TempoLife — Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Desarrollador: equipo TempoLife / Probyte OÜ
• Aplicación: TempoLife (org.tyrnpuu.medix)
• Correo electrónico: info@tempolife.app
• Sitio web: tempolife.app

Esta política de privacidad describe cómo la aplicación TempoLife recopila, utiliza, conserva y protege tus datos personales conforme al Reglamento General de Protección de Datos de la UE (RGPD, Reglamento 2016/679) y a la Ley de Protección de Datos Personales de Estonia.

Qué datos recopilamos

2.1 Datos de cuenta e identidad

• Nombre y correo electrónico (al registrarte o mediante Google Sign-In)
• Foto de perfil (opcional)
• Fecha de nacimiento, sexo, estatura, peso — solo si los facilitas voluntariamente

2.2 Datos de salud (RGPD art. 9 — categoría especial)

• Diarios de comidas (calorías, macronutrientes, fotos)
• Pasos, actividad física, entrenamientos
• Duración y fases del sueño, hora de despertar
• Estado de ánimo, nivel de estrés y notas de bienestar
• Peso corporal y ventanas de ayuno
• Frecuencia cardíaca (desde Health Connect)

2.3 Datos técnicos

• Tipo de dispositivo, sistema operativo, versión de la app (cabecera User-Agent)
• Dirección IP (registros del servidor, conservados 90 días como máximo)
• Identificador de sesión (sesión PHP, token CSRF)

2.4 Qué NO recopilamos

• Historial de ubicación ni ubicación en segundo plano — la búsqueda opcional de restaurantes usa tu ubicación solo mientras buscas y no la almacena (consulta la sección 2g)
• Identificadores de dispositivo (IMEI, ID de publicidad, MAC)
• Contactos, registros de llamadas, SMS
• Datos de otras aplicaciones — con una excepción: si conectas Android Health Connect, leemos los tipos de datos de salud que hayas permitido expresamente (consulta la sección 2a)
• Tu galería de fotos — el acceso a la cámara y a las imágenes se usa únicamente para una foto de comida que tú mismo hagas o elijas (consulta la sección 2b)

Android Health Connect

En Android, TempoLife puede leer datos de salud y actividad física desde Health Connect, el almacén de datos integrado en Android. Es totalmente opcional. No se lee nada hasta que conectas Health Connect dentro de la app y concedes permiso para cada tipo de dato por separado en la propia pantalla de permisos de Android.

Qué leemos

• Pasos — recuentos diarios de pasos
• Sueño — sesiones y fases de sueño (profundo, ligero, REM, despierto)
• Frecuencia cardíaca — muestras de frecuencia cardíaca
• Frecuencia cardíaca en reposo — mediciones de frecuencia cardíaca en reposo calculadas por el proveedor
• Variabilidad de la frecuencia cardíaca (VFC, RMSSD) — un valor en milisegundos que se usa para las tendencias de recuperación
• Sesiones de entrenamiento — tipo de entrenamiento, inicio, fin y duración
• Peso corporal — mediciones de peso

Solicitamos únicamente acceso de lectura. TempoLife no escribe nada de vuelta en Health Connect.

Por qué la app lo necesita

Estos tipos de datos alimentan las pantallas principales de la app: totales de pasos y actividad, análisis del sueño, la tendencia de peso y una pantalla de Corazón dedicada con la última lectura, una línea base personal de 28 días de frecuencia cardíaca en reposo, contexto de actividad, sueño, ayuno, meditación y estado de ánimo, zonas de entrenamiento y recuperación de la frecuencia cardíaca, además de un resumen de recuperación no médico basado en la frecuencia cardíaca en reposo, la VFC, el sueño y la carga de entrenamiento reciente. Sin Health Connect, estos datos no pueden rellenarse automáticamente.

De dónde proceden los datos

Health Connect es un almacén en tu propio dispositivo en el que escriben otras aplicaciones y dispositivos — por ejemplo Samsung Health o Garmin. TempoLife lee lo que ya está en Health Connect. No se conecta directamente a esos servicios y no puede ver nada más allá de los tipos de datos que hayas permitido. Health Connect funciona en tu dispositivo; conectarlo no envía tus datos a Google.

Cuánto historial

Si concedes por separado el acceso al historial, TempoLife puede leer hasta los últimos 12 meses de datos de pasos, sueño y peso corporal. El módulo de Corazón lee hasta 35 días de frecuencia cardíaca en reposo y VFC para su línea base, y hasta 30 días de sesiones de entrenamiento. Sin acceso al historial, Health Connect limita las lecturas históricas a unos 30 días. Dado que los dispositivos ponibles pueden generar miles de muestras, la importación general de frecuencia cardíaca se limita a los 7 días más recientes; se conservan muestras más densas alrededor de los entrenamientos recientes para calcular las zonas y la recuperación de la frecuencia cardíaca a 1 y 2 minutos. Las sincronizaciones posteriores leen solo registros nuevos o modificados con un breve solapamiento.

Dónde se almacena

Los datos leídos desde Health Connect se transmiten por HTTPS/TLS y se almacenan en tu propia cuenta de TempoLife en nuestros servidores en Estonia (UE), exactamente igual que los datos que introduces a mano. Solo tú puedes verlos.

Qué no hacemos nunca con ellos

• Los datos de Health Connect nunca se usan con fines publicitarios ni de marketing, ni para publicidad personalizada o basada en intereses, ni para crear audiencias publicitarias.
• Nunca se comparten con redes publicitarias, plataformas de publicidad, intermediarios de datos ni revendedores de información.
• Nunca se venden, a nadie, con ningún fin.
• Nunca se incluyen en un evento de analítica o de publicidad enviado desde la app.
• No se ceden a ningún tercero para los fines propios de ese tercero.

Retirar el acceso

• En la app: desconecta Health Connect en los ajustes de la aplicación. TempoLife dejará entonces de leer datos nuevos.
• En tu dispositivo: Ajustes → Health Connect → Permisos de aplicaciones → TempoLife en Android, donde puedes retirar tipos de datos concretos o todo el acceso de una vez. Health Connect también mantiene su propio registro de qué aplicaciones han leído tus datos.

Revocar el acceso detiene todas las lecturas futuras. Los datos ya sincronizados permanecen en tu cuenta de TempoLife para que tu historial no se pierda de forma silenciosa — puedes exportarlo en cualquier momento (sección 8) y se elimina de forma permanente cuando eliminas tu cuenta (sección 8a).

Cámara y fotos de comida

TempoLife solicita acceso a la cámara con una única finalidad: fotografiar una comida para que pueda reconocerse automáticamente en lugar de escribirla a mano. También puedes elegir una imagen existente en vez de hacer una foto. El permiso se solicita solo la primera vez que usas la función, y la app nunca hace fotos en segundo plano.

La foto sale de tu dispositivo

El reconocimiento de alimentos no se realiza en tu teléfono. Cuando confirmas, la foto se envía por HTTPS a un servicio de visión por IA de un tercero — Google (Gemini) como proveedor principal, con Anthropic (Claude AI) como alternativa — que devuelve los alimentos identificados y sus valores nutricionales estimados. Esto constituye una transferencia de tus datos a un tercero fuera de la app y solo ocurre después de que lo hayas aceptado expresamente en el diálogo de la aplicación. Si no lo aceptas, no se envía ninguna foto y puedes seguir registrando comidas manualmente.

Qué ocurre con la foto

• Los metadatos EXIF y GPS se eliminan de la imagen antes de enviarla.
• La foto se envía solo en el momento de la solicitud y después se elimina de los servidores del proveedor conforme a nuestros acuerdos con ellos (consulta la sección 4).
• En el procesamiento habitual por IA solo se guardan la entrada de comida resultante y los valores nutricionales. La copia del archivo público, consentida por separado, es la excepción que se describe en la sección 2e.
• Las fotos de comida nunca se usan con fines publicitarios y nunca se venden.

Consentimiento de la vista previa anónima y salvaguardas frente al abuso

Para la vista previa sin cuenta conservamos durante un máximo de 2 días únicamente un sujeto de red seudonimizado, acotado al día y derivado con una clave secreta, la versión del consentimiento y la hora del evento. Este registro no contiene ninguna foto, resultado de IA, entrada de comida, identificador publicitario ni cuenta, y nunca se cruza con analítica de marketing. La base de la prueba del consentimiento es tu consentimiento para cada uso y nuestra obligación de demostrarlo (RGPD art. 6.1.a y art. 7); el límite breve de solicitudes se apoya en nuestro interés legítimo en prevenir el abuso del servicio y un coste de IA desproporcionado (art. 6.1.f).

Como la vista previa no tiene cuenta, este registro no puede adjuntarse a una exportación de cuenta ni sería fiable para que identifiquemos a una persona. Se elimina automáticamente en un plazo de 2 días. Para ejercer un derecho u oponerte, escribe a la dirección de la sección 12; te explicaremos esta limitación práctica y atenderemos una solicitud verificable en la medida de lo posible.

Puedes revocar el acceso a la cámara en cualquier momento en Ajustes → Aplicaciones → TempoLife → Permisos de Android. El resto de la app seguirá funcionando con normalidad.

Comunidad y Tempo Feed

La Comunidad es opcional. Si no la utilizas, ninguno de tus datos se comparte con otros usuarios.

Qué pueden ver los demás

• Perfil: tu nombre visible, el emoji elegido, el nivel y los puntos.
• Clasificación: nombre, nivel y total de puntos. Puedes ocultarte de ella (Comunidad → Privacidad).
• Retos: tu participación y progreso en los retos a los que te unas.
• Mensajes: lo que decidas enviar. Los mensajes solo pueden intercambiarse entre amigos.
• Feed: publicaciones, historias, fotos, encuestas, comentarios, reacciones y relaciones de seguimiento que crees. Tú eliges el público de cada publicación o historia.

Nada de tus registros de salud se comparte automáticamente. Si activas por separado una categoría de actividad en los ajustes del Feed, quienes te siguen pueden ver un resumen limitado, como el total de pasos, el número de comidas registradas, la duración del sueño o del ayuno, un logro o el hecho de que se haya registrado un pesaje. No se muestran el peso exacto, las filas del diario, las notas, las rutas, el estado de ánimo, la frecuencia cardíaca ni otros datos de Health Connect.

Denuncias y bloqueos

Todos los perfiles de usuario tienen Bloquear y Denunciar. El bloqueo detiene la interacción en ambos sentidos. Cuando denuncias algo, almacenamos quién lo denunció, una referencia al contenido denunciado y tu motivo, para poder revisarlo y retirar contenido o suspender cuentas cuando sea necesario.

Conservación

Los mensajes, las publicaciones del feed y el resto de contenido de la comunidad se conservan hasta que elimines el contenido o tu cuenta. Las historias caducan a las 24 horas; las fotos del feed que no estén asociadas a una publicación se eliminan normalmente en un plazo de dos horas. Al eliminar tu cuenta se retiran tu perfil de comunidad, los mensajes, los archivos multimedia y los registros de comunidad, tal como se describe en «Eliminación de datos».

Reto del Plan Diario (campaña de 100 €)

El Reto de Puntos es opcional. Si no participas, ninguno de tus datos se trata para la campaña.

Qué datos utiliza la campaña

• Datos de puntuación: el horario de comidas fijado al inscribirte, el cumplimiento del plan de comidas y el tipo y la marca de tiempo de cada acción verificada. Las calorías de los alimentos, el peso, la cantidad de pasos y la duración del sueño no aumentan la puntuación.
• Datos de la clasificación: tu nombre visible, el total de puntos, los puntos de cumplimiento de comidas, el número de acciones verificadas y los días activos. Ocultarte de la clasificación (Comunidad → Privacidad) se aplica también a la campaña.
• Si ganas: tus datos de contacto (correo electrónico) para abonar el premio.

La campaña no recopila datos nuevos — solo utiliza los datos que ya registras en la aplicación — y no los comparte con terceros ni con redes publicitarias.

Base jurídica y conservación

Los datos de la campaña se tratan sobre la base de tu consentimiento (la inscripción) y de la ejecución de las bases de la campaña (contrato). Los registros de la campaña se conservan hasta que elimines tu cuenta; los datos relacionados con el pago del premio se conservan durante el plazo exigido por la normativa contable. En el muro de honor conservamos únicamente tu nombre visible y un resultado resumido.

Publicación pública opcional, agregados y herramientas públicas

Tarjeta pública de comida, galería, foto del día y sorteo

Las fotos de comida procesadas normalmente por IA no se almacenan en los servidores de TempoLife. Solo después de que aceptes por separado el archivo web público, el servidor crea una copia JPEG sin metadatos y una tarjeta pública para compartir. Los campos públicos pueden incluir la foto, el nombre del alimento, tu descripción, el contenido de la tarjeta y el token para compartir; los contadores anónimos de visualizaciones y de intentos de adivinar no se publican como métricas de interacción. La copia puede aparecer en la galería, en datos estructurados indexados por buscadores y en la rotación de la foto del día. La tarjeta caduca como máximo a los 90 días; un proceso de limpieza automático retira los archivos caducados y huérfanos, aunque un fallo operativo puede retrasar la eliminación física hasta la siguiente limpieza correcta. Un artefacto de foto del día es válido durante 36 horas como máximo.

Participar en el sorteo de esa semana ISO y mostrar el nombre de la persona ganadora son decisiones adicionales, ligadas a la versión exacta de las bases aprobadas, al hash de las condiciones esenciales y al compromiso de sorteo de esa ronda. No es posible participar hasta que se haya publicado, antes de la apertura, un hash del secreto del sorteo de un solo uso. La comprobación de elegibilidad consulta la fecha de nacimiento, el país y el rol de la cuenta para aplicar la edad mínima publicada, la lista de países y la exclusión del personal; esos campos del perfil no se incluyen en el artefacto del sorteo. Tras el cierre, la auditoría pública publica la revelación del secreto, una lista ordenada de claves de participación seudonimizadas derivadas de esa semana y de los tokens de las tarjetas públicas, el resumen de la lista y la clave ganadora; no publica los identificadores de cuenta ni los tokens de origen. El consentimiento no se traslada a otra semana ni a unas condiciones modificadas. Puedes retirar un elemento o todos en los ajustes del archivo público. La retirada suprime de inmediato la publicación en TempoLife e intenta eliminar el JPEG y los campos públicos; queda una marca de revocación durante un máximo de 100 días para que los artefactos de TempoLife no puedan volver a publicarlo. Los navegadores, servidores proxy, buscadores u otros destinatarios pueden conservar una copia que hubieran almacenado en caché mientras era pública. Al eliminar la cuenta se retiran de inmediato las tarjetas públicas y las copias de TempoLife.

Agregados públicos

Los agregados regionales y de actividad tienen ajustes independientes. Solo se publican con un mínimo de 20 cuentas que hayan dado su consentimiento, utilizan periodos completados o diferidos e intervalos redondeados. La tabla regional omite los puntos y las rachas. Los nombres, los identificadores de cuenta, las comidas individuales y los registros de salud nunca entran en el resultado agregado público. La retirada excluye a la cuenta del siguiente cálculo.

Comparación entre estimación y etiqueta

Un par voluntario contiene una estimación de calorías editable, el valor de la etiqueta del envase para la misma ración, una nota opcional y las horas de declaración y consentimiento. El resultado público abarca únicamente el mes completo anterior: un par por persona participante, al menos 100 participantes, recuentos redondeados a la baja a 25 y métricas a unidades enteras. Los pares individuales no se publican. La retirada con un solo clic borra de inmediato la nota y los valores de calorías, y deja únicamente un marcador de auditoría de la revocación hasta la eliminación de la cuenta.

Extensión de Firefox y búsqueda de comida

La extensión envía a la API de alimentos de TempoLife únicamente el término de búsqueda escrito o el identificador del alimento seleccionado. No envía las páginas visitadas, el contenido de las páginas, las cookies ni la cuenta de TempoLife. Firefox guarda localmente hasta cinco nombres de alimentos recientes. Los registros de seguridad de TempoLife pueden recibir el término de búsqueda, la dirección IP, el agente de usuario y la hora de la solicitud durante un máximo de 90 días.

Distintivo de WordPress y reseñas de Google Play

El complemento de WordPress solicita únicamente /counter.php?format=json. TempoLife recibe la IP del servidor de WordPress, el agente de usuario del complemento y la hora de la solicitud (registros de seguridad, hasta 90 días), pero ninguna cookie de la persona visitante, ni su IP, ni la URL de la página. La página de reseñas puede volver a publicar el texto público de una reseña, tras depurar los datos de contacto, junto con su valoración y el enlace a Play obtenidos de la API oficial Google Play Android Publisher; se omite el nombre del autor y no se muestran instantáneas de más de 72 horas.

Calculadora de raciones de Telegram

En un navegador normal, la calculadora no se comunica con Telegram. Cuando se abre con parámetros de Telegram Mini App, carga el SDK de Telegram desde telegram.org, lo que proporciona a Telegram los metadatos habituales de la solicitud (incluidas la IP y el agente de usuario) y permite que su JavaScript se ejecute en esa página de la calculadora. TempoLife no lee la identidad de Telegram ni los campos de datos de inicialización en esta herramienta.

La publicación opcional se basa en el consentimiento (RGPD art. 6.1.a); los registros de seguridad y de operación se basan en el interés legítimo en proteger el servicio (art. 6.1.f). Tu exportación de portabilidad incluye tus tarjetas para compartir, los JPEG públicos que queden, los pares de comparación y los registros de revocación.

Variante de configuración rápida

Una cuenta nueva puede asignarse a una variante de configuración rápida o estándar. Solo almacenamos el vínculo con la cuenta, la variante, un grupo seudoaleatorio determinista derivado de la cuenta y la hora de asignación, para que la misma persona reciba una experiencia coherente durante toda la configuración. No creamos eventos separados de visualización, clic, comida, foto, salud, publicidad o campaña para esta prueba; su resultado se evalúa únicamente a partir de la finalización agregada de la configuración de perfil ya existente.

El registro no se envía a Google Analytics ni a ningún otro tercero y no se usa con fines publicitarios. La base jurídica es nuestro interés legítimo en reducir la fricción innecesaria de la configuración mediante una prueba mínima y respetuosa con la privacidad (RGPD art. 6.1.f); documentamos la ponderación antes de activarla. Puedes oponerte por motivos relacionados con tu situación particular a través del contacto de la sección 12. Una asignación con la configuración sin terminar se elimina a los 30 días y una con la configuración completada a los 90 días; se suprime de inmediato cuando se tramita una solicitud de supresión de la cuenta y se incluye en la exportación de datos del usuario hasta su eliminación.

Ubicación (opcional)

La ubicación es opcional y permanece desactivada hasta que tú la actives. TempoLife solo la solicita cuando pulsas Usar mi ubicación bajo los resultados de restaurantes de la búsqueda de comida — nunca al abrir la app y nunca en segundo plano.

Para qué se utiliza

Para mostrar las cartas de restaurante que corresponden al lugar donde te encuentras: la carta del país en el que estás (por ejemplo, la de McDonald’s Estonia en lugar de la del Reino Unido), con los restaurantes cercanos en primer lugar.

Qué ocurre con tu ubicación

• Tu dispositivo redondea la posición a unos 100 metros y la envía por HTTPS a nuestro servidor únicamente mientras buscas.
• Nuestro servidor la utiliza para esa búsqueda y no la almacena — ni en tu cuenta, ni en tu diario, ni en nuestros registros.
• Para saber qué restaurantes hay cerca, nuestro servidor consulta al servicio público OpenStreetMap (Overpass API, gestionada por FOSSGIS e.V., Alemania) los lugares situados en la cuadrícula de mapa circundante de aproximadamente 1 km, más un margen. Solo se envía esa cuadrícula, desde la dirección de nuestro propio servidor y sin nada que te identifique a ti ni a tu posición exacta.
• La lista de restaurantes de esa cuadrícula son datos cartográficos, no datos sobre ti. La conservamos hasta 14 días para que la siguiente búsqueda sea rápida y la eliminamos cuando nadie ha buscado ahí durante 60 días.
• Tu dispositivo solo recuerda si activaste o desactivaste la función.

Cómo desactivarla

Pulsa Desactivar bajo los resultados de restaurantes, o retira el permiso en Ajustes → Aplicaciones → TempoLife → Permisos de Android (en un navegador: en los ajustes del sitio). La búsqueda de comida seguirá funcionando y utilizará el país de tu cuenta.

La base jurídica es tu consentimiento (RGPD art. 6.1.a), que prestas al activar la función y conceder el permiso, y que puedes retirar en cualquier momento tal como se describe arriba. Datos cartográficos © colaboradores de OpenStreetMap (ODbL).

Cómo usamos los datos (finalidad y base jurídica)

Búsqueda de comida: cuando buscas un alimento almacenamos el texto que escribiste (hasta 120 caracteres), el idioma en el que estaba la app, cuántos resultados procedían de nuestra propia base de datos de referencia de alimentos y cuántos de la base de datos de productos envasados, y si guardaste un alimento en los 15 minutos siguientes. Tiene una única finalidad: encontrar las búsquedas que no devuelven nada para poder corregirlas. El registro está vinculado a tu cuenta, no se envía a Google Analytics ni a ningún otro tercero y nunca se usa con fines publicitarios ni de elaboración de perfiles. La base jurídica es nuestro interés legítimo en una búsqueda de comida que realmente encuentre comida (RGPD art. 6.1.f); puedes oponerte por motivos relacionados con tu situación particular a través del contacto de la sección 12. Los registros se eliminan automáticamente a los 90 días, se suprimen de inmediato cuando se tramita una solicitud de supresión de la cuenta y se incluyen en la exportación de datos del usuario hasta su eliminación.

TempoLife nunca utiliza tus datos con fines publicitarios, de elaboración de perfiles ni para venderlos a terceros. Esto se aplica en particular a los datos de salud y actividad física leídos desde Android Health Connect, que nunca se usan con fines publicitarios, nunca se comparten con redes publicitarias ni intermediarios de datos y nunca se venden.

No es un producto sanitario

TempoLife es una aplicación general de bienestar y estilo de vida. No es un producto sanitario y no está destinada a diagnosticar, tratar, curar ni prevenir ninguna enfermedad o afección médica.

Todo lo que muestra la app — tendencias, puntuaciones, resúmenes y sugerencias generados por IA, y cualquier cifra leída desde Health Connect o desde un dispositivo conectado — se facilita únicamente con fines de información general y autoseguimiento. No constituye asesoramiento médico y no debe utilizarse para diagnosticar o tratar, ni para iniciar, interrumpir o modificar ningún medicamento o tratamiento.

Valores como las estimaciones de calorías y nutrientes obtenidas del reconocimiento de fotos, las fases del sueño y las lecturas de frecuencia cardíaca proceden de sensores de consumo y de modelos automatizados, y pueden ser inexactos. Consulta siempre a un profesional sanitario cualificado para obtener asesoramiento médico, un diagnóstico o un tratamiento. En caso de emergencia, llama al número de emergencias de tu país (112 en la UE) — no confíes en esta aplicación.

Encargados del tratamiento

Tus datos solo pueden ser tratados por los siguientes proveedores de servicios, con los que hemos firmado acuerdos de encargado del tratamiento:

Las fotos de comida se envían a Google Gemini AI (o, como alternativa, a Anthropic Claude AI) solo para esa solicitud y después se eliminan del proveedor. Las fotos seleccionadas a través del flujo de IA habitual de la app no se almacenan en nuestros servidores. Las excepciones son el JPEG del archivo público consentido por separado de la sección 2e y un JPEG temporal sin metadatos que crea la función opcional de compartir de la PWA: este último se conserva solo para la entrega, no se envía automáticamente a la IA y se elimina en menos de 10 minutos o inmediatamente después de su única recuperación. Los metadatos EXIF/GPS se eliminan.

Los datos leídos desde Android Health Connect (pasos, sueño, peso corporal, frecuencia cardíaca, frecuencia cardíaca en reposo, VFC y entrenamientos) se almacenan en tu cuenta de TempoLife en nuestros propios servidores en Estonia. Nunca se comparten con redes publicitarias, plataformas de publicidad, intermediarios de datos ni revendedores de información, y nunca se venden. Si utilizas las funciones opcionales de IA — por ejemplo el coach de IA o un resumen de tendencias — las cifras necesarias para responder a esa solicitud concreta pueden enviarse al proveedor de IA indicado arriba únicamente para esa solicitud, sobre la base de tu consentimiento. Nunca se transfieren para los fines propios del proveedor ni con fines publicitarios.

Transferencias internacionales de datos

Algunos servicios (Google Gemini, Anthropic Claude, ElevenLabs) tienen su sede en Estados Unidos. Los datos se transfieren únicamente al amparo de las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, del Marco de Privacidad de Datos UE-EE. UU. u otras garantías del capítulo V del RGPD.

Al pulsar «Acepto» en el diálogo del servicio de IA, prestas un consentimiento explícito y específico para dicha transferencia (RGPD art. 49.1.a).

Conservación de los datos

Tus datos se conservan solo durante el tiempo necesario para prestar el servicio:

• Cuenta activa: los datos de la cuenta se conservan hasta su eliminación, salvo que esta política establezca un plazo más corto
• Eliminación de la cuenta (RGPD art. 17): los datos personales se anonimizan de inmediato; los registros asociados se eliminan por completo en un plazo de 30 días
• Registros del servidor (IP, UA): 90 días como máximo
• Códigos de verificación por correo electrónico: 15 minutos o hasta su uso
• Credenciales de enlace mágico: el enlace dura 15 minutos; la fila que contiene la dirección de correo y el hash del token se elimina al usarse, al sustituirse o en el plazo de un minuto tras su caducidad
• Foto de comida temporal compartida mediante la PWA: menos de 10 minutos o hasta su única recuperación, lo que ocurra primero
• Solicitudes a la IA de Anthropic: 30 días en los servidores de Anthropic y después se eliminan automáticamente (según el acuerdo de encargado del tratamiento con Anthropic)
• Ubicación (búsqueda opcional de restaurantes): no se almacena — se utiliza solo durante la búsqueda; la lista de restaurantes por cuadrícula de mapa de aproximadamente 1 km se conserva hasta 14 días y no contiene datos de usuario (consulta la sección 2g)

Seguridad

TempoLife aplica medidas técnicas y organizativas para proteger tus datos (RGPD art. 32):

• Todo el tráfico por HTTPS/TLS 1.2 o superior
• Contraseñas almacenadas como hashes bcrypt — nunca se guarda el texto sin cifrar
• Protección con token CSRF en todas las solicitudes que modifican datos
• Política de seguridad de contenido (CSP), HSTS, X-Frame-Options: DENY
• Android: solo compilación oficial de Play Store, firmada con keystore SHA-256
• Base de datos (PostgreSQL) alojada en la UE (Estonia); copias de seguridad cifradas
• Copia de seguridad en la nube del dispositivo Android DESACTIVADA (android:allowBackup="false")

Tus derechos

El RGPD te reconoce los siguientes derechos, que puedes ejercer directamente desde la app (Perfil → Privacidad) o escribiendo a info@tempolife.app:

• Derecho de acceso (art. 15) — puedes ver todos tus datos en la app
• Derecho de rectificación (art. 16) — edita los campos del perfil en cualquier momento
• Derecho de supresión (art. 17) — escribe a info@tempolife.app
• Derecho a la limitación del tratamiento (art. 18)
• Derecho a la portabilidad de los datos (art. 20) — el botón «Descargar mis datos» devuelve un ZIP con volúmenes de datos en JSON
• Derecho de oposición (art. 21)
• Derecho a retirar el consentimiento (art. 7) — desactiva una integración o un ajuste de agregados, o retira una tarjeta pública o un par de comparación; no es necesario eliminar la cuenta
• Derecho a presentar una reclamación — Inspección de Protección de Datos de Estonia: www.aki.ee

Cómo eliminar tu cuenta

TempoLife respeta el artículo 17 del RGPD (derecho de supresión). Para eliminar tu cuenta, escribe a info@tempolife.app desde la dirección vinculada a tu cuenta. La eliminaremos en un plazo de 30 días.

Qué ocurre con tus datos

• Una vez tramitada: tu correo electrónico, nombre, foto de perfil y todos los identificadores personales se anonimizan en la base de datos (por ejemplo deleted_12345_1714@deleted.tempolife). Tu sesión se cierra. Ya no podrás iniciar sesión.
• En un plazo de 30 días: todos tus datos personales de salud (pasos, sueño, estado de ánimo, sesiones de ayuno, registros de comidas, etc.), junto con cualquier registro heredado de funciones retiradas, se eliminan de forma permanente.
• Pasados 30 días: no queda nada que permita identificarte, salvo estadísticas agregadas anonimizadas y los registros de auditoría exigidos por ley (la IP y el correo electrónico se eliminan a los 30 días).

Cookies y almacenamiento local

De forma predeterminada, TempoLife utiliza únicamente el almacenamiento necesario para prestar el servicio. La medición de publicidad y analítica abarca Google Analytics 4 (visitas de página anónimas y eventos del embudo de producto), los identificadores de clic y de campaña de Google Ads conservados hasta 90 días, y una apertura de la app previa al registro medida con un identificador seudonimizado aleatorio. Está activada de forma predeterminada sobre la base de nuestro interés legítimo en medir qué campañas generan registros, y puedes desactivarla en cualquier momento en Preferencias de medición, tras lo cual se eliminan los identificadores anteriores. El registro de apertura de la app (plataforma, agente de usuario limitado, primera y última apertura y recuento) se elimina como máximo 90 días después de la última apertura. La personalización publicitaria permanece siempre desactivada. Puedes cambiar esta elección en cualquier momento en Preferencias de medición.

• PHPSESSID — identificador de sesión (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — tu elección de medición y su vínculo con la cuenta, que impide que una elección se transfiera a otra cuenta en un dispositivo compartido
• Identificadores de clic, UTM y medición de Google Ads (_gcl_* / _ga*) — solo mientras la medición está activada, durante un máximo de 90 días; se usan para atribuir el registro de una cuenta y se eliminan cuando desactivas la medición
• tl_device (hasta 365 días) y tl_dseen (30 minutos) — solo mientras la medición está activada, para la medición seudonimizada de aperturas de la app previas al registro; se eliminan tras la vinculación con una cuenta o cuando desactivas la medición
• Google Analytics 4 — visitas de página anónimas y eventos del embudo de producto, activado de forma predeterminada (personalización publicitaria desactivada)
• Páginas vistas de Restohind — recuento sin cookies de las páginas abiertas en restohind.tempolife.app, medido con Umami alojado por nosotros (dirección de la página, referente, navegador, país). Sin cookie ni identificador publicitario.
• Telemetría de uso con sesión iniciada — duración de la sesión y pantallas visitadas en cuentas con sesión iniciada (no invitadas), para operar y mejorar el producto; de origen propio, 90 días, nunca se envía a Google Analytics
• localStorage — tema, idioma, indicadores de consentimiento
• Service Worker — soporte sin conexión y caché

Privacidad de los menores

TempoLife está dirigida a usuarios de 16 años o más. Los menores de 16 años no pueden crear una cuenta sin el consentimiento de su padre, madre o tutor. Si tenemos conocimiento de que hemos recopilado datos de un usuario menor de 16 años sin el consentimiento adecuado, los eliminamos de inmediato.

Cambios en esta política

Si la política de privacidad se modifica sustancialmente, te lo notificaremos en la app (mediante un aviso o por correo electrónico) al menos 14 días antes de que los cambios surtan efecto. El uso continuado después del cambio implica su aceptación.

Las versiones anteriores están archivadas en GitHub.

Contacto

• Correo electrónico: info@tempolife.app
• Sitio web: tempolife.app

Autoridad de control: Inspección de Protección de Datos de Estonia — www.aki.ee