Política de Privacidad

1. Responsable del Tratamiento

El Responsable del tratamiento de tus datos personales es Rosa Isabel Gómez Argente, con NIF/CIF 29494272S y email rosabelgomez.nutricion@gmail.com.

Tratamos tus datos en cumplimiento del Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y demás normativa aplicable.

2. Datos que recopilamos

Categoría	Datos concretos	Tipo RGPD
Identificación	Nombre, apellidos, email, teléfono (opcional), fecha de nacimiento	Datos comunes
Autenticación	Contraseña (hash bcrypt — nunca en claro), sesión	Datos comunes
Datos de salud — somáticos	Peso, altura, medidas (cintura, cadera, brazo, etc.), objetivos calóricos	Categoría especial Art. 9
Datos de salud — hormonales	Estado hormonal, ciclo menstrual (fechas), medicación, intolerancias, alergias	Categoría especial Art. 9
Datos de salud — emocionales	Estado de ánimo diario, niveles de estrés autorreportados, notas mentales	Categoría especial Art. 9
Datos biométricos visuales	Fotos de progreso (frente, lateral, espalda)	Categoría especial Art. 9
Comportamentales	Registro diario (adherencia 4 pilares), tareas completadas, ejercicios registrados, pasos diarios	Datos comunes (derivados de uso)
Contractuales	Rol asignado, coach asignada, plan activo, historial de planes	Datos comunes

3. Finalidad del tratamiento

Prestación del servicio de coaching wellness: ofrecer planes personalizados, seguimiento de métricas, comunicación con la Coach.
Autenticación y gestión de cuenta.
Comunicación operacional: invitaciones, notificaciones, cambios de plan (vía email transaccional).
Mejora del servicio: estadísticas internas agregadas y anonimizadas (no se cruzan con datos personales).
Cumplimiento de obligaciones legales: fiscalidad, defensa de consumidores, RGPD.

4. Base jurídica del tratamiento

Ejecución del contrato (Art. 6.1.b RGPD) para datos identificativos, autenticación y datos contractuales.
Consentimiento explícito separado (Art. 6.1.a + Art. 9.2.a RGPD) para datos de salud categoría especial. Ver sección 5.
Obligación legal (Art. 6.1.c) para datos fiscales y de consumidores.
Interés legítimo (Art. 6.1.f) para seguridad, prevención de fraude y estadísticas anonimizadas.

5. Datos de salud (Categoría especial — Art. 9 RGPD) — Consentimiento reforzado

Los datos relacionados con tu salud (peso, ciclo menstrual, estado emocional, fotos de progreso, intolerancias, medicación, hábitos alimentarios) son datos de categoría especial conforme al artículo 9 del RGPD. Su tratamiento requiere consentimiento explícito y separado del consentimiento general.

Al registrarte en la Plataforma, te pedimos un consentimiento específico para el tratamiento de estos datos con la única finalidad de prestarte el servicio de coaching wellness. Puedes retirar este consentimiento en cualquier momento contactando con rosabelgomez.nutricion@gmail.com, lo que conllevará el cese inmediato del tratamiento de estos datos y, a tu elección, su supresión.

Estos datos se tratan con medidas de seguridad reforzadas: cifrado at-rest, control de acceso limitado únicamente a tu Coach asignada (no a otras Coaches del mismo tenant), y borrado prioritario al ejercer el derecho al olvido (Art. 17 RGPD).

6. Plazos de conservación

Datos de identificación + perfil: indefinido durante la prestación activa; bloqueo durante 5 años post-baja por obligaciones fiscales.
Datos de salud (categoría especial): borrado inmediato al ejercer derecho al olvido, o 30 días post-baja confirmada (lo que ocurra antes).
Fotos de progreso: borrado inmediato al ejercer derecho al olvido, o 30 días post-baja confirmada.
Logs de acceso y seguridad: 12 meses.
Datos de consentimiento (audit trail RGPD): durante toda la existencia de la cuenta + 5 años tras baja (Art. 5.2 trazabilidad).
Datos de facturación (cuando aplique): 6 años (Ley General Tributaria).

7. Destinatarios y cesiones de datos

Tus datos no se ceden a terceros con fines comerciales. Únicamente accederán a tus datos:

Tu Coach asignada dentro del mismo tenant — para prestarte el servicio.
El Administrador del tenant — para gestión interna de la Plataforma.
Encargados del tratamiento (procesadores) con los que el Prestador firma DPAs estándar:
- Neon Postgres (almacenamiento de base de datos, ubicación EU región Frankfurt).
- Cloudflare R2 (almacenamiento de fotos de progreso y documentos, cifrado at-rest).
- Vercel (hosting de la aplicación, ubicación EU región Frankfurt).
- Resend (envío de emails transaccionales, ubicación EU/US para envío SMTP).

Estado de los DPAs: en proceso de firma. Bloqueante para producción con datos reales.

8. Transferencias internacionales

Algunos procesadores (Cloudflare R2 y Resend) pueden gestionar tu información en infraestructura ubicada fuera del Espacio Económico Europeo. En estos casos, las transferencias se protegen mediante:

Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
Cifrado at-rest y control de acceso restringido.
Para emails transaccionales: los datos transferidos son únicamente los necesarios para el envío (email destinatario + asunto + contenido); no incluyen datos de categoría especial.

9. Tus derechos como interesada

Puedes ejercer en cualquier momento los siguientes derechos:

Acceso (Art. 15): obtener una copia de los datos personales que tratamos sobre ti.
Rectificación (Art. 16): corregir datos inexactos.
Supresión / derecho al olvido (Art. 17): solicitar el borrado de tus datos.
Limitación del tratamiento (Art. 18): solicitar que se limite el tratamiento en ciertos supuestos.
Portabilidad (Art. 20): recibir tus datos en un formato estructurado y legible (JSON).
Oposición (Art. 21): oponerte al tratamiento por motivos relativos a tu situación personal.
Retirada del consentimiento en cualquier momento, sin afectar a la licitud del tratamiento previo.

10. Cómo ejercer tus derechos

Puedes ejercer tus derechos enviando un email a rosabelgomez.nutricion@gmail.com, indicando claramente el derecho que ejerces y adjuntando, en su caso, copia de tu DNI o documento identificativo equivalente para verificar tu identidad.

Te responderemos en un plazo máximo de 30 días naturales desde la recepción de la solicitud. Este plazo podrá ampliarse hasta 60 días en casos complejos, comunicándotelo previamente.

Próximamente: la Plataforma ofrecerá endpoints automatizados para ejercer estos derechos (`/api/me/export` para portabilidad, `/api/me/delete` para derecho al olvido). Mientras tanto, el ejercicio es manual vía email.

11. Reclamaciones ante la AEPD

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, o que tus derechos no han sido respetados, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

Web: www.aepd.es
Dirección: C/ Jorge Juan, 6 — 28001 Madrid

12. Medidas de seguridad

El Prestador aplica medidas técnicas y organizativas adecuadas al riesgo del tratamiento:

Cifrado at-rest de la base de datos y del almacenamiento de fotos.
Cifrado en tránsito mediante HTTPS/TLS 1.3.
Autenticación con contraseñas almacenadas como hash bcrypt (nunca en claro).
Aislamiento multi-tenant: tu Coach y Administrador no pueden acceder a datos de otros profesionales o sus clientas.
Audit log de seguridad ante intentos de acceso indebido.
Backups periódicos cifrados (en implementación).
Revisión anual del Registro de Actividades de Tratamiento (RAT).