Política de privacidad

El responsable del tratamiento es DIABOLIQ OÜ (en constitución), Tornimäe tn 5, 10145 Tallinn, Estonia, representada por Ralf Joch. La sociedad aún no está inscrita en el registro mercantil de Estonia; añadiremos el número de registro en cuanto lo esté.

Para preguntas sobre protección de datos y para tus derechos puedes contactarnos en support@diaboliq.com o por correo postal en esta dirección.

Para una cuenta necesitamos tu dirección de correo electrónico —te enviamos un enlace con el que demuestras que el buzón es tuyo—, un nombre para mostrar, tu confirmación de que tienes al menos 18 años y tu aceptación de las condiciones de uso. Sin estos datos no podemos ofrecerte una cuenta. Para la información de esta web no necesitas ninguna.

Para que el coach pueda adaptar un plan a ti, necesita tu objetivo de entrenamiento, tu nivel de entrenamiento, tus días de entrenamiento, cuánto tiempo quieres entrenar y tu equipamiento. Las limitaciones físicas solo las tratamos con tu consentimiento explícito. Estatura, peso y fecha de nacimiento son voluntarios y requieren un consentimiento propio. También son voluntarios una foto de perfil y la indicación de tu género.

El coach de IA es voluntario. Sin tus consentimientos para el coach te quedan el catálogo de ejercicios, tus propios planes, tus entrenamientos y tu progreso.

Cuando abres nuestra web o la app habla con nuestro servicio, nuestro proveedor de alojamiento Vercel trata los datos de conexión técnicamente necesarios: tu dirección IP, el momento, la dirección solicitada, datos sobre el navegador o la app y el sistema operativo, así como mensajes de estado y de error. Los necesitamos para entregar contenidos, encontrar errores y repeler ataques. Los registros de ejecución los borra Vercel al cabo de 30 días.

Para nuestros dominios usamos Cloudflare. Para diaboliq.com y sus subdominios, Cloudflare se encarga de la resolución de nombres (DNS); la conexión en sí va directamente a Vercel. Las peticiones a www.diaboliq.com, diaboliq.app y diaboliq.de las recibe Cloudflare y las redirige a diaboliq.com; en ese proceso Cloudflare trata los datos de conexión de esas peticiones.

La base jurídica es el art. 6, apartado 1, letra f), del RGPD: nuestro interés legítimo en prestar el servicio y protegerlo frente a fallos y abusos. En la medida en que el tratamiento sea necesario para las prestaciones de la app, lo basamos en el art. 6, apartado 1, letra b), del RGPD. No utilizamos servicios de análisis, publicidad o seguimiento.

Candidatura para el grupo de pruebas. Si te postulas en esta web para el grupo de pruebas, guardamos tu dirección de correo electrónico y, si los indicas, tu nombre de pila, dónde entrenas y desde hace cuánto, además de los momentos de la candidatura y de la confirmación. Que tienes al menos 18 años lo confirmas en el formulario; sin esa confirmación no aceptamos la candidatura, y no se guarda de forma separada. Te enviamos un correo con un enlace, y tu candidatura solo queda firme cuando lo pulsas. Con el segundo enlace de ese correo la retiras; entonces la borramos de inmediato con todos los datos. Una candidatura no es una cuenta.

Usamos los datos solo para asignar plazas en el grupo de pruebas y para escribirte al respecto. Cuando una candidatura se confirma, recibimos un aviso breve sin nombre y sin dirección de correo. La base jurídica es tu consentimiento, que otorgas al enviar el formulario (art. 6, apartado 1, letra a), del RGPD). Puedes retirarlo en cualquier momento a través del enlace del correo o en support@diaboliq.com. Las candidaturas no confirmadas las borramos 7 días después del correo; las confirmadas, doce meses después de la confirmación (sección 14).

Quien inscribe un gimnasio como gimnasio asociado en app.diaboliq.com/studio nos indica, como persona de contacto, un nombre y una dirección de correo, opcionalmente un teléfono, y datos del gimnasio (nombre, localidad, dirección o sitio web, datos de facturación). Enviamos un enlace para confirmar la dirección, revisamos la solicitud y escribimos tras la aprobación o el rechazo; los correos los envía Scaleway. La base jurídica es el art. 6, apartado 1, letra b), del RGPD cuando la persona de contacto es parte del contrato; si no, el art. 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en gestionar la colaboración con el gimnasio. Borramos las solicitudes no confirmadas a los 7 días y las rechazadas a los 30 días; conservamos los datos de un gimnasio asociado mientras dure la colaboración y después mientras existan obligaciones de conservación, por ejemplo para las facturas. Un gimnasio no recibe de nosotros datos sobre los usuarios.

Si participar cuesta una cuota tras el lanzamiento público, la gestionamos a través de Stripe. Para ello, Stripe recibe el nombre y la dirección de correo del titular, la dirección de facturación, un NIF-IVA y los datos de pago que el gimnasio introduce allí; no vemos los datos de la tarjeta ni de la cuenta. Nosotros solo guardamos los identificadores del cliente y de la suscripción en Stripe y el estado de la suscripción. La base jurídica es la misma que arriba; para las facturas y su conservación, también el art. 6, apartado 1, letra c), del RGPD.

Sobre tu cuenta guardamos tu dirección de correo electrónico, tu nombre para mostrar, el estado de la cuenta y el momento del registro. A esto se añaden datos que no tecleas: el esquema de color que eliges en la app, el idioma de la app, para que nuestros correos y avisos lleguen en él, el idioma de tu dispositivo y si funciona con iOS o Android, en cada caso en el último uso, y el país de tu último inicio de sesión. Del idioma de tu dispositivo guardamos solo el primero, como abreviatura, por ejemplo «en». El país es solo un código de país que nuestro proveedor de alojamiento deduce de la dirección IP; la dirección IP en sí no la guardamos.

En la app no hay contraseña. Inicias sesión con un enlace que te enviamos por correo electrónico, o con una passkey que autorizas al desbloquear tu dispositivo, por ejemplo con Face ID, Touch ID o el código de tu dispositivo. El mismo correo contiene un código de seis cifras que puedes introducir en la app en su lugar. El enlace y el código son válidos una hora y solo se pueden canjear una vez. Del código solo guardamos un valor de comprobación. Para evitar que se adivine, contamos las entradas erróneas: tras cinco, un código queda agotado, y tras diez en un día dejamos de comprobar códigos para tu dirección durante un máximo de 24 horas. Si inicias sesión por primera vez, creamos tu cuenta solo cuando hayas canjeado el enlace o el código y completado el registro.

Para una passkey guardamos la clave pública, una denominación del dispositivo y los datos técnicos con los que comprobamos un inicio de sesión. La clave privada permanece en tu dispositivo o en tu servicio de passkeys, por ejemplo el llavero de iCloud. De la autorización de tu dispositivo no recibimos ni imágenes del rostro, ni huellas dactilares, ni el código de tu dispositivo.

Puedes cambiar tu dirección de correo electrónico en Cuenta → Perfil. Para ello enviamos un código a la nueva dirección; si tienes una passkey, confirmas además el cambio con ella y, si no, con un segundo código enviado a tu dirección actual. Tu cuenta solo cambia de dirección con los códigos. Después escribimos a la dirección anterior que se ha cambiado, con la nueva solo en parte legible, y cerramos la sesión en todos los demás dispositivos. Si la nueva dirección ya pertenece a otra cuenta, solo recibe un mensaje, y la app no se entera. De los códigos solo guardamos valores de comprobación; son válidos 30 minutos, solo cuenta el más reciente, tras cinco entradas erróneas deja de funcionar, y no iniciamos más de tres cambios en 24 horas. Borramos la solicitud una semana después de su caducidad o canje. La base jurídica es el art. 6, apartado 1, letra b), del RGPD, para los códigos y los límites también el art. 6, apartado 1, letra f), del RGPD, nuestro interés en proteger tu cuenta frente a una apropiación.

Para los dispositivos con sesión iniciada llevamos sesiones con el momento del inicio de sesión y del último uso, así como una descripción técnica de la app o del navegador. Una sesión dura como máximo 30 días y termina antes si no se ha usado durante 14 días.

Nuestros correos los envía Scaleway desde París. En ese proceso se tratan tu dirección de correo y el texto del mensaje. Los correos son texto plano, sin píxeles de seguimiento y sin datos de salud.

La base jurídica es el art. 6, apartado 1, letra b), del RGPD; las medidas contra el abuso las basamos en el art. 6, apartado 1, letra f), del RGPD. El esquema de color, el país, el idioma y la plataforma solo los evaluamos de forma agregada: qué colores se eligen, para nuestro merchandising, desde qué países se conectan las cuentas, qué idiomas hablan los dispositivos, para que sepamos qué traducción llega primero, y cuántos usan iOS y Android (art. 6, apartado 1, letra f), del RGPD). Por eso no se escribe a nadie.

Si usas las funciones de entrenamiento, guardamos tus planes —creados por el coach o hechos por ti mismo— junto con sus versiones anteriores, y tus entrenamientos: cuándo has entrenado, qué ejercicios con cuántas series, repeticiones y qué peso, y qué ejercicios has omitido. Con ello calculamos tu progreso: récords, tu racha semanal y «Tu Glut». Además llevamos cuántas creaciones de planes te corresponden y cuántas has utilizado. Si marcas una semana de pausa, solo guardamos qué semana es, nunca un motivo. Mantiene tu racha semanal, y en ella no rige el objetivo semanal.

Si alcanzas el nivel Flamme, Feuer o Inferno, te enviamos tu insignia a casa (condiciones de uso, punto 9). Para ello te pedimos tu nombre y apellidos, la dirección de envío, la talla, el corte y el color. Con el pedido guardamos estos datos, tu nivel, tu número de entrenamientos y tu racha semanal el día del pedido y, más adelante, el número de seguimiento. El archivo de impresión lleva tu insignia, tu nombre y el año desde el que entrenas. Si eliges «Guardar para la próxima vez», conservamos la dirección, la talla y el corte en tu cuenta; puedes cambiarlos o eliminarlos en cualquier momento en Cuenta → Dirección de envío.

La base jurídica es el art. 6, apartado 1, letra b), del RGPD. En la app no se puede pagar nada por ahora; antes de que empiecen las suscripciones o las compras, ampliaremos esta declaración.

Si participas en el programa Ember y está activado (condiciones de uso, punto 10), te abonamos Ember según las condiciones del programa: por los días de entrenamiento que cuentan, hasta el objetivo semanal de tu plan, por una semana de entrenamiento completa, por un check-in con un entrenamiento el mismo día UTC y por nuestros challenges que completes o, en la batalla de colores, que ganes con tu color. Para ello llevamos un registro. En él constan el motivo, el número de Ember, el día o la referencia del apunte y, en una corrección, su motivo. Si corregimos tu saldo, te enteras por una notificación y ves el importe y el motivo en la app. Para la ejecución del programa, la base jurídica es el art. 6, apartado 1, letra b), del RGPD.

Para detectar abusos, comparamos la frecuencia de entrenamiento, la duración y los patrones de series y, en su caso, direcciones de envío coincidentes. Para ello trabajamos con tus entrenamientos y direcciones de envío, que guardamos de todos modos; la lista de revisión en sí no guarda nada. Se trata de una evaluación automatizada de patrones de uso y aquí se describe como elaboración de perfiles. Un patrón llamativo no provoca ni un descuento ni un bloqueo. Una persona revisa el caso concreto. Antes de un descuento controvertido, te informamos del motivo por una notificación y en la app, te damos un número de caso y 14 días para tu explicación en la app. Mientras tanto, tus Ember siguen siendo utilizables. Puedes impugnar la decisión en support@diaboliq.com; una persona la revisa de nuevo. La lista de revisión responde a nuestro interés legítimo en evitar el abuso del programa de bonificación (art. 6, apartado 1, letra f), del RGPD).

Guardamos tu explicación con la revisión, junto con el número de caso y la hora. Solo pueden leerla los miembros autorizados del equipo que deciden sobre el caso; el correo al equipo solo contiene el número de caso y un enlace. Por favor, no menciones diagnósticos ni otros datos de salud que no sean necesarios para la revisión. Si una explicación contiene tales datos, solo los tratamos en la medida en que sea necesario para la revisión y lo permita una base jurídica especial conforme al art. 9, apartado 2, del RGPD. Borramos el texto de tu explicación 6 meses después de la decisión; el hecho de que se recibió una explicación permanece en el registro. Por lo demás, la base jurídica de la explicación es el art. 6, apartado 1, letra b), del RGPD.

Si escaneas voluntariamente el código de la recepción de un gimnasio asociado, lo vinculamos a tu cuenta y a la hora del check-in: qué gimnasio, qué día, a qué hora, como máximo una vez al día. Usamos estos datos para comprobar las condiciones de participación y para conceder el bonus de Ember previsto; solo lo recibes un día en el que también entrenas. No registramos el GPS; aun así, el código del gimnasio puede revelar que estuviste en ese gimnasio. El gimnasio no recibe datos personales de check-in ni de entrenamiento. Borramos cada check-in a los 12 meses, y de inmediato con tu cuenta. La base jurídica es el art. 6, apartado 1, letra b), del RGPD.

Si te unes a un challenge, guardamos el challenge, el momento en que te uniste, el nivel de tu Glut al unirte, tu grupo y cuándo lo completaste y, en un especial, también cuándo alcanzaste la plata y el oro. Calculamos tu progreso a partir de tus entrenamientos y check-ins: según el challenge, días de entrenamiento, semanas completas, check-ins, días con un nuevo récord, minutos de entrenamiento según nuestro reloj, repeticiones de dominadas, flexiones, sentadillas y swings, en el Trío del diablo rondas de dominadas, flexiones y sentadillas, en el mapa completo los grupos musculares que trabajan principalmente tus ejercicios, en el bingo nueve casillas a partir de estos datos y si un ejercicio era nuevo para ti, o el peso movido, es decir, el peso por las repeticiones de tus series, sin tu peso corporal. En nuestros challenges formamos grupos de como máximo 20 personas del mismo nivel; en los challenges entre amigos hay un único grupo de como máximo 20 personas, sea cual sea el nivel. Puedes dejar un challenge mientras siga en curso y no lo hayas completado; entonces eliminamos tu participación. Para la participación que solicitas, la base jurídica es el art. 6, apartado 1, letra b), del RGPD.

En un objetivo común en el que todos colaboran, tu aportación cuenta para el total de quienes participan. Los participantes solo ven ese total cuando al menos 5 han aportado; tu aportación solo la ves tú, y no hay clasificación. En la batalla de colores guardamos el color de tu app al unirte como tu equipo. Los participantes ven la media de días de entrenamiento por color, solo a partir de 5 miembros de ese color, nunca a participantes individuales. Para tu challenge del mes calculamos un objetivo personal a partir de tus días de entrenamiento de las 8 semanas anteriores y lo creamos solo para ti; participas solo cuando te unes, y 90 días después de su fin deja de estar vinculado a tu cuenta. En las temporadas (Adviento, Año Nuevo, Verano) se añade cada semana una tarea a partir de los mismos datos; si alcanzas bronce, plata u oro, guardamos tu insignia con la temporada, el año y la medalla hasta que borres tu cuenta.

Solo apareces en la clasificación si das un consentimiento aparte y la activas. Los demás participantes de tu grupo ven entonces tu apodo, tu progreso y tu puesto. El nombre de tu cuenta, tu dirección de correo y los entrenamientos concretos no se muestran allí. El apodo lo eliges tú, en Cuenta o en un challenge; hasta entonces te proponemos uno. Cada apodo existe una sola vez; mayúsculas, minúsculas, tildes y signos de puntuación no cambian nada. Si quieres evitar que te reconozcan, elige un apodo que no te identifique; un apodo no hace que tus datos sean anónimos automáticamente. La visibilidad se basa en el art. 6, apartado 1, letra a), del RGPD. Das tu consentimiento una vez, la primera vez que activas la clasificación, y después la activas y desactivas en cada challenge. Puedes retirar tu consentimiento en cualquier momento en Cuenta → Consentimientos; entonces ya no te mostramos en ninguna clasificación. Esto no afecta a la licitud de lo mostrado hasta entonces. La participación y los Ember no dependen de la visibilidad. Si desactivas la clasificación, dejamos de mostrarte a los demás en ella. No podemos eliminar automáticamente las copias que otros ya hayan hecho.

Si creas un challenge para tus amigos, guardamos la plantilla elegida, el inicio, a ti como creador y el código de invitación. El enlace lo compartes tú. Quien abre la web correspondiente no ve allí ningún dato sobre ti ni sobre el challenge. Los datos técnicos de acceso al abrir la web se tratan conforme a la información general sobre alojamiento y seguridad (sección 3).

Ideas. En Cuenta → Ideas puedes enviarnos ideas para Diaboliq, votar ideas publicadas y denunciar una. Si envías una idea, guardamos tu título y tu descripción, el tipo de idea, si podemos nombrarte con tu apodo cuando se implemente, y el momento. No nos envíes datos sobre tu salud; si tu texto lo parece, la app te lo vuelve a preguntar antes de enviarlo, y esta comprobación ocurre solo en tu dispositivo. Tu texto solo lo ve nuestro equipo. Nunca publicamos tu texto, sino una versión que redactamos nosotros; nunca te nombramos, y tu apodo solo si lo quisiste y la idea se ha implementado. Traducimos nuestra versión al inglés, al francés y al español con Anthropic (sección 7); tu texto no se envía. Mientras escribes, la app te propone ideas publicadas similares; para ello envía tu texto a nuestro servidor, que solo lo lee para la búsqueda y no lo guarda. De tu voto guardamos a qué idea corresponde; puedes retirarlo en cualquier momento. Si denuncias una idea, guardamos el motivo, tu texto opcional y el momento, y nuestro equipo recibe un aviso. También puedes denunciar una idea por correo electrónico a support@diaboliq.com, sin cuenta. Si alguien abusa de las ideas, podemos bloquear su cuenta para las ideas; dejamos constancia del motivo. La base jurídica es el art. 6, apartado 1, letra b), del RGPD, para las denuncias y los bloqueos el art. 6, apartado 1, letra f), del RGPD, nuestro interés en mantener las ideas libres de abusos. Borramos tu texto a más tardar 30 días después de recibirlo, aunque aún no hayamos decidido, y también el texto opcional de una denuncia; el resto de una denuncia 90 días después de tramitarla. Los votos, envíos, denuncias y un bloqueo desaparecen con tu cuenta. Nuestra versión de una idea permanece, sin relación contigo.

Las limitaciones físicas, por ejemplo molestias en la rodilla, la espalda o el hombro, son datos de salud y están especialmente protegidos. Con tu consentimiento explícito los guardamos para que el coach adapte tu plan a ellos y para que una comprobación programada de forma fija contraste cada plan con ellos.

Estatura, peso y fecha de nacimiento solo los guardamos con un consentimiento propio y voluntario. No son requisito para el coach, figuran en tu perfil y no entran en la creación del plan. Una fecha de nacimiento según la cual seas menor de 18, no la guardamos.

La base jurídica para ambos es tu consentimiento explícito, art. 6, apartado 1, letra a), y art. 9, apartado 2, letra a), del RGPD. Cómo lo retiras y qué ocurre entonces está en sección 13.

Si quieres, le dices al coach tu género: femenino, masculino o diverso. Según eso elegimos qué figura te muestra un ejercicio, cuando existe con ambas. Para nada más usamos ese dato (art. 6, apartado 1, letra b), del RGPD).

Una foto de perfil es voluntaria. La app la reduce antes de subirla a 512 × 512 píxeles. Antes de guardarla eliminamos los metadatos incrustados —por ejemplo el lugar de la toma, el dispositivo y la hora—. La guardamos en un almacenamiento no público de nuestro proveedor de alojamiento Vercel en Frankfurt; solo se puede acceder a ella mediante enlaces que generamos para tu cuenta y que caducan a las 24 horas. Otros usuarios no la ven actualmente. Si eliminas o sustituyes la foto o borras tu cuenta, la borramos de inmediato; de las memorias caché de Vercel desaparece, según indica el proveedor, en aproximadamente un minuto. No se analiza biométricamente. La base jurídica es el art. 6, apartado 1, letra b), del RGPD.

Nuestro coach utiliza inteligencia artificial, en concreto la API Claude de Anthropic. La parte contratante es Anthropic Ireland, Limited; los datos se tratan sobre todo en EE. UU., en Anthropic, PBC y sus proveedores de servicios. El tratamiento por la IA no comienza hasta que hayas consentido expresamente el tratamiento de tus datos de salud y, además, el uso del coach de IA.

Según la función, se envía a Anthropic información distinta:

• En la conversación: el historial de la conversación en curso, tu perfil de entrenamiento y tu nombre de trato, para que el coach pueda dirigirse a ti: de «Alex Muster» se convierte en «Alex». Además, si ya has facilitado datos como la estatura o el género, pero no cuáles. Lo que tú mismo escribes en el chat también va a Anthropic: si respondes a la pregunta por la estatura, el peso, la fecha de nacimiento o el género, la IA lee el valor de tu respuesta y nosotros lo guardamos en tu perfil; los datos corporales, solo con el consentimiento de sección 6. Si el coach ya te conoce, la IA recibe su saludo; tus cifras de entrenamiento no las recibe. Si no usas la app en alemán, conoce la lengua para responder en ella.
• En una solicitud de plan: objetivo, nivel de entrenamiento, días y duración del entrenamiento, equipamiento y limitaciones físicas, además de un extracto de nuestro catálogo de ejercicios y, si no usas la app en alemán, el idioma en el que debe estar escrito el plan. El nombre, la dirección de correo, los datos corporales y el género no se envían.

La transmisión estructurada reduce el volumen de datos; por eso no es anónima. Por favor, no menciones en el chat datos innecesarios sobre tu persona ni datos sobre otras personas.

La base jurídica es tu consentimiento, art. 6, apartado 1, letra a), del RGPD, y para los datos de salud además el art. 9, apartado 2, letra a), del RGPD. Sobre la transferencia a EE. UU., véase la sección 11.

El historial de la conversación no lo guardamos en nuestros servidores: lo reenviamos para obtener la respuesta, y la app lo mantiene solo en la memoria de trabajo mientras se ejecuta. Lo que confirmas al coach para tu perfil lo guardamos allí, y un plan creado se convierte en tu plan (sección 5).

Anthropic borra las entradas y salidas de la API normalmente en un plazo de 30 días. En caso de infracciones detectadas de sus políticas, Anthropic señala excepciones de hasta dos años para los contenidos y de hasta siete años para las evaluaciones de seguridad; pueden añadirse obligaciones legales de conservación. No hemos acordado un almacenamiento cero (información de Anthropic sobre la conservación). Con estos contenidos Anthropic no entrena modelos; así lo excluyen las condiciones comerciales.

La IA hace propuestas. Antes de guardar un plan, un conjunto de reglas programado de forma fija y sin IA lo contrasta con tus datos; lo que no encaja no pasa la comprobación. Si la IA falla o no está disponible, ese mismo conjunto de reglas compone un plan sin IA. Aun así, las recomendaciones pueden ser incorrectas o incompletas. Puedes rechazar cualquier plan, modificarlo o crear uno tú mismo. No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten de modo similarmente significativo en el sentido del art. 22 del RGPD.

Si permites las notificaciones, guardamos el identificador de entrega (token push) de tu dispositivo y la plataforma, para decirte por ejemplo que tu plan está listo. La entrega se realiza a través de Expo y del servicio de notificaciones de Apple. Las notificaciones contienen textos generales, ninguna limitación y ningún contenido de tu plan. La base jurídica es tu consentimiento (art. 6, apartado 1, letra a), del RGPD). La app te pregunta cuando encargas tu primer plan — primero con nuestra propia pregunta y, solo tras tu sí, con la de tu dispositivo—, o activas las notificaciones en Cuenta → Notificaciones. Puedes retirar el consentimiento en cualquier momento allí o en los ajustes de tu dispositivo. El identificador de entrega lo borramos cuando desactivas las notificaciones —si las desactivas en los ajustes, la app se da cuenta la próxima vez que la abras—, cuando cierras sesión, borras tu cuenta o Apple lo notifica como inválido.

La app guarda en el llavero protegido de tu dispositivo tu inicio de sesión, tu nombre para mostrar —para poder saludarte antes de cargar—, si se muestra clara u oscura, tu esquema de color, el idioma, si has elegido uno, la sección en la que la dejaste por última vez, y si tienes un plan, para que vuelva a arrancar allí, además de tu elección sobre las notificaciones y el identificador de entrega registrado. Mientras estemos en pruebas, se añade un dato de acceso. Al cerrar sesión elimina el inicio de sesión, el nombre y la sección de inicio. Tu elección sobre las notificaciones la conserva para tu cuenta, con una marca que calcula a partir de tu dirección de correo, para que vuelva a aplicarse tras tu próximo inicio de sesión; si inicia sesión otra cuenta, caduca. También recuerda más allá del cierre de sesión si ya se ha usado una passkey en el dispositivo, para mostrar arriba el inicio de sesión con passkey. Si borras tu cuenta, elimina ambas cosas. La apariencia, el color y el idioma permanecen en el dispositivo. Una conversación en curso con el coach la mantiene solo en la memoria de trabajo. Las imágenes, como los vídeos de ejercicios y tu foto de perfil, las almacena en caché para que no haya que cargarlas cada vez.

La app también guarda en tu dispositivo un entrenamiento en curso después de cada serie, para que no se pierda nada sin conexión, y nos lo envía en cuanto hay conexión. Si cierras sesión en medio de un entrenamiento, primero lo termina y nos envía lo que aún falta, siempre que haya conexión. Después lo elimina del dispositivo, para que nadie que inicie sesión allí después pueda verlo.

Si activas un recordatorio en Cuenta → Recordatorios, la app lo programa en tu dispositivo. Para ello guarda allí tu ajuste, tu último entrenamiento (plan, día del plan, hora), cuántas veces has entrenado esta semana y tus semanas de pausa, porque en ellas no llega ningún recordatorio. Con nosotros no se guarda nada para ello, y no interviene ningún servicio de notificaciones. Ningún recordatorio menciona nada sobre el cuerpo, la salud o el peso. Al cerrar sesión, también tras borrar tu cuenta, la app elimina el ajuste y todos los recordatorios programados. Si, tras seis semanas con el mismo plan, te propone el siguiente bloque y tocas «Más tarde», lo recuerda en el dispositivo durante dos semanas; también esto lo elimina al cerrar sesión. Si abres el enlace de un challenge antes de iniciar sesión, guarda el código de invitación en el dispositivo para poder preguntarte después de iniciar sesión si quieres unirte. El código es válido siete días. Se borra en cuanto te ha preguntado, al cerrar sesión y, tras su caducidad, la próxima vez que lo lee.

La app accede a la cámara y a las fotos solo cuando haces o eliges una foto de perfil, y solo con tu permiso. Para tus passkeys usa la autorización del sistema, es decir, Face ID, Touch ID o el código de tu dispositivo.

Si descargas tus datos en Cuenta → Datos e información legal, la app guarda brevemente el archivo en su memoria caché para ofrecértelo para guardar o compartir, y lo borra en cuanto terminas, a más tardar en el siguiente inicio o al cerrar sesión. Lo que guardes o compartas tú mismo queda después donde lo hayas puesto.

Las actualizaciones de la app las entregamos a través de Expo. Para ello, la app envía en cada inicio la versión de la app y el sistema operativo, con un identificador aleatorio que crea una sola vez con este fin; Expo conoce también la dirección IP de tu dispositivo, pero nada de tu cuenta. La base jurídica es el art. 6, apartado 1, letra f), del RGPD, nuestro interés en corregir errores con rapidez y mantener segura la app.

No utilizamos rastreadores publicitarios ni servicios para perfiles de uso, no vendemos datos y no los cedemos con fines publicitarios.

La web diaboliq.com no usa cookies. Si allí cambias entre claro y oscuro, tu navegador recuerda la elección en el almacenamiento local bajo «diaboliq-theme», hasta que la borres ahí. Las fuentes y las imágenes las servimos nosotros mismos; no incrustamos contenidos de otros proveedores.

Si abres un enlace de nuestros correos en el navegador en lugar de en la app, al canjearlo en app.diaboliq.com colocamos la cookie de inicio de sesión «diaboliq_sitzung». Es válida, como cualquier sesión, un máximo de 30 días.

Estos almacenamientos son estrictamente necesarios para la función que solicitas en cada caso (§ 25 Abs. 2 Nr. 2 TDDDG). El resto del tratamiento lo basamos en las bases mencionadas en esta declaración. Lo que además requiera un consentimiento, por ejemplo las notificaciones, solo ocurre cuando hayas dado tu conformidad.

Recurrimos a proveedores de servicios en la medida en que sea necesario para las funciones descritas. En la medida en que traten datos por encargo nuestro, están vinculados a nuestras instrucciones mediante un contrato de encargo del tratamiento conforme al art. 28 del RGPD. Algunos tratan determinados datos además bajo su propia responsabilidad; eso se indica en la entrada correspondiente.

Vercel Inc., EE. UU.

Operación de la web y del backend, cuyas funciones se ejecutan en Frankfurt, y el almacenamiento no público para fotos de perfil y anotaciones de borrado, también en Frankfurt. Vercel trata los datos de conexión y todo lo que trata nuestro backend.

Databricks, Inc., EE. UU., para Neon

Base de datos para cuenta, perfil, planes, entrenamientos, volumen de uso, justificantes y candidaturas para el grupo de pruebas. Se ejecuta en Frankfurt.

Anthropic Ireland, Limited, Irlanda

Conversación con la IA y propuestas de plan, tratadas sobre todo en Anthropic, PBC en EE. UU. (sección 7).

Scaleway SAS, Francia

Envío de nuestros correos desde París. Sin transferencia fuera de la UE.

Stripe Payments Europe, Limited, Irlanda

Cuota de los gimnasios asociados tras el lanzamiento público: nombre y dirección de correo del titular, dirección de facturación, NIF-IVA y datos de pago. Stripe también trata datos en Stripe, Inc. en EE. UU. (EU-US Data Privacy Framework, cláusulas contractuales tipo) y es responsable por sí misma de la prevención del fraude y de sus propias obligaciones legales.

650 Industries, Inc. (Expo), EE. UU.

Reenvío de notificaciones junto con el identificador de entrega, y entrega de actualizaciones de la app. Para los datos agregados que ya no se refieren a ti, Expo es, según sus propias condiciones, responsable por sí misma.

Apple

Entrega de las notificaciones, App Store, TestFlight durante la fase de prueba (sección 12) y, si lo usas, el llavero de iCloud para tus passkeys. Apple trata para ello datos bajo su propia responsabilidad; nosotros no obtenemos acceso a tu llavero.

Cloudflare, Inc., EE. UU.

Resolución de nombres (DNS) para nuestros dominios y la redirección de www.diaboliq.com, diaboliq.app y diaboliq.de.

Microsoft Ireland Operations Limited, Irlanda

Microsoft 365 para nuestro buzón de soporte: tu dirección, tu mensaje y lo que es necesario para la comunicación.

Imprenta y servicio de envío

Fabricación y envío de tu insignia: nombre, dirección de envío, talla, corte y el archivo de impresión. La imprenta trabaja por encargo nuestro. El servicio de envío entrega el paquete y trata para ello tu nombre y tu dirección bajo su propia responsabilidad.

Dentro de nuestra empresa solo acceden las personas que lo necesitan para su tarea. A autoridades u otros organismos solo cedemos datos si estamos legalmente obligados o existe otra base legal.

Algunos de nuestros proveedores tienen su sede en EE. UU. o emplean allí y en otros países infraestructura o personal. Por eso tus datos pueden tratarse fuera del Espacio Económico Europeo, aunque nuestros servidores y nuestra base de datos estén en Frankfurt. Esto afecta sobre todo a:

• Anthropic: los contenidos del coach de IA, tratados sobre todo en EE. UU.;
• Vercel y Databricks: accesos desde EE. UU., por ejemplo para operación y soporte;
• Expo: identificadores de entrega, notificaciones y las solicitudes de actualizaciones de la app;
• Cloudflare: datos de conexión, a través de su infraestructura mundial;
• Microsoft: nuestro buzón de soporte, con accesos desde EE. UU.

Para estas transferencias nos basamos en las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD, Decisión de Ejecución (UE) 2021/914), que están incluidas en los contratos de los proveedores. Obligan a los destinatarios a ofrecer garantías de protección de datos. Puedes obtener una copia solicitándola a support@diaboliq.com; los datos de terceros dignos de protección pueden aparecer tachados en ella.

Si escribes a support@diaboliq.com o a través del formulario de la página de soporte, tratamos tu dirección, tu mensaje y los datos de tu cuenta que necesitamos para la respuesta; el buzón está en Microsoft 365. Un mensaje del formulario lo envía Scaleway por correo electrónico a ese buzón; en nuestra base de datos no guardamos nada de él, solo cuántos mensajes entran en un día, para que nadie bloquee el formulario con cantidades masivas de mensajes. Las consultas sobre tu cuenta las tramitamos conforme al art. 6, apartado 1, letra b), del RGPD, las solicitudes sobre tus derechos de protección de datos conforme al art. 6, apartado 1, letra c), del RGPD y todo lo demás conforme al art. 6, apartado 1, letra f), del RGPD, porque queremos responder de forma adecuada.

Por favor, no nos envíes en soporte diagnósticos u otros datos de salud que no necesitemos. Si aun así son necesarios para un asunto, acordamos contigo antes la vía. Un correo por sí solo no lo entendemos como consentimiento explícito para seguir utilizando datos de salud.

Mientras Diaboliq esté en fase de prueba, la app llega a través de Apple TestFlight. Apple trata para ello información de invitación, del dispositivo, de uso y de fallos para la prestación y para sus propios fines operativos, bajo su propia responsabilidad; lo describe la información de Apple «TestFlight & Privacy». Recibimos los datos previstos para la prueba y tus comentarios voluntarios, en su caso con capturas de pantalla; qué datos vemos depende también de cómo te hayan invitado. Los usamos para organizar la prueba y corregir errores (art. 6, apartado 1, letra f), del RGPD) y los leemos en App Store Connect sin hacer copias propias. Por favor, no envíes en tus comentarios datos de salud ni capturas de pantalla que los muestren. Qué funciones están activadas además en la prueba, en Android también a través de la prueba interna de Google Play, y qué hacen con tus datos lo explica nuestra información de privacidad para la prueba (en alemán).

Para la operación tratamos los datos técnicos que necesitamos para la protección y la búsqueda de errores (art. 6, apartado 1, letra f), del RGPD). La calidad de los planes la medimos con valores técnicos por cada creación de plan: modelo y versiones, duración, consumo de la IA y qué gravedad tuvieron los hallazgos de la comprobación. Estos valores de medición no contienen ningún perfil, ningún plan, ninguna referencia a tu cuenta ni datos de salud, y solo llevan el día, no la hora. El consumo de la IA lo contamos por día y modelo, sin referencia a personas. Tus datos de salud no los evaluamos para mejorar el producto.

Para protegernos de solicitudes masivas y de costes de funcionamiento desproporcionados, limitamos los mensajes al coach a 25 por cuenta y día UTC. El día UTC empieza a las 0:00 del tiempo universal coordinado; puede diferir de tu hora local. Una solicitud puede contener como máximo 20.000 caracteres. Para ello guardamos el identificador de la cuenta, el día UTC y el número de solicitudes contadas, no sus textos. El contador se borra a los 2 días, y de inmediato al borrar la cuenta. El tratamiento se basa en el art. 6, apartado 1, letra f), del RGPD. El límite restringe el acceso al coach hasta el siguiente día UTC. Es una regla técnica fija y no una acusación automática de abuso. El tratamiento del contenido de las conversaciones por el proveedor de IA y sus plazos de conservación se describen en la sección 7; lo dicho sobre el contador se refiere solo al contador del límite de mensajes. Si los costes de las conversaciones de todas las cuentas juntas superan el límite diario fijado, el equipo recibe un aviso con los totales. No contiene contenido de las conversaciones y no bloquea ninguna cuenta.

Como cada apodo existe una sola vez, se podría probar si un nombre ya está ocupado. Por eso contamos, por cuenta y día, cuántas veces alguien quiso elegir uno ocupado; después de 10 intentos así, ese día ya no se puede cambiar el apodo. Solo se guarda el número, nunca el nombre; desaparece a los 2 días, y de inmediato con tu cuenta. La base jurídica es el art. 6, apartado 1, letra f), del RGPD: nuestro interés legítimo en evitar que alguien descubra por su apodo que otros miembros usan nuestra app.

Registramos cuándo has otorgado o retirado un consentimiento y en qué versión estaba su texto, y registramos los procesos administrativos. Los justificantes de consentimiento sirven a nuestra responsabilidad proactiva (art. 5, apartado 2, y art. 7, apartado 1, en relación con el art. 6, apartado 1, letra c), del RGPD).

Puedes retirar cualquier consentimiento en la app en Cuenta → Consentimientos o escribirnos. La retirada surte efecto para el futuro; no afecta a la licitud del tratamiento basado en tu consentimiento previo a su retirada.

• Datos de salud: borramos tus limitaciones del perfil, tus encargos de plan junto con los datos que contienen y los textos del coach en tus planes — justificación e indicaciones, también en versiones anteriores, porque pueden mencionar una limitación—. Los ejercicios, las series y las repeticiones permanecen. El coach ya no estará disponible para ti.
• Datos corporales: borramos estatura, peso y fecha de nacimiento de tu perfil.
• Coach de IA: ya no enviamos datos a la IA. Tus planes y entrenamientos guardados permanecen.
• Clasificación: ya no te mostramos en ninguna clasificación. La participación, el progreso y los Ember permanecen.

Borras tu cuenta en Cuenta → Datos e información legal o con un correo electrónico a nosotros. Entonces borramos de inmediato tu perfil junto con el perfil de entrenamiento, las limitaciones y los datos corporales, tu foto de perfil, tus planes, entrenamientos, semanas de pausa y encargos de plan, tus check-ins, tu participación en challenges, tus insignias de temporada, tu apodo, el número de tus mensajes al coach y de tus intentos con apodos ocupados, tus envíos, votos y denuncias de ideas, los cambios pendientes de tu dirección de correo, tus dispositivos, passkeys y sesiones, además de una candidatura para el grupo de pruebas con la misma dirección de correo. Los challenges que creaste pueden seguir para los demás participantes; eliminamos el vínculo con tu cuenta. Eso no hace anónimos automáticamente los datos que aún tengan otros participantes. Lo que permanece son el registro de consentimientos, el de consumo y el de Ember con las revisiones y explicaciones, y los protocolos administrativos, bajo un identificador que ya no lleva nombre ni dirección de correo, y durante 40 días una anotación de que has borrado y de cuándo (sección 14). Estos registros los borramos tres años después del final del año en el que borraste tu cuenta, los protocolos administrativos tres años después del final del año en que se crearon, y el texto de una explicación a una revisión ya 6 meses después de la decisión. Los datos seudonimizados siguen siendo datos personales en la medida en que puedan atribuirse a una persona. Una solicitud de supresión no supone renunciar a derechos existentes derivados de un contrato, un pedido o un reembolso; para las pruebas necesarias, los datos requeridos pueden conservarse de forma limitada sobre una base jurídica distinta. En nuestras copias de seguridad los datos permanecen hasta 30 días más, en Anthropic hasta el final de los plazos allí vigentes (sección 7). Borrar la app del dispositivo no borra tu cuenta.

Solo guardamos datos personales mientras lo exija la finalidad correspondiente o exista una obligación legal. Una retirada o una solicitud de supresión justificada acorta los siguientes plazos. Los plazos en nuestra base de datos los aplica automáticamente un proceso diario.

Cuenta, perfil, planes, entrenamientos, semanas de pausa, apodo e insignias de temporada

hasta que borres tu cuenta

Participación en un challenge

90 días después de su fin, en uno retirado después de la retirada; de inmediato con tu cuenta. Solo apareces en la clasificación mientras la tengas activada y tu consentimiento siga vigente.

Código de invitación en tu dispositivo

válido siete días; se borra en cuanto la app te ha preguntado si participas, al cerrar sesión y, tras su caducidad, la próxima vez que lo lee

Limitaciones y datos corporales

hasta que retires el consentimiento, borres el dato o borres tu cuenta

Conversación con el coach

solo en la memoria de trabajo de la app, mientras esta se ejecuta

Entradas y salidas de la IA en Anthropic

normalmente hasta 30 días, excepciones en la sección 7

Registro que no se completó

El enlace y el código son válidos una hora; la dirección la borramos un día después de su caducidad.

Candidatura para el grupo de pruebas

sin confirmar, 7 días después del correo; confirmada, doce meses después de la confirmación; de inmediato si la retiras

Encargos de plan

30 días después de su finalización

Enlaces y códigos de inicio de sesión

7 días después de su caducidad o canje

Solicitudes de cambio de la dirección de correo

una semana después de su caducidad o canje

Comprobaciones de un inicio de sesión con passkey

Son válidas unos pocos minutos y se borran un día después de su caducidad.

Sesiones

30 días después del cierre de sesión o del último uso

Número de tus mensajes al coach

2 días; de inmediato con tu cuenta

Número de tus intentos con apodos ocupados

2 días; de inmediato con tu cuenta

Identificadores de entrega para notificaciones

hasta que desactives las notificaciones, cierres sesión, borres tu cuenta o Apple los notifique como inválidos

Foto de perfil

hasta que la elimines, la sustituyas o borres tu cuenta; en la caché del proveedor, aproximadamente un minuto más

Dirección de envío en un pedido de insignia

90 días después del envío; si la entrega sigue abierta en ese momento, cuando haya concluido

Dirección de envío guardada

hasta que la elimines en Cuenta o borres tu cuenta

Texto de tu idea y texto opcional de una denuncia

a más tardar 30 días después de su recepción, aunque no haya decisión

Denuncias de ideas sin su texto

90 días después de tramitarlas; con tu cuenta, de inmediato

Envíos y votos de ideas

hasta que retires tu voto o borres tu cuenta

Archivo de tus datos en el dispositivo

hasta que lo hayas guardado o compartido, a más tardar hasta el siguiente inicio de la app o hasta cerrar sesión

Valores de medición sobre la calidad y el consumo de la IA

sin referencia a ti y por eso sin plazo

Justificantes de consentimiento y registro de consumo

mientras exista tu cuenta; después, sin nombre ni dirección de correo, hasta 3 años después del final del año de la supresión

Ember: apuntes, revisiones y recepción de explicaciones

mientras exista tu cuenta; después, sin nombre ni dirección de correo, hasta 3 años después del final del año de la supresión

Texto de tu explicación a una revisión

6 meses después de la decisión; el hecho de que se recibió una explicación permanece en el registro

Check-ins en gimnasios asociados

12 meses; de inmediato con tu cuenta

Solicitudes y personas de contacto de gimnasios asociados

no confirmadas 7 días, rechazadas 30 días; si no, mientras dure la colaboración, la persona de contacto hasta 12 meses después de su fin, los datos de la empresa y del contrato mientras existan obligaciones de conservación

Protocolos administrativos

3 años después del final del año en que se crearon; tras borrar tu cuenta, sin nombre ni dirección de correo

Cuenta sin uso

Tras 24 meses sin iniciar sesión te escribimos. Si no inicias sesión en un plazo de 30 días, borramos la cuenta.

Consultas de soporte

12 meses después de quedar resueltas, siempre que no exista una obligación de conservación más larga

Comentarios e informes de fallos de TestFlight

en Apple, según sus indicaciones: comentarios un año, datos de fallos y de uso hasta que se corrija el error; no hacemos copias propias

Registros de ejecución en Vercel

30 días

Protocolos de la base de datos en Neon

tres días; la base de datos se puede restaurar hasta seis horas atrás

Confirmaciones de recepción en Expo

24 horas

Nuestras propias copias de seguridad

cifradas, como máximo 30 días

Anotaciones sobre supresiones y retiradas

solo identificador, tipo y momento, 40 días

Lo que se encuentra temporalmente en las copias de seguridad no lo usamos para la operación corriente. Si tenemos que restaurar desde una copia, volvemos a aplicar las supresiones y retiradas ocurridas desde entonces antes de que los datos vuelvan a utilizarse. Para ello registramos cada supresión y cada retirada fuera de la base de datos, sin nombre ni dirección de correo: solo el identificador de tu cuenta, qué se ha borrado o retirado, y cuándo. Estas anotaciones permanecen 40 días, más que cualquier copia de seguridad, y no más. Se guardan en el almacenamiento no público de nuestro proveedor de alojamiento Vercel en Fráncfort; la base jurídica es el art. 6, apartado 1, letra c), del RGPD en relación con el art. 5, apartado 2, y el art. 17 del RGPD. Tras una restauración vuelves a iniciar sesión.

En las condiciones legales tienes derecho a

• Acceso a saber si tratamos datos sobre ti y cuáles, junto con una copia (art. 15 del RGPD);
• Rectificación de datos inexactos y completado de datos incompletos (art. 16 del RGPD);
• Supresión de tus datos (art. 17 del RGPD);
• Limitación del tratamiento en los casos previstos por la ley (art. 18 del RGPD);
• Portabilidad de los datos: recibir los datos que nos has facilitado en un formato estructurado, de uso común y de lectura mecánica y, en la medida en que sea técnicamente posible, hacer que se transmitan a otro responsable del tratamiento (art. 20 del RGPD);
• Retirada de los consentimientos otorgados con efecto para el futuro (art. 7, apartado 3, del RGPD).

Oposición: En la medida en que tratemos datos sobre la base de intereses legítimos (art. 6, apartado 1, letra f), del RGPD), incluida la elaboración de perfiles basada en ellos (sección 5), puedes oponerte por motivos relacionados con tu situación particular. Escríbenos para ello a support@diaboliq.com. En ese caso dejaremos de tratar los datos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o que los necesitemos para la formulación, el ejercicio o la defensa de reclamaciones (art. 21 del RGPD).

En la app, en Cuenta → Datos e información legal, descargas todos tus datos como archivo en formato JSON y allí también borras tú mismo tu cuenta. Además puedes ejercer tus derechos en support@diaboliq.com, incluso si ya no puedes acceder a la app. Si tenemos dudas fundadas sobre tu identidad, te preguntaremos lo que necesitemos para identificarte con seguridad.

Respondemos a las solicitudes de forma gratuita y sin dilación indebida, a más tardar en el plazo de un mes. Si necesitamos la prórroga legalmente admisible, te diremos dentro de ese mes por qué.

Además puedes presentar una reclamación ante una autoridad de control de protección de datos, en particular en el Estado miembro en el que vivas o trabajes o en el que presuntamente se haya producido la infracción. La autoridad de control competente para nosotros es el Comisionado de Protección de Datos del Estado de Baja Sajonia (Landesbeauftragter für den Datenschutz Niedersachsen). Una lista de todas las autoridades la publica el Comité Europeo de Protección de Datos.

Diaboliq es a partir de 18. Al registrarte confirmas que tienes al menos 18 años, y una fecha de nacimiento según la cual seas menor no la guardamos. Si eres menor, por favor no crees una cuenta. Si detectas que una persona menor de edad tiene una cuenta, avísanos en support@diaboliq.com.

Adaptamos esta declaración cuando cambian funciones, tratamientos o requisitos legales, y te informamos de los cambios sustanciales de forma adecuada. Si un nuevo tratamiento requiere tu consentimiento, lo recabamos antes de que comience. Una declaración modificada por sí sola no amplía un consentimiento que ya hayas dado.