, glucosa, saturación de oxígeno, temperatura, respiración). En Android también los datos anteriores a la instalación y la lectura en segundo plano, si los concedes.
• Lo que registras tú: entrenos, rutinas, series, comidas y alimentos, suplementos, hábitos, medidas, objetivos, notas y cómo te encuentras.
• Salidas y actividades de otras fuentes, solo si las conectas: Strava, Google Salud, los archivos FIT que subes y los proveedores de pulseras o relojes que enlaces. De cada actividad recibimos fecha, duración, distancia, ruta GPS y las lecturas de pulso, potencia, cadencia, velocidad y altitud que la fuente tenga, y la batería del aparato cuando la fuente la da.
• Una cuenta compartida con Pedalytics: tus salidas en bici son las mismas en las dos apps; lo que registras en Pedalytics (bicis, componentes, mantenimiento, fotos de la bici) solo se ve allí. Borrar la cuenta desde cualquiera de las dos borra las dos.
• Planes compartidos: el contenido de los planes que creas, envías o importas, y los enlaces que generas.
• Modo profesional: si eres entrenador o nutricionista, las fichas de tus clientes (nombre, correo, notas) y sus planes. Tú decides qué datos introduces y con qué fin; nosotros los tratamos por tu cuenta, como encargado, según los términos de uso.
• Seguimiento con un profesional (cuando esté activado y solo si tú lo enciendes, tipo a tipo): tus partes diarios, el peso y la foto de la báscula, fotos del cuerpo, tu actividad y tu nutrición, y los mensajes entre los dos. Nada se comparte por defecto y puedes retirarlo cuando quieras.
• Suscripción: tu nivel (gratis, Plus o Pro), su periodo y si la compra se hizo con Apple, Google o en la web. No recibimos los datos de tu tarjeta: los gestionan Apple, Google o Stripe.
• Cámara, micrófono y voz: la cámara solo para leer el código de barras de un producto; el micrófono y el reconocimiento de voz para que dictes una comida o un entreno. Se procesa en tu teléfono; no guardamos imágenes ni audio, y a nuestro servidor llega solo el texto o los nombres de alimentos o ejercicios que confirmes.
• Clima de tus salidas: para saber el viento y la temperatura de una salida enviamos a un servicio meteorológico la fecha y las coordenadas redondeadas de su inicio, nunca tu nombre ni tu cuenta.
• Códigos de barras: al escanear un producto que no tenemos consultamos su código en Open Food Facts; solo viaja el código.
• Datos técnicos: dirección IP, fecha, navegador o versión de la app y errores en los registros de nuestros servidores y de la red que los protege, para seguridad y para detectar fallos.
• Errores de la app y de la web con sesión: si una pantalla falla, enviamos a nuestra API una descripción del fallo (tipo, pantalla sin identificadores, versión, dispositivo, idioma) tras quitar correos, identificadores y números largos. La tabla donde se guarda no registra ni tu cuenta ni tu IP, agrupa los repetidos y los borra a los 60 días sin repetirse.
• Tu IA y tus datos: si creas un token personal o conectas ChatGPT, Claude u otra herramienta tuya, o pulsas «Enviar a tu IA», esa herramienta recibe los datos que tú le pidas (incluidos datos de salud) y los trata según sus propias condiciones. Nosotros nunca enviamos nada a una IA por nuestra cuenta ni usamos tus datos para entrenar modelos.

Para qué los usamos y con qué base legal

• Prestarte el servicio (cuenta, sincronización, cálculo de preparación y carga, planes, recordatorios, avisos): ejecución del contrato (los términos de uso).
• Datos de salud y de actividad: tu consentimiento explícito, que das en la app antes de la primera lectura (además del permiso del sistema), queda registrado y puedes retirar cuando quieras desde la app, desde los permisos del teléfono o escribiéndonos.
• Conectar una fuente externa, compartir con un profesional o con tu IA: tu consentimiento, cada uno por separado y revocable.
• Seguridad, prevención de abusos y corrección de errores: interés legítimo en que el servicio funcione y sea seguro.
• Facturación y contabilidad, cuando haya cobros: obligación legal.
• Analítica de la web pública: solo si la aceptas (ver «Cookies y analítica de la web»).

No vendemos tus datos. No usamos datos de salud ni de actividad para publicidad ni para perfiles comerciales, y no los cedemos a terceros con esos fines. No tomamos decisiones automatizadas con efectos jurídicos sobre ti: la preparación, la carga y las propuestas del día son orientación calculada con tus propios datos, no un diagnóstico, y siempre puedes ignorarlas.

Con quién los compartimos y dónde están

Nuestros servidores están en la Unión Europea (Fráncfort, Alemania). Trabajamos con proveedores que tratan datos por nuestra cuenta, cada uno con su contrato de encargo, y compartimos datos con otras personas solo cuando tú lo decides:

• Supabase (base de datos, autenticación y archivos): Fráncfort, Alemania. Supabase Inc. es estadounidense y su soporte puede acceder bajo contrato; los datos se quedan en Fráncfort.
• DigitalOcean (el servidor de la API y de las integraciones): Fráncfort, Alemania.
• Cloudflare (la red que protege la API y los dominios): ve el tráfico cifrado en tránsito y guarda registros técnicos breves; empresa estadounidense acogida al Marco de Privacidad de Datos UE-EE. UU. (DPF).
• Vercel (la web): las páginas con sesión se sirven desde Fráncfort y la red de borde es global; empresa estadounidense acogida al DPF.
• Apple y Google: si entras con ellos, y para leer Apple Salud, Health Connect y Google Salud con tu permiso. Apple Salud y Health Connect viven en tu teléfono; Google Salud es un servicio de Google.
• Strava y los demás proveedores de actividad que conectes: nos envían tus datos con tu permiso. Lo que viene de Strava solo se te enseña a ti; a un profesional o a tu IA llega reducido al mínimo (ver los términos de uso).
• Cobros: Apple, Google, Stripe y RevenueCat. Reciben tu identificador de usuario, el producto y el estado de la compra, nunca tus datos de salud. RevenueCat (EE. UU., DPF) y Stripe (Irlanda y EE. UU.).
• Correo: Mailgun (región UE) para los avisos del servicio y Resend para los códigos y correos de la cuenta; reciben tu dirección y el contenido del correo.
• Errores y seguimiento técnico: Sentry puede recibir errores de nuestros servidores ya saneados, sin datos de salud ni identificadores.
• Clima: Visual Crossing (EE. UU.) recibe la fecha y las coordenadas redondeadas del inicio de una salida, sin nada que te identifique.
• Open Food Facts (Francia): recibe el código de barras que escaneas.
• Google Analytics: solo en la web pública y solo si lo aceptas (EE. UU., DPF).
• Otras personas: solo ven lo que compartes tú (un plan por enlace, lo que compartes con un profesional en el seguimiento, o lo que pides a tu IA). Un profesional es responsable de lo que hace con lo que le compartes.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo lo hace con las garantías del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea. Puedes pedirnos copia de esas garantías.

Cuánto tiempo los conservamos

Mientras tengas cuenta. Si la eliminas, borramos tus datos personales de nuestros sistemas al momento, salvo lo que debamos conservar por ley (por ejemplo, los registros contables de un pago). Las copias de seguridad se conservan 7 días y lo que contienen desaparece con ellas; los registros técnicos de los servidores, 30 días como máximo; los errores de la app y la web, 60 días sin repetirse.

Lo que registras y lo que calculamos por día o por actividad (entrenos, comidas, pesos, check-ins, el número de preparación de cada mañana, el resumen de cada actividad con sus totales y sus vueltas) se guarda mientras tengas cuenta, en cualquier plan.

Los datos brutos de una actividad (las lecturas segundo a segundo de pulso, potencia, cadencia, velocidad y altitud, y la ruta GPS) son una copia de lo que tiene la fuente (Strava, un archivo FIT, tu reloj). Una cuenta sin plan de pago conserva los de los últimos 12 meses; Plus y Pro los conservan mientras dure el plan. Pasado el plazo se borran y queda el resumen de la actividad; si vuelves a conectar la fuente, se pueden volver a importar. La copia de cada registro que nos manda un proveedor, que guardamos para poder revisar una importación fallida, se vacía a los 30 días.

Una cuenta en la que nadie entra durante 24 meses se borra entera: entrenos, comidas, salidas, planes y conexiones. Entrar es abrir cualquiera de las dos apps (GoForIt o Pedalytics), iniciar sesión en la web o que se sincronice una de tus fuentes. Un mes antes te escribimos al correo de la cuenta con la fecha; abrir la app antes de ese día basta para conservarla, y puedes exportar tus datos antes. No borramos ninguna cuenta sin haber enviado ese aviso.

Una cuenta sin ninguna actividad durante 24 meses se borra, avisándote antes por correo. Puedes pedir la eliminación de tu cuenta desde la app o la web (Cuenta › Eliminar mi cuenta), que la borra al momento, o escribiendo a support@goforit.day; esa petición la atendemos en un máximo de 30 días.

Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte a su tratamiento, limitarlo, pedir su portabilidad y retirar tu consentimiento en cualquier momento, sin que eso afecte a lo tratado antes.

Desde la app puedes exportar tus entrenos, retirar el consentimiento de salud, desconectar una fuente, cortar lo que compartes con un profesional, revocar un token de tu IA y borrar la cuenta. Para lo demás escríbenos a support@goforit.day. Puedes retirar los permisos de Salud en Ajustes > Salud > Acceso a datos y dispositivos (iPhone) o en Health Connect (Android). Si crees que no tratamos tus datos correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Seguridad

Los datos viajan cifrados (HTTPS) y las reglas de acceso de la base de datos hacen que cada cuenta solo pueda leer sus propios datos. Las credenciales de las fuentes que conectas se guardan cifradas, los archivos (fotos) son privados y se sirven con enlaces temporales, y solo accede a los sistemas el personal imprescindible. Aun así, ningún sistema es infalible: si hubiera un incidente que afecte a tus datos, te lo comunicaremos como exige la ley.

Menores

GoForIt y Pedalytics no están dirigidas a menores de 16 años. Al crear la cuenta te pedimos que lo confirmes; si supiéramos que una cuenta es de alguien menor, la cerraríamos y borraríamos sus datos.

Cookies y analítica de la web

Las apps para iPhone y Android no incluyen analítica de terceros ni publicidad. En la web pública usamos Google Analytics solo si pulsas «Aceptar» en el aviso: mide visitas y rendimiento, no se usa para publicidad y no recibe datos de tu cuenta ni de salud.

Rechazar es igual de fácil que aceptar, y puedes cambiar de opinión en «Preferencias de analítica», al pie de la página principal. Sin tu aceptación no se carga ni se crea ninguna cookie de Google. Para mantener tu sesión iniciada usamos almacenamiento técnico imprescindible.

Cookie de idioma: en el panel profesional, «Mi espacio», la cuenta y las pantallas de acceso guardamos una cookie propia, gf_locale, con solo el idioma que eliges (es o en) durante un año. Se crea únicamente cuando pulsas el selector de idioma; mientras no lo hagas usamos el idioma de tu navegador. No identifica a nadie, no se comparte y no se usa para analítica.

Lista de espera

Si dejas tu correo en la página principal para que te avisemos del lanzamiento, guardamos ese correo, el idioma de la página, desde qué botón lo enviaste, la fecha y la versión de este texto que viste. Lo hacemos porque tú lo pides al pulsar el botón (RGPD, art. 6.1.a) y lo usamos solo para escribirte cuando GoForIt esté disponible y para avisos directamente relacionados con ese lanzamiento.

Cada mensaje llevará un enlace para darte de baja. No lo cedemos ni lo usamos para publicidad de terceros. Si te das de baja, dejamos de escribirte y conservamos solo el correo con la marca de baja, para no volver a hacerlo; si prefieres que lo borremos por completo, escríbenos a support@goforit.day.

Cambios en esta política

Si la cambiamos de forma relevante te lo pediremos de nuevo en la app o en la web antes de seguir, y la versión que aceptaste queda registrada en tu cuenta. La fecha de arriba es la de la última versión.