Política de privacidad de Kalorik

Última actualización: 28 de junio de 2026

1. Responsable del tratamiento de los datos

Los datos de identificación completos del responsable del tratamiento están publicados en el Aviso Legal de este sitio web, en cumplimiento del artículo 13 RGPD y del artículo 10 LSSI-CE.

Email de contacto en materia de protección de datos: support@kalorik.app

Esta política describe cómo Kalorik (en adelante "la app", "nosotros" o "el responsable") recoge, almacena y trata tus datos personales cuando utilizas la aplicación móvil Kalorik y el sitio web kalorik.app.

Cumplimos:

  • Reglamento General de Protección de Datos (RGPD/GDPR – Reglamento UE 2016/679).
  • Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
  • Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
  • Directiva 2002/58/CE (ePrivacy) y normativa de desarrollo aplicable.
  • Reglamento (UE) 2022/2065 sobre Servicios Digitales (DSA).

2. Datos que tratamos

2.1 Datos que facilitas voluntariamente

  • Identificación: nombre o alias, correo electrónico.
  • Datos físicos: edad, sexo biológico, peso, altura.
  • Objetivos y preferencias: objetivo (hipertrofia, recomposición, pérdida de peso, tonificación), nivel, lugar de entrenamiento, equipamiento disponible, modalidad, días disponibles.
  • Datos de salud (categoría especial — art. 9 RGPD): dolencias o lesiones declaradas, intolerancias o alergias alimentarias, indicadores médicos opcionales (HbA1c, glucemia, presión arterial), respuestas a cuestionarios voluntarios de cribado conductual.
  • Progreso: registros de peso, medidas corporales (cintura, cadera, pecho, brazo, pierna), histórico de entrenamientos completados, registros de comidas, fotos de progreso (opcionales).
  • Mensajes: consultas al Coach IA y feedback enviado.
  • Datos sociales (opcional): código alfanumérico de amistad, amistades aceptadas.

2.2 Datos generados automáticamente

  • Adherencia al plan, sesiones completadas, marcas personales.
  • Identificador técnico del dispositivo y del usuario (UUID) para sincronización.
  • Logs técnicos de seguridad y errores (anonimizados).
  • Eventos de telemetría agregada (anonimizada) sobre uso de funciones.

2.3 Datos de facturación

  • Estado de suscripción y producto adquirido (a través de RevenueCat y Google Play).
  • Importes de transacciones y fechas (gestionados por Google Play; nosotros recibimos solo identificadores anónimos).

2.4 Datos que NO recogemos

  • No accedemos a tu ubicación GPS.
  • No leemos tus contactos ni otras aplicaciones instaladas.
  • No accedemos al micrófono ni a la cámara salvo acción explícita tuya (foto de progreso, foto IA Premium cuando esté disponible).
  • No accedemos a tu galería completa: solo a la imagen concreta que decides subir.
  • No utilizamos identificadores publicitarios para perfilado comercial.

3. Finalidades del tratamiento

Los datos se usan exclusivamente para:

  • Generar y mantener tu plan personalizado de entrenamiento y nutrición.
  • Calcular tus necesidades calóricas (TDEE) y reparto de macronutrientes según fórmulas científicas estándar.
  • Adaptar las rutinas a tu nivel, equipamiento, dolencias y preferencias declaradas.
  • Mostrarte tu progreso y estadísticas a lo largo del tiempo.
  • Sincronizar tu perfil entre dispositivos si activas la sincronización en la nube.
  • Procesar tus suscripciones Premium a través de Google Play y RevenueCat.
  • Comunicaciones operativas relacionadas con el servicio (no marketing).
  • Cumplimiento de obligaciones legales (fiscales, contables, requerimientos de autoridades competentes).
  • Prevención de fraude, abuso y vulneraciones de seguridad.
  • Resolución de incidencias y atención al usuario.
  • Mejora del producto mediante análisis estadísticos agregados y anonimizados.

4. Base legal del tratamiento

  • Ejecución de contrato (art. 6.1.b RGPD): datos necesarios para prestarte el servicio que has contratado, incluido el procesamiento de la suscripción.
  • Consentimiento explícito (art. 6.1.a y art. 9.2.a RGPD): datos sensibles de salud (dolencias, indicadores médicos, cuestionario conductual voluntario), fotos de progreso y funciones de inteligencia artificial. Puedes retirar el consentimiento en cualquier momento.
  • Interés legítimo (art. 6.1.f RGPD): seguridad del servicio, prevención del fraude, estadísticas anonimizadas para mejora del producto.
  • Cumplimiento de obligación legal (art. 6.1.c RGPD): conservación de datos fiscales y de facturación durante los plazos legales.

El consentimiento se obtiene de forma libre, específica, informada e inequívoca, mediante acciones afirmativas claras dentro de la app (marcado de casillas, aceptación expresa de avisos).

5. Datos de categoría especial (salud)

Los datos de salud que decides facilitar (dolencias, intolerancias, indicadores médicos, cuestionarios) son datos de categoría especial conforme al art. 9 RGPD. Su tratamiento exige tu consentimiento explícito, que se solicita de forma específica en el momento de su recogida.

Estos datos:

  • Son siempre opcionales. Puedes usar la app sin facilitarlos, aunque la personalización del plan será menor.
  • Se cifran en tránsito (TLS 1.3) y en reposo (AES-256).
  • No se comparten con terceros con fines comerciales, publicitarios o de perfilado.
  • Se borran cuando solicitas la eliminación de tu cuenta o cuando expira el plazo legal de conservación.

6. Funciones de inteligencia artificial (Coach IA, foto IA)

Cuando utilizas el Coach IA o las funciones de IA disponibles en Premium, enviamos consultas a proveedores externos de modelos de lenguaje, por ejemplo Anthropic, PBC y Google Ireland Limited (Google Gemini), según la configuración técnica vigente.

Garantías en relación con la IA:

  • Las consultas enviadas no contienen tu nombre, email ni identificadores directos. Se envía contexto técnico del plan y la pregunta planteada.
  • Cuando es técnicamente posible, utilizamos los modos empresariales de los proveedores (API enterprise) que no reentrenan los modelos con tus datos.
  • Los proveedores actúan como encargados o subencargados del tratamiento, sujetos a sus respectivas políticas de privacidad y a las garantías exigidas por el RGPD.
  • Las respuestas del Coach IA pueden contener errores. Su valor es informativo y no debe sustituir el consejo profesional (ver Términos, sección 7).

Puedes optar por no usar el Coach IA en cualquier momento sin que ello afecte al resto de funcionalidades.

7. Encargados, subencargados y transferencias internacionales

Para prestar el servicio recurrimos a los siguientes encargados / subencargados:

7.1 Almacenamiento y base de datos

Supabase Inc. — base de datos PostgreSQL y autenticación, alojada en la Unión Europea (Irlanda).

  • Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
  • Row Level Security: cada usuario solo accede a sus propios datos.
  • Acuerdo de Procesamiento de Datos (DPA) firmado.
  • Más info: supabase.com/privacy

Cloudflare R2 — almacenamiento de objetos (vídeos demostrativos de ejercicios). No almacena datos personales identificables.

7.2 Gestión de suscripciones

RevenueCat, Inc. (EE. UU.) — gestor técnico de suscripciones.

  • Recibe únicamente identificador anónimo, estado de suscripción y datos de transacción.
  • No recibe nombre, email, peso, altura ni datos de salud.
  • Transferencias internacionales cubiertas por Cláusulas Contractuales Tipo (SCC) de la Comisión Europea.
  • Más info: revenuecat.com/privacy

Google Ireland Ltd. (Google Play Billing) — procesa los pagos efectivos de las suscripciones. Sus condiciones son las de la Google Play Store.

7.3 Inteligencia artificial

Anthropic, PBC y Google Ireland Limited (modelos Gemini) — proveedores de modelos de lenguaje empleados por el Coach IA. Ver sección 6.

7.4 Seguridad anti-bots

hCaptcha (Intuition Machines, Inc.) — verificación de que el usuario no es un robot en registro/login. Trata datos técnicos (IP, user-agent, interacciones) con finalidad anti-fraude.

7.5 Transferencias internacionales

Cuando alguno de los proveedores está ubicado fuera del Espacio Económico Europeo, las transferencias se realizan amparadas por:

  • Decisiones de adecuación de la Comisión Europea cuando aplican.
  • Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
  • Medidas técnicas suplementarias (cifrado, seudonimización, control de acceso).

8. Tiempo de conservación

  • Datos activos del perfil: mientras tengas cuenta abierta en Kalorik.
  • Cuenta inactiva: si no usas la app durante 24 meses consecutivos, te avisaremos antes de eliminar tu perfil.
  • Datos sensibles de salud: se borran al cancelar tu cuenta o cuando lo solicites expresamente.
  • Datos de facturación y fiscales: 6 años (art. 30 Código de Comercio y normativa fiscal española).
  • Logs de seguridad anonimizados: hasta 90 días.
  • Datos para defensa de acciones legales: durante el plazo de prescripción aplicable.

Tras los plazos, los datos se eliminan o se anonimizan de forma irreversible.

9. Tus derechos (RGPD)

Como titular de los datos, puedes ejercer en cualquier momento los siguientes derechos:

  • Acceso: consultar qué datos tenemos sobre ti y cómo los tratamos.
  • Rectificación: corregir datos inexactos.
  • Supresión ("derecho al olvido"): borrar tu cuenta y todos tus datos. Puedes hacerlo directamente desde la app (Perfil → Eliminar cuenta) o desde kalorik.app/delete-account.
  • Limitación del tratamiento: restringir temporalmente el uso de tus datos.
  • Portabilidad: recibir tus datos en formato JSON estructurado y exportable.
  • Oposición: oponerte a tratamientos basados en interés legítimo.
  • Retirada del consentimiento: en cualquier momento, sin efectos retroactivos sobre el tratamiento ya realizado.
  • No ser objeto de decisiones automatizadas con efectos jurídicos: no aplicamos perfilado automatizado con efectos jurídicos sobre el usuario.
  • Reclamación ante autoridad de control: Agencia Española de Protección de Datos (AEPD), www.aepd.es, sin perjuicio de cualquier otro recurso administrativo o judicial.

Para ejercer cualquier derecho, escribe a support@kalorik.app indicando claramente tu petición y aportando, en su caso, copia del documento que acredite tu identidad. Responderemos en un plazo máximo de un mes, ampliable a dos meses adicionales en casos de especial complejidad.

10. Medidas de seguridad

Aplicamos medidas técnicas y organizativas razonables y proporcionadas al riesgo:

  • Conexiones HTTPS / TLS 1.3 cifradas extremo a extremo.
  • Cifrado AES-256 de datos en reposo.
  • Row Level Security en la base de datos: aislamiento estricto por usuario.
  • Autenticación JWT con verificación criptográfica (JWKS + ES256).
  • Captcha anti-bots (hCaptcha) en registro y login.
  • Limitación de tasa (rate limiting) en endpoints sensibles.
  • CORS restringido a dominios autorizados.
  • Confirmación de email obligatoria para crear cuenta.
  • Variables de entorno separadas: las claves privadas nunca viajan en la app cliente.
  • Revisiones periódicas del código y dependencias.

Pese a ello, ninguna transmisión por Internet o sistema de almacenamiento es 100 % seguro. En caso de violación de seguridad que pueda suponer un riesgo para los derechos y libertades del usuario, lo notificaremos a la AEPD y, en su caso, al usuario afectado en los plazos previstos por el RGPD.

11. Menores de edad

Kalorik está destinada a usuarios mayores de 16 años. No tratamos conscientemente datos de menores de 16 años sin consentimiento parental válido.

Si un padre, madre o tutor detecta que un menor de 16 años ha facilitado datos a Kalorik, debe ponerse en contacto con support@kalorik.app para su eliminación inmediata.

12. Cookies y almacenamiento local

12.1 Aplicación móvil

La app móvil no usa cookies de seguimiento ni rastreo publicitario. Utiliza almacenamiento local del dispositivo (IndexedDB, localStorage, preferencias nativas) exclusivamente para mantener tu sesión, guardar tu configuración y permitir el uso offline.

12.2 Sitio web kalorik.app

El sitio web kalorik.app es informativo y estático. No utiliza cookies de terceros ni de analítica. Si en el futuro se incorporasen, se mostraría un banner de consentimiento conforme a la Directiva ePrivacy y la guía de la AEPD.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales, técnicos o de servicio. Te notificaremos cualquier cambio relevante mediante:

  • Aviso dentro de la app.
  • Email a la dirección registrada (cuando proceda).

La fecha de "última actualización" al inicio del documento siempre refleja la versión vigente.

14. Reclamaciones y contacto

Para cualquier duda relativa a la privacidad o al tratamiento de tus datos:

Email: support@kalorik.app
Web: https://kalorik.app

Si no estás satisfecho con nuestra respuesta, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control competente en tu país de residencia.