Política de Privacidad — GainzAI

Última actualización: 8 de mayo de 2026

GainzAI (en adelante, "la app") es una aplicación móvil de seguimiento de
entrenamientos de fuerza con asistente de inteligencia artificial. Esta
política explica qué datos personales recoge, cómo los usa y qué derechos
tienes sobre ellos.

1. Responsable del tratamiento

Nombre / Razón social: GainzAI
Email de contacto en materia de privacidad: [email protected]

Para cualquier cuestión sobre tus datos puedes escribirnos al email
indicado y responderemos en un plazo máximo de 30 días.

2. Datos que recogemos

Datos de cuenta (obligatorios para usar la app) - Nombre de usuario. - Email (sirve para verificar la cuenta y recuperar contraseña). - Contraseña: no almacenamos la contraseña en plano, solo un hash irreversible (bcrypt, factor 12). - País (geo-localizado por IP la primera vez para auto-detectar idioma; luego se guarda y no se vuelve a inferir).

Datos de uso (los que tú introduces en la app) - Sesiones de entrenamiento: peso, repeticiones, ejercicios, tiempo, notas, RPE, datos cardio (frecuencia cardiaca, distancia, calorías). - Peso corporal histórico (opcional). - Rutinas guardadas. - Lesiones declaradas (opcional, para que el Coach IA las respete). - Foto de perfil (opcional).

Datos generados por nuestros sistemas - Fecha/hora de tus sesiones. - Logros desbloqueados. - Histórico de notificaciones. - Token de sesión (hash, no el JWT completo).

Datos técnicos mínimos - Identificador único de tu cuenta (no recogemos IMEI ni Android ID). - IP del último acceso (para anti-fraude y geo-detección de idioma; se rota / no se almacena permanentemente). - Versión de la app y entorno (staging/producción).

No recogemos:
- Lista de contactos.
- Ubicación GPS.
- Datos del calendario.
- Datos de salud externos a la app (excepto los que tú introduzcas).
- Información de otras apps instaladas.

3. Para qué usamos los datos

Finalidad	Base legal	Datos usados
Crear y mantener tu cuenta	Ejecución del contrato (uso del servicio)	Email, username, contraseña hash
Mostrar tu progreso, gráficas, ranking	Ejecución del contrato	Sesiones, peso, ejercicios
Funcionalidad social (feed, follows, mensajes)	Consentimiento (puedes desactivarla con cuenta privada)	Username, foto, sesiones
Coach IA (Paulo)	Consentimiento (función opcional)	Mensajes que envías al chat, contexto de tu sesión actual
Notificaciones push	Consentimiento (puedes desactivar)	Token FCM del dispositivo
Mejora del producto y métricas de uso	Interés legítimo (datos agregados/anonimizados)	Eventos de funnel sin contenido
Atención al cliente	Ejecución del contrato	Email

4. Sub-procesadores (terceros que tratan tus datos en nuestro nombre)

Para prestar el servicio nos apoyamos en proveedores externos. Todos
están sujetos a Acuerdos de Tratamiento de Datos (DPA) y cumplen GDPR:

Proveedor	Función	Ubicación	Datos compartidos
Railway	Infraestructura cloud (servidor + base de datos PostgreSQL)	EE. UU. (con SCCs)	Todos los datos de cuenta y uso
Groq	Modelos de IA del Coach (LLM)	EE. UU. (con SCCs)	Mensajes que envías al chat IA + contexto del entreno (anonimizado: solo nombre del usuario y datos de la sesión, sin email)
PostHog (versión EU)	Analítica de producto	UE (Frankfurt)	Eventos de funnel sin contenido (registro, primer entreno, paywall…)
Sentry	Captura de errores	UE (Frankfurt)	Trazas de errores sin contenido del usuario
Firebase Cloud Messaging	Notificaciones push Android	EE. UU. (con SCCs)	Token de dispositivo y título/cuerpo de la notif
Google Play Console	Distribución del APK	EE. UU. (con SCCs)	Datos públicos de tu cuenta de Google Play
Stripe (cuando se conecte) o PayPal (donaciones actuales)	Procesamiento de pagos (donaciones, planes)	Irlanda, UE (Stripe) / Luxemburgo, UE (PayPal Europe)	Email + ID de pago. No vemos tu número de tarjeta
Google Health Connect (opcional)	Sincronización de peso corporal con Google Fit / Samsung Health / etc.	En el dispositivo (Health Connect es local, no en la nube)	Si activas la integración: leemos/escribimos tus pesos corporales. Los datos viven en tu móvil; nosotros no los enviamos a ningún servidor de Google

Nunca vendemos tus datos a terceros ni los usamos para publicidad.

4.1 Health Connect — qué hacemos y qué no

Si conectas la app con Google Health Connect (es opcional, solo tras tu
consentimiento explícito en el diálogo de permisos):

Leemos tus entradas de peso corporal de los últimos 180 días para
Escribimos tus entradas de peso nuevas (las que registras en GainzAI)
Escribimos una sesión de ejercicio (ExerciseSessionRecord tipo
NO leemos datos sensibles (ritmo cardíaco, sueño, ciclo menstrual,
NO enviamos los datos de Health Connect a nuestro servidor sin tu
Puedes revocar permisos en cualquier momento desde la app

5. Conservación de datos

Cuenta activa: mantenemos tus datos mientras tengas cuenta.
Cuenta eliminada: al pedir borrado, marcamos la cuenta como
Mensajes destacados (chat): se borran automáticamente a los 180
Notificaciones leídas: se borran a los 30 días.
Notificaciones no leídas: se borran a los 90 días.
Sesiones de la base de datos antigua (refresh tokens):

6. Tus derechos

Tienes los siguientes derechos sobre tus datos personales (RGPD arts.
15-22):

Acceso: descargar todos tus datos. La app tiene un botón
Rectificación: corregir datos incorrectos directamente en la app
Supresión ("derecho al olvido"): Perfil → Configuración →
Limitación del tratamiento: restringir cómo usamos tus datos.
Portabilidad: el export en JSON cumple con este derecho.
Oposición: revocar consentimientos (chat IA, notificaciones,
No ser objeto de decisiones automatizadas: no tomamos decisiones
Reclamación ante la AEPD: si crees que vulneramos tus derechos

7. Menores

La app está disponible a partir de 14 años. Si tienes entre 14 y 18,
asegúrate de que tus padres/tutores conocen tu uso. Si descubrimos que
hemos recogido datos de un menor de 14 sin consentimiento parental,
los borraremos.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables:

HTTPS obligatorio (TLS) en todas las comunicaciones.
Contraseñas hasheadas con bcrypt (factor 12).
Refresh tokens hasheados en base de datos (sha256).
Cabeceras de seguridad HTTP (CSP, HSTS, COOP, CORP, Permissions-Policy).
Rate limiting en login y endpoints sensibles.
Backups automáticos de la base de datos.
Auditorías periódicas de código y dependencias.

Ningún sistema es 100% seguro. En caso de brecha que pueda afectar a
tus derechos, te avisaremos en plazo legal (≤ 72h) por email y/o por
notificación dentro de la app.

9. Transferencias internacionales

Algunos proveedores están en Estados Unidos. Las transferencias se
realizan amparadas en las Cláusulas Contractuales Tipo (SCCs)
aprobadas por la Comisión Europea, complementadas con medidas técnicas
adicionales (cifrado en tránsito y en reposo).

10. Cookies

La app móvil no usa cookies de terceros. La versión web (si llega)
solo usaría:
- Cookie técnica HttpOnly del refresh token (necesaria, no requiere
consentimiento).
- No se usan cookies publicitarias ni de terceros sin tu permiso
explícito.

11. Cambios en esta política

Si modificamos esta política, actualizaremos la fecha al inicio del
documento y, si los cambios son significativos, te avisaremos por email
o notificación push. El uso continuado de la app tras la modificación
implica aceptación.

Versión vigente desde: 8 de mayo de 2026.