Política de Privacidad

Última actualización: 16 de julio de 2026 · Versión: 1.0

1. Quién es responsable de sus datos

El responsable del tratamiento de los datos personales descritos en esta política es Dylan Janssens, h.o.d.n. Tempo / Swipe Your Bite, una empresa unipersonal (eenmanszaak) registrada en la Cámara de Comercio neerlandesa (KvK 81923201), NIF-IVA BTW NL003619262B91. Puede contactarnos sobre sus datos en hello@withtempo.run.

Delegado de Protección de Datos (DPD). No hemos designado un Delegado de Protección de Datos. Como empresa unipersonal, no somos una autoridad pública, nuestra actividad principal no consiste en la observación habitual y sistemática a gran escala de los interesados, y nuestra actividad principal no consiste en el tratamiento a gran escala de categorías especiales de datos en el sentido del art. 37(1) del RGPD. El contacto de privacidad indicado arriba es la persona responsable de las cuestiones de protección de datos y de las solicitudes relativas a sus derechos.

2. Qué recopilamos

2.1 Datos de la cuenta

Dirección de correo electrónico, contraseña cifrada (hash), preferencia de idioma, fecha de alta.

2.2 Datos de perfil y entrenamiento que usted nos proporciona

Nombre (solo el nombre de pila se envía a la IA; véase el § 4), fecha de nacimiento (opcional), objetivos, historial de carreras, preferencias de entrenamiento, notas sobre lesiones, entradas de diario en texto libre.

2.3 Datos de actividad y salud de dispositivos conectados

Si conecta un dispositivo wearable a través de Terra (Garmin, WHOOP, Oura, Apple Health, etc.), recibimos registros de actividad (carreras, ciclismo, natación), frecuencia cardíaca, VFC (variabilidad de la frecuencia cardíaca), sueño, composición corporal y — solo si usted da su consentimiento explícito (mediante el aviso único del panel de Rendimiento cuando llegan por primera vez datos del ciclo desde un wearable conectado, o activando el seguimiento del ciclo en Perfil) — datos del ciclo menstrual. Los datos de frecuencia cardíaca, VFC, sueño y ciclo son datos personales de categoría especial ("datos relativos a la salud") en el sentido del art. 9 del RGPD.

2.4 Conversaciones

Todos los mensajes que intercambia con Tempo. Necesitamos esto para mantener el contexto entre sesiones; es el núcleo del producto. Las conversaciones en texto libre pueden contener incidentalmente información de salud que usted decida compartir, la cual tratamos entonces al amparo del consentimiento explícito del art. 9(2)(a) — véase el § 3.

2.5 Datos de suscripción y pago

Nivel de suscripción, fechas de facturación, cambios de plan, motivos de cancelación. Nunca vemos ni almacenamos el número completo de su tarjeta. Stripe gestiona directamente todos los datos de tarjeta como responsable independiente de los datos de pago con tarjeta y como nuestro encargado del tratamiento para los metadatos de suscripción.

2.6 Analítica de uso (opcional, requiere consentimiento explícito)

Datos de eventos anonimizados (qué pantallas visita, qué funciones usa, recuento de errores) — solo después de que pulse "Permitir" en el aviso de consentimiento dentro de la aplicación. El estado por defecto es desactivado. Puede revocar el consentimiento en cualquier momento en Perfil → Privacidad y dejaremos de enviar eventos de inmediato, además de eliminar los eventos pasados identificables a petición suya.

2.7 Datos de fallos y errores

Si la aplicación falla o encuentra un error inesperado, capturamos los detalles técnicos (traza de pila, versión del sistema operativo, versión de la aplicación). Ningún contenido de sus conversaciones o datos de entrenamiento se incluye en los informes de fallos.

3. Por qué usamos sus datos — y la base jurídica

Solo tratamos sus datos personales cuando disponemos de una base jurídica válida conforme al artículo 6 del RGPD (y, para las categorías especiales de datos, el artículo 9 del RGPD). La tabla siguiente asocia cada finalidad con su base específica. "Mejorar nuestro servicio" no constituye, por sí sola, una base jurídica — el trabajo de mejora del servicio que utiliza datos identificables se realiza únicamente sobre la base de uno de los fundamentos del art. 6 indicados abajo, y la analítica de producto solo se ejecuta con consentimiento.

Retirada del consentimiento. Cuando el tratamiento se base en el consentimiento (art. 6(1)(a) o art. 9(2)(a) RGPD), usted puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento ya realizado. El consentimiento de analítica puede activarse o desactivarse en Perfil → Privacidad; el consentimiento del ciclo menstrual puede retirarse desactivando el seguimiento del ciclo en Perfil.

4. Decisiones de diseño orientadas a la privacidad

Merece la pena destacar dos decisiones concretas porque determinan qué información sale de nuestra infraestructura:

• Las entradas a la IA se depuran. Antes de enviar cualquier prompt a la API de Google Gemini, eliminamos los identificadores — solo se incluye su nombre de pila, nunca su correo electrónico, apellido, teléfono, dirección o ubicación precisa. El contexto de la conversación también se limita a los últimos ~20 mensajes para reducir la exposición de datos.
• Los datos de observabilidad se desvinculan de la identidad. Langfuse recibe los pares de prompt/respuesta con fines de control de calidad, pero no su correo electrónico ni su nombre completo.

5. Con quién compartimos sus datos (encargados del tratamiento)

No vendemos sus datos ni los compartimos con anunciantes o intermediarios de datos. Sí utilizamos encargados del tratamiento cuidadosamente seleccionados para operar el Servicio. Cada uno está vinculado por un acuerdo de encargo de tratamiento por escrito (art. 28 RGPD) y, cuando los datos salen del EEE, por garantías adecuadas (véase el § 6).

6. Transferencias internacionales

Algunos de los encargados del tratamiento indicados arriba están ubicados en, o pueden transferir datos a, países fuera del Espacio Económico Europeo — principalmente Estados Unidos. Para dichas transferencias nos basamos en las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea (Decisión 2021/914) como garantía principal conforme al art. 46(2)(c) RGPD, y en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) cuando el encargado estadounidense correspondiente esté certificado. Cuando resulten necesarias medidas suplementarias adicionales, aplicamos medidas técnicas (depuración de las entradas a la IA, cifrado en tránsito, selección de región UE cuando esté disponible) y medidas contractuales (cláusulas del acuerdo de encargo que exigen notificación de incidentes y eliminación de datos a petición). Puede solicitar una copia de las CCT pertinentes escribiendo a hello@withtempo.run.

7. Cuánto tiempo conservamos sus datos

• Cuenta, perfil e historial de conversaciones: mientras su cuenta esté activa. Cuando elimina su cuenta dentro de la app, los datos identificables se eliminan de la base de datos en producción de inmediato; las referencias en las copias de seguridad cifradas desaparecen en un plazo de hasta 90 días a medida que las copias de seguridad se rotan.
• Datos de actividad y wearables: igual que lo anterior.
• Datos de seguimiento del ciclo: igual que lo anterior; en la app móvil también puede eliminarlos de forma independiente mediante Perfil → Eliminar datos del ciclo (visible cuando hay datos del ciclo almacenados) sin eliminar su cuenta. Si no dispone del control dentro de la app (por ejemplo, en la web), escriba a hello@withtempo.run.
• Registros de pago y facturas: 7 años (derecho fiscal neerlandés, art. 52 AWR).
• Registros de fallos y errores: 30 días.
• Datos de observabilidad de IA (Langfuse): 90 días.
• Analítica anónima (PostHog): métricas agregadas de forma indefinida; eventos individuales, 1 año.

8. Notificación de brechas de seguridad

En caso de una brecha de seguridad de datos personales que probablemente entrañe un riesgo para sus derechos y libertades, notificaremos a la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens) en un plazo de 72 horas desde que tengamos conocimiento de ella, de conformidad con el art. 33 RGPD. Cuando la brecha probablemente entrañe un alto riesgo para sus derechos y libertades, también se lo notificaremos directamente, sin dilación indebida, en un lenguaje claro y sencillo, de conformidad con el art. 34 RGPD.

9. Sus derechos conforme al RGPD

Usted tiene derecho a:

• Acceso (art. 15) — solicitar una copia de sus datos personales (Perfil → Privacidad → Exportar mis datos).
• Rectificación (art. 16) — corregir datos inexactos a través de Perfil, o escribiéndonos.
• Supresión / "derecho al olvido" (art. 17) — eliminar su cuenta en Perfil → Privacidad → Eliminar cuenta. Esto elimina sus datos identificables de inmediato de la base de datos en producción; la eliminación en las copias de seguridad se describe en el § 7.
• Limitación del tratamiento (art. 18) — pausar ciertos usos; contáctenos.
• Portabilidad de los datos (art. 20) — recibir sus datos en un formato estructurado, de uso común y legible por máquina (JSON / CSV) mediante la función de exportación.
• Oposición (art. 21) — al tratamiento basado en intereses legítimos, incluido el uso disociado para la mejora del producto descrito en el § 3.
• Retirada del consentimiento (art. 7(3)) — para la analítica de producto, active o desactive el consentimiento en Perfil → Privacidad; para el tratamiento del ciclo menstrual, desactive el seguimiento del ciclo en Perfil. La retirada no afecta a la licitud del tratamiento realizado antes de la retirada.
• No ser objeto de decisiones totalmente automatizadas con efectos jurídicos o similarmente significativos (art. 22) — Tempo ofrece un diálogo generado por IA, pero ninguna decisión con efecto jurídico o similarmente significativo sobre usted se toma únicamente mediante tratamiento automatizado. Las sugerencias de Tempo son de carácter orientativo; usted decide si actuar conforme a ellas.
• Presentar una reclamación (art. 77) ante la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens) en autoriteitpersoonsgegevens.nl, o ante la autoridad de control de su país de residencia habitual o de trabajo dentro de la UE.

Para ejercer cualquiera de estos derechos, escriba a hello@withtempo.run. Le responderemos en el plazo de un mes desde la recepción de su solicitud (art. 12(3) RGPD), con una posible prórroga de dos meses adicionales para solicitudes complejas o numerosas, en cuyo caso le notificaremos la prórroga dentro del primer mes.

10. Cookies y tecnologías similares

El sitio de marketing (esta página) no utiliza cookies de seguimiento. La app de Tempo utiliza almacenamiento local únicamente para el funcionamiento de la app (su sesión de autenticación, sus preferencias). No utilizamos cookies publicitarias ni rastreadores entre sitios. La analítica opcional de PostHog, cuando la activa, utiliza un identificador de dispositivo anónimo que no le sigue a través de otros sitios.

11. Menores

Tempo está destinado a usuarios de 18 años o más. No recopilamos a sabiendas datos personales de menores de 18 años, y no dirigimos el Servicio a menores. Si es usted madre, padre o tutor y cree que un menor nos ha proporcionado datos personales, contacte con hello@withtempo.run y eliminaremos la cuenta y cualquier dato relacionado sin dilación indebida. No nos basamos en el art. 8 RGPD (servicios de la sociedad de la información dirigidos a menores) porque no tratamos a sabiendas datos de menores en absoluto.

12. Seguridad

Los datos en tránsito se cifran con TLS 1.2 o superior. Los datos en reposo en Supabase están cifrados. La autenticación utiliza contraseñas cifradas con bcrypt. Seguimos un principio de mínimo privilegio para el personal (actualmente un único fundador-operador) y rotamos las credenciales cuando cambia el acceso de terceros. Registramos el acceso a los sistemas de producción. Ningún sistema es perfectamente seguro — si detecta una vulnerabilidad, notifíquela de forma responsable a hello@withtempo.run y concédanos un plazo razonable para solucionarla antes de hacerla pública.

13. Cambios en esta política

Los cambios materiales se comunicarán por correo electrónico y/o mediante aviso dentro de la app al menos 30 días antes de que entren en vigor. Los cambios no materiales (aclaraciones, actualizaciones de enlaces de encargados del tratamiento) entran en vigor en el momento de su publicación. La fecha de "Última actualización" en la parte superior de esta página refleja la revisión más reciente.